Phishing
Phishing ist ein Betrugsversuch, bei dem sich jemand per E-Mail, SMS oder gefälschter Webseite als vertrauenswürdige Stelle ausgibt, um an Passwörter, Kontodaten oder Geld zu kommen. Der Angriff zielt nicht auf technische Lücken, sondern auf die Gutgläubigkeit und Eile der Empfänger.
Phishing ist eine Betrugsmasche im Internet. Jemand schreibt dir eine Nachricht und tut so, als käme sie von deiner Bank, von einem Paketdienst oder von einer Schulplattform. In der Nachricht steht meist, dass etwas dringend geklärt werden muss, und darunter ein Link. Klickst du darauf, landest du auf einer nachgebauten Seite, die dem Original täuschend ähnlich sieht. Tippst du dort dein Passwort ein, geht es nicht an die Bank, sondern direkt an die Betrüger. Der Name spielt mit dem englischen Wort für Angeln: Es wird ein Köder ausgeworfen, und wer anbeißt, hängt am Haken.
Der häufigste Weg in fremde Konten
Die meisten erfolgreichen Angriffe auf Firmen und Privatpersonen beginnen nicht mit einem genialen Hacker-Trick. Sie beginnen damit, dass jemand ein Passwort freiwillig herausgibt. Sicherheitsberichte großer Anbieter nennen Phishing seit Jahren als den häufigsten Einstiegspunkt. Ein Angreifer braucht keine Sicherheitslücke im Programm, wenn er den Menschen davor überzeugen kann.
Der Schaden bleibt selten bei einem Konto. Wer Zugriff auf ein E-Mail-Postfach hat, kann bei anderen Diensten das Passwort zurücksetzen lassen. In Unternehmen dient ein gestohlener Zugang oft nur als Türöffner. Danach folgen Datendiebstahl oder Erpressungssoftware, die alle Dateien verschlüsselt. Einzelne Fälle haben Konzerne dreistellige Millionenbeträge gekostet.
Wichtig ist die Abgrenzung zu einem Virus. Ein Virus ist ein Schadprogramm, das sich auf dem Gerät einnistet. Phishing dagegen ist reine Täuschung und funktioniert auch dann, wenn dein Computer völlig sauber und aktuell ist. Ein Virenscanner allein schützt also nicht.
Der Köder und die gefälschte Seite
Ein Phishing-Versuch läuft fast immer nach demselben Muster ab. Zuerst kommt die Nachricht mit einem erfundenen Anlass: Ein Paket kann nicht zugestellt werden, das Konto wurde angeblich gesperrt, eine Rechnung sei offen. Dann folgt Zeitdruck, oft mit einer Frist von 24 Stunden. Wer sich unter Druck fühlt, prüft weniger genau. Der Link führt schließlich auf eine Kopie der echten Webseite, die manchmal Pixel für Pixel nachgebaut ist.
Der wichtigste Prüfpunkt ist die Adresse im Browser. Betrüger nutzen Domains, die dem Original ähneln, etwa mit einem zusätzlichen Bindestrich oder einer vertauschten Buchstabenfolge. Auch der Absender einer E-Mail lässt sich fälschen und sagt für sich genommen wenig aus. Ein guter Schutz ist die Zwei-Faktor-Authentifizierung: Dabei braucht man neben dem Passwort noch einen zweiten Nachweis, etwa einen Code aus einer App. Selbst ein gestohlenes Passwort reicht dann meist nicht mehr aus.
Es gibt gezieltere Varianten. Beim sogenannten Spear-Phishing recherchieren die Angreifer ihr Opfer vorher. Sie kennen den Namen des Chefs, laufende Projekte oder den bestellten Artikel. Solche Nachrichten wirken deutlich glaubwürdiger als Massenmails. Sprachmodelle, also KI-Systeme, die flüssige Texte schreiben, haben diese Arbeit erheblich vereinfacht.
Von Paket-SMS bis zum gefälschten Anruf
Im Alltag begegnet Phishing den meisten Menschen als SMS über eine angebliche Paketsendung oder als E-Mail zu einem Streaming-Abo. Auch Nachrichten über WhatsApp gehören dazu, etwa die bekannte Masche mit der neuen Handynummer eines Familienmitglieds. Für den Weg über SMS hat sich der Begriff Smishing eingebürgert, für Anrufe Vishing. Das Prinzip bleibt in allen Fällen gleich.
In den Nachrichten taucht Phishing meist im Zusammenhang mit größeren Datenpannen auf. Häufig heißt es dann, Angreifer hätten sich über einen kompromittierten Mitarbeiterzugang Zugang verschafft. Genau das ist in der Regel ein Phishing-Fall. Banken und Behörden warnen deshalb regelmäßig und betonen einen einfachen Grundsatz: Sie fragen niemals per Link nach Passwörtern oder Kartendaten.
Ein verbreiteter Irrtum ist, dass man Phishing an schlechtem Deutsch erkennt. Das galt vor einigen Jahren, ist heute aber überholt, weil KI-Werkzeuge fehlerfreie Texte in jeder Sprache liefern. Inzwischen kursieren sogar gefälschte Anrufe mit nachgeahmten Stimmen. Verlässlich ist nur eines: nie über den mitgeschickten Link gehen, sondern die Seite selbst im Browser aufrufen oder bei der echten Nummer nachfragen.