Phishing
Phishing ist eine Betrugsmasche, bei der sich Kriminelle als Bank, Onlineshop, Paketdienst oder Behörde ausgeben, meist per E-Mail, und auf eine gefälschte Webseite locken. Dort sollen Passwörter, PINs oder Kartendaten eingegeben werden. Dieser Glossar-Eintrag erklärt für Privatleute, Selbstständige und kleine Teams in Deutschland, Österreich und der Schweiz, wie ein Phishing-Angriff abläuft, woran du ihn erkennst und wo du ihn in deinem Land meldest.
Was ist Phishing?
Phishing ist ein Betrug, bei dem sich Kriminelle als vertrauenswürdige Stelle ausgeben, damit du ihnen Zugangsdaten, PINs oder Kartendaten selbst verrätst. Meist kommt der Köder per E-Mail und führt auf eine gefälschte Webseite, die dem Original zum Verwechseln ähnlich sieht.
Das Wort ist laut BSI ein Kunstwort aus „Passwort“ und „Fishing“. Gefischt wird also nach dem, was deine Konten aufschließt.
Ein Angler, viele Köder
Das Bild vom Angeln trägt weiter, als man denkt. Wer angelt, muss den einzelnen Fisch nicht kennen. Er wirft einen Köder aus, der für möglichst viele attraktiv aussieht, und wartet. Beim Massen-Phishing ist es genauso: Eine Mail im Namen einer großen Bank geht an sehr viele Adressen. Die Kriminellen spekulieren laut BSI darauf, dass unter den Angeschriebenen genug echte Kundschaft dieser Bank ist. Wer dort kein Konto hat, wundert sich kurz und löscht. Wer eines hat, beißt vielleicht an.
Der Köder ist der Anlass: eine angebliche Kontosperrung, eine ablaufende Karte, ein Sicherheitsvorfall, eine Erstattung. Der Haken ist die gefälschte Seite. Und die Schnur sieht der Fisch nicht: den Link hinter dem hübschen Button, die echte Absenderadresse hinter dem vertrauten Namen.
Es gibt auch Speerfischer. Beim Spear-Phishing (englisch spear, Speer) suchen sich die Täter ein bestimmtes Ziel aus, oft eine Firma oder Organisation, und schneiden die Nachricht mit viel Aufwand genau darauf zu. Ein Unterschied zum echten Angeln bleibt: Eine Schonzeit gibt es nicht, und das Wasser ist dein Posteingang.
So läuft ein Phishing-Angriff ab
- Die Tarnung. Logo, Farben, Schrift und Tonfall werden vom Original kopiert, oft sehr sorgfältig. Der angezeigte Absendername lässt sich frei wählen, und auch die Absenderadresse fälschen Kriminelle mitunter.
- Der Anlass mit Druck. Die Nachricht behauptet dringenden Handlungsbedarf und droht mit Folgen: Sperrung, Datenverlust, Gebühren. Typisch ist eine kurze Frist. Am 12. November 2026 meldete das Phishing-Radar der Verbraucherzentrale etwa eine Mail im Namen der Consorsbank, die mit Zugriffsverlust drohte, wenn die Sicherheitseinstellungen nicht bis zum selben Tag aktualisiert würden.
- Der Link. Ein Button führt auf die gefälschte Seite. Deren Adresse enthält oft den echten Namen, ergänzt um Zahlen, Bindestriche oder eine fremde Endung; manchmal versteckt ein Kurzlink das Ziel ganz. Nicht jede Fälschung kommt per Mail: Manche Kriminelle schieben ihre Seiten in Suchmaschinen nach oben, das BSI nennt das SEO-Poisoning.
- Die Eingabe. Auf der Seite sollst du dich anmelden und oft weitere Daten nachtragen: Adresse, IBAN, Kartennummer. Eine TAN-Abfrage, ohne dass du selbst einen Auftrag ausgelöst hast, nennt das BSI ein klares Zeichen für eine Fälschung.
- Der Missbrauch. Mit den Daten kaufen die Täter ein, überweisen Geld oder übernehmen das Konto. Manche lesen Passwort und Einmalcode in Echtzeit mit und melden sich sofort selbst an.
Manche Phishing-Mails setzen statt auf einen Link auf einen Anhang, der Schadsoftware auf dem Gerät installiert. Das Ziel bleibt dasselbe: an Daten oder Geld zu kommen, ohne dass du es rechtzeitig merkst.
Derselbe Trick, andere Gewässer
Der Ablauf bleibt gleich, nur der Köder wechselt den Kanal. Kommt er per SMS oder Messenger, spricht man von Smishing; steckt er in einem QR-Code auf einem Brief oder einem Parkautomaten, von Quishing. Am Telefon heißt die Masche Vishing (von voice). Die Einträge zu diesen Varianten zeigen, was dort anders ist. Hier geht es um die klassische Form: E-Mail und gefälschte Webseite.
Ein Beispiel aus Graz
Das folgende Beispiel ist erfunden, die Masche dahinter nicht. Sabine organisiert das Büro eines Grafikstudios mit drei Leuten in Graz. An einem Donnerstagnachmittag kommt eine E-Mail mit dem Logo von FinanzOnline: Dem Studio stehe eine Rückerstattung zu, die Anmeldung zur Auszahlung sei nur noch 48 Stunden möglich. Der Button führt auf eine Seite, die wie FinanzOnline aussieht und zuerst die Zugangsdaten, dann die Kreditkartendaten verlangt.
Sabine stutzt, weil das österreichische Finanzministerium Bescheide nach eigener Aussage per Post oder in die FinanzOnline-Databox zustellt und nie nach Passwörtern, Kreditkarten- oder Kontodaten fragt. Sie schließt die Seite, öffnet FinanzOnline über ihr gespeichertes Lesezeichen und findet in der Databox nichts. Die Mail meldet sie über das Formular der Watchlist Internet, dann löscht sie sie.
Hätte sie ihre Daten schon eingegeben, wären drei Dinge dringend gewesen: Zugangsdaten ändern, Online-Banking und Karte bei der Bank sperren lassen und bei einem Schaden Anzeige bei der Polizei erstatten. So empfiehlt es das österreichische Bundeskriminalamt. In Deutschland und der Schweiz funktioniert dieselbe Masche mit anderen Namen; welche gerade kursieren, zeigen die Stellen in der Tabelle weiter unten.
Woran du Phishing erkennst
Lange galten Tippfehler und seltsame Umlaute als sicheres Zeichen. Laut BSI sind sie das nur noch selten. Verlässlicher sind diese Hinweise, am besten in Kombination:
| Hinweis | Woran du ihn siehst | Was du tust |
|---|---|---|
| Druck | Frist, Drohung mit Sperrung, Gebühren oder Datenverlust | nicht über die Nachricht reagieren, sondern über App oder Lesezeichen nachsehen |
| Absender | der Name stimmt, die Adresse dahinter nicht | mit der Maus über den Absender fahren oder ihn antippen, ohne zu klicken |
| Link-Ziel | echter Name mit Zusatz, etwa „www.135x-Bank.de“ (Beispiel des BSI) | den Teil vor dem ersten Schrägstrich nach „https://“ lesen: Endet er nicht genau mit dem echten Namen und seiner Endung, ist es eine fremde Seite |
| Abfrage | PIN, TAN ohne eigenen Auftrag, Kartendaten, schon bekannte Daten wie die IBAN | abbrechen und die Bank über die Nummer anrufen, die du selbst heraussuchst |
| Anrede | „Sehr geehrter Kunde“ ohne Namen | ein Hinweis, kein Beweis: Manche Fälschungen nennen deinen Namen |
| Schloss-Symbol | „https://“ in der Adresszeile | zeigt nur eine verschlüsselte Verbindung, nicht, wer die Seite betreibt |
Die Regel zum Link-Ziel erklärt die Verbraucherzentrale an einem echten Fall: Eine Adresse, die mit „commerzbank.de“ beginnt und dann mit einem Bindestrich weitergeht, gehört nicht der Commerzbank. Nur ein Schrägstrich oder gar nichts hinter dem „.de“ hätte gepasst.
Drei Irrtümer, die teuer werden können
„Phishing erkennt man an schlechtem Deutsch.“ Das stimmt nicht mehr. Nach Angaben des BSI formulieren Kriminelle ihre Nachrichten oft mit KI und personalisieren sie mit Angaben aus sozialen Netzwerken oder Datenlecks. Eine fehlerfreie Mail mit deinem Namen kann trotzdem gefälscht sein.
„Mit Zwei-Faktor-Schutz kann mir nichts passieren.“ Der zweite Faktor hilft viel, wenn ein Passwort in fremde Hände gerät. Gegen eine gefälschte Seite, die Passwort und Code gleichzeitig abfragt und sofort weiterreicht, hilft er nicht. Das Schweizer Bundesamt für Cybersicherheit (BACS) beschrieb im Oktober 2024, dass Kriminelle beim Kreditkarten-Phishing ihre Opfer deshalb durch den ganzen Bezahlvorgang lotsen, bis diese die Zahlung am Ende selbst freigeben. Besser schützen Passkeys: Sie sind laut BSI immun gegen die breite Masse bekannter Phishing-Angriffe, weil die Anmeldung auf einer gefälschten Seite schlicht scheitert.
„Mein E-Mail-Konto ist nicht so wichtig.“ Es ist oft das wichtigste. Über das Postfach lassen sich die Passwörter vieler anderer Konten zurücksetzen. Wer es übernimmt, kommt so auch an Shop-, Cloud- oder Social-Media-Konten.
Und eine Grenze, die man ehrlich sagen muss: Kein Spamfilter fängt alles ab, und kein Mensch erkennt jede Fälschung. Wer hereinfällt, ist nicht dumm. Die Polizeiliche Kriminalprävention betont, dass die Schuld immer bei den Tätern liegt. Scham kann Betroffene davon abhalten, darüber zu sprechen. Dabei hilft jede Meldung, andere zu warnen.
Wo du Phishing meldest
Die Stellen sind in jedem Land andere (Stand: November 2026):
| Situation | Deutschland | Österreich | Schweiz |
|---|---|---|---|
| Verdächtige E-Mail melden | an phishing@verbraucherzentrale.nrw weiterleiten (Phishing-Radar) | Meldeformular der Watchlist Internet | an reports@antiphishing.ch weiterleiten oder den Link auf antiphishing.ch eintragen |
| Beratung oder zusätzliche Meldung | Service-Center des BSI, 0800 274 1000 | Cybercrime-Meldestelle des Bundeskriminalamts: against-cybercrime@bmi.gv.at | Online-Formular des BACS |
| Bankdaten eingegeben | Zugang sperren über den Sperr-Notruf 116 116, aus dem Ausland +49 116 116 | Online-Banking und Karten bei der Bank sperren lassen | Kartendienstleister kontaktieren und die Karte sperren lassen |
| Schaden entstanden | Anzeige bei der Onlinewache deines Bundeslandes oder bei der Polizei vor Ort | Anzeige bei der Polizei; die Meldung beim Bundeskriminalamt ersetzt sie nicht | Strafanzeige bei der örtlichen Polizei; den nächsten Posten findest du über Suisse ePolice |
| Firma betroffen | Zentrale Ansprechstelle Cybercrime der Polizei deines Bundeslandes | Cyber-Security-Hotline der Wirtschaftskammer, 0800 888 133 | Online-Formular des BACS |
Was du jetzt tun kannst
- Schütze zuerst dein E-Mail-Konto: Richte einen Passkey ein, wenn dein Anbieter ihn anbietet, sonst die Zwei-Faktor-Authentisierung. Beides findest du in den Sicherheitseinstellungen deines Kontos.
- Lege für Bank, Mailanbieter und deine wichtigsten Shops Lesezeichen an oder nutze ihre offizielle App, wie es die Polizei rät. Öffne diese Dienste nur noch darüber, nie über einen Link in einer Nachricht.
- Nutze einen Passwort-Manager. Laut BSI warnt er, wenn die Adresse der aufgerufenen Seite nicht zur gespeicherten passt. Schlägt er auf einer angeblichen Bankseite keine Zugangsdaten vor, solltest du stutzig werden.
- Bestätige nie einen zweiten Faktor, eine TAN oder eine Freigabe in der Banking-App, die du nicht selbst ausgelöst hast, auch nicht, wenn jemand am Telefon darum bittet.
- Hast du schon Daten eingegeben, folge der Checkliste von BSI und Polizei: Passwort ändern, in den Einstellungen des Kontos alle aktiven Sitzungen beenden, Bank informieren, dann melden.
Verwandte Begriffe
Phishing ist eine Form von Social Engineering, das Vertrauen ausnutzt. Wie dieselbe Masche aufs Handy wandert, erklärt der Eintrag Smishing per SMS und Messenger; warum ein harmlos wirkendes Quadrat gefährlich sein kann, der Eintrag Quishing mit gefälschten QR-Codes.