Phishing ist keine einzelne Betrugsmasche, sondern eine Familie von Verfahren, die sich staendig anpasst. Was vor zehn Jahren an Rechtschreibfehlern und fremden Absendern erkennbar war, kommt heute in korrektem Deutsch, mit passendem Layout und oft aus echter Infrastruktur. Die Muster haben sich verschoben: von der Massenmail zum persoenlich adressierten Anruf, von der gefaelschten Bankseite zum echten Anmeldeportal, das nur als Vermittler dient. Dieser Ratgeber beschreibt, was 2026 tatsaechlich dominiert, welche Gegenproben sich lohnen und was nach einem Fehlklick zu tun ist.

Was sich gegenueber frueheren Wellen veraendert hat

Die technische Qualitaet ist gestiegen. Taeglich werden Millionen Domains registriert, ein Teil davon fuer wenige Stunden, um Loginseiten nachzubauen. Zertifikate sind kostenlos, verschluesselte Verbindungen also Standard und kein Qualitaetsmerkmal mehr. Gleichzeitig sind die Datenbestellungen der Angreifer besser geworden: Adressen, Namen, Geburtsdaten und Arbeitgeber liegen aus aelteren Lecks vor und werden zu glaubwuerdigen Nachrichten zusammengesetzt. Wer einmal bei einem Shop bestellt hat, kann Jahre spaeter eine Mail bekommen, die genau diese Bestellung nennt.

Der zweite Wandel betrifft den Kanal. Mailfilter sind gut genug, dass die klassische Massenmail nur noch selten durchkommt. Verlagerte sich der Erstkontakt auf SMS, Messenger und Anrufe, fehlen dort die technischen Pruefungen weitgehend. Ein Anruf mit unterdrueckter Nummer und einem Satz wie dem angeblichen Betrugsschutz der Bank braucht keine Infrastruktur, nur ein Callcenter und einen Gespraechsleitfaden. Fuer Angreifer ist das billiger als jede Mailkampagne.

Der dritte Unterschied ist die Arbeitsteilung. Tauchten frueher ganze Betrugsbaenke selbst auf, arbeiten heute Zulieferer, Vermittler und Ausfuehrende getrennt. Es gibt Bausteine fuer gefaelschte Anmeldeseiten, Mietangebote fuer Callcenter und Dienstleister, die gestohlene Sitzungen weiterverkaufen. Diese Arbeitsteilung erklaert, warum die Qualitaet einzelner Nachrichten so unterschiedlich ist: Sie stammen nicht aus einer Hand.

Die Muster, die 2026 dominieren

Sechs Grundmuster decken den Grossteil der gemeldeten Faelle ab. Sie unterscheiden sich darin, was der Angreifer erreichen will: Zugangsdaten, eine Bestaetigung in einer App, eine Ueberweisung oder schlicht installierte Software. Die Zuordnung hilft, weil sie die Gegenprobe vorgibt, bevor man den Inhalt im Detail liest.

Gemeinsam ist allen Mustern die Zeitachse. Sie funktionieren, weil sie eine Frist setzen: Das Paket wird zurueckgeschickt, das Konto in 24 Stunden gesperrt, die Ueberweisung laeuft in zehn Minuten ab. Wer in diesem Moment nicht reagiert, verliert, so lautet die Botschaft. Genau dagegen hilft der einzige verlaessliche Reflex: nicht ueber den Kanal reagieren, sondern ueber einen selbst gewaehlten Weg, also die App, die bekannte Telefonnummer oder ein Lesezeichen.

Der Anruf ist der schwierigste Fall

Am Telefon fallen fast alle technischen Merkmale weg. Es gibt keine Absenderadresse, kein Impressum, keinen Link zum Pruefen. Was bleibt, ist der Inhalt, und der ist bei gut vorbereiteten Anrufen stimmig. Wer nach zwei Minuten Gespraech drei Details aus dem eigenen Konto hoert, neigt dazu, auch den Rest zu glauben. Deshalb gilt fuer Anrufe eine eigene Regel: kein Gespraech ueber Konten, keine Bestaetigung in einer App, kein Fernzugriff, und Rueckruf ausschliesslich ueber die Nummer, die auf der Karte steht.

Die zweite Schwaeche des Telefons ist die Hoeflichkeit. Auflegen fuehlt sich unanstaendig an, besonders wenn der Gegenueber freundlich und besorgt klingt. Es hilft, den Satz vorher einmal geuebt zu haben, etwa: „Ich rufe selbst zurueck, vielen Dank.“ Wer diesen Satz beherrscht, muss im Moment nicht argumentieren, und genau darum geht es. Ein aufgelegtes Gespraech kostet nichts, ein bestaetigter Auftrag dagegen sehr viel.

Kanaele im Vergleich

Jeder Kanal hat eigene Schwaechen, fuer Angreifer wie fuer Verteidiger. Eine Uebersicht hilft, das Risiko richtig zu gewichten und die Pruefung an den Kanal anzupassen, statt fuer alles dieselbe Regel zu verwenden.

Bemerkenswert ist der letzte Eintrag. Schriftliche Forderungen mit gut gestalteten Briefkoepfen nehmen zu, weil gedruckte Post weniger Misstrauen ausloest als eine Mail. Die Pruefung ist einfach: Jede Forderung muss sich schriftlich und mit Rechtsgrundlage beantworten lassen. Wer nicht zahlt, sondern widerspricht, verliert nichts ausser Zeit, und serioese Inkassodienste reagieren auf einen begruendeten Widerspruch mit einer Pruefung.

Bei Mail ist die wichtigste Gegenprobe unspektakulaer: die vollstaendige Absenderadresse anzeigen lassen. Sie besteht aus einem Anzeigenamen, der beliebig waehlbar ist, und einer Adresse, die tatsaechlich gebunden ist. Betrugsmails nutzen Anzeigenamen wie den Namen einer Bank und eine Adresse bei einem fremden Anbieter. Wer diesen Unterschied einmal gesehen hat, erkennt ihn spaeter in Sekunden.

Drei Signale, die fast immer stimmen

Es gibt kein Merkmal, das jede Betrugsnachricht entlarvt. Drei Beobachtungen sind aber so zuverlaessig, dass sie im Zweifel genuegen, und sie lassen sich in wenigen Sekunden pruefen, ohne den Inhalt zu bewerten.

1. Die Aufforderung, einen Link zu benutzen, statt die App oder ein Lesezeichen zu oeffnen
2. Zeitdruck in Kombination mit einer Drohung, etwa Sperrung, Inkasso oder Kontoloeschung
3. Die Bitte, einen Code weiterzugeben, eine App zu installieren oder Fernzugriff zu erlauben

Diese drei Punkte decken keine Seltenheitsfaelle ab, aber sie treffen den Kern: Phishing braucht eine Handlung, die nur der Angreifer will. Wer regelmaessig prueft, ob eine Nachricht zu einer dieser Kategorien passt, senkt die Trefferquote deutlich, ohne jeden Fall einzeln zu analysieren. Mit der Zeit entsteht daraus ein Reflex, der auch dann greift, wenn die Nachricht gut gemacht ist.

Ein viertes Signal ist schwaechaer, aber nuetzlich: die Erwartbarkeit. Eine Rechnung von einem Anbieter, bei dem man seit Jahren nicht bestellt hat, ist ungewoehnlich. Eine Nachricht ueber ein Paket, das man nicht erwartet, ebenfalls. Wer sich eine Sekunde nimmt und fragt, ob diese Nachricht in den eigenen Alltag passt, filtert einen grossen Teil der Faelle heraus, bevor der Inhalt ueberhaupt eine Rolle spielt.

Wenn es passiert ist: die ersten sechzig Minuten

Nach einem Fehlklick zaehlt die Reihenfolge mehr als die Perfektion. Wer in der ersten Stunde die richtigen Schritte geht, verhindert in vielen Faellen den Schaden vollstaendig. Die folgende Aufteilung ist eine Orientierung, keine starre Vorgabe; wichtiger als das genaue Zeitfenster ist, dass alle Schritte tatsaechlich erfolgen.

Der wichtigste Schritt ist selten der offensichtliche. Viele Betroffene aendern sofort das Passwort, lassen aber die aktive Sitzung bestehen, und der Angreifer arbeitet einfach weiter. Deshalb gehoert zum Passwortwechsel immer das Abmelden aller Geraete. Bei Diensten mit Passkeys ist der Widerruf des Eintrags der entsprechende Schritt, danach wird ein neuer Passkey angelegt.

Bei Ueberweisungen entscheidet die Uhr. Innerhalb des Buchungstages laesst sich eine Zahlung haeufig noch stoppen, danach beginnt ein formaler Weg ueber die Bank. Je frueher der Anruf, desto besser die Aussicht. Wer zwoelf Stunden wartet, weil er sich schaemt, verliert genau diese Option. Es hilft, sich vor Augen zu halten, dass Banken solche Faelle taeglich bearbeiten und die Scham keinem Beteiligten hilft.

Was danach folgt, ist Aufraeumen. Pruefen Sie, ob dieselbe Adresse bei anderen Diensten verwendet wurde, und aendern Sie dort vorsorglich das Passwort. Kontrollieren Sie gespeicherte Zahlungsmittel und Versandadressen. Bei Diensten mit Kontoauskunft lohnt ein Blick auf die Anmeldehistorie, weil daraus hervorgeht, ob und von wo aus zugegriffen wurde.

Warum technische Filter allein nicht reichen

Filter sind gut geworden. Sie erkennen Massenmail an Struktur, Reputation und Inhalt und halten den Grossteil davon ab. Gegen gezielte Nachrichten mit wenigen Empfaengern wirken sie schlechter, weil es keine Masse gibt, aus der sich ein Muster ableiten liesse. Und gegen SMS und Anrufe helfen sie gar nicht, weil diese Wege ausserhalb der geschuetzten Strecke liegen.

Die zweite Grenze ist organisatorisch. Ein Filter, der zu streng eingestellt ist, blockiert echte Rechnungen; ein zu lascher laesst Werbung und Betrug durch. Wer die Empfindlichkeit erhoeht, verschiebt das Problem nur. Sinnvoll ist eine Kombination aus mittlerer Filterstufe, klaren internen Regeln und einer Kultur, in der das Nachfragen nicht als Unfaehigkeit gilt. Genau das Nachfragen ist naemlich der Filter, der sich nicht umgehen laesst.

Was im Alltag wirklich hilft

Vier Gewohnheiten bringen mehr als jedes Werkzeug. Sie kosten zusammen weniger als eine Minute pro Tag und decken die meisten realistischen Faelle ab, ohne dass man jede Nachricht analysieren muss.

• Links nie aus der Nachricht oeffnen, sondern die App oder ein Lesezeichen verwenden
• Bei Geld- und Kontofragen immer selbst zurueckrufen, nie auf den eingehenden Anruf eingehen
• Zwei Faktor mit App oder Passkey statt per SMS-Code
• In der Familie ein Codewort fuer Notfaelle vereinbaren

Die dritte Gewohnheit ist die wirksamste. SMS-Codes lassen sich per Umleitung oder durch Uebernahme der Rufnummer abfangen, ein Code aus einer App oder eine Signatur per Passkey nicht. Wer diesen einen Wechsel vollzieht, entzieht einem ganzen Angriffsmuster die Grundlage. Der Rest ist Aufmerksamkeit, die sich mit Uebung einstellt, und die Bereitschaft, im Zweifel lieber einmal zu viel nachzufragen.

Haeufige Fragen