Wie Sie sich vor Phishing schützen

Die meisten Ratschläge, wie man sich vor Phishing schützt, drehen sich um Rechtschreibfehler und merkwürdige Links, also um Phishing, wie es vor einem Jahrzehnt aussah. Heutige Nachrichten sind gut geschrieben, korrekt gebrandet und erreichen Sie oft in einem Austausch, den Sie ohnehin erwartet haben. Der verlässliche Schutz ist nicht mehr die genaue Betrachtung. Er besteht aus einer kleinen Zahl von Gewohnheiten, die die Nachricht bedeutungslos machen: über einen Kanal prüfen, den der Angreifer nicht kontrolliert, und die eigenen Konten so aufbauen, dass ein einzelner geglückter Versuch keine Kettenreaktion auslöst. Dieser Leitfaden behandelt beides und außerdem, was in der Stunde nach dem Klick zu tun ist.

Worauf Phishing es abgesehen hat

Das Ziel hinter einer Phishing-Nachricht zu verstehen macht es leichter, das Risiko einzuschätzen. Angreifer können Zugangsdaten, zeitlich begrenzte Sicherheitscodes, Geld, Zugang zu Ihrem Gerät oder persönliche Angaben suchen, die einen späteren, überzeugenderen Versuch stützen.

Zugangsdaten. Eine gefälschte Anmeldeseite kann den echten Dienst genau nachbilden und Ihren Benutzernamen samt Passwort abgreifen. Manche Seiten leiten Sie danach auf die echte Website weiter, sodass die fehlgeschlagene oder wiederholte Anmeldung normal wirkt.

Einmalcodes. Ein gestohlenes Passwort genügt nicht, wenn ein Konto einen zweiten Schritt zur Bestätigung verlangt. Deshalb kann eine Angreiferin Sie bitten, einen Code vorzulesen, und sich dabei als Bank, Lieferdienst, Arbeitgeberin oder Supportteam ausgeben. Geben Sie einen Sicherheitscode niemals als Antwort auf eine unerwartete Nachricht oder einen unerwarteten Anruf heraus.

Zahlungen. Gefälschte Rechnungen, Abo-Verlängerungen, geänderte Bankverbindungen und dringende Zahlungsaufforderungen zielen auf eine direkte Überweisung, einen Gutscheincode oder eine Kryptozahlung statt auf Zugangsdaten. Der Geek-Squad-Betrug ist ein verbreitetes Beispiel für dieses Muster, bei dem eine gefälschte Verlängerungsmitteilung ein Telefongespräch beginnen soll und nicht unmittelbar ein Passwort stehlen.

Zugang zum Gerät. Ein Link oder Anhang kann Schadsoftware installieren, und ein Anrufer kann Sie dazu bringen, eine legitime Fernzugriffssoftware unter dem Vorwand technischer Unterstützung einzurichten. Beide Wege können offenlegen, was auf Ihrem Bildschirm geschieht, und was auf dem Gerät gespeichert ist.

Persönliche Angaben. Angaben wie Arbeitgeberin, Geburtsdatum, Adresse, Kartendaten oder Ausweisdokumente können für Identitätsbetrug oder einen späteren gezielten Versuch gesammelt werden. Sind bereits sensible Angaben offengelegt, hängen die passenden Schritte zur Meldung von Identitätsdiebstahl davon ab, was weitergegeben wurde und ob auf Konten zugegriffen wurde.

Zu erkennen, worauf die Nachricht abzielt, hilft bei der Entscheidung, ob Löschen genügt oder ob Sie sofort ein Konto absichern, Ihre Bank kontaktieren oder das betroffene Gerät prüfen lassen sollten.

Wie Sie sich in der Praxis vor Phishing schützen

Prüfen Sie Anfragen über einen getrennten Kanal

Wenn eine Nachricht Sie auffordert, sich anzumelden, Geld zu senden, Angaben offenzulegen oder eine Kontoaktion zu bestätigen, nutzen Sie nicht die darin enthaltenen Links, Telefonnummern oder Kontaktdaten. Öffnen Sie die offizielle App, verwenden Sie ein gespeichertes Lesezeichen, tippen Sie die Adresse selbst ein oder rufen Sie eine Nummer an, die auf der bestätigten Website der Organisation veröffentlicht ist. Werden Sie misstrauisch, wenn die Absenderin eine unabhängige Prüfung ablehnt, Sie drängt, im Gespräch zu bleiben, oder Ihnen davon abrät, die Organisation direkt zu kontaktieren.

Stärken Sie die Art, wie Sie sich anmelden

Behandeln Sie Einmalcodes wie Passwörter und geben Sie sie nicht nach einer unerwarteten Nachricht oder einem unerwarteten Anruf heraus. Nutzen Sie einzigartige Passwörter und schalten Sie, wo möglich, eine stärkere Anmeldung ein. Authentifizierungs-Apps, Passkeys und Hardware-Sicherheitsschlüssel bieten zusätzlichen Schutz, und ein Passwortmanager kann nachgebaute Adressen erkennbar machen, weil er gespeicherte Zugangsdaten auf einer unbekannten Adresse nicht einsetzt.

Trennen Sie wertvolle Konten von öffentlichen Kontaktdaten

Nutzen Sie verschiedene E-Mail-Adressen für Finanzkonten, für Einkäufe und soziale Netzwerke und für alles, was öffentlich sichtbar ist. Das begrenzt, wie leicht jemand, der eine Adresse kennt, Ihre empfindlichsten Konten findet. Gehen Sie durch, wo Ihre E-Mail-Adresse, Telefonnummer, Arbeitgeberin und andere identifizierende Angaben im Netz auftauchen. Zu wissen, wie Sie Ihre persönlichen Daten schützen, verkleinert das Material, das für persönlich zugeschnittene Versuche zur Verfügung steht.

Warnzeichen, die auffallen sollten

Auch eine saubere Nachricht kann Zeichen enthalten, dass die Absenderin Druck aufbauen oder eine unabhängige Prüfung verhindern will:

• Dringlichkeit, die an eine Folge gekoppelt ist: Kontosperrung, fehlgeschlagene Zahlung, zurückgehende Lieferung oder Sicherheitswarnung
• Die Bitte, die Sache vertraulich zu halten, besonders bei Nachrichten im Arbeitsumfeld, die von einer vorgesetzten Person zu kommen vorgeben
• Neue Bankverbindungen oder Zahlungsanweisungen in einem ansonsten bekannten Rechnungsverlauf
• Eine Absender- oder Antwortadresse, die leicht von der Organisation oder Person im angezeigten Namen abweicht
• Die Bitte um ein Passwort, einen Einmalcode, eine Zahlung, Fernzugriff oder ein sensibles Dokument
• Widerstand, wenn Sie die Anfrage über die offizielle Website, App oder veröffentlichte Nummer prüfen wollen

Achten Sie auf die Reaktion, die die Nachricht hervorrufen soll. Angst, Dringlichkeit, Neugier und die Aussicht auf eine sofortige Lösung können alle dazu verleiten, vor der Prüfung zu handeln. Zu lernen, wie Sie Betrug im Netz vermeiden, heißt zu erkennen, dass emotionaler Druck ein Warnzeichen sein kann, selbst wenn Branding, Sprache und persönliche Angaben überzeugend wirken.

Die erste Stunde nach dem Klick

Handeln Sie schnell und richten Sie sich danach, was Sie eingegeben, weitergegeben oder installiert haben, statt Zeit damit zu verbringen, die Täuschung zu rekonstruieren.

Wenn Sie ein Passwort eingegeben oder einen Code weitergegeben haben

Ändern Sie das Passwort über den echten Dienst, erneuern Sie es überall, wo es wiederverwendet wurde, und melden Sie aktive Sitzungen ab. Gehen Sie verbundene Geräte und die letzten Aktivitäten durch. Haben Sie einen Einmalcode weitergegeben, wenden Sie sich über einen offiziellen Supportweg an den Dienst.

Wenn Sie Zahlungsdaten eingegeben haben

Rufen Sie Ihre Bank über die Nummer auf der Karte oder in ihrer offiziellen App an. Erklären Sie, welche Angaben eingegeben wurden, fragen Sie, ob die Karte gesperrt oder ersetzt werden sollte, und melden Sie jede Abbuchung sofort.

Wenn Sie Software installiert haben

Trennen Sie das Gerät vom Internet und ändern Sie wichtige Passwörter von einem anderen vertrauenswürdigen Gerät aus. Entfernen Sie die verdächtige Software oder das Fernzugriffsprogramm und lassen Sie das Gerät prüfen, bevor Sie es wieder für empfindliche Konten nutzen.

Gehen Sie die Sicherheit Ihrer E-Mail durch

Prüfen Sie auf Weiterleitungsregeln, Wiederherstellungsadressen oder verbundene Anwendungen, die Sie nicht eingerichtet haben. Sie können Ihre Adresse auch bei Have I Been Pwned suchen. Ein Treffer bedeutet offengelegte Daten, nicht zwingend ein aktuell übernommenes Konto.

Verkleinern, was Angreifer über Sie erfahren können

Phishing wirkt überzeugender, wenn die Absenderin Ihre Arbeitgeberin, kürzliche Einkäufe, Kontaktdaten oder genutzte Dienste kennt. Diese Angaben stammen oft aus öffentlichen Profilen, alten Konten, Datenlecks und Einträgen bei Datenhändlern, nicht aus einem direkten Zugriff auf Ihr Gerät. Gehen Sie durch, was erscheint, wenn Name, E-Mail-Adresse und Telefonnummer gesucht werden. Den digitalen Fußabdruck aufzuräumen hilft dabei, Angaben zu finden, die entfernt oder beschränkt werden sollten.

Schließen Sie Konten, die Sie nicht mehr nutzen, begrenzen Sie öffentliche Kontaktdaten und verbergen Sie, wo möglich, die Listen Ihrer sozialen Verbindungen. Seien Sie vorsichtig bei Erpressungs-E-Mails, die behaupten, Ihr Gerät sei gehackt oder Ihre Aktivität aufgezeichnet worden, besonders wenn ein altes Passwort als Beweis mitgeschickt wird. Das Passwort kann aus einem früheren Datenleck stammen und belegt keinen Zugriff auf das Gerät. Ändern Sie es überall, wo es noch in Gebrauch ist, und prüfen Sie die Sicherheit der betroffenen Konten.

Vom Wissen zum Handeln

Wie Sie sich vor Phishing schützen, hängt weniger davon ab, eine perfekte Fälschung zu erkennen, als davon, Anfragen unabhängig zu prüfen. Öffnen Sie Dienste über offizielle Apps oder gespeicherte Adressen, geben Sie nach einem unerwarteten Kontakt niemals Einmalcodes heraus und nutzen Sie einzigartige Passwörter mit einer stärkeren Anmeldung. Haben Sie schon auf eine verdächtige Nachricht reagiert, sichern Sie das betroffene Konto, gehen Sie die aktiven Sitzungen durch und wenden Sie sich über einen offiziellen Weg an Ihre Bank oder Ihren Anbieter.

Die öffentlichen Angaben rund um Namen, E-Mail-Adresse und Telefonnummer zu verkleinern macht künftige Versuche ebenfalls weniger überzeugend. Gehen Sie alte Profile, offengelegte Kontaktdaten und Einträge bei Datenhändlern durch, statt sich nur auf die Nachricht zu konzentrieren, die bei Ihnen angekommen ist. Professionelle Unterstützung bei der Entfernung persönlicher Daten kann Einträge angehen, die über mehrere Websites hinweg sichtbar bleiben.