Was ist Phishing? So erkennen Sie gefälschte E-Mails, SMS und QR-Codes

Was ist Phishing?

Das britische National Cyber Security Centre (NCSC) definiert Phishing als den Einsatz betrügerischer E-Mails, Textnachrichten oder Anrufe durch Kriminelle, um ihre Opfer zu täuschen; oft sollen Sie eine Website besuchen, die womöglich einen Virus auf Ihren Computer lädt, oder es sollen Bankdaten oder andere persönliche Informationen gestohlen werden ^[3]. Die US-Handelsbehörde Federal Trade Commission (FTC) fasst es kürzer: Betrüger nutzen E-Mails oder Textnachrichten, um Sie zur Herausgabe Ihrer persönlichen und finanziellen Informationen zu verleiten ^[1].

Das FBI fasst das Delikt unter „Phishing/Spoofing“ zusammen: unaufgeforderte E-Mails, SMS und Anrufe, die angeblich von einem seriösen Unternehmen stammen und persönliche, finanzielle oder Anmeldedaten verlangen ^[8]. Spoofing bedeutet, den Absender zu fälschen, etwa damit eine Nachricht so aussieht, als käme sie von Ihrer Bank.

Phishing ist eine Form des Social Engineering, das das FBI als Erlangen geschützter Daten beschreibt, indem eine Person dazu gebracht wird, sie preiszugeben ^[12]. Es setzt auf menschliches Vertrauen statt auf technische Schwachstellen und kann daher starke Systeme umgehen, wenn sich ein Mensch dazu überreden lässt, ein Passwort oder einen Code herauszugeben.

Welche Formen nimmt Phishing an?

• E-Mail-Phishing: Massennachrichten, die Banken, Geschäfte, Lieferdienste oder Arbeitgeber imitieren ^[1].
• Spear-Phishing: ein gezielter Versuch, eine bestimmte Person oder Gruppe zu täuschen, mit Informationen, die die Erfolgschancen erhöhen sollen ^[12].
• Phishing per SMS (Smishing): dieselben Tricks per Textnachricht; die Definition der FTC umfasst ausdrücklich Textnachrichten ^[1].
• Telefon-Phishing (Vishing): Anrufe, die vorgeben, von einer vertrauenswürdigen Organisation zu kommen; das NCSC zählt betrügerische Anrufe zum Phishing ^[3].
• QR-Code-Phishing (Quishing): QR-Codes in E-Mails, die auf bösartige Websites führen ^[6].

Wie verändert KI das Phishing?

Im Dezember 2024 warnte das FBI, dass Kriminelle generative KI nutzen, um glaubwürdige Texte für Social Engineering und Spear-Phishing zu verfassen, Nachrichten schneller an ein größeres Publikum zu senden und Nachrichten so zu übersetzen, dass sie weniger Grammatik- oder Rechtschreibfehler enthalten ^[12]. Ebenso merkt das NCSC an, dass Betrugsversuche früher an schlechter Rechtschreibung oder seltsamer Gestaltung leichter zu erkennen waren, inzwischen aber raffinierter werden und manche sogar Fachleute täuschen ^[4].

Wer wird persönlich ins Visier genommen?

Kriminelle nutzen online verfügbare Informationen über Sie, auch aus sozialen Medien, um Nachrichten überzeugender zu machen ^[3]. Prominente Gruppen sind zudem staatsnahen Kampagnen ausgesetzt. Freedom House berichtete, dass eine mit den iranischen Revolutionsgarden verbundene Hackergruppe sich online als Journalisten und Menschenrechtsaktivisten ausgab, um Regierungskritiker in Phishing-Fallen zu locken ^[13]. Für persischsprachige Journalisten und Aktivisten verdient eine unerwartete Interviewanfrage oder ein Dokumentlink dieselbe Prüfung wie eine Nachricht der Bank.

Wie erkennen Sie eine Phishing-Nachricht?

Laut FTC behaupten Phishing-Nachrichten oft, verdächtige Aktivitäten oder Anmeldeversuche bemerkt zu haben, es gebe ein Problem mit Ihrem Konto oder Ihren Zahlungsdaten, bitten Sie, persönliche oder finanzielle Angaben zu bestätigen, enthalten eine Rechnung, die Sie nicht kennen, fordern Sie auf, zum Bezahlen auf einen Link zu klicken, behaupten, Ihnen stehe eine staatliche Erstattung zu, oder bieten einen Gutschein für Gratisartikel an ^[1].

Das NCSC rät, eine verdächtige Nachricht auf diese typischen Anzeichen zu prüfen ^[4]:

1. Autorität: Gibt sie vor, von einer offiziellen Stelle zu kommen, etwa Ihrer Bank, Ihrem Arzt, einem Anwalt oder einer Behörde ^[4]?
2. Dringlichkeit: Sollen Sie innerhalb von 24 Stunden oder sofort reagieren, oft unter Androhung von Bußgeldern ^[4]?
3. Gefühle: Versetzt sie Sie in Panik, macht sie Ihnen Angst, Hoffnung oder neugierig ^[4]?
4. Knappheit: Bietet sie etwas Knappes an, etwa Konzertkarten, Geld oder ein Heilmittel ^[4]?
5. Aktuelle Ereignisse: Nutzt sie eine Nachrichtenmeldung, ein großes Ereignis oder eine Jahreszeit wie die Steuersaison aus ^[4]?

Das NCSC ergänzt, dass Ihre Bank oder eine andere offizielle Stelle Sie niemals per E-Mail um persönliche Informationen bitten oder anrufen wird, um Ihre Kontodaten bestätigen zu lassen ^[4]. Haben Sie Zweifel, kontaktieren Sie die Organisation direkt über Kontaktdaten von ihrer offiziellen Website, nicht über die Nummern oder Adressen in der Nachricht ^[4].

Wie verbreitet ist Phishing?

Das Internet Crime Complaint Center (IC3) des FBI erhielt 2025 1.008.597 Beschwerden mit gemeldeten Schäden von 20,877 Milliarden $ ^[8]. Phishing/Spoofing war nach Zahl der Beschwerden die größte Kategorie, mit 191.561 ^[8]. Die gemeldeten Schäden in dieser Kategorie stiegen von 70.013.036 $ im Jahr 2024 auf 215.843.126 $ im Jahr 2025 ^[8]. Die Beschwerdezahlen erfassen nur, was Menschen dem IC3 melden, nicht alles Phishing, das tatsächlich stattfindet.

Die Anti-Phishing Working Group (APWG), ein Branchenverbund, beobachtete im ersten Quartal 2025 1.003.924 Phishing-Angriffe, die höchste Zahl seit Ende 2023, und erklärte, Kriminelle verschickten täglich Millionen E-Mails mit QR-Codes ^[9]. Angriffe auf Online-Zahlungsdienste und Banken machten in diesem Quartal zusammen 30,9 Prozent aller Angriffe aus ^[9].

In Großbritannien waren beim Meldedienst des NCSC bis September 2026 mehr als 59,6 Millionen Betrugsversuche gemeldet worden, was zur Entfernung von 263,7 Tausend Betrugsangeboten auf 466.300 URLs führte ^[3].

Kann man QR-Codes bedenkenlos scannen?

An gewöhnlichen Orten meist schon. Laut NCSC sind QR-Codes in Kneipen oder Restaurants wahrscheinlich unbedenklich, QR-gestützter Betrug ist im Vergleich zu anderem Cyberbetrug relativ gering, und er findet meist an offenen Orten wie Bahnhöfen und Parkplätzen statt, oft in Verbindung mit Social Engineering ^[6].

E-Mails sind das größere Problem. Das NCSC beobachtet eine Zunahme von QR-Codes in Phishing-E-Mails, eine Technik, die manchmal Quishing genannt wird, weil QR-Codes bösartige Links verschleiern, nicht alle E-Mail-Sicherheitswerkzeuge Bilder prüfen und Menschen meist mit privaten Smartphones scannen, die womöglich schwächer geschützt sind als ein Arbeitscomputer ^[6].

Was raten FBI und FTC?

• Prüfen Sie nach dem Scannen die Webadresse; eine bösartige Domain kann der echten mit einem Tippfehler oder vertauschten Buchstaben ähneln ^[7].
• Prüfen Sie bei einem physischen Code, dass er nicht mit einem Aufkleber überklebt wurde ^[7]. Die FTC verweist auf Berichte, wonach Betrüger QR-Codes an Parkscheinautomaten mit eigenen überklebt haben ^[2].
• Laden Sie keine App über einen QR-Code herunter und installieren Sie keine separate QR-Scanner-App; die meisten Smartphones haben einen Scanner in der Kamera-App ^[7].
• Scannen Sie keinen QR-Code aus einer E-Mail oder SMS, die Sie nicht erwartet haben; kontaktieren Sie das Unternehmen über eine Telefonnummer oder Website, von der Sie wissen, dass sie echt ist ^[2].
• Bezahlen Sie möglichst nicht über eine Website, die Sie per QR-Code erreicht haben; geben Sie stattdessen eine bekannte, vertrauenswürdige Adresse ein ^[7].

Was sollten Sie tun, wenn Sie auf einen Phishing-Link geklickt haben?

Handeln Sie schnell und in dieser Reihenfolge:

1. Halten Sie inne und brechen Sie den Kontakt ab. Das NCSC rät, innezuhalten, den Kontakt abzubrechen und die verwendete Sprache zu bedenken ^[4].
2. Wenn Sie ein Passwort preisgegeben haben, sollten Sie laut NCSC die Passwörter aller Konten ändern, die dasselbe Passwort verwenden, und stattdessen einen Passkey nutzen, falls verfügbar ^[14]. Auch die FTC empfiehlt Mehr-Faktor-Authentifizierung zum Schutz von Konten ^[1].
3. Wenn Sie einen Anhang geöffnet oder etwas installiert haben, aktualisieren Sie Ihre Sicherheitssoftware, führen Sie einen Scan durch und entfernen Sie alles, was gemeldet wird ^[1][14]. Geschah es auf einem Arbeitslaptop oder Diensthandy, informieren Sie Ihre IT-Abteilung ^[14].
4. Wenn Sie Geld verloren oder Bankdaten herausgegeben haben, informieren Sie Ihre Bank über die Nummer auf Ihrer Karte oder Ihrem Kontoauszug, wo die offiziellen Kontaktdaten oft aufgedruckt sind ^[4], und zeigen Sie es als Straftat an; in England, Wales und Nordirland ist dafür Report Fraud zuständig, in Schottland Police Scotland ^[14]. Leser in den USA, deren Sozialversicherungs-, Karten- oder Kontonummer offengelegt worden sein könnte, können den Schritten auf IdentityTheft.gov folgen ^[1].
5. Wenn Sie über einen manipulierten QR-Code bezahlt haben, sollten Sie dies laut FBI melden; es warnt, dass die Strafverfolgungsbehörden die Rückholung verlorener Gelder nicht garantieren können ^[7].

Wie melden Sie Phishing?

In Großbritannien leiten Sie verdächtige E-Mails an den Suspicious Email Reporting Service des NCSC unter report@phishing.gov.uk weiter ^[5]. In den USA sollen Sie laut FTC Phishing-E-Mails an die Anti-Phishing Working Group unter reportphishing@apwg.org weiterleiten, Phishing-SMS an SPAM (7726) weiterleiten und den Versuch auf ReportFraud.ftc.gov melden ^[1]. Betrugsschäden in den USA können auch dem IC3 des FBI gemeldet werden ^[7]. Dies sind allgemeine Informationen und keine Finanz- oder Rechtsberatung; für Ihren Fall sind Ihre Bank und die nationale Meldestelle zuständig.

Welche Schutzmaßnahmen stoppen Phishing tatsächlich?

Die FTC nennt vier Schutzmaßnahmen: Sicherheitssoftware auf Ihrem Computer, automatische Updates auf Ihrem Smartphone, Mehr-Faktor-Authentifizierung für Ihre Konten und Sicherungskopien Ihrer Daten ^[1].

Stoppt Mehr-Faktor-Authentifizierung Phishing?

Sie hilft viel, aber nicht vollständig. Mehr-Faktor-Authentifizierung (MFA) verlangt zwei oder mehr Arten von Nachweisen, etwa ein Passwort plus einen Code ^[10]. Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) erklärt, dass eine gängige Phishing-Technik Nutzer auf eine gefälschte Anmeldeseite leitet, wo sie Benutzername, Passwort und den 6-stelligen Code aus ihrer Authenticator-App eingeben, den der Angreifer dann nutzt ^[10]. Die CISA ergänzt, dass per SMS oder Sprachanruf gesendete Codes auch über Schwachstellen im SS7-Netz oder durch SIM-Swapping gestohlen werden können und dass Angreifer Nutzer mit Push-Benachrichtigungen bombardieren, bis sie auf Akzeptieren tippen ^[10].

Laut CISA ist FIDO/WebAuthn die einzige breit verfügbare phishingresistente Authentifizierung; sie wird von gängigen Browsern, Betriebssystemen und Smartphones unterstützt ^[10]. Dennoch sei jede Form von MFA besser als keine ^[10]. Passkeys sind FIDO-Anmeldedaten, die Passwörter durch kryptografische Schlüsselpaare ersetzen, und laut FIDO Alliance sind Passkeys anders als Passwörter immer stark und phishingresistent ^[11]. Zudem gebe es keine Passwörter, die aus geleakten Datenbanken gestohlen werden könnten ^[11].

Was verringert das Risiko noch?

Prüfen Sie, was Sie und andere online über Sie veröffentlichen, und verschärfen Sie die Datenschutzeinstellungen in sozialen Medien, denn Kriminelle nutzen diese Informationen, um Nachrichten zu personalisieren ^[3]. Melden Sie verdächtige Nachrichten: Laut NCSC verringern Meldungen die Zahl der Betrugsversuche, die Sie erhalten, und helfen, andere zu schützen ^[3].