Phishing ist der Versuch, Ihnen mit gefälschten E-Mails, SMS oder Websites Passwörter, Bankdaten oder andere vertrauliche Angaben zu entlocken.

Typische Warnzeichen laut BSI: angeblicher Zeitdruck, Drohungen, die Aufforderung, eine PIN oder Kreditkartennummer einzugeben, und Links oder Formulare in der Nachricht.

Die Absender geben sich als Bank, Paketdienst, Streamingdienst oder Behörde aus. Das Ziel ist fast immer dasselbe: Sie sollen auf eine nachgebaute Seite gehen und dort Ihre Daten eintippen.

WarnzeichenBeispiel
Zeitdruck„Ihr Konto wird in 24 Stunden gesperrt“
Drohung„Sonst entstehen Ihnen Kosten“
Abfrage vertraulicher DatenPIN, TAN, Kreditkartennummer
Link oder Formular„Hier Daten bestätigen“
Ungewöhnliches AnliegenBekannter Absender, aber seltsame Bitte

Was ist Phishing einfach erklärt?

Stellen Sie sich einen Köder vor: Die Nachricht sieht aus wie von einem Dienst, den Sie kennen, und lockt Sie mit einem Anlass auf eine gefälschte Seite. Geben Sie dort Ihr Passwort ein, landet es direkt bei den Tätern. Manche Phishing-Mails enthalten zusätzlich Anhänge mit Schadsoftware. Das BSI nennt Trojaner, Bots und Erpressungssoftware als mögliche Folgen, wenn solche Anhänge geöffnet werden.

Phishing-Mail erkennen

Das BSI rät zu Misstrauen, wenn eines dieser Merkmale zutrifft:

  1. Der Text macht dringenden Handlungsbedarf geltend.
  2. Es werden Drohungen ausgesprochen.
  3. Sie sollen vertrauliche Daten eingeben, etwa die PIN fürs Online-Banking oder eine Kreditkartennummer.
  4. Die Mail enthält Links oder Formulare.
  5. Sie scheint von einer bekannten Person oder Organisation zu kommen, aber das Anliegen wirkt ungewöhnlich.

Auch ungewöhnliche Rechtschreibfehler oder Umlaute, die als „ae“ oder „oe“ geschrieben sind, können ein Hinweis sein. Gute Fälschungen kommen heute aber oft fehlerfrei daher.

Phishing-Websites erkennen

  • Die Adresse stimmt nicht. Das BSI nennt Adressen mit ungewöhnlichen Zahlen oder Zeichen, etwa „www.135x-Bank.de“.
  • Kurzlinks verbergen das eigentliche Ziel. Wohin ein Kurzlink führt, zeigt unser Werkzeug Kurzlink auflösen (auf Englisch), ohne dass Sie die Seite öffnen.
  • Eine TAN wird abgefragt, obwohl Sie keine Überweisung ausgelöst haben. Laut BSI ein klares Zeichen für eine Fälschung.
  • Bekannte Daten sollen erneut eingegeben werden, etwa Name, Adresse oder IBAN direkt nach der Anmeldung.
  • Das Schloss allein reicht nicht. Das BSI betont, dass „https://“ heute keine Entwarnung mehr bedeutet.
  • Am Computer: Fahren Sie mit der Maus über den Link, ohne zu klicken. Die echte Zieladresse erscheint unten im Browser oder im Mailprogramm.
  • Am Handy: Halten Sie den Finger länger auf dem Link. Die meisten Apps zeigen dann die Adresse an, ohne die Seite zu öffnen.
  • Von rechts nach links lesen. Entscheidend ist der Teil direkt vor der ersten Endung wie „.de“ oder „.com“. Bei „meinebank.de.sicher-login.com“ gehört die Seite zu „sicher-login.com“, nicht zu Ihrer Bank.
  • Auf kleine Abweichungen achten, etwa eine vertauschte Buchstabenfolge, eine Ziffer statt eines Buchstabens oder einen zusätzlichen Bindestrich.

Im Zweifel tippen Sie die Adresse Ihrer Bank oder Ihres Dienstes selbst in den Browser.

Phishing per SMS und Messenger

Phishing kommt nicht nur per E-Mail. Die Verbraucherzentrale warnt regelmäßig vor falschen SMS und Nachrichten, die angeblich von Behörden, Ministerien, Paketdiensten oder Banken stammen. Es gelten dieselben Regeln: Nicht auf Links tippen, sondern die App oder die Website des Anbieters selbst öffnen und dort nachsehen.

Nur geklickt, nichts eingegeben: Schließen Sie die Seite. Laden Sie nichts herunter und lassen Sie Ihren Virenschutz das Gerät prüfen, falls Sie etwas geöffnet haben.

Daten eingegeben:

  1. Passwort sofort ändern, und zwar über die echte Seite oder App des Dienstes, nicht über den Link.
  2. Bank informieren, wenn Sie Bankdaten eingegeben haben, und den Online-Banking-Zugang sperren lassen. Bank- und Kreditkarten sperren Sie rund um die Uhr über den Sperr-Notruf 116 116, kostenlos aus dem deutschen Festnetz.
  3. Überall dort ändern, wo Sie dasselbe Passwort nutzen.
  4. Zwei-Faktor-Anmeldung einschalten, damit ein gestohlenes Passwort allein nicht reicht: Zwei-Faktor-Authentifizierung einrichten.
  5. Anzeige bei der Polizei erstatten, wenn Geld abgebucht wurde oder Ihr Konto missbraucht wird.

Ob ein Passwort bereits in bekannten Datenlecks auftaucht, prüft unser Passwort-Leak-Test (auf Englisch).

Phishing melden

  • Verbraucherzentrale: Leiten Sie verdächtige Mails an phishing@verbraucherzentrale.nrw weiter. Die Verbraucherzentrale NRW wertet die Einsendungen im Phishing-Radar aus und warnt vor aktuellen Maschen.
  • Betroffenes Unternehmen: Viele Banken und Dienste haben eigene Adressen für Phishing-Meldungen, die Sie auf deren offizieller Website finden.
  • Danach löschen. Antworten Sie nicht und klicken Sie nichts an.

Schützt ein VPN vor Phishing?

Nein. Ein VPN verschlüsselt Ihre Verbindung und verbirgt Ihre IP-Adresse, aber eine gefälschte Seite bleibt gefälscht, auch durch den VPN-Tunnel. Was ein VPN leistet und was nicht, steht in Was ist ein VPN und ist es sinnvoll? Besser schützen Passkeys: Das BSI sieht darin ein deutlich höheres Sicherheitsniveau als bei herkömmlichen Anmeldeverfahren.

Werkzeuge von 404 VPN

Neben dem VPN-Dienst bieten wir kostenlose Werkzeuge im Browser an, etwa zum Auflösen von Kurzlinks und zur Prüfung von Passwörtern auf bekannte Lecks. Der VPN-Dienst nutzt das Protokoll VLESS; der kostenlose Tarif bietet 2 GB pro Tag, ohne Kreditkarte, nach Anlegen eines Kontos per E-Mail oder Telegram. Mehr auf der Startseite.