Phishing erkennen: So schützen Sie Konten, Smartphone und persönliche Daten

Stand: 29. September 2026. Phishing ist kein einzelner E-Mail-Trick: Betrüger versenden gefälschte Nachrichten per E-Mail, SMS, Messenger oder QR-Code und geben sich als Bank, Behörde, Paketdienst oder vertraute Person aus. Ziel sind meist Passwörter, Zahlungsdaten, Bestätigungscodes oder persönliche Angaben. Eine aktuelle Warnung der Verbraucherzentrale NRW vom 28. September beschreibt etwa eine angebliche Volksbank-Bestätigung mit kurzer Frist; am 25. September warnte sie vor einer gefälschten AOK-Erstattungsnachricht. Das sind Beispiele für nachgeahmte Absender, keine Hinweise auf einen Angriff auf die genannten Organisationen. Prüfen Sie solche Mitteilungen ausschließlich über bekannte, selbst aufgerufene Kanäle.

Auch die Kommunikationswege verdienen Aufmerksamkeit: Die Bundesnetzagentur meldete am 9. Februar 2026 insgesamt 85.158 Beschwerden zu Rufnummernmissbrauch für das Jahr 2025. Besonders häufig ging es um SMS- und Messenger-Spam sowie belästigende Anrufe. Diese Gesamtzahl ist keine Phishing-Statistik; sie zeigt aber, warum ein Sicherheitsratgeber heute auch Kurznachrichten und Anrufe berücksichtigen sollte. Die Auswertung der Bundesnetzagentur und das Phishing-Radar der Verbraucherzentrale dokumentieren diese Entwicklungen.

Woran lässt sich eine Phishing-Nachricht erkennen?

Ein typisches Signal ist eine Aufforderung, sofort zu handeln: Ein Konto werde gesperrt, ein Paket könne nur nach Zahlung zugestellt werden oder eine Rückerstattung verfalle bald. Die Nachricht enthält oft einen Link, QR-Code, Anhang oder die Bitte, einen Sicherheitscode freizugeben. Fragen Sie sich zuerst: Habe ich diesen Vorgang selbst angestoßen? Erwarte ich diese Nachricht? Ist die Frist nachvollziehbar?

Prüfen Sie anschließend den Absender und den Kontext. Eine ähnlich aussehende Domain, eine unbekannte Rufnummer, eine unpersönliche Anrede, ungewöhnliche Sprache oder eine unerwartete Zahlungsaufforderung können Warnzeichen sein. Aber kein einzelnes Merkmal beweist Betrug: Gefälschte Nachrichten können fehlerfrei formuliert sein, echte Unternehmen verwenden mitunter generische Anreden, und Absenderangaben können täuschen. Auch ein Schloss-Symbol oder „https“ bestätigt nur eine verschlüsselte Verbindung zur aufgerufenen Website; es beweist nicht, dass die Website wirklich zu Ihrer Bank gehört.

Öffnen Sie den Link nicht zur Probe. Halten Sie ihn am Computer höchstens ohne Klick über die Maus, um die angezeigte Zieladresse zu sehen. Auf dem Smartphone ist das oft schwieriger. Bei QR-Codes gilt dasselbe: Prüfen Sie die nach dem Scan angezeigte Internetadresse, bevor Sie sie öffnen, und brechen Sie ab, wenn sie verkürzt, unbekannt oder anders geschrieben ist als die offizielle Adresse. Die Polizei nennt Betrug über QR-Codes „Quishing“; bei betrügerischen SMS ist häufig von „Smishing“ die Rede. Hinweise dazu gibt die Polizei-Beratung zu Quishing.

Wie prüfen Sie die Nachricht sicher?

1. Stoppen: Antworten Sie nicht, klicken Sie nicht und geben Sie keinen Code weiter. Lassen Sie sich nicht durch eine kurze Frist oder eine drohende Kontosperre hetzen.
2. Wechseln Sie den Kanal: Öffnen Sie die bekannte App selbst oder tippen Sie die Ihnen vertraute Internetadresse von Hand in den Browser. Nutzen Sie keine Telefonnummer und keinen Link aus der verdächtigen Nachricht.
3. Prüfen Sie dort den Vorgang: Gibt es im offiziellen Kundenkonto tatsächlich eine Nachricht, offene Zahlung oder Sicherheitswarnung? Fragen Sie bei Bedarf über eine Telefonnummer auf Ihrer Bankkarte oder der offiziellen Website nach.
4. Melden und löschen: Nutzen Sie die Meldefunktion Ihres E-Mail- oder Messenger-Dienstes. Verdächtige E-Mails können an phishing@verbraucherzentrale.nrw weitergeleitet oder als EML-Datei beim Phishing-Radar eingereicht werden. Antworten auf eingesandte Nachrichten sind laut Verbraucherzentrale nicht zu erwarten. Löschen Sie die Nachricht anschließend.

Eine Nachricht im Spam-Ordner ist nicht automatisch ungefährlich, und eine professionell gestaltete Nachricht ist nicht automatisch echt. Entscheidend ist, ob Sie die behauptete Sache unabhängig bestätigen können. Vermeiden Sie auch, verdächtige Nachrichten an andere weiterzuleiten – so können Links und Anhänge zusätzliche Empfänger erreichen.

Wie schützen Sie Konten und Smartphone dauerhaft?

• Verwenden Sie für jedes Konto ein eigenes Passwort. Ein Passwort-Manager kann dabei helfen, lange, unterschiedliche Kennwörter zu erstellen und zu verwalten. Ändern Sie wiederverwendete Passwörter zuerst bei Ihrem E-Mail-Konto und wichtigen Finanz- oder Cloud-Diensten.
• Schalten Sie eine zusätzliche Anmeldung ein. Aktivieren Sie Mehr-Faktor-Authentisierung, Passkeys oder Sicherheitsschlüssel, sofern der jeweilige Dienst sie anbietet. Geben Sie niemals einen Einmalcode am Telefon oder in einer Nachricht weiter und bestätigen Sie keine Anmeldeanfrage, die Sie nicht selbst ausgelöst haben. Zusätzliche Faktoren erschweren Kontodiebstahl, ersetzen aber nicht die Prüfung der Website.
• Halten Sie Smartphone, Apps und Browser aktuell. Installieren Sie Apps nur aus offiziellen App-Stores oder von der offiziellen Website des Herstellers. Folgen Sie keiner Nachricht, die zum Installieren eines Sicherheits- oder Fernwartungsprogramms auffordert.
• Prüfen Sie Berechtigungen und Sitzungen. Entfernen Sie Apps, die Sie nicht mehr verwenden, und kontrollieren Sie in wichtigen Konten angemeldete Geräte, Wiederherstellungsadressen und Telefonnummern.
• Sichern Sie Ihr Gerät. Nutzen Sie eine Displaysperre und eine aktuelle Datensicherung. So lassen sich verlorene oder beschädigte Daten eher wiederherstellen; ein Backup verhindert jedoch nicht, dass ein Betrüger ein Konto übernimmt.

Eine zusätzliche Anmeldung ist kein Grund, jede Anfrage zu bestätigen: Kriminelle können versuchen, Nutzer mit wiederholten Push-Anfragen zu ermüden. Lehnen Sie unerwartete Aufforderungen ab und ändern Sie das Passwort über den offiziellen Dienst, wenn ungewöhnliche Anmeldeversuche auftauchen.

Was ist zu tun, wenn Sie bereits geklickt oder Daten eingegeben haben?

Die nächsten Schritte hängen davon ab, was passiert ist. Ein Klick allein bedeutet nicht automatisch, dass ein Konto oder Smartphone übernommen wurde. Reagieren Sie trotzdem zügig und nutzen Sie für Änderungen ein Gerät, dem Sie vertrauen.

Bewahren Sie Nachricht, Absender, Uhrzeit, Screenshots und Buchungsbelege auf, ohne den betrügerischen Link erneut zu öffnen. Bei finanziellem Schaden oder Identitätsmissbrauch können Sie Anzeige bei der Polizei erstatten. Eine Meldung bei der Bundesnetzagentur betrifft Rufnummernmissbrauch und ersetzt keine Strafanzeige. Die gemeinsam von Polizei und BSI erstellte Phishing-Checkliste bietet weitere Schritte für kompromittierte Konten.

Kurze Checkliste für den nächsten Verdachtsfall

• Unerwartete Nachricht? Erst innehalten, nicht antworten und keine Codes freigeben.
• Link oder QR-Code? Nicht aus der Nachricht heraus anmelden, sondern App oder Website selbst öffnen.
• Unsicher? Den Absender über einen bereits bekannten Kontaktweg fragen.
• Daten bereits eingegeben? Passwort, Bank oder Karte sofort über offizielle Kanäle absichern.
• Nachricht verdächtig? Im Dienst melden, gegebenenfalls an die Verbraucherzentrale weiterleiten und anschließend löschen.

Weiterführende offizielle Informationen

• BSI: Passwort- und Datendiebstahl durch Phishing
• Polizei-Beratung: Online-Betrug durch Phishing
• Verbraucherzentrale: Phishing-Mails erkennen

Die beschriebenen Warnzeichen helfen bei der Einschätzung, sind aber kein sicherer Echtheitstest. Betrugsmaschen und Meldewege ändern sich; prüfen Sie aktuelle Hinweise bei Ihrer Bank, der Verbraucherzentrale, dem BSI und der Polizei.