Phishing-Mail? Was hilft

Woran erkennst du eine Phishing-Mail?

• Dringlichkeit und Drohung: „Konto gesperrt", „sofort handeln", eine knappe Frist. Der Druck soll dein Nachdenken ausschalten.
• Unerwartet: eine Rechnung, Paketbenachrichtigung oder Passwort-Warnung, mit der du gar nicht gerechnet hast.
• Zu schön, um wahr zu sein: eine unerwartete Gewinnbenachrichtigung, ein Gutschein oder ein angebliches Erbe. Wo du nicht teilgenommen hast, hast du auch nichts gewonnen.
• Absender und Domain: die Adresse sieht fast richtig aus, aber nicht ganz (Zusatzwörter, vertauschte Zeichen, fremde Endung).
• Link-Text passt nicht zum Ziel: der sichtbare Text sagt etwas anderes als das echte Linkziel. Fahr mit der Maus darüber, ohne zu klicken.
• Aufforderung zu Zugangsdaten oder Zahlung: seriöse Anbieter fragen Passwörter nie per E-Mail ab.

Was tun, wenn eine kam?

• Nicht klicken. Und falls du schon geklickt hast: dort auf keinen Fall Daten eingeben.
• Logge dich nie aus der Mail heraus ein. Ruf die Seite immer selbst auf: tippe die Adresse selbst in die Adresszeile oder nimm ein Lesezeichen, niemals den Link aus der Mail. Links lassen sich manipulieren und können täuschend echt aussehen, dich aber trotzdem auf eine gefälschte Seite leiten. Dich über einen bekannten Weg einzuloggen und dort in Ruhe zu prüfen, ob wirklich ein wichtiges Problem besteht, ist völlig unbedenklich.
• Im Zweifel direkt nachfragen, über einen dir bekannten Kanal, nicht über die Kontaktdaten aus der Mail.
• Falls du doch Zugangsdaten eingegeben hast: Passwort sofort ändern, einen zweiten Faktor oder einen Passkey einrichten, und das Konto auf fremde Aktivität prüfen.
• Die Mail danach löschen oder bei deinem Anbieter melden.

Der stärkste Schutz wirkt beim Login

Die Tipps oben helfen, aber sie hängen davon ab, dass du im richtigen Moment aufmerksam bist. Zuverlässiger ist ein Login, der strukturell gar nicht phishbar ist: Mit einem Sicherheitsschlüssel oder Passkey (WebAuthn) ist deine Anmeldung an die echte Adresse gebunden. Auf einer gefälschten Seite funktioniert sie dann gar nicht erst, egal wie überzeugend die Mail war.

Wie das genau funktioniert und worauf es beim Passwort-Tresor ankommt, steht hier: Phishing-sichere Anmeldung mit dem YubiKey.

Ein kurzer Vergleich, wie sich normaler Login, Passwort-Tresor und Sicherheitsschlüssel (WebAuthn) gegen Phishing schlagen, steht dort im Abschnitt Im Vergleich.