Phishing erkennen: So entlarven Sie gefälschte E-Mails und SMS

Phishing erkennen Sie vor allem an drei Dingen: Druck durch kurze Fristen oder Drohungen, der Aufforderung, über einen Link Daten einzugeben, und einem Absender oder einer Webadresse, die bei genauem Hinsehen nicht zum angeblichen Unternehmen passt. Banken, Paketdienste und Behörden fragen PIN, TAN oder Passwörter nie per E-Mail, SMS oder Telefon ab. Wer sich daran hält und Websites selbst aufruft statt Links zu folgen, entgeht den allermeisten Fallen.

Was ist Phishing?

Phishing ist eine Betrugsmethode, bei der Täter mit gefälschten Nachrichten und nachgebauten Websites Zugangsdaten, Kartennummern oder andere persönliche Informationen abgreifen. Der Begriff ist eine Abwandlung des englischen „fishing“: Die Täter werfen einen Köder aus und warten, wer anbeißt. Mit den erbeuteten Daten räumen sie Konten leer, kaufen auf fremde Rechnung ein oder übernehmen E-Mail- und Social-Media-Konten.

Das Ausmaß ist beträchtlich. Die Verbraucherzentrale Nordrhein-Westfalen, bei der Verbraucher verdächtige Mails einreichen können, registrierte 2025 bundesweit 382.470 Phishing-Mails. Das waren rund zehn Prozent weniger als im Vorjahr, aber immer noch ein hohes Niveau. Dazu kommen SMS, Messenger-Nachrichten und Anrufe, die in dieser Zählung nicht enthalten sind.

Checkliste: Die typischen Merkmale einer Phishing-Mail

Eine Phishing-Mail erkennen Sie selten an einem einzelnen Merkmal, sondern an der Kombination mehrerer Warnzeichen. Die folgende Übersicht stützt sich auf die Merkmale, die die Verbraucherzentrale aus tausenden eingereichten Mails zusammengetragen hat.

Eine Einschränkung ist wichtig. Gute Rechtschreibung und die richtige Anrede sind kein Beweis für Echtheit. Die Verbraucherzentrale weist ausdrücklich darauf hin, dass Täter Ihren Namen bereits kennen können, etwa aus früheren Datenlecks. Viele aktuelle Mails sind sprachlich fehlerfrei. Das verlässlichste Merkmal bleibt deshalb die Aufforderung selbst: Kein seriöses Unternehmen verlangt, dass Sie sich über einen Link in einer Mail anmelden, um eine Sperre abzuwenden.

Absender und Link prüfen: So gehen Sie vor

Der angezeigte Absendername und der sichtbare Linktext lassen sich beliebig fälschen, die tatsächliche Adresse dahinter verrät dagegen oft den Betrug. Prüfen Sie deshalb immer, was sich hinter dem Namen verbirgt.

Absender: Klicken oder tippen Sie auf den Absendernamen, dann erscheint in den meisten Mailprogrammen die vollständige Adresse. Steht dort statt der bekannten Firmendomain eine Kette aus Zufallsbuchstaben oder eine völlig fremde Domain, ist die Sache klar. Umgekehrt beweist eine korrekt aussehende Adresse nichts, denn auch sie kann gefälscht sein.

Link: Am Computer fahren Sie mit der Maus über den Link, ohne zu klicken. Das tatsächliche Ziel erscheint dann meist unten im Fenster oder in einem kleinen Feld. Am Smartphone drücken Sie lange auf den Link, bis eine Vorschau mit der Adresse erscheint, und tippen dann nicht auf „Öffnen“.

Entscheidend ist der Abschnitt zwischen „https://“ und dem nächsten Schrägstrich. Maßgeblich sind dort die beiden letzten Teile vor diesem Schrägstrich, also Name und Endung wie „sparkasse.de“. Alles, was weiter links davor steht, kann der Betreiber frei wählen. Ein paar Beispiele:

• sparkasse.de/login führt tatsächlich zur Sparkasse.
• sparkasse.de-kundenservice.com gehört dagegen zur Domain „de-kundenservice.com“ und hat mit der Sparkasse nichts zu tun. Die Verbraucherzentrale nennt genau diesen Trick: Ein Bindestrich nach „.de“ kann eine völlig andere Domain bedeuten.
• paypa1.com oder amazon-sicherheit.net sind nachgeahmte Adressen, die auf den ersten Blick echt wirken.

Am sichersten ist es, den Link gar nicht zu benutzen. Öffnen Sie die App Ihrer Bank oder tippen Sie die bekannte Adresse selbst in den Browser. Gibt es wirklich ein Problem mit Ihrem Konto, sehen Sie dort einen Hinweis.

Smishing: Gefälschte SMS und die Paket-Masche

Smishing ist Phishing per SMS, und die bekannteste Variante ist die angebliche Paketbenachrichtigung. Sie erhalten eine Nachricht, ein Paket habe nicht zugestellt werden können, verbunden mit einem Link zur „Sendungsverfolgung“. Laut BSI wurde Android-Nutzern über solche Links wiederholt die Schadsoftware FluBot angeboten, getarnt als Tracking-App von Paketdiensten wie DHL oder FedEx. iPhone-Nutzer landeten meist auf Werbe- oder Phishing-Seiten.

Die Verbraucherzentrale Hamburg dokumentierte Fälle, in denen eine solche Schadsoftware vom infizierten Handy aus massenhaft SMS verschickte und den Betroffenen hohe Rechnungen bescherte. Andere Varianten fordern kleine Beträge für angebliche Zollgebühren oder Nachporto, um so an Kartendaten zu kommen.

So schützen Sie sich:

• Fragen Sie sich zuerst, ob Sie überhaupt ein Paket erwarten und bei welchem Dienst.
• Verfolgen Sie Sendungen nur über die offizielle App des Paketdienstes oder die Bestätigungsmail des Shops.
• Installieren Sie Apps ausschließlich aus dem Google Play Store oder dem App Store, niemals über einen Link aus einer SMS.
• Löschen Sie die SMS, ohne zu antworten. Auch ein „STOP“ bestätigt den Tätern nur, dass Ihre Nummer aktiv ist.

Unerwünschte SMS können Sie bei der Bundesnetzagentur melden, die dafür auf ihrer Verbraucherseite ein eigenes Beschwerdeformular anbietet.

Quishing: Wenn der QR-Code zur Falle wird

Beim Quishing verstecken Täter den betrügerischen Link in einem QR-Code, weil man dessen Ziel mit bloßem Auge nicht erkennen kann. Die Verbraucherzentrale beschreibt mehrere Varianten: gefälschte Briefe im Namen von Banken, die zu einem dringenden „Update“ des Online-Bankings auffordern, überklebte Codes an Parkautomaten und Ladesäulen für Elektroautos, falsche Strafzettel unter dem Scheibenwischer und Plakate in Bussen und Bahnen mit angeblichen Gratis-Angeboten.

Dass ein Brief auf Papier kommt, macht ihn nicht glaubwürdiger. Gehen Sie so vor:

• Nutzen Sie eine Kamera oder Scanner-App, die die Adresse anzeigt, bevor sie geöffnet wird, und prüfen Sie die Domain wie oben beschrieben.
• Achten Sie an Parkautomaten und Ladesäulen darauf, ob der Code aufgeklebt wirkt. Hat die Säule ein Display, verwenden Sie den dort angezeigten Code.
• Rufen Sie bei einem verdächtigen Bankbrief Ihre Bank unter der Nummer von deren offizieller Website an, nicht unter der Nummer im Brief. Oft lohnt auch ein Blick ins Postfach Ihres Online-Bankings.

Vishing: Betrug am Telefon

Vishing steht für Voice-Phishing, also Betrugsanrufe, bei denen sich Täter als Bankmitarbeiter, Polizisten oder Techniker ausgeben. Sie nutzen dabei häufig eine gefälschte Rufnummernanzeige, das sogenannte Call-ID-Spoofing. Die Bundesnetzagentur stellt klar, dass angezeigte Nummern manipuliert sein können und nicht uneingeschränkt vertrauenswürdig sind.

Zwei Regeln helfen zuverlässig:

• Die Polizei ruft nie mit der 110 an. Laut Bundesnetzagentur gibt es keine rechtmäßigen Anrufe mit dieser angezeigten Nummer. Polizeidienststellen rufen mit ihrer normalen Ortsnetznummer an. Seit dem 1. Dezember 2022 müssen Anrufe, die die 110 oder die 112 als Absender anzeigen, sogar abgebrochen werden. Trotzdem lohnt es sich, die Regel zu kennen.
• Niemand Seriöses verlangt am Telefon Ihre TAN oder Ihr Passwort. Die Verbraucherzentrale betont, dass weder Polizei noch Banken oder Behörden telefonisch dazu auffordern, Geld zu zahlen oder Wertsachen zu übergeben.

Legen Sie im Zweifel auf und rufen Sie selbst zurück, und zwar unter einer Nummer, die Sie unabhängig vom Anruf herausgesucht haben, etwa von der Karte oder der offiziellen Website. Nutzen Sie nicht die Rückruftaste. Lassen Sie außerdem nie einen Anrufer per Fernwartungssoftware auf Ihren Computer zugreifen.

Verdächtige Nachrichten melden: Der Phishing-Radar

Eine verdächtige Mail können Sie an die Verbraucherzentrale weiterleiten und damit andere warnen. Die Verbraucherzentrale Nordrhein-Westfalen wertet die eingesandten Nachrichten aus und veröffentlicht im Phishing-Radar laufend aktuelle Maschen. Ende Oktober 2026 standen dort beispielsweise gefälschte Mails im Namen von Commerzbank, PayPal, WEB.DE, Spotify und der Deutschen Rentenversicherung.

So funktioniert die Meldung:

• Leiten Sie die Mail direkt, also nicht als Anhang, an phishing@verbraucherzentrale.nrw weiter.
• Klappt das nicht, speichern Sie die Mail als .eml-Datei und laden sie auf der Website der Verbraucherzentrale hoch.
• Persönliche Daten werden dort anonymisiert. Eine persönliche Antwort erhalten Sie allerdings nicht.
• Zusätzlich können Sie das Unternehmen informieren, dessen Name missbraucht wurde.

Danach verschieben Sie die Mail in den Spam-Ordner oder löschen sie. Das gilt aber nur, wenn Sie nichts angeklickt haben. Haben Sie bereits reagiert, behalten Sie die Mail als Beweismittel für die Polizei.

Was tun, wenn Sie schon geklickt oder Daten eingegeben haben?

Handeln Sie sofort, denn jede Minute zählt, wenn Täter Zugangsdaten haben. Welche Schritte nötig sind, hängt davon ab, wie weit Sie gegangen sind.

Nur auf den Link geklickt, nichts eingegeben: Meist ist noch nichts passiert. Aktualisieren Sie Browser, Betriebssystem und Virenschutz und lassen Sie das Gerät vollständig scannen. Beobachten Sie in den nächsten Tagen, ob sich etwas Ungewöhnliches tut.

Zugangsdaten, PIN, TAN oder Kartennummer eingegeben:

1. Rufen Sie sofort Ihre Bank oder den betroffenen Dienst an, über die Nummer auf Ihrer Karte oder der offiziellen Website.
2. Lassen Sie Karten oder Online-Banking bei Bedarf über den Sperr-Notruf 116 116 sperren.
3. Ändern Sie das Passwort des betroffenen Kontos und aller Konten, bei denen Sie dasselbe Passwort verwenden. Wie ein gutes Passwort aussieht, erklärt unser Ratgeber Wie erstelle ich ein sicheres Passwort?
4. Wurde Ihr E-Mail-Passwort erbeutet, ändern Sie die Passwörter aller Konten, bei denen diese Adresse als Benutzername dient. Über das E-Mail-Konto lassen sich sonst andere Passwörter zurücksetzen.
5. Kontrollieren Sie Kontoauszüge und Kreditkartenabrechnungen in den folgenden Wochen genau.
6. Erstatten Sie Strafanzeige bei der Polizei, persönlich oder über die Onlinewache Ihres Bundeslandes.

Anhang geöffnet oder App installiert: Trennen Sie das Gerät vom Internet, am Smartphone über den Flugmodus. Die Verbraucherzentrale rät, einen infizierten Rechner bis zur Bereinigung nicht weiter zu nutzen und im Zweifel Fachleute hinzuzuziehen, weil Schadsoftware auch den Virenschutz manipulieren kann. Das BSI empfiehlt bei einem Smartphone mit Schadsoftware, zusätzlich den Mobilfunkanbieter zu informieren und das Gerät auf Werkseinstellungen zurückzusetzen. Wollen Sie Anzeige erstatten, warten Sie damit, bis die Polizei das Gerät nicht mehr braucht. Woran Sie eine Infektion erkennen, lesen Sie im Beitrag Computervirus erkennen.

Häufige Fragen

Ist es gefährlich, eine Phishing-Mail nur zu öffnen?

In der Regel nicht. Reine Textmails sind beim Lesen ungefährlich. Bei Mails im HTML-Format können nachgeladene Bilder dem Absender allerdings verraten, dass Ihre Adresse aktiv ist. Kritisch wird es erst, wenn Sie auf Links klicken, Anhänge öffnen oder Daten eingeben.

Soll ich auf eine Phishing-Mail antworten oder mich „abmelden“?

Nein. Jede Reaktion bestätigt den Tätern, dass Ihre Adresse oder Nummer genutzt wird. Sie erhalten dann eher mehr betrügerische Nachrichten. Ein angeblicher Abmeldelink kann zudem selbst auf eine Phishing-Seite führen.

Woher haben die Betrüger meine E-Mail-Adresse oder Handynummer?

Häufig aus Datenlecks bei Online-Diensten, aus öffentlich einsehbaren Profilen oder schlicht durch automatisch erzeugte Adresslisten. Ob Ihre Adresse in bekannten Leaks auftaucht, können Sie etwa beim Identity Leak Checker des Hasso-Plattner-Instituts prüfen. Wie Sie Ihre Spuren im Netz verringern, steht im Ratgeber zum digitalen Fußabdruck.

Schützt die Zwei-Faktor-Anmeldung vor Phishing?

Sie erschwert die Übernahme eines Kontos deutlich, weil ein Passwort allein nicht mehr reicht. Einen vollständigen Schutz bietet sie aber nicht. Täter versuchen gezielt, auch den zweiten Faktor zu erbeuten, etwa durch einen Anruf direkt nach der Phishing-Mail. Geben Sie Bestätigungscodes deshalb nie an andere weiter.

Bekomme ich mein Geld zurück, wenn ich auf Phishing hereingefallen bin?

Das hängt vom Einzelfall ab, vor allem davon, ob Ihnen grobe Fahrlässigkeit vorgeworfen werden kann, etwa wenn Sie eine TAN am Telefon weitergegeben haben. Melden Sie den Schaden sofort Ihrer Bank und lassen Sie sich bei Streit von der Verbraucherzentrale beraten. Je schneller Sie reagieren, desto eher lässt sich eine Überweisung noch aufhalten.

Quellen

• Verbraucherzentrale: Phishing-Mails erkennen
• Verbraucherzentrale: Phishing-Radar mit aktuellen Warnungen
• Verbraucherzentrale: Quishing mit falschen QR-Codes
• Bundesregierung: BSI-Warnung vor Paket-SMS
• Verbraucherzentrale Hamburg: Fake-SMS vom Paketdienst
• Bundesnetzagentur: Manipulation von Rufnummern
• Verbraucherzentrale NRW: Falsche Polizisten am Telefon
• Bundesregierung: Bundeslagebild Cybercrime 2025

Weiterlesen auf Safety-IT

• Was ist Ransomware und wie schützen Sie sich davor?
• Sicheres Online-Banking
• Fake-Shop erkennen
• Wie erstelle ich ein sicheres Passwort?