Phishing: Beliebte Maschen und wie Du sie erkennst

15.10.2026 - 10:07 Uhr

Wir erläutern, warum die Phishing-Gefahr zugenommen hat, vor welchen Tricks Du Dich besonders in Acht nehmen solltest und wie Du Risiken minimieren kannst.

Darum ist Phishing gefährlicher denn je

Auf den ersten Blick ist Phishing ein alter Hut. Bereits seit Mitte der 1990er Jahre versuchen Cyberkriminelle, durch diese Methode mit gefälschten Mitteilungen sensible Daten wie Passwörter oder Zugangscodes zu erbeuten. Doch vor allem durch zwei Entwicklungen hat sich das Risiko, Opfer einer Phishing-Attacke zu werden, in letzter Zeit erhöht.

Der erste relevante Faktor ist die steigende Nutzung generativer KI‑Programme. Früher wimmelte es in Phishing-Nachrichten von Grammatik- und Rechtschreibfehlern sowie holprigen Formulierungen. Heute lassen Kriminelle die Texte einfach und in Sekundenschnelle von ChatGPT und Co. in korrektem und flüssigem Deutsch erstellen. Dadurch sind die entsprechenden Mitteilungen nicht nur fehlerfrei, sondern klingen – bei Verwendung geeigneter Prompts – auch wie glaubwürdige Mitteilungen eines Unternehmens.

Zudem haben Hacker auch technisch aufgerüstet. Die Zeiten, in denen Du Dich bei der Verwendung von bewährten Schutzmechanismen absolut sicher fühlen konntest, sind vorbei. Dabei zeigen die folgenden Phishing-Tricks, dass sich sogar weit verbreitete Verfahren austricksen lassen – etwa die beliebte Zwei-Faktor-Authentifizierung (2FA).

Masche Nummer 1: Phishing-Attacke auf Dein Online-Banking

Ein echter Klassiker unter den Phishing-Angriffen sind E-Mails, die angeblich von Deiner Bank stammen und Dich zur Preisgabe Deiner Zugangsdaten animieren wollen. Diese Mitteilungen enthalten inzwischen auch authentische Logos des jeweiligen Kreditinstituts. Beispiele für entsprechende Phishing-Mails aus dem deutschsprachigen Raum sind:

- "Bestätigung Ihrer Mobilfunknummer erforderlich" (vorgeblich Easybank)

- "PHOTO-TAN Update erforderlich" (vorgeblich Commerzbank)

- "Reaktivierung Ihres photoTAN-Sicherheitszertifikats" bzw. "Telefonnummern-Verifizierung erforderlich" (vorgeblich Deutsche Bank)

- "Ihre DKB-App-Registrierung läuft ab" (vorgeblich DKB)

Aber warum nehmen Cyberkriminelle Online-Banking verstärkt ins Visier? Weil sich durch den erschlichenen Zugang zu Bankkonten besonders viel Geld erbeuten lässt. Oft haben die Betrüger mithilfe der gestohlenen Zugangsdaten bereits abkassiert, bevor es zu einer Kontensperrung kommt.
Masche Nummer 2: Cloud-Phishing via OneDrive und Co.

Cloud-Services erfreuen sich immer größerer Beliebtheit. Das ist allerdings auch Cyberkriminellen bewusst. Deswegen instrumentalisieren sie Dienste wie Microsoft OneDrive für ihre Phishing-Angriffe. Dafür nutzen sie nicht primär E-Mails, sondern vor allem vermeintliche Freigabe-Mitteilungen mit einem unverfänglichen Betreff wie "Dokument wurde mit Ihnen geteilt". Wer sich den Inhalt der Nachricht genauer anschaut, stößt meistens auf vermeintlich authentische Projektnotizen oder Rechnungen.

Die Kombination von gefälschten mit authentischen Komponenten macht die Masche besonders gefährlich. So nutzen etwa viele Hacker Cloud-Dienste, denen Nutzer vertrauen. Mit manipulierten Dateien versuchen die Angreifer dann, Zugang zu Nutzernamen und Passwörtern zu erhalten. Diese Informationen lassen sich nicht nur zu Geld machen. Die Kriminellen können auch Dein Konto übernehmen und es für weitere Phishing-Angriffe verwenden.
Masche Nummer 3: OAuth-Device-Code-Flow-Autorisierungstrick bei Microsoft 365

Der sogenannte OAuth-Device-Code-Flow-Autorisierungstrick ist zwar relativ neu, kombiniert aber ebenfalls gefälschte mit echten Elementen. Zunächst erhältst Du eine Phishing-Mitteilung. Diese soll Dich dazu bringen, sensible Informationen einzugeben. Weil Du das natürlich nicht ohne Weiteres tun würdest, tarnt sie sich als Nachricht von Microsoft 365. Inhalt: Deine Sitzung sei abgelaufen und Du müsstest Dich neu anmelden. Ein passender Link ist auch gleich mit dabei. Dieser führt Dich zunächst zu einer Phishing-Website und danach zum echten Authentifizierungsverfahren von Microsoft. Hier authentifizierst Du aber nicht Dich bzw. Deinen Computer. Stattdessen gewährst Du Cyberkriminellen über ein Token Zugang zu Deinem Microsoft-Account.

Die Masche ist besonders gefährlich, weil sie sogar die Zwei-Faktor-Authentifizierung aushebeln kann. Dementsprechend können Hacker so auch geschützte Konten übernehmen. Der Name des Tricks stammt von dem Anmeldeverfahren "OAuth 2.0 Device Authorization Grant". Dieses wird von Hackern hier zweckentfremdet. Denn eigentlich dient es dazu, Geräte anzumelden, die entweder keinen eigenen Webbrowser haben oder bei denen die Texteingabe sehr umständlich wäre. Dazu zählen etwa Smart-TVs, Videospielkonsolen und diverse IoT-Geräte.

Bei neueren Varianten des Tricks nutzen Hacker keinen klassischen Link mehr, sondern einen QR-Code, der zur Phishing-Webseite führt. Das bietet ihnen gleich mehrere Vorteile. Zum einen lassen sich so einige Spamfilter täuschen. Zum anderen sind leistungsfähige Antivirenprogramme auf Smartphones noch deutlich weniger verbreitet als auf PCs.
Masche Nummer 4: Vermeintliche Warnmeldung Deiner Antiviren-Software

Cyberkriminelle machen sich inzwischen sogar die Tatsache zunutze, dass Du auf Deinem Computer eine Sicherheitssoftware verwendest. Sie verschicken gefälschte Nachrichten, dass eine kostenpflichtige Erneuerung Deines Antiviren-Schutzes erforderlich sei. Entsprechende Warnungen flattern nicht nur als E-Mail in Dein Postfach, sondern erscheinen auch als Pop-ups in Browsern. Da Microsoft Defender das am häufigsten verwendete Antivirenprogramm für Windows-Computer ist, tarnen die meisten Hacker ihre Phishing-Nachricht dementsprechend.

Kriminelle kassieren aber nicht nur ab, indem sie sich über einen Fake-Shop Geld für einen vermeintlichen Schutz vor Schadsoftware bezahlen lassen. Über die Phishing-Website, auf die Du geleitet wirst, erfolgt in der Regel auch die Installation von problematischer Software. Oft geht es darum, unter dem Deckmantel eines Sicherheitsprogramms eine Fernwartungssoftware zu installieren. Durch diese erhalten die Hacker dann Zugriff auf Deinen Computer.
Masche Nummer 5: Gefälschte Mitteilungen für angebliche Paketlieferungen

Online-Shopping boomt. Deswegen erwarten die meisten von uns wahrscheinlich gerade eine Paketsendung. Das machen sich Cyberkriminelle zunutze und fälschen Nachrichten, die von einem der bekannten Paketdienste stammen sollen. Entsprechende Mitteilungen gelangen inzwischen nicht nur via E-Mail, sondern auch per SMS oder Messengerdienst an potenzielle Opfer. Dabei beschränken sich Hacker nicht nur auf Texte und Links, sondern orientieren sich an typischen Logistikprozessen von Paketdiensten. Typische Betreffzeilen lauten "Zustellung fehlgeschlagen – bitte jetzt Adresse bestätigen" oder "Letzte Möglichkeit zur Terminänderung".

Diese Strategie zielt nicht nur darauf ab, Anmeldedaten samt Passwörtern für Online-Shops und Zahlungsdienstleister abzugreifen, die Kriminelle anschließend missbrauchen. Manche Mails enthalten auch Forderungen für Bearbeitungsgebühren, Steuern oder Zuschläge. Dabei kommt Cyberkriminellen die Tatsache entgegen, dass seit Juli 2026 für Sendungen aus Ländern außerhalb der Europäischen Union tatsächlich zusätzliche Gebühren fällig werden.
Masche Nummer 6: Fake-Support will persönliche Informationen

Der Support ist bei vielen technischen Problemen der Retter in der Not. Den damit oft verbundenen Vertrauensvorschuss machen sich Kriminelle zunutze, indem sie sich als Support-Mitarbeiter ausgeben. Dadurch wollen sie Menschen dazu bringen, Passwörter und PINs preiszugeben oder direkt eine Schadsoftware zu installieren. Als Vorwand behaupten die Kriminellen oft, dass Computer infiziert seien oder ein Update benötigen würden. So erlangen die Täter Zugriff auf die Konten ihrer Opfer. Der Angriff kann nicht nur über manipulierte E-Mails und Pop-ups, sondern auch via Telefonanruf oder Messengernachricht erfolgen.

Verbreitet sind in diesem Zusammenhang Anrufe, die angeblich vom Microsoft-Support stammen. Die Betrüger möchten Dich meistens dazu bringen, eine Fernwartungs- oder Schadsoftware auf Deinem Computer zu installieren oder ihnen Geld zu überweisen. In die Schlagzeilen schafften es zudem Kriminelle, die sich als Support-Mitarbeiter des Messengerdienstes Signal ausgaben. Diese gelangten relativ einfach an PINs diverser Politiker-Accounts – betroffen war unter anderem auch Bundestagspräsidentin Julia Klöckner. So konnten die Täter auf die Konten und Kontakte der Betroffenen zugreifen und auch private Unterhaltungen mitlesen.
Masche Nummer 7: Offline-Phishing via Post

Phishing-Attacken können auch komplett offline ablaufen. Bei Betrügern beliebt sind etwa gefälschte Briefe, die angeblich von Deiner Bank stammen und Dich dazu auffordern, Deine Identität via POSTIDENT zu bestätigen. Dabei handelt es sich zwar um ein seriöses Verfahren zur Identitätslegitimierung. Dieses lässt sich aber durch Kriminelle missbrauchen, sodass Schäden im fünfstelligen Bereich – durch einen in Deinem Namen aufgenommenen Kredit – keine Seltenheit sind.

Damit ein solches POSTIDENT-Phishing Erfolg hat, bedarf es etwas Vorarbeit seitens der Betrüger. So müssen sie etwa Deine Postadresse herausfinden und sollten auch eine von Dir genutztes Kreditinstitut kennen. Hilfreich können auch Informationen bezüglich Deiner finanziellen Situation sein. Einige dieser Daten lassen sich über das Web bzw. Social Media herausfinden. Ein beliebter Trick sind zudem Fake-Wohnungsinserate. Wenn sich darauf Interessenten melden und Unterlagen einschicken, erhalten Kriminelle oft alles, was sie für die Betrugsmasche benötigen.

So erkennst Du Phishing

Wie schon angedeutet, ist es inzwischen nicht verlässlich möglich, Phishing an fehlerhaften und schlecht gemachten Nachrichten zu erkennen. Deshalb empfehlen wir Dir auf folgende Hinweise zu achten – bei denen es sich aber nur um Indizien handelt:

Keine persönliche Anrede: Damit sich Phishing für Betrüger lohnt, verschicken sie oft massenweise Nachrichten. Dementsprechend ist die Anrede oft unpersönlich – etwa "Sehr geehrte Damen und Herren" – generisch ("Lieber Kunde/Liebe Kundin") oder leitet sich einfach nur aus Deiner E-Mail-Adresse ab. Unternehmen, mit denen Du Geschäftsbeziehungen unterhältst, kennen jedoch Deinen echten Namen und sprechen Dich auch mit diesem an.
Kontaktaufnahme geschieht unverlangt oder unerwartet : Erwartest Du eine Nachricht von dem Unternehmen, das Dich kontaktiert? Das kann etwa der Fall sein, wenn Du den Support angeschrieben oder eine Transaktion durchgeführt hast. Ist das nicht der Fall, solltest Du vorsichtig sein.
Anforderung sensibler Daten: Vorsicht ist ebenfalls geboten, falls Du in einer Nachricht dazu aufgefordert wirst, Daten preiszugeben. Vor allem wenn diese sensibel sind und der angebliche Absender längst über diese verfügen sollte, handelt es sich wahrscheinlich um Phishing. Denn seriöse Unternehmen agieren anders.
Verdächtige Links bzw. QR-Codes: Links oder QR-Codes, die diese maskieren, sind ein zentraler Bestandteil vieler Phishing-Strategien. Wirst Du offensiv aufgefordert, diese anzuklicken oder zu scannen, sollten Deine Alarmglocken klingeln. Weitere Warnhinweise können Weiterleitungen zu merkwürdigen oder unpassenden Domains mit sehr langen Namen sein.
Zeitdruck wird aufgebaut: Cyberkriminelle wollen, dass Du instinktiv reagierst und am besten gar nicht dazu kommst, nachzudenken. Deswegen bauen sie in ihren Nachrichten oft Druck auf, indem sie betonen, dass eine Reaktion in kürzester Zeit erforderlich ist, da Dir sonst Nachteile drohen.

So wirst Du nicht zum Phishing-Opfer

Mit diesen Verhaltensregeln kannst Du Dein persönliches Phishing-Risiko minieren.

Sei misstrauisch: Du solltest Dir bewusst sein, dass sich zahlreiche Kanäle für Phishing-Attacken eignen. Angriffe sind nicht nur via E-Mail, Messengerdienst oder SMS, sondern auch per Post oder telefonisch möglich. Eine gesunde Portion Misstrauen gegenüber Kontaktversuchen schadet also nicht.
Verwende Sicherheitssoftware: Es gibt zahlreiche Tools, die Dich vor Phishing-Angriffen und anderen Cyber-Attacken schützen. Die Grundlage bilden hier Antiviren-Programme oder umfassende Sicherheits-Suiten wie G Data Internet Security, die dafür sorgen, dass Dich gefährliche Phishing-Nachrichten gar nicht erst erreichen. Zudem eignet sich KI nicht nur als Hilfsmittel für Phishing-Nachrichten, sondern auch als Waffe dagegen. So blockiert etwa der KI-Browser Norton Neo zahlreiche Phishing-Webseiten. Mithilfe des KI-Chatbots Scamio kannst Du verdächtige Mitteilungen überprüfen lassen.
Bevorzuge sicherere Legitimierungsverfahren: Statt Anmeldenamen und Passwort zur Authentifizierung zu nutzen, solltest Du zumindest bei wichtigen Online-Konten auf sichere Verfahren umsteigen. Wo es möglich ist, empfiehlt sich die Nutzung von Passkeys. Ansonsten verbessert auch eine Multifaktorauthentifizierung den Schutz. Wenn Du bei einem Anbieter ein Passwort verwenden musst, empfiehlt sich die Nutzung eines Passwortmanagers.
Unterschätze Fernwartungsprogramme nicht: Fernwartungstools können zwar hilfreich bei der Lösung von Problemen mit dem Computer sein. Wenn Du derartige Programme auf Deinen Computer installierst, räumst Du anderen aber umfassende Zugriffsrechte ein. Genau das ist vielen Nutzern jedoch nicht klar. Dementsprechend solltest Du diese Rechte nur absolut vertrauenswürdigen Personen einräumen – und erst recht dann nicht, wenn jemand Dich zuvor unaufgefordert kontaktiert hat.
Vorsicht vor Links/QR-Codes: Links und QR-Codes sind praktisch, aber auch ein Kernelement von vielen Phishing-Angriffen. Wir empfehlen Dir, diese nicht zu verwenden, wenn diese Teil von Nachrichten sind, in denen Du aufgefordert wirst, sicherheitsrelevante Daten einzugeben. Als Alternative kannst Du die Homepage des Anbieters über die Eingabe der Webadresse in Deinen Browser besuchen und Dich dort einloggen. Ist die Nachricht wirklich authentisch, solltest Du auch hier eine entsprechende Mitteilung finden.
Hinterfragen und Nachfragen: Wenn Du Freigaben erteilst, solltest Du zunächst kritisch hinterfragen, warum jein Programm diese benötigt. Bist Du nicht sicher, ob eine Nachricht authentisch ist, solltest Du über einen anderen Kanal nachfragen. Bei einer E-Mail könntest Du beispielsweise beim telefonischen Support nachhaken.

Quelle: PC-WELT