Phishing erkennen: Nachricht prüfen, dann richtig handeln

Klicke nicht auf den Link, antworte nicht und nutze keine Kontaktdaten aus der Nachricht. Prüfe Absender und Zieladresse, ohne etwas zu öffnen. Ob die Nachricht echt ist, klärst du über die bekannte App, die gespeicherte Website oder eine selbst gesuchte Hotline. Die nächsten Schritte hängen davon ab, ob du nur gelesen, schon geklickt oder Daten eingegeben hast.

Öffentliche Hotspots und HTTPS-Grenzen stehen im Ratgeber für öffentliches WLAN. Dieser Text behandelt die Nachricht selbst, nicht die Funkverbindung.

Welche Lage gilt?

Die Tabelle ist eine Reihenfolge für die Prüfung. Sie sagt nicht, ob ein Schaden entsteht oder eine Erstattung folgt. Menünamen unterscheiden sich nach Mailprogramm und Gerät.

Woran du Phishing erkennst

Das BSI schreibt: Tippfehler und unpersönliche Anreden sind kein zuverlässiges Entwarnungssignal mehr. Schon eines der folgenden Merkmale reicht, um misstrauisch zu werden:

• Dringender Handlungsbedarf, etwa Daten „sofort aktualisieren“, sonst seien sie verloren.
• Drohung mit Kontosperre, Mahnung oder Inkasso.
• Aufforderung, PIN, TAN, Kreditkartennummer oder andere vertrauliche Daten einzugeben.
• Links oder Formulare in der Nachricht.
• Bekannte Absenderin oder Organisation, aber ein ungewöhnliches Anliegen.

Die Verbraucherzentrale (Stand 25. März 2026, gelesen am 6. November 2026) ergänzt: Eine persönliche Anrede beweist nichts, weil Namen aus Datenlecks stammen können. Banken und vergleichbare Institute fordern PIN oder TAN nicht per E-Mail oder Telefon. Unerwartete Anhänge, auch als Download-Link, gehören nicht geöffnet. Bist du gar kein Kunde des genannten Anbieters, ist das oft schon das Warnsignal.

Beispiel aus dem Phishing-Radar, 5. November 2026: Eine Mail im Namen der Volksbanken Raiffeisenbanken verlangte eine Datenbestätigung bis zum 12. November 2026 über SecureGo plus, mit der Drohung eingeschränkter Überweisungen. Unpersönliche Anrede, keine konkreten Kontodaten, Link in der Mail. Die Verbraucherzentrale rät, solche Mails unbeantwortet in den Spam zu legen und Hinweise nur in der offiziellen App oder auf der bekannten Bankseite zu prüfen. Das ist ein dokumentiertes Warnbeispiel, keine Aussage über dein Konto.

So prüfst du, ohne den Köder zu nehmen

Absender. Der angezeigte Name ist frei wählbar. Im Mailprogramm den Cursor über die Absenderzeile führen, ohne zu klicken; im Browser den Quelltext der HTML-Mail. Das BSI beschreibt beide Wege. In Outlook kann ein Fragezeichen am Absenderbild oder ein „via“-Hinweis bedeuten, dass die Identität nicht zur angezeigten Adresse passt. Microsoft schreibt, dass nicht jede solche Mail bösartig ist; unbekannten Absendern gegenüber bleibst du trotzdem vorsichtig. Das Hover über den Absender in der Nachrichtenliste gilt laut Microsoft für Geschäfts-, Schul- oder Unikonten. Outlook: Phishing und verdächtiges Verhalten (gelesen am 6. November 2026).

Link. Nicht anklicken. Mit der Maus darüberfahren und die echte Zieladresse lesen. Ungewöhnliche Zahlen oder Zeichenketten in einem bekannten Namen, Kurz-URLs, die das Ziel verbergen: im Zweifel nicht öffnen. Das BSI nennt genau diese Muster.

https:// ist keine Entwarnung. Auch Phishing-Seiten holen sich SSL-Zertifikate. Das Schloss in der Adresszeile belegt nur eine verschlüsselte Verbindung, keine Identität der Betreiberin. Misstrauisch wirst du zusätzlich, wenn eine Seite nach der Anmeldung erneut Name, Adresse oder IBAN abfragt oder eine TAN verlangt, ohne dass du eine Transaktion ausgelöst hast.

Echtheit klären. Nicht auf die Mail antworten, keine Nummer und keinen Link aus der Nachricht nutzen. Die Verbraucherzentrale: Filiale, bekannte Website oder App des echten Anbieters. Das BSI: im Zweifel telefonisch nachfragen, die Nummer selbst suchen.

SMS, Messenger und QR-Code

Dieselbe Prüfung gilt für Kurznachrichten. Die Verbraucherzentrale nennt das Smishing. Die Bundesnetzagentur beschreibt typische Texte: Banking-App „läuft ab“, Paket mit Zollgebühr, Sendung im Sortierzentrum. Die verlinkten Seiten nutzen oft das Erscheinungsbild bekannter Banken oder Paketdienste und verlangen persönliche oder Kreditkartendaten.

BSI und Polizei warnen außerdem vor QR-Codes in Mails, Briefen oder im öffentlichen Raum: Der Code ist nur ein Link, den du vor dem Öffnen nicht siehst. Unerwartete Codes nicht scannen.

Unverlangte SMS oder Messenger-Nachrichten kannst du bei der Bundesnetzagentur über das Beschwerdeformular für SMS und Messenger melden. Das ist eine Aufsichtsbeschwerde, keine Strafanzeige.

Nur erhalten: weiterleiten, dann weglegen

Solange du nicht klickst und keine Anhänge öffnest, bleibt eine reine Textmail nach Angabe der Verbraucherzentrale in der Regel harmlos. HTML-Mails können Schadcode im Quelltext tragen; deshalb keine Grafiken anklicken, die du nicht erwartest.

• Nicht antworten. Eine Antwort bestätigt, dass die Adresse aktiv ist.
• Vor dem Löschen direkt, nicht als Anhang, an phishing@verbraucherzentrale.nrw weiterleiten. Die Verbraucherzentrale NRW wertet das für den Phishing-Radar aus. Eine Fehlermeldung „Mail delivery failed“ kann bedeuten, dass dein Filter die Weiterleitung blockiert; das Radar nimmt trotzdem weiterhin Mails an, die durchkommen.
• Zusätzlich an den echten Anbieter, soweit er eine Meldeadresse auf der bekannten Website nennt.
• In Outlook.com die Nachricht markieren und Phishing melden. Der Absender wird gemeldet, aber nicht automatisch blockiert; dafür die Liste blockierter Absender.
• Danach Spam oder löschen. Ausnahme: Hast du schon geklickt oder einen Anhang geöffnet, bleibt die Mail ein Beweismittel. Die Verbraucherzentrale rät dann, sie nicht zu löschen.

Link geöffnet, keine Daten

Die Verbraucherzentrale: Schon der Seitenaufruf kann Schadsoftware nachladen, wenn Schutzprogramme oder Browser veraltet sind.

1. Seite schließen. Nichts eingeben, nichts herunterladen.
2. Virenschutz aktualisieren und das ganze Gerät prüfen.
3. Prüfen, ob Betriebssystem, Browser und Schutzprogramm automatische Updates nutzen.
4. Passwörter und Sicherheitsfragen nur ändern, wenn sie auf dem Gerät gespeichert waren oder du sie danach eingegeben hast.
5. Bei Online-Banking die Bank über den bekannten Kanal informieren.

Ein vollständiger Scan ist keine Garantie. Die Verbraucherzentrale sagt ausdrücklich, dass Schadsoftware Schutzprogramme manipulieren kann. Wenn du unsicher bist, holst du dir lokale Hilfe für die Entfernung; das ist keine Aufforderung, das Gerät selbst neu aufzusetzen.

Daten eingegeben: Konto und Karte zuerst

Die gemeinsame Checkliste von BSI und Polizei (Datum auf dem Dokument 20. Juni 2025, gelesen am 6. November 2026) trennt Zahlungsdaten und übrige Zugänge.

Karten, PIN, TAN, Online-Banking

• Zugang über den kostenfreien Sperr-Notruf 116 116 sperren, aus dem Ausland +49 116 116. Der Service beim Notruf ist kostenlos; aus Mobilfunk und Ausland können Verbindungsentgelte anfallen. Nicht jeder Herausgeber ist angeschlossen.
• Umsätze prüfen und die Bank über den bekannten Kanal informieren.
• Nach der Entsperrung nur neue Passwörter und PINs nutzen.
• Kein Geld an die Absenderin der Forderung zahlen. BSI und Polizei: Das ermutigt zu weiteren Angriffen.

E-Mail, Shop oder anderes Konto

• Sofort ein neues Passwort.
• Alle aktiven Sitzungen beenden.
• Prüfen, ob Einstellungen geändert oder Einkäufe ausgelöst wurden.
• Den Anbieter auch dann informieren, wenn du dich nicht mehr anmelden kannst.
• Weitere Konten prüfen, bei denen dieselbe E-Mail zum Zurücksetzen oder zur Anmeldung dient.

Anzeige. BSI und die Checkliste: Strafanzeige bei der örtlichen Polizei oder über das Portal der Onlinewachen. Die polizeiliche Kriminalprävention rät, E-Mails und Chatverläufe bis zum ersten Polizeikontakt möglichst unverändert zu lassen oder per Screenshot zu sichern. Eine Meldung an den Phishing-Radar ersetzt die Anzeige nicht.

Diese Schritte sind die von BSI, Polizei und Verbraucherzentrale beschriebenen Sofortmaßnahmen. Ob ein Geldinstitut erstattet, hängt vom Einzelfall ab und gehört nicht in diesen Text.

Was dieser Text nicht leistet

Am 6. November 2026 wurde keine echte Phishing-Mail geöffnet, kein Konto gesperrt und keine Anzeige erstattet. Die Schritte stammen aus den verlinkten Originalhilfen. Es gibt keine eigene Testreihe und keine Erfolgsquote.

Keine Rechtsberatung, keine Aussage zu Haftungsquoten oder Versicherungsleistungen. Keine Anleitung, fremde Konten zu prüfen. Signal-Phishing mit gekoppelten Geräten ist ein eigener Behördenleitfaden und hier nicht ausgearbeitet.

Wenn du Verbindungen in fremden Netzen absichern willst, hilft der VPN-Vergleich bei der Anbieterauswahl. Er ersetzt weder die Prüfung der Nachricht noch eine echte Website.

Geprüft am 6. November 2026: BSI, Verbraucherzentrale, Bundesnetzagentur, Polizeiliche Kriminalprävention, Microsoft, Sperr-Notruf.