Phishing beginnt heute nicht mehr nur mit einer schlecht formulierten E-Mail. Angriffe kommen per SMS, Messenger, Telefon, Brief oder täuschend echter Suchanzeige. Häufig erzeugen sie Zeitdruck: Ein Konto sei gesperrt, eine Zahlung müsse storniert oder ein Sicherheitsverfahren bestätigt werden. Der wichtigste Schutz ist eine feste Regel: Du reagierst nie über den Link oder die Telefonnummer in der unerwarteten Nachricht, sondern öffnest den bekannten offiziellen Zugang selbst.
Das Wichtigste in Kürze
- Gib PIN, TAN, Passwörter oder Freigabecodes niemals aufgrund eines unerwarteten Kontakts weiter.
- Öffne Bank und Zahlungsdienst über die bekannte App oder eine selbst eingegebene Adresse.
- Bestätige nur Vorgänge, die du selbst begonnen hast, und lies Betrag sowie Empfänger.
- Hast du Daten preisgegeben, sperrst du gefährdete Zugänge sofort über offizielle Kontaktdaten.
- Sichere Nachrichten und Buchungen als Beleg, ohne verdächtige Anhänge weiter zu öffnen.
Woran du einen Phishing-Versuch erkennst
Kein einzelnes Merkmal beweist einen Betrug. Eine Kombination sollte dich jedoch stoppen lassen:
- Die Nachricht kommt unerwartet und verlangt sofortiges Handeln.
- Du sollst Zugangsdaten, Kartendaten, TAN oder Freigabecodes eingeben.
- Eine Zahlung soll angeblich durch eine weitere Freigabe „storniert“ werden.
- Absenderadresse, Webadresse oder Telefonnummer weichen minimal vom bekannten Kontakt ab.
- Die Anrede ist ungewöhnlich oder Angaben passen nicht zu deinem Vertrag.
- Ein Anrufer drängt dich, Software zu installieren oder den Bildschirm freizugeben.
- Dir wird verboten, aufzulegen oder eine andere Person zu fragen.
Rechtschreibfehler sind kein zuverlässiges Erkennungszeichen mehr. Professionelle Texte, Logos und persönliche Daten können aus früheren Datenlecks stammen. Selbst eine angezeigte bekannte Telefonnummer beweist nicht, dass der Anruf wirklich von dort kommt.
Die sichere Gegenprobe
Beende den Kontakt. Öffne die Banking-App selbst oder tippe die bekannte Webadresse ein. Verwende keine Suchanzeige, wenn du die Adresse auch über ein Lesezeichen erreichen kannst. Prüfe dort Postfach, Kartenstatus und Umsätze. Ruf die Bank über die Nummer auf deiner Karte, deiner Abrechnung oder der offiziellen Webseite an.
Ein echter zeitkritischer Vorgang bleibt auch nach dieser Gegenprobe sichtbar. Wenn ein Anrufer behauptet, du dürftest das Gespräch nicht beenden, ist das ein starkes Warnsignal. Banken und Behörden verlangen nicht, dass du zur „Sicherheit“ Geld auf ein fremdes Konto überträgst.
Wenn du nur geklickt hast
Ein Klick allein bedeutet nicht automatisch einen Schaden. Schließe die Seite und gib keine Daten ein. Hast du eine Datei heruntergeladen oder installiert, trenne das Gerät bei erkennbarem Schadsoftwareverdacht vom Netzwerk und nutze ein anderes vertrauenswürdiges Gerät für wichtige Konten. Prüfe das betroffene Gerät mit aktuellen Sicherheitswerkzeugen oder fachlicher Hilfe.
Ändere Passwörter nicht übereilt auf einem möglicherweise kompromittierten Gerät. Beginne mit E-Mail-Konto, Bank, Zahlungsdiensten und Passwortmanager. Verwende für jeden Dienst ein neues, eigenes Passwort. Aktiviere oder erneuere die Zwei-Faktor-Absicherung und kontrolliere Wiederherstellungsadressen sowie angemeldete Geräte.
Wenn du Zugangsdaten eingegeben hast
- Kontaktiere Bank oder Zahlungsdienst sofort über offizielle Kanäle.
- Lass Online-Banking, Karten oder betroffene Zahlungswege sperren.
- Ändere kompromittierte Passwörter von einem sicheren Gerät.
- Prüfe Freigabegeräte, Telefonnummern und E-Mail-Adressen im Konto.
- Kontrolliere Umsätze und vorgemerkte Zahlungen.
- Dokumentiere Zeitpunkt, Nachricht, eingegebene Daten und Ansprechpartner.
- Erstatte bei Betrug oder Schaden Anzeige und übergib die Belege.
Die BaFin rät ausdrücklich, Bankdaten, TAN und Login-Daten bei unerwarteten Anrufen niemals preiszugeben und den Kontakt über eine bekannte offizielle Verbindung neu herzustellen. Je genauer du der Bank sagst, welche Daten betroffen sind, desto gezielter kann sie sperren.
Wenn bereits Geld abgeflossen ist
Melde die Zahlung unverzüglich als nicht von dir autorisiert, wenn du sie tatsächlich nicht freigegeben hast. Bitte die Bank um Rückruf oder Sicherung, soweit das noch möglich ist. Bei Kartenzahlungen und Überweisungen gelten unterschiedliche Abläufe. Eine selbst bestätigte Überweisung lässt sich nicht einfach wie eine SEPA-Basislastschrift zurückgeben.
Beschreibe ehrlich, welche Freigaben du vorgenommen hast. Bank und gegebenenfalls Polizei brauchen den Ablauf, nicht nur das Ergebnis. Sichere Kontoanzeige, Empfänger, Betrag, Uhrzeit, Rufnummern und den Text der Nachricht. Lösche den Chat erst, wenn die Beweise anderweitig gesichert sind.
Gefälschte Bankanrufe
Bei einem sogenannten Vishing-Anruf kennt die andere Person möglicherweise deinen Namen, deine Bank und Teile einer Kontoverbindung. Diese Angaben können echt sein und trotzdem aus einem Datenleck oder öffentlich zugänglichen Quellen stammen. Der Anrufer versucht dann, dein Vertrauen auf eine angebliche Sicherheitsprüfung zu lenken.
Eine TAN oder App-Freigabe löst einen konkreten Vorgang aus. Lies den Text vollständig. Wenn dort eine Überweisung oder Geräteaktivierung steht, bestätigst du keine „Stornierung“. Beende den Anruf und kontaktiere die Bank selbst. Installiere niemals Fernwartungssoftware auf Anweisung eines unbekannten Anrufers.
SMS, QR-Codes und gefälschte Briefe
Eine kurze SMS über ein gesperrtes Konto oder eine fehlende Paketgebühr führt häufig auf eine gefälschte Seite. Tippe keine Links an und antworte nicht. QR-Codes in Briefen oder an Geldautomaten können ebenfalls auf fremde Seiten führen. Ein gedrucktes Logo macht den Inhalt nicht amtlich.
Bei einem Brief vergleichst du Anschrift, Aktenzeichen und Kontaktweg mit früheren echten Unterlagen. Ruf nicht die im verdächtigen Schreiben hervorgehobene Nummer an, sondern suche den offiziellen Kontakt unabhängig. Das gilt auch für angebliche Behörden, Versicherungen und Energieanbieter.
Schutz für den Familienalltag
Vereinbart einen einfachen Satz: Geldbewegungen werden niemals unter Zeitdruck am Telefon bestätigt. Bei ungewöhnlichen Nachrichten fragt ihr eine zweite Person. Für ältere Angehörige kann eine Liste mit offiziellen Sperrnummern und Bankkontakten helfen. Speichert dort keine PIN oder TAN.
Setze Zahlungs- und Überweisungslimits passend zum Alltag und aktiviere Umsatzbenachrichtigungen. Das verhindert nicht jeden Angriff, macht ihn aber schneller sichtbar. Weitere Einstellungen findest du unter Online-Banking sicher nutzen und Kartenzahlungen prüfen und reklamieren.
Typische Fehlreaktionen
Den Anrufer mit falschen Daten testen: Du bleibst im Gespräch und gibst möglicherweise ungewollt weitere Informationen preis. Auflegen ist sicherer.
Nur das Passwort ändern: Prüfe zusätzlich Gerätefreigaben, Karten, E-Mail-Konto und hinterlegte Kontaktdaten.
Aus Scham warten: Schnelles Melden erhöht die Chance, weitere Zahlungen zu stoppen.
Die Nachricht an viele Personen weiterleiten: Verdächtige Links können dadurch weiter verbreitet werden. Schicke stattdessen einen Screenshot ohne anklickbaren Link.
Häufige Fragen zu Phishing
Kann meine Bank mich wirklich anrufen?
Ja, ein Anruf kann echt sein. Trotzdem musst du keine sensiblen Daten oder Freigaben herausgeben. Beende bei Zweifel das Gespräch und rufe über eine selbst geprüfte Nummer zurück.
Schützt Zwei-Faktor-Authentisierung vollständig?
Sie erhöht die Sicherheit, ist aber kein vollständiger Schutz. Wenn du eine betrügerische Freigabe selbst bestätigst, kann auch ein zweiter Faktor missbraucht werden. Lies immer Vorgang, Betrag und Empfänger.
Wo kann ich verdächtige Nachrichten melden?
Informiere das missbrauchte Unternehmen über dessen offizielle Kontaktwege. Phishing-Mails können außerdem an den Phishing-Radar der Verbraucherzentrale weitergeleitet werden. Bei einem Schaden oder Betrugsversuch kommt eine Anzeige bei der Polizei infrage.
Wie kontrolliere ich mein Konto nach einem Angriff?
Prüfe vorgemerkte und gebuchte Umsätze, neue Empfänger, Karten, Geräte und geänderte Kontaktdaten. Wiederhole den Check über mehrere Tage und nutze die Anleitung Kontoauszüge richtig prüfen.
Nach dem Vorfall die nächsten Abrechnungen prüfen
Auch wenn Bank oder Dienst ein Konto gesichert haben, können spätere Abbuchungen oder neue Kontaktversuche folgen. Prüfe Konto, Kartenabrechnung und hinterlegte Zahlungsdienste über mehrere Wochen besonders aufmerksam. Dokumentiere unbekannte Umsätze sofort und beachte Reklamationsfristen.
Informiere Haushaltsmitglieder, wenn gemeinsame Konten oder Geräte betroffen sein könnten. Teile dabei keine Zugangsdaten, sondern nur die notwendigen Schutzschritte.
Fazit: Der offizielle Rückweg unterbricht den Angriff
Lass dich nicht über den Kontaktweg der verdächtigen Nachricht zu einer Entscheidung drängen. Beende Anruf oder Chat und öffne dein Konto über einen bekannten offiziellen Zugang. Wenn Daten oder Geld betroffen sind, sperrst du sofort, dokumentierst den Ablauf und prüfst weitere Zugänge. Eine feste Reihenfolge ist in diesem Moment wertvoller als der Versuch, die Nachricht perfekt zu analysieren.