Phishing bezeichnet den Versuch, über gefälschte E-Mails, SMS oder Webseiten an Passwörter, Kontodaten oder andere sensible Informationen zu gelangen, indem sich Betrüger als vertrauenswürdiger Absender wie eine Bank, ein Paketdienst oder ein bekanntes Unternehmen ausgeben. Wer Phishing erkennen will, muss heute genauer hinschauen als noch vor wenigen Jahren: Künstliche Intelligenz macht gefälschte Nachrichten sprachlich nahezu perfekt, Rechtschreibfehler oder holprige Formulierungen fallen damit als Warnsignal zunehmend weg. Gerade im Herbst, wenn Rechnungen für Heizöl, Paketlieferungen im Weihnachtsgeschäft oder Steuerbescheide vermehrt per Mail angekündigt werden, nutzen Kriminelle die erhöhte Ablenkung gezielt aus.
Wie Phishing-Angriffe im Detail ablaufen
Technisch betrachtet ist Phishing eine Form des Social Engineering, also der gezielten Manipulation von Menschen, um sie zur Preisgabe von Daten oder zu bestimmten Handlungen zu bewegen: Angreifer imitieren das Corporate Design bekannter Marken bis ins Detail, kopieren Logos, Farbschemata und sogar automatische Signaturen aus echten E-Mails. Klickt das Opfer auf den Link in der Nachricht, landet es nicht auf der echten Webseite, sondern auf einer täuschend ähnlichen Kopie, auf der Zugangsdaten abgegriffen werden, sobald es sich einloggt. Andere Varianten setzen auf Dateianhänge, die beim Öffnen Schadsoftware installieren, oder auf gefälschte Support-Anrufe, die zusätzlich zur E-Mail Druck aufbauen; diese telefonische Variante wird auch als Vishing bezeichnet. Besonders perfide sind sogenannte Spear-Phishing-Angriffe, bei denen Kriminelle vorab Informationen über ihr Ziel sammeln, etwa aus sozialen Netzwerken. Weil diese Angriffe gezielt auf eine einzelne Person zugeschnitten sind und die Nachricht dadurch persönlich und glaubwürdig wirkt, fallen selbst erfahrene Internetnutzerinnen und -nutzer regelmäßig auf gut gemachte Fälschungen herein.
Phishing erkennen: Die wichtigsten Warnzeichen
Trotz aller Raffinesse verraten sich viele Phishing-Versuche über wiederkehrende Muster:
- Unpersönliche Anrede trotz angeblich bestehender Kundenbeziehung
- Künstlich erzeugter Zeitdruck wie „Ihr Konto wird in 24 Stunden gesperrt“
- Absenderadressen, die auf den zweiten Blick nicht zur genannten Firma passen
- Links, die beim Darüberfahren mit der Maus eine andere Zieladresse anzeigen
Wie ernst die Lage inzwischen ist, zeigt der BSI-Cybersicherheitsmonitor 2026 des Bundesamts für Sicherheit in der Informationstechnik (BSI): Innerhalb von zwölf Monaten wurden 11 Prozent der Internetnutzerinnen und -nutzer in Deutschland Opfer von Cyberkriminalität, wobei Phishing mit 12 Prozent zu den häufigsten Angriffsformen zählte. In 86 Prozent dieser Fälle kam dabei bereits künstliche Intelligenz zum Einsatz, die Texte natürlicher klingen lässt. Auch Bitkom bestätigt den Trend: Ende 2025/Anfang 2026 waren bereits 82,6 Prozent aller Phishing-Mails KI-generiert. Wer zusätzlich zur eigenen Aufmerksamkeit auf technische Schutzmaßnahmen setzt, etwa auf einen zuverlässigen VPN-Dienst in öffentlichen WLAN-Netzen, reduziert das Risiko, dass abgefangene Daten überhaupt verwertbar sind.
Was tun nach einem Klick auf den Phishing-Link?
Wer versehentlich auf einen Phishing-Link geklickt oder Zugangsdaten eingegeben hat, sollte als Erstes das betroffene Passwort ändern: idealerweise über die offizielle App oder eine selbst eingetippte Adresse, niemals über den Link aus der verdächtigen Nachricht. Wurde dasselbe Passwort auch für andere Konten verwendet, sollte es dort ebenfalls geändert werden. Wie sich Zugangsdaten grundsätzlich sicherer verwalten lassen, zeigt unser separater Ratgeber zum Passwort-Manager für Zugangsdaten. Ist eine Zwei-Faktor-Authentifizierung eingerichtet, sollten Sie zusätzlich hinterlegte Geräte und aktive Sitzungen prüfen und gegebenenfalls abmelden. Bei Verdacht auf einen finanziellen Schaden hilft ein schneller Anruf bei der Bank, um Karten oder Konten vorübergehend zu sperren. Besonders im Homeoffice, wo private und berufliche Geräte oft näher beieinanderliegen als im Büro, lohnt sich ein zweiter Blick auf die eigene Sicherheitsroutine: Unser Beitrag zum Homeoffice optimal einrichten geht auch auf Fragen der digitalen Grundausstattung ein, die sich mit wenigen Handgriffen deutlich sicherer gestalten lässt. Unternehmen sollten verdächtige Mails zusätzlich an die IT-Abteilung weiterleiten, damit Kolleginnen und Kollegen rechtzeitig gewarnt werden. Ein einzelner unbemerkter Klick kann im schlimmsten Fall auch den Weg für Ransomware im Unternehmensnetzwerk öffnen.
Häufige Fragen zu Phishing
Woran erkenne ich eine gefälschte Absenderadresse?
Ein Blick auf die vollständige E-Mail-Adresse lohnt sich immer, nicht nur auf den angezeigten Namen: Oft verstecken sich hinter „Ihre Bank“ tatsächlich kryptische Domains mit Zahlen- oder Buchstabendrehern. Kriminelle nutzen dafür teils sogenannte Homograph-Angriffe, bei denen einzelne Buchstaben durch optisch ähnliche Zeichen ersetzt werden. Schon ein einzelner vertauschter Buchstabe in der Domain reicht aus, um täuschend echt zu wirken.
Sind Rechtschreibfehler noch ein zuverlässiges Warnsignal?
Nicht mehr uneingeschränkt. Da viele Phishing-Mails inzwischen mit KI-Textgeneratoren erstellt werden, sind Grammatik und Rechtschreibung oft fehlerfrei. Verlässlicher sind daher der Kontext der Nachricht, ungewöhnliche Zahlungsaufforderungen und Links, die beim Darüberfahren mit der Maus eine andere Adresse anzeigen als im Text sichtbar.
Was mache ich mit einer verdächtigen E-Mail am besten?
Links und Anhänge nicht öffnen, den Absender nicht direkt antworten und die Nachricht stattdessen über die Melde-Funktion des E-Mail-Anbieters weiterleiten. Wer unsicher ist, ob eine Zahlungsaufforderung echt ist, kontaktiert das betreffende Unternehmen über die offiziell bekannte Telefonnummer oder Webseite – niemals über die Kontaktdaten aus der fraglichen Mail.
Schützt ein Spamfilter zuverlässig vor Phishing?
Ein guter Spamfilter fängt einen großen Teil der Massen-Phishing-Mails ab, bietet aber keinen vollständigen Schutz. Gezielte Spear-Phishing-Angriffe, die individuell auf eine Person zugeschnitten sind, umgehen Filter häufig, weil sie technisch unauffällig wirken und keine typischen Spam-Merkmale wie Massenversand aufweisen.
Wie sinnvoll ist Zwei-Faktor-Authentifizierung gegen Phishing?
Sehr sinnvoll, denn selbst wenn Kriminelle das Passwort erbeuten, fehlt ihnen für den Login meist der zweite Faktor wie ein Code aus einer App. Umfassenderen Schutz bieten Verfahren, die auf Hardware-Sicherheitsschlüsseln nach dem FIDO2-Standard basieren, da Einmalcodes per SMS in seltenen Fällen ebenfalls abgefangen werden können.
Fazit
Phishing zählt weiterhin zu den häufigsten Wegen, über die Kriminelle an Zugangsdaten gelangen, und künstliche Intelligenz verschärft die Masche zusätzlich: Sprachliche Fehler taugen als Warnsignal kaum noch. Wer auf die unpersönliche Anrede, künstlichen Zeitdruck oder eine abweichende Absenderadresse achtet, senkt das eigene Risiko bereits spürbar. Zwei-Faktor-Authentifizierung und ein sorgfältig gepflegter Passwort-Manager fangen zudem viele Fälle ab, in denen Zugangsdaten trotz aller Vorsicht einmal abfließen. Ein einziger unbedachter Klick reicht aus, um ein Konto oder, im Unternehmenskontext, ein ganzes Netzwerk zu kompromittieren.