Phishing ist eine Form des Online-Betrugs: Angreifer verschicken gefälschte E-Mails oder Nachrichten, die auf täuschend echt nachgebaute Websites führen, und stehlen dort Passwörter, Zugangsdaten oder Kreditkartendaten. Der Begriff ist ein Kunstwort aus „Password“ und „Fishing“ – die Täter „angeln“ nach Zugangsdaten. Nach Angaben des BSI (Bundesamt für Sicherheit in der Informationstechnik) enthält rund ein Drittel aller unerwünschten E-Mails Phishing-Versuche.
Phishing basiert auf Social Engineering: Die Angreifer nutzen keine technische Sicherheitslücke aus, sondern täuschen Menschen. Eine typische Phishing-Mail imitiert eine Bank, einen Paketdienst, einen Zahlungsdienstleister oder einen E-Mail-Anbieter – mit Original-Logo, passender Anrede und gefälschter Absenderadresse (Spoofing).
Der Ablauf folgt fast immer demselben Muster. Die Nachricht erzeugt Zeitdruck: Das Konto werde gesperrt, eine Zahlung sei fehlgeschlagen, ein verdächtiger Zugriff wurde angeblich festgestellt. Der Link in der Nachricht führt auf eine nachgebaute Website, deren Login-Maske dem Original zum Verwechseln ähnlich sieht. Wer dort seine Daten eingibt, übermittelt sie direkt an die Täter.
Neben dem Diebstahl von Zugangsdaten dienen Phishing-Mails auch als Transportmittel für Malware: Ein präparierter Anhang genügt, um Trojaner oder Ransomware auf dem Rechner zu installieren.
Phishing beschränkt sich längst nicht auf E-Mails – Angreifer nutzen auch SMS, Telefonanrufe und QR-Codes. Die wichtigsten Varianten im Überblick:
| Variante | Kanal | Vorgehen |
|---|---|---|
| E-Mail-Phishing | Massenhaft versendete Mails im Namen bekannter Unternehmen | |
| Spear-Phishing | Gezielter Angriff auf ausgewählte Personen oder Firmen mit persönlich zugeschnittenen Nachrichten | |
| Whaling | Spear-Phishing gegen Führungskräfte, häufig um Überweisungen auszulösen (CEO-Fraud) | |
| Clone-Phishing | Kopie einer echten, bereits erhaltenen Mail – mit ausgetauschtem Link oder Anhang | |
| Smishing | SMS, Messenger | Gefälschte Paket- oder Bank-Benachrichtigungen mit Link |
| Vishing | Telefon | Anrufer geben sich als Bank, Polizei oder IT-Support aus |
| Quishing | QR-Code | QR-Codes in Mails oder Briefen führen auf gefälschte Websites |
Besonders gefährlich ist Spear-Phishing: Laut BSI stehen solche gezielten Angriffe oft am Anfang mehrstufiger Angriffsketten – von Finanzbetrug bis Spionage. Dokumentiert sind unter anderem Phishing-Angriffe auf europäische und US-amerikanische Energieversorger.
Die verlässlichsten Warnsignale sind der Absender, das Link-Ziel und künstlicher Zeitdruck. Seriöse Anbieter fordern Sie nie per E-Mail auf, über einen Link Passwörter, PINs oder Kreditkartendaten einzugeben.
Im Zweifel fragen Sie direkt beim genannten Anbieter nach, ob die Nachricht echt ist – aber nie über die Kontaktdaten oder Links aus der verdächtigen Mail. Nutzen Sie stattdessen die offiziellen Kanäle: die selbst eingetippte Website-Adresse oder die Ihnen bekannte Service-Hotline.
Ausführliche und laufend aktualisierte Hinweise veröffentlicht das BSI unter Passwortdiebstahl durch Phishing (BSI).
Phishing-Websites laufen unter Domains, die der echten Adresse möglichst ähnlich sehen. Drei Techniken sind besonders verbreitet:
Vertipper-Domains (Typosquatting): Die gefälschte Domain unterscheidet sich nur um einen Buchstaben vom Original – etwa „amaz0n.de“ mit einer Null statt des „o“.
Homograph-Angriffe mit Punycode: Bei internationalisierten Domainnamen (IDN) ersetzen Angreifer einzelne Buchstaben durch optisch identische Zeichen aus anderen Alphabeten, etwa das kyrillische „а“. Moderne Browser zeigen solche Domains als Punycode an („xn--…“) – eine Adresse in dieser Schreibweise ist ein Alarmsignal.
Subdomain-Tricks: Die Adresse „bank.de.kunden-login.net“ gehört nicht zu „bank.de“, sondern zur Domain „kunden-login.net“. Entscheidend ist immer der hintere Teil der Adresse direkt vor dem ersten Schrägstrich.
Wichtig: Das Schloss-Symbol im Browser bedeutet nur, dass die Verbindung per HTTPS verschlüsselt ist – nicht, dass die Seite vertrauenswürdig ist. Auch Phishing-Seiten nutzen SSL-Zertifikate. Unternehmen registrieren häufige Tippfehler-Varianten ihrer eigenen Domain deshalb oft selbst (defensive Domain-Registrierung), bevor Betrüger es tun.
Die wirksamste Einzelmaßnahme: Loggen Sie sich nie über einen Link aus einer E-Mail ein. Tippen Sie die Adresse selbst in den Browser oder nutzen Sie ein Lesezeichen – dann landen Sie garantiert auf der echten Seite.
Aktivieren Sie außerdem die Zwei-Faktor-Authentifizierung (2FA), wo immer sie angeboten wird. Ein gestohlenes Passwort allein reicht dann nicht mehr für den Zugriff. Noch besser schützen Passkeys: Sie sind kryptografisch an die echte Domain gebunden – auf einer nachgebauten Website funktioniert die Anmeldung schlicht nicht.
Auch ein Passwort-Manager hilft doppelt: Er ermöglicht ein eigenes, starkes Passwort pro Dienst und füllt Zugangsdaten nur auf der echten Domain automatisch aus. Bleibt das Feld auf einer Login-Seite leer, ist das ein Warnsignal. Ein guter Spamfilter fängt zudem einen Großteil der Phishing-Mails ab, bevor sie das Postfach erreichen.
Unternehmen und Domain-Inhaber schützen zusätzlich ihre eigene Domain: Mit SPF-Record, DKIM und DMARC lässt sich technisch erschweren, dass Betrüger die Domain als gefälschten Absender missbrauchen. Regelmäßige Schulungen senken das Risiko, dass Mitarbeiter auf Spear-Phishing hereinfallen.
Jetzt zählt Geschwindigkeit. Gehen Sie in dieser Reihenfolge vor:
Phishing ist die häufigste Einstiegsmethode für Internetkriminalität – und folgt fast immer demselben Muster: gefälschter Absender, Zeitdruck, Link auf eine nachgebaute Website. Wer Absenderadresse und Domain prüft, sich nie über Links aus E-Mails anmeldet und Konten mit Zwei-Faktor-Authentifizierung oder Passkeys absichert, macht Angreifern das Leben schwer.
Unternehmen sichern mit SPF, DKIM und DMARC zusätzlich die eigene Domain dagegen ab, selbst zum Absender gefälschter Mails zu werden – und nehmen Betrügern mit defensiv registrierten Vertipper-Domains die naheliegendsten Fälschungen weg.
Die bereitgestellten Informationen dienen ausschließlich der allgemeinen Orientierung. Für Richtigkeit, Vollständigkeit und Aktualität wird keine Gewähr übernommen. Die Inhalte sind nicht rechtsverbindlich und nicht Bestandteil einer Leistungsbeschreibung.