Phishing

Phishing bedeutet, dass Betrüger versuchen, dir mit gefälschten Nachrichten vertrauliche Daten zu „angeln" – zum Beispiel Passwörter, Bankdaten oder Kreditkartennummern. Das Wort ist eine Anspielung auf das englische „fishing" (angeln).

Die Nachricht sieht oft so aus, als käme sie von deiner Bank, einem Paketdienst, einem bekannten Online-Shop oder einer Behörde. Über einen Link sollst du auf eine gefälschte Webseite gelangen, die dem Original täuschend ähnlich sieht. Gibst du dort deine Daten ein, landen sie direkt bei den Betrügern – oft auch für Identitätsdiebstahl.

So sieht Phishing in der Praxis aus

Diese Maschen tauchen in Deutschland immer wieder auf:

• Gefälschte Bank-Mail: „Ihre Sparkasse hat Ihr Konto vorübergehend gesperrt. Bestätigen Sie Ihre Daten unter diesem Link." Die Seite sieht wie Online-Banking aus, gehört aber den Betrügern.
• PayPal oder Amazon: „Ungewöhnliche Aktivität festgestellt – Konto sofort verifizieren." Der Link führt nicht zum echten Anbieter.
• Paketdienst per E-Mail: „Ihre Sendung konnte nicht zugestellt werden." Bekannt von DHL, Hermes und DPD – oft mit Link zu einer Fake-Seite, die Kartendaten abfragt.
• Steuer oder Behörde: „Sie haben eine Rückzahlung. Geben Sie Ihre Bankverbindung ein." Echte Behörden fordern solche Daten nicht per E-Mail-Link an. Mehr dazu im Abschnitt unten.

Behörden und Ministerien – Fake-Mails

Kriminelle missbrauchen Logos von Ministerien, Elster, Rundfunkbeitrag oder Kommunen. Ziel ist Geld, Bankdaten oder Ausweiskopien:

• Fake-Förderung oder Klimasonderzahlung: Angebliche Sonderzahlung oder Förderprogramm vom Finanzministerium – oft mit Frist und „Daten verifizieren". Solche Beschlüsse gibt es nicht in dieser Form.
• Elster / Steuer: Mails zu Steuererstattung, „Restbetrag" oder IBAN-Bestätigung für SEPA – Links führen auf Domains wie elster-… statt auf elster.de. Auch Fake-Apps wie „ElsterSecure+" statt der echten ElsterSecure sind Betrug.
• Rundfunkbeitrag: „Zahlungsplan anpassen" mit fremder IBAN oder „Rückerstattung prüfen". Der echte Beitragsservice verlangt keine Sofortüberweisung auf ein Konto aus der Mail und bietet keinen Rabatt für Jahreszahlung per Phishing-Link. Offizielle Infos: rundfunkbeitrag.de.
• Bußgeld / Inkasso im Namen einer Stadt: Angeblich abgetretene Bußgelder mit Link – oft falsche Absenderadresse. Auffällig: Postleitzahl hinter dem Ortsnamen, wie im Ausland üblich.
• Kraftfahrt-Bundesamt: Mail wegen Geschwindigkeitsüberschreitung mit Download-Link. Das KBA verschickt keine solchen Bußgeld-Mails.
• Ausweis oder Video hochladen: Innen- oder Gesundheitsministerium fordert angeblich Personalausweis-Fotos und ein Selfie-Video – klassischer Weg in den Identitätsdiebstahl.
• „Haftbefehl" oder Ermittlung per Mail: Polizei und Gerichte schicken keine Haftbefehle per E-Mail. Absender bei Gmail oder gemischte Behörden-Logos sind klare Warnsignale.

Auch Fake-Bezahlseiten im Namen von Ministerien oder angeblichen Förderprogrammen gehören dazu. Absender und Domain genau prüfen – oft E-Mail-Spoofing oder Typosquatting.

Typische Warnzeichen

• Dringender Handlungsdruck: „Ihr Konto wird gesperrt, bestätigen Sie sofort Ihre Daten."
• Unpersönliche Anrede wie „Sehr geehrter Kunde" oder „Sehr geehrte/r Bürger/in".
• Absender-Adresse, die nicht ganz zur echten Firma oder Behörde passt – z. B. freie Mail-Dienste hinter einem „Amts"-Namen.
• Links, die auf eine fremde oder seltsame Webadresse führen; angezeigter Text und echte Ziel-URL weichen ab.
• Aufforderung, Passwörter, TANs, IBAN oder Ausweiskopien über einen Link oder unverschlüsselt per Mail zu senden.
• Anhänge wie Rechnung.zip oder „Bescheid.pdf" aus dem Nichts – oft Malware statt einer echten Rechnung.
• Schlechte Übersetzung, falsche Rechtsbegriffe oder gemischte Behörden in einer Mail.

Phishing, Spam und Hoax – der Unterschied

• Spam ist unerwünschte Werbung – nervig, aber nicht immer Betrug.
• Phishing will gezielt deine Zugangsdaten oder Geld.
• Ein Hoax ist eine Falschmeldung zum Weiterleiten; manchmal steckt darin auch ein Phishing-Link.

Kommt Phishing per SMS, heißt es Smishing; per Anruf Vishing; per QR-Code Quishing.

Wo dir Phishing begegnet

Phishing kommt per E-Mail, SMS, über einen QR-Code oder Messenger. Häufig taucht es auch beim Handel über Fake-Kleinanzeigen auf oder steckt in einem Hoax, der einen Link mitschickt. In Gaming-Communities – Discord, Steam, Twitch – läuft es oft über Fake-Giveaways und Login-Fälschungen; siehe Gaming-Chat-Betrug.

So schützt du dich

• Klicke nicht auf Links in verdächtigen Nachrichten und antworte nicht – sonst wissen Betrüger, dass die Adresse aktiv ist.
• Gib Zugangsdaten nur direkt auf der echten Webseite oder in der offiziellen App ein – Adresse selbst eintippen oder Lesezeichen nutzen.
• Bei Behörden-Mails: auf der offiziellen Domain nachschauen oder bei der echten Stelle nachfragen – nicht über Kontaktdaten aus der verdächtigen Mail.
• Nutze, wo möglich, eine Zwei-Faktor-Authentisierung.
• Im Zweifel die verdächtige Adresse oder E-Mail vom FAKE-Checker prüfen lassen.
• Aktuelle Warnungen zu bekannten Phishing-Maschen findest du im Phishing-Radar der Verbraucherzentrale.

Was tun, wenn du Daten eingegeben hast?

• Sofort Passwort ändern – am besten von einem anderen Gerät.
• Bank oder Kartenanbieter informieren und Karte sperren lassen, falls Kartendaten betroffen sind – bundesweit z. B. über den Sperr-Notruf 116116.
• Anzeige bei der Polizei erstatten und alle Belege sichern – in vielen Bundesländern online über Online-Strafanzeige.
• Prüfe dein Konto in den nächsten Tagen auf unbekannte Abbuchungen.
• Bei Ausweisdaten zusätzlich die Hinweise zu Identitätsdiebstahl beachten.