Phishing-Angriffe sind die haufigste Form von Internetbetrug in Deutschland – und sie werden immer raffinierter. 2026 nutzen Kriminelle KI-generierte Nachrichten, die kaum noch von echten Unternehmenskommunikationen zu unterscheiden sind. Wer die Tricks kennt, erkennt Phishing auch dann, wenn Rechtschreibung und Absenderadresse stimmen. Dieser Ratgeber zeigt die aktuellen Methoden, konkreten Warnsignale und gibt klare Handlungsempfehlungen fur Betroffene.
Was ist Phishing?
Phishing (abgeleitet vom englischen „fishing“ – Angeln) bezeichnet den Versuch, durch gefälschte Nachrichten oder Webseiten sensible Daten zu stehlen: Passwörter, Kreditkartennummern, TAN-Codes oder persönliche Informationen. Angreifer geben sich als vertrauenswurdige Absender aus. Das Ziel: Zugangsdaten oder Geld.
Typische vorgespiegelte Absender in Phishing-Nachrichten 2026:
- Banken und Sparkassen (Volksbank, Sparkasse, Deutsche Bank, Postbank, PayPal)
- Paketdienste (DHL, DPD, Hermes, UPS) mit gefälschten Sendungsverfolgungen
- Streaming-Dienste (Netflix, Amazon Prime, Disney+) mit angeblichen Zahlungsproblemen
- Behörden (Finanzamt, BaFin, Zoll, Bundeszentralamt fur Steuern)
- Telekommunikationsanbieter (Telekom, Vodafone, O2) mit angeblichen Rechnungsproblemen
- Energie- und Versorgungsunternehmen (Stadtwerke, E.ON) – seit der Energiekrise haufiger
Aktuelle Phishing-Methoden 2026
Die Methoden entwickeln sich schnell. Wer nur die alten Erkennungsmerkmale kennt, wird von neuen Varianten uberrascht:
KI-generierte Phishing-Mails
Seit 2024 verwenden Angreifer KI-Sprachmodelle, um fehlerfreie, personlich klingende E-Mails zu erstellen. Das klassische Erkennungsmerkmal „schlechtes Deutsch“ gilt nicht mehr zuverlassig. Neueres Merkmal: die Mail kennt exakten Kontext (Name, Bank, letzte Bestellung) – weil Datenlecks diese Infos liefern.
QR-Code-Phishing (Quishing)
Gefälschte QR-Codes in gedruckten Briefen, auf Parkautomaten oder in E-Mails. Das Smartphone-Scan leitet auf eine gefälschte Webseite weiter – Antivirenprogramme auf dem Computer prufen diese Links nicht. Laut Bundesamt fur Sicherheit in der Informationstechnik (BSI) nimmt Quishing seit 2023 stark zu.
Smishing (SMS-Phishing)
Gefälschte Paketdienst-SMS mit Links zu gefälschten Webseiten. Klassischer Text: „Ihr Paket konnte nicht zugestellt werden. Bitte bestatigen Sie Ihre Adresse: [Link]“. Der Link fuhrt auf eine Seite, die Kreditkartendaten abfragt. Auch verbreitet: SMS von angeblichen Banken mit Sicherheitswarnungen.
Voice-Phishing (Vishing)
Anrufe von angeblichen Bankmitarbeitern, Microsoft-Technikern oder Polizeibeamten. Moderne Variante 2026: KI-geklonte Stimmen von echten Personen (Chef, Familienmitglied), die dringend Geld oder Zugangsdaten anfordern. Wichtig: Banken und Behorden fragen niemals am Telefon nach PIN oder Passwort.
Adversary-in-the-Middle (AitM)-Angriffe
Fortgeschrittene Methode: Der Angreifer schaltet sich zwischen Browser und echte Webseite. Die Phishing-Seite leitet alle Eingaben in Echtzeit an die echte Seite weiter und fangt TAN-Codes und Session-Tokens ab. Erkennbar: URL stimmt nicht, auch wenn Design perfekt kopiert ist.
Warnsignale: So erkennen Sie eine Phishing-Nachricht
Diese Merkmale deuten auf Phishing hin – bei mehreren gleichzeitigen Signalen sollte man sofort misstrauisch werden:
- Dringlichkeit und Drohung: „Ihr Konto wird in 24 Stunden gesperrt!“ Seriose Unternehmen erzeugen keinen kunstlichen Zeitdruck.
- Absenderadresse prufen: Die Nachricht kommt von „support@sparkasse-sicher.net“ statt einer echten Sparkassen-Domain. Oft weicht die Domain minimal ab: „paypa1.com“ statt „paypal.com“.
- Personliche Anrede fehlt: „Sehr geehrter Kunde“ statt Ihres Namens – Ihre Bank kennt Ihren Namen.
- Links prufen ohne zu klicken: Auf dem Desktop: Maus uber den Link, URL in der Statusleiste prufen. Auf dem Smartphone: Link lang drucken und URL anzeigen lassen.
- Anhange von unbekannten Absendern: ZIP-Dateien, Office-Dokumente mit Makros, PDF-Links zu externen Seiten – niemals offnen ohne Bestatigung.
- HTTPS reicht nicht als Sicherheitsbeweis: Phishing-Seiten verwenden heute fast immer HTTPS und gultiges SSL-Zertifikat. Das grune Schloss bedeutet nur verschlusselte Ubertragung, nicht echte Identitat.
- Unerwarteter Kontext: Eine Lieferbestatigung fur eine Bestellung, die nicht aufgegeben wurde – klarer Phishing-Hinweis.
Phishing-Webseiten erkennen
Nicht nur E-Mails, auch Webseiten werden gefälscht. So prufem Sie, ob eine Seite echt ist:
- URL genau lesen: Nicht das Design, sondern die Adresszeile. „rnailbox.vodafone.de“ ist nicht „mailbox.vodafone.de“ (rn statt m).
- Zertifikat prufen: Auf das Schloss-Symbol klicken → „Verbindung ist sicher“ → „Zertifikat“. Der Inhaber muss zum erwarteten Unternehmen passen.
- Direkt eintippen statt Link folgen: Im Zweifel URL des Unternehmens direkt in den Browser eintippen, nicht den Link in der E-Mail nutzen.
- Haveibeenpwned.com prufen: Zeigt, ob die eigene E-Mail-Adresse in bekannten Datenlecks aufgetaucht ist – dann ist personalisiertes Phishing wahrscheinlicher.
Was tun, wenn Sie auf Phishing hereingefallen sind?
Schnelles Handeln ist entscheidend – jede Stunde zahlt:
- Passwort sofort andern – beim betroffenen Dienst und bei allen anderen Konten, die dasselbe Passwort verwenden.
- Bank sofort kontaktieren – wenn Bankdaten oder Kreditkartennummern betroffen sind: Sperren lassen. Kostenloser Notruf: 116 116 (Sperr-Notruf, gilt fur die meisten deutschen Banken).
- Zwei-Faktor-Authentifizierung prufen – alle aktuell aktiven Sessions in den Kontoeinstellungen anzeigen und fremde Sessions beenden.
- Anzeige erstatten – bei der Polizei oder online uber die Online-Wache des jeweiligen Bundeslandes. Auch wenn wenig Hoffnung auf Aufklarung besteht: Die Anzeige ist fur Versicherungsanspruche wichtig.
- Betroffene Unternehmen informieren – damit das Unternehmen die Phishing-Seite melden und andere Nutzer warnen kann.
- Schufa-Auskunft beantragen – wenn personliche Daten gestohlen wurden: Einmal jahrlich kostenlos uber die offizielle Schufa-Seite. Ungewohnliche Eintrager konnen auf Identitatsdiebstahl hindeuten.
Schutzmaßnahmen: So machen Sie es Angreifern schwer
- Zwei-Faktor-Authentifizierung (2FA) aktivieren: Selbst bei gestohlenen Zugangsdaten brauchen Angreifer noch den zweiten Faktor. Empfehlung: Authenticator-App (Google Authenticator, Authy) statt SMS, da SIM-Swapping moglich ist.
- Verschiedene, starke Passwörter: Ein Passwort-Manager (z. B. Bitwarden, 1Password) erstellt und speichert einzigartige Passworter fur jedes Konto.
- Links nie direkt aus E-Mails offnen: Direkt auf die Website gehen und dort einloggen – unabhangig von der E-Mail-Nachricht.
- E-Mail-Filterung nutzen: Die meisten E-Mail-Provider markieren Phishing-Mails. Spam-Filter und Phishing-Erkennung in den Provider-Einstellungen aktivieren.
- Browser-Erweiterungen: Viele Antivirenprogramme bieten Browser-Erweiterungen, die Phishing-URLs erkennen und blockieren.
- Software aktuell halten: Betriebssystem, Browser und Apps immer aktualisieren – viele Phishing-Angriffe nutzen bekannte Sicherheitslucken.
Phishing melden: Diese Stellen nehmen Meldungen entgegen
Phishing-Versuche zu melden hilft anderen Nutzern und beschleunigt die Abschaltung von Phishing-Seiten:
- Bundesnetzagentur: Fur SMS-Phishing (Smishing) – Online-Formular auf bundesnetzagentur.de
- Verbraucherzentrale: Phishing-Mails an phishing@verbraucherzentrale.nrw weiterleiten
- BSI: Meldestelle fur Sicherheitsvorfalle unter bsi.bund.de
- Google Safe Browsing: Phishing-URLs uber safebrowsing.google.com/safebrowsing/report_phish melden – Google sperrt diese dann fur Chrome und andere Browser
- Phishing-Initiative des eco-Verbands: phishing-initiative.de – nimmt Meldungen an und veranlasst Abschaltungen
Haufig gestellte Fragen zu Phishing
Bin ich bereits Opfer eines Phishing-Angriffs?
Hinweise: Ungewohnliche Kontoaktivitat, unbekannte Abbuchungen, Meldungen uber fehlgeschlagene Login-Versuche oder E-Mails uber Passwortsanderungen, die Sie nicht initiiert haben. Uber haveibeenpwned.com lasst sich prufen, ob die eigene E-Mail-Adresse in bekannten Datenlecks aufgetaucht ist.
Kann ich mir durch blosses Offnen einer Phishing-Mail einen Virus holen?
Das reine Offnen einer E-Mail im modernen E-Mail-Programm ist in der Regel sicher. Gefahrlich wird es beim Klicken auf Links, Offnen von Anhangen oder dem Laden von Bildern aus der Mail (manche Mail-Programme laden externe Bilder automatisch – das bestatigt dem Absender, dass die Adresse aktiv ist).
Was ist der Unterschied zwischen Phishing und Spam?
Spam sind unerwunschte Werbe-E-Mails ohne kriminelle Absicht. Phishing ist gezielter Betrug mit dem Ziel, Zugangsdaten oder Geld zu stehlen. Spam ist lastig; Phishing ist illegal und kann erheblichen finanziellen Schaden verursachen.