Start › Ratgeber › Phishing und Smishing
Ratgeber · SicherheitPhishing und Smishing erkennen und abwehren
Kurzantwort
Der Ratschlag, den fast jeder kennt, funktioniert nicht mehr: Auf Rechtschreibfehler zu achten ist wirkungslos geworden. Die Verbraucherzentrale warnt ausdrücklich davor, sich darauf zu verlassen – KI-generierte Nachrichten sind fehlerfrei, sprachlich korrekt und dank Datenlecks oft mit richtigem Namen und passender Bank personalisiert. Was bleibt, sind vier Merkmale: Druck zum sofortigen Handeln, eine minimal abweichende Absenderadresse, ein Bruch im gewohnten Ablauf und ein Linkziel, das nicht zum angezeigten Text passt. Und eine Regel, die zuverlässiger ist als jedes Erkennen: Öffnen Sie die App oder Seite immer selbst, statt einem Link zu folgen.
Phishing kommt per E-Mail, Smishing per SMS oder Messenger, Vishing per Anruf. Die Masche ist in allen drei Fällen dieselbe: Jemand gibt sich als vertrauenswürdige Stelle aus und bringt Sie dazu, Zugangsdaten preiszugeben oder eine Zahlung freizugeben. Neu ist nicht die Masche, neu ist ihre Qualität.
Warum die alten Erkennungsmerkmale versagen
Über Jahre galt eine einfache Faustregel: Wer schlechtes Deutsch, seltsame Anreden und krude Logos sieht, hat Betrug vor sich. Diese Merkmale sind verschwunden. Sprachmodelle erzeugen fehlerfreie, dem Anlass angemessene Texte in Sekunden – und weil aus Datenlecks Millionen von Namen, Adressen und Kundennummern kursieren, sprechen viele Nachrichten ihre Empfänger korrekt an und nennen die tatsächliche Hausbank.
Das hat eine unangenehme Nebenwirkung: Eine gut formulierte Nachricht wirkt vertrauenswürdiger. Der Maßstab, an dem wir jahrelang gemessen haben, schlägt heute also zugunsten der Angreifer aus.
Die eine Regel, die zuverlässig schützt
Weil Erkennen unsicher geworden ist, verlagert sich der Schutz auf das Verhalten. Die wirksamste Regel lautet: Folgen Sie keinem Link, der zu einer Anmeldung oder einer Zahlung auffordert. Öffnen Sie stattdessen die App oder tippen Sie die Adresse selbst in den Browser. Wenn die Nachricht echt war, finden Sie das Anliegen dort ebenfalls – und wenn nicht, ist nichts passiert.
Diese Regel hat einen entscheidenden Vorteil gegenüber jeder Erkennungsstrategie: Sie funktioniert auch dann, wenn die Fälschung perfekt ist. Sie müssen den Betrug nicht mehr erkennen, um ihn ins Leere laufen zu lassen.
Neue Varianten: QR-Codes und der angekündigte Anruf
Zwei Maschen verdienen besondere Aufmerksamkeit. Beim Quishing steht statt eines Links ein QR-Code in der Nachricht – Sicherheitsfilter analysieren Bilder in der Regel nicht, der Code kommt also durch. Noch wirksamer ist die Kombination aus SMS und Anruf: Eine Nachricht kündigt an, dass sich gleich ein Mitarbeiter meldet. Der Anruf kommt tatsächlich – von einem Kriminellen, dessen Stimme per Software erzeugt wird. Wer die SMS für echt hält, hält auch den Anruf für echt. Keine Bank verlangt telefonisch TANs oder Freigaben.
Wenn Sie geklickt haben
Warum ausgerechnet die SMS so wirksam ist
Smishing hat in den vergangenen Jahren stark zugenommen, und das hat einen einfachen Grund: Wir vertrauen SMS mehr als E-Mails. Der Posteingang ist für viele ein Ort mit Werbung und Spam, das SMS-Postfach dagegen enthält Paketbenachrichtigungen, Termincodes und Bestätigungen – überwiegend echte, nützliche Nachrichten. Genau dieses Vertrauen wird ausgenutzt.
Verschärfend kommt hinzu, dass Absendernamen bei SMS technisch frei wählbar sind. Eine gefälschte Nachricht kann deshalb im selben Verlauf erscheinen wie echte Mitteilungen Ihrer Bank – der Kontext spricht dann scheinbar für ihre Echtheit. Ein Verlauf ist folglich kein Beweis, und das ist einer der wichtigsten Punkte dieser Seite.
Vorbeugen mit wenig Aufwand
- Zwei-Faktor-Anmeldung überall aktivieren, wo es sie gibt – am besten per App statt per SMS.
- Für jeden Dienst ein eigenes Passwort, verwaltet in einem Passwortmanager. Das begrenzt den Schaden auf einen einzigen Zugang.
- Updates zeitnah installieren – siehe auch Virenschutz auf Android.
- Keine Apps aus fremden Quellen installieren, schon gar nicht auf Aufforderung aus einer Nachricht.
- Im Zweifel die offizielle Nummer wählen, die auf der Bankkarte steht – nicht die aus der Nachricht.
Nicht erkennen müssen, sondern nicht klicken
Wer Anmeldungen und Zahlungen grundsätzlich selbst in der App aufruft, ist auch gegen perfekte Fälschungen geschützt.
Datenschutz einrichten Alle Ratgeber ansehenHäufige Fragen zu Phishing und Smishing
Was ist der Unterschied zwischen Phishing, Smishing und Vishing?
Der Kanal. Phishing läuft per E-Mail, Smishing per SMS oder Messenger, Vishing per Telefonanruf. Die Methode ist jeweils dieselbe: Jemand gibt sich als vertrauenswürdige Stelle aus, um Zugangsdaten oder Zahlungsfreigaben zu erlangen.
Kann ich Betrugsnachrichten noch an Rechtschreibfehlern erkennen?
Nein, darauf sollten Sie sich nicht mehr verlassen. Die Verbraucherzentrale warnt ausdrücklich davor: Mit Sprachmodellen erzeugte Nachrichten sind sprachlich korrekt und häufig personalisiert. Eine fehlerfreie Nachricht ist heute kein Echtheitsnachweis, sondern der Normalfall.
Welche Merkmale funktionieren noch?
Vier bleiben verlässlich: Druck zum sofortigen Handeln, eine Absenderadresse, die nur minimal vom Original abweicht, ein Bruch im gewohnten Ablauf und ein Linkziel, das nicht zum angezeigten Text passt. Am stärksten ist die Eile – seriöse Stellen setzen keine Minutenfristen.
Was ist die wirksamste Schutzregel?
Folgen Sie keinem Link, der zu einer Anmeldung oder Zahlung auffordert. Öffnen Sie stattdessen die App oder tippen Sie die Adresse selbst ein. Diese Regel wirkt auch dann, wenn die Fälschung perfekt ist – Sie müssen den Betrug gar nicht erkennen.
Was ist Quishing?
Eine Variante, bei der statt eines Links ein QR-Code in der Nachricht steht. Sicherheitsfilter analysieren Bilder in der Regel nicht, der Code passiert sie also unbemerkt. Gescannt wird er meist mit dem Smartphone, wo die Zieladresse schlechter zu prüfen ist als am Rechner.
Eine SMS kündigt einen Anruf meiner Bank an – ist das echt?
Das ist eine bekannte Masche. Die SMS schafft Vertrauen für den folgenden Anruf, bei dem die Stimme technisch erzeugt sein kann. Keine Bank verlangt telefonisch TANs, PINs oder Freigaben. Legen Sie auf und rufen Sie die Nummer an, die auf Ihrer Bankkarte steht.
Warum erscheinen gefälschte SMS im Verlauf echter Nachrichten?
Weil der Absendername bei SMS technisch frei wählbar ist. Eine gefälschte Nachricht kann sich dadurch in einen bestehenden Verlauf einreihen und wirkt durch den Kontext echt. Ein gemeinsamer Verlauf ist deshalb kein Beweis für Echtheit.
Was sollte ich zuerst tun, wenn ich Daten eingegeben habe?
Ändern Sie zuerst das Passwort des betroffenen Dienstes und überall dort, wo Sie dasselbe verwendet haben. Sichern Sie danach Ihr Mailkonto ab, weil es der Generalschlüssel zum Zurücksetzen aller anderen Zugänge ist. Sind Zahlungsdaten betroffen, informieren Sie sofort Ihre Bank.
Hilft eine Sicherheits-App gegen Phishing?
Teilweise. Einige Pakete warnen vor bekannten Betrugsseiten und prüfen Nachrichten. Gegen neue, individuell erzeugte Nachrichten greift das nur begrenzt. Der eingebaute Schutz auf Android deckt Phishing kaum ab – wirksamer ist die Regel, Links grundsätzlich nicht zu folgen.
Quellen und Stand: Verbraucherzentrale, Hinweise zu Phishing und zum Phishing-Radar · aktuelle Sicherheitsanalysen zu KI-gestützten Kampagnen 2026 · eigene Einordnung. Stand: 23. Juli 2026.
Betrugsmaschen ändern sich schnell. Diese Seite beschreibt deshalb Muster statt einzelner Kampagnen – die konkreten Absender und Anlässe wechseln, die Mechanik bleibt.