Phishing erkennen: gefälschte Mails und SMS von Bank, Paketdienst und Behörden, Quishing per QR-Code, und was nach einem Klick zu tun ist

Phishing gehört zu den häufigsten Betrugsmaschen in Deutschland: Täuschend echte Nachrichten im Namen von Banken, Sparkassen, Paketdiensten, Streamingdiensten oder Behörden sollen dazu bringen, Zugangsdaten oder Kartendaten einzugeben. Wer die typischen Muster kennt, erkennt die meisten Fälschungen sofort. Typische Maschen Bank und Sparkasse: „Ihr Konto wurde eingeschränkt“, „Bitte bestätigen Sie Ihre Daten“, „Neues Sicherheitsverfahren muss aktiviert werden“. Paketdienste: SMS mit Link zur „Sendungsverfolgung“ oder zu einer angeblich offenen Zollgebühr. Streaming und Onlineshops: „Ihre Zahlung ist fehlgeschlagen, Ihr Konto wird gesperrt.“ Behörden: angebliche Steuererstattungen, Bußgelder oder Schreiben im Namen von Polizei oder Finanzamt. Quishing: Briefe oder Aufkleber mit QR-Codes, die auf gefälschte Login-Seiten führen, zum Beispiel angebliche Schreiben der Bank zum „Sicherheitsupdate“ oder manipulierte QR-Codes an Parkautomaten. Anrufe: falsche Bankmitarbeiter, die eine pushTAN oder Freigabe in der Banking-App verlangen, um „eine Abbuchung zu stoppen“. Woran man Phishing erkennt Druck und Drohungen: „innerhalb von 24 Stunden“, „sonst wird Ihr Konto gesperrt“. Unpersönliche Anrede oder Fehler, auch wenn die Mails inzwischen oft fehlerfrei sind. Absenderadresse und Link passen nicht zum echten Unternehmen. Mit der Maus über den Link fahren (ohne zu klicken) oder lange auf den Link tippen zeigt die echte Adresse. Aufforderung, Passwort, PIN, TAN oder Kreditkartendaten einzugeben. Banken, Sparkassen und Behörden fragen niemals per Mail, SMS oder Telefon nach PIN, TAN oder Passwort und fordern keine TAN-Freigabe für „Stornierungen“. Grundregeln Nicht auf Links in unerwarteten Nachrichten klicken. Stattdessen die Website selbst eintippen oder die offizielle App öffnen. Bei Anrufen auflegen und selbst unter der bekannten Nummer der Bank zurückrufen. In der Banking-App jede Freigabe genau lesen: Was wird freigegeben, welcher Betrag, an wen? Eine Freigabe für ein „neues Gerät“ oder eine Zahlung, die man nicht selbst ausgelöst hat, niemals bestätigen. Zwei-Faktor-Authentisierung und, wo möglich, Passkeys nutzen. Passkeys funktionieren nur auf der echten Website und schützen damit gut vor Phishing. Software, Browser und Apps aktuell halten. Was tun, wenn man geklickt hat? Nur geklickt, aber nichts eingegeben: meist kein Schaden. Seite schließen, Gerät aktuell halten. Zugangsdaten eingegeben: sofort das Passwort beim echten Dienst ändern, auch bei allen Diensten mit demselben Passwort, und Zwei-Faktor-Schutz aktivieren. Bankdaten eingegeben oder eine Freigabe erteilt: sofort die Bank anrufen und Konto bzw. Karte sperren lassen. Für die Kartensperre gibt es in Deutschland den zentralen Sperr-Notruf 116 116. Anzeige bei der Polizei erstatten; viele Bundesländer bieten eine Onlinewache an. Kontoauszüge in den folgenden Wochen genau prüfen. Melden und informieren Phishing-Mails kann man an die Verbraucherzentrale weiterleiten, die ein Phishing-Radar mit aktuellen Warnungen betreibt. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) informiert auf seiner Website für Verbraucher über aktuelle Maschen und gibt verständliche Sicherheitstipps. Ältere Angehörige schützen Senioren werden besonders oft angerufen oder angeschrieben. Vereinbart eine einfache Regel: Bei Geldforderungen, TAN-Abfragen oder Zeitdruck erst auflegen und Familie oder Bank unter der bekannten Nummer anrufen.