Phishing erkennen ist 2026 schwieriger geworden. Die Zeiten holpriger Uebersetzungen und offensichtlicher Fehler sind vorbei: Nachrichten wirken heute professionell gestaltet, sprechen Empfaenger korrekt an und imitieren Layout und Tonfall echter Banken. Verbraucherzentralen dokumentieren taeglich neue Faelle, im zweiten Quartal 2026 stiegen SMS-Betrugsversuche laut Branchenanalysen sprunghaft an.
Die haeufigsten Maschen im Ueberblick
Klassisches Phishing kommt per E-Mail und behauptet, ein Konto muesse bestaetigt, ein Sicherheitsupdate durchgefuehrt oder eine App neu registriert werden. Beliebt sind Absender wie Sparkasse, Volks- und Raiffeisenbanken, Postbank, Commerzbank, DKB, ING, PayPal und Amazon. Beim Smishing laeuft dieselbe Masche per SMS, oft als angebliche Paketbenachrichtigung von DHL oder als Zollgebuehr. Beim Quishing fuehrt ein manipulierter QR-Code auf die gefaelschte Seite, etwa auf ueberklebten Parkautomaten oder in Briefen. Hinzu kommen Anrufe angeblicher Bankmitarbeiter und Nachrichten vermeintlicher Familienangehoeriger ueber Messenger.
Auch Behoerdenpost wird imitiert. Zuletzt warnten Verbraucherschuetzer vor Nachrichten im Namen des Steuerportals, die unter dem Vorwand einer Datensynchronisierung zum Download einer PDF-Datei auffordern. Echte Behoerden verschicken solche Aufforderungen nicht als unpersoenliche Mail mit Dateianhang.
Phishing erkennen: Acht klare Warnsignale
Erstens Zeitdruck: eine Frist von wenigen Tagen oder Stunden. Zweitens Drohung mit Konsequenzen, etwa Sperrung des Online-Bankings. Drittens unpersoenliche Anrede. Viertens eine Absenderadresse, die bei genauem Hinsehen nicht zur Bank gehoert. Fuenftens ein Link, dessen Ziel beim Ueberfahren mit der Maus von der beworbenen Adresse abweicht. Sechstens die Aufforderung, TAN, PIN oder Passwort einzugeben oder zu bestaetigen. Siebtens unerwartete Anhaenge, besonders PDF- und ZIP-Dateien. Achtens ein Anliegen, das Sie gar nicht ausgeloest haben, etwa eine Zahlungsbestaetigung fuer eine nicht getaetigte Bestellung.
Die Grundregel: Kanalwechsel
Die sicherste Reaktion ist immer dieselbe: Klicken Sie nicht auf den Link in der Nachricht, sondern rufen Sie das Portal selbst im Browser auf oder oeffnen Sie die offizielle App. Steht dort keine Aufforderung, war die Nachricht gefaelscht. Bei Anrufen legen Sie auf und waehlen die Nummer von der Rueckseite Ihrer Bankkarte. Kein seriser Anbieter verlangt telefonisch oder per Nachricht eine TAN. Verdaechtige Mails lassen sich an die Verbraucherzentrale weiterleiten, die daraus ihre laufenden Warnungen speist.
Wenn Sie doch geklickt haben
Handeln Sie sofort und der Reihe nach: Online-Banking sperren lassen, notfalls ueber den zentralen Sperr-Notruf. Danach Passwoerter aendern, und zwar von einem anderen, sauberen Geraet aus. Anschliessend Kontobewegungen pruefen, unberechtigte Buchungen unverzueglich bei der Bank reklamieren und Anzeige bei der Polizei erstatten. Dokumentieren Sie alles mit Screenshots und Zeitangaben. Bei nicht autorisierten Zahlungen besteht grundsaetzlich ein Erstattungsanspruch, sofern Sie nicht grob fahrlaessig gehandelt haben, etwa durch die freiwillige Herausgabe einer TAN.
Vorbeugend helfen Zwei-Faktor-Verfahren, Passkeys statt Passwoertern, ein Passwortmanager und aktuelle Systemupdates. Wer regelmaessig Vertraege online abschliesst, etwa beim Wechsel der Kfz-Versicherung, sollte Bestaetigungsmails besonders kritisch pruefen, weil Betrueger genau solche Erwartungshaltungen ausnutzen.
Warum die Angriffe professioneller werden
Generative Werkzeuge haben die Huerde fuer Betrueger gesenkt. Fehlerfreie Texte in beliebigen Sprachen, personalisierte Anreden aus geleakten Datenbanken und taeuschend echte Nachbauten von Login-Seiten lassen sich heute in Minuten erzeugen. Analysten verzeichnen deshalb einen deutlichen Anstieg KI-gestuetzter Betrugsfaelle. Hinzu kommen Baukaesten, mit denen auch technisch wenig versierte Taeter ganze Kampagnen starten. Ermittler gehen inzwischen gegen diese Infrastruktur vor: Bei einer internationalen Aktion wurde eine Plattform abgeschaltet, ueber die tausende Phishing-Domains liefen. Fuer Verbraucher aendert das wenig am Grundsatz: Weil sich das Aussehen der Nachrichten beliebig faelschen laesst, bleibt allein der Kanalwechsel die verlaessliche Verteidigung. Optische Merkmale wie Logos, Absendername oder Rechtschreibung taugen nicht mehr als Kriterium.
Haeufige Fragen
Wie kann ich Phishing erkennen, wenn die Mail perfekt aussieht?
Am Inhalt statt am Design: Keine echte Bank fordert per Nachricht zur Eingabe von TAN oder Passwort auf. Pruefen Sie das Anliegen immer ueber den eigenen Zugang.
Ist das Oeffnen einer Phishing-Mail schon gefaehrlich?
Meist nicht. Gefaehrlich wird es beim Klick auf Links, beim Oeffnen von Anhaengen und bei der Eingabe von Daten. Loeschen Sie die Mail einfach.
Was ist Quishing?
Betrug ueber manipulierte QR-Codes, die auf gefaelschte Seiten fuehren. Codes auf Aufklebern, Parkautomaten oder in Briefen sollten Sie besonders kritisch pruefen.
Bekomme ich mein Geld zurueck?
Bei nicht autorisierten Zahlungen in der Regel ja. Entscheidend ist, ob grobe Fahrlaessigkeit vorliegt. Melden Sie den Fall deshalb sofort und schriftlich.
