Worum geht es bei Phishing und Social Engineering?

Phishing versucht, Zugangsdaten, Zahlungsfreigaben oder persönliche Informationen über gefälschte Kommunikation abzugreifen. Smishing nutzt SMS, Vishing Telefonate und QR-Phishing manipulierte Codes. Social Engineering ist breiter: Menschen werden durch Autorität, Dringlichkeit, Knappheit, Neugier, Angst oder persönliche Nähe zu einer Handlung bewegt. Technisch perfekte Sprache und richtige persönliche Daten beweisen keine Echtheit.

Die wichtigste Schutzregel ist Kanaltrennung. Eine Nachricht behauptet ein Problem, liefert einen Link und verlangt sofortige Lösung. Du verwendest weder Link noch Rückrufnummer, sondern öffnest die bekannte App, ein gespeichertes Lesezeichen oder eine selbst recherchierte offizielle Nummer. Bei angeblichen Angehörigen rufst du die bisher bekannte Nummer an oder stellst eine vorher vereinbarte Kontrollfrage.

Nach einem Fehler zählt Geschwindigkeit, nicht Scham. Wurde nur geklickt, muss nicht automatisch ein Konto übernommen sein; prüfe Downloads und Gerät. Wurden Zugangsdaten eingegeben, ändere sie von einem vertrauenswürdigen Gerät und beende fremde Sitzungen. Bei TAN, Zahlung oder Bankdaten kontaktierst du die Bank sofort. Sichere Nachricht, Adresse, Zeitpunkt und Transaktion und erwäge je nach Vorfall Anzeige und fachliche Hilfe.

Zwei Praxisbeispiele für Phishing und Social Engineering

Paket-SMS verlangt kleine Nachzahlung

Ben erwartet tatsächlich ein Paket. Eine SMS nennt eine fehlende Gebühr von 1,99 Euro und führt auf eine täuschend ähnliche Seite, die Kartendaten und Bankfreigabe verlangt. Die zeitliche Übereinstimmung macht die Nachricht glaubwürdig.

Besser: Er öffnet die Sendungsverfolgung ausschließlich über die offizielle App. Dort gibt es keine Forderung. Er löscht die Nachricht erst nach Meldung und Dokumentation und gibt keine Zahlungsdaten auf der SMS-Seite ein.

Chef bittet vertraulich um dringende Überweisung

Eine neue E-Mail-Adresse nutzt Namen und Schreibstil der Geschäftsführung. Eine Rechnung soll wegen einer Übernahme streng vertraulich sofort bezahlt werden; Rückfragen seien unerwünscht.

Besser: Die Mitarbeiterin folgt dem bekannten Vier-Augen-Prozess und ruft über die interne Nummer zurück. Sie meldet die Nachricht an die zuständige IT-Stelle. Rang, Geheimhaltung und Eile dürfen festgelegte Zahlungsregeln nicht außer Kraft setzen.

Was bedeutet das in deinem Alltag?

Nutze die STOP-Prüfung: Stopp bei Zeitdruck, Tätigkeit genau benennen, Originalkanal selbst öffnen und Person unabhängig prüfen. Frage: Soll ich mich anmelden, zahlen, installieren, einen Code nennen oder Geheimhaltung akzeptieren? Je höher die Auswirkung, desto stärker muss der zweite Bestätigungsweg sein.

Richte Familien- und Arbeitsregeln ein: Geldbitten werden immer über bekannte Kontaktdaten bestätigt; Zahlungsdatenänderungen brauchen Vier-Augen-Prüfung; Support erhält keinen Fernzugriff ohne selbst eröffneten offiziellen Vorgang; Verifizierungscodes werden nie weitergegeben. Ein vereinbartes Codewort kann helfen, ersetzt bei Verdacht aber nicht den unabhängigen Rückruf.

Formulierung zur Verifikation: „Ich bearbeite diese Aufforderung nicht über den erhaltenen Link oder Rückrufkontakt. Ich beende die Verbindung und prüfe das Anliegen über den mir bereits bekannten offiziellen Kanal. Zugangsdaten, TAN, Verifizierungscodes oder Fernzugriff gebe ich nicht weiter.“

Beispielrechnung zu Phishing und Social Engineering

Risikokette: Eine Nachricht fordert in vier Schritten Link, Passwort, Einmalcode und Zahlung. Wer bereits nach Schritt eins den Kanal wechselt, verhindert drei weitere verlangte Handlungen. Das ist keine mathematische Sicherheitsgarantie, zeigt aber, warum ein früher fester Abbruchpunkt wirksamer ist als das Erkennen jedes Designfehlers.

Schadensbeispiel: 1,99 Euro angebliche Gebühr, danach zwei unbefugte Kartenumsätze über 240 und 680 Euro. Der sichtbare Forderungsbetrag war nur der Köder; betroffen sind 920 Euro plus mögliche Folgerisiken. Reklamation listet jeden Umsatz separat und dokumentiert Zeitpunkt, Empfänger und Bankmeldung statt nur die 1,99-Euro-SMS zu erwähnen.

Zehn Tipps, die dir viel Ärger ersparen

Zeitdruck als Signal nutzen

Eile ist der Moment für Unterbrechung, nicht für Abkürzung.

Kanal selbst neu öffnen

App, Lesezeichen oder bekannte Nummer ersetzen zugesandte Kontakte.

Konkrete Handlung erkennen

Absenderanzeige nicht vertrauen

Nummern, Namen und Logos können manipuliert werden.

Angehörige zurückrufen

Nutze die alte bekannte Nummer statt der angeblich neuen.

Codes niemals nennen

Einmalcodes und TAN bestätigen Vorgänge, nicht Geschichten.

Fernzugriff ablehnen

Support-Behauptungen rechtfertigen keine fremde Gerätesteuerung.

Vier Augen beibehalten

Autorität und Geheimhaltung dürfen Zahlungsregeln nicht umgehen.

Beweise zuerst sichern

Nachricht, URL, Kontaktdaten und Zeitablauf helfen bei Reaktion.

Fehler sofort melden

Schnelles Handeln ist wichtiger als Scham oder Schuldzuweisung.

Warnsignale, auf die du unbedingt achten musst

Eine Nachricht verbindet Drohung oder Gewinn mit kurzer Frist.
Angeblicher Support verlangt Fernwartungssoftware.
Bank oder Behörde fordert Passwort, TAN oder Verifizierungscode.
Bekannter Kontakt schreibt plötzlich von neuer Nummer und braucht Geld.
Zahlungsdaten ändern sich kurz vor einer großen Überweisung.
Geheimhaltung soll Rückfragen oder Vier-Augen-Prüfung verhindern.
QR-Code führt direkt zu Login oder Zahlungsfreigabe.
Nach dem ersten Schaden verspricht ein Unbekannter sichere Rückholung.

Checkliste zum Ausdrucken

Hake jeden Punkt erst ab, wenn du ihn wirklich geprüft hast.

Zeitdruck wurde bewusst unterbrochen.
Verlangte Handlung ist genau benannt.
Kein zugesandter Link wurde verwendet.
Offizielle App oder Adresse wurde selbst geöffnet.
Person wurde über bekannten Zweitkanal geprüft.
Keine Zugangsdaten wurden weitergegeben.
Keine TAN oder Codes wurden genannt.
Kein unbekannter Fernzugriff wurde erlaubt.
Zahlungsänderung erhielt Vier-Augen-Prüfung.
Nachricht und vollständige Adresse sind gesichert.
Betroffene Konten wurden geprüft.
Passwörter wurden bei Bedarf sicher geändert.
Fremde Sitzungen und Zugänge wurden beendet.
Bank oder Dienst wurde sofort offiziell kontaktiert.
Meldung und mögliche Anzeige sind dokumentiert.

SERIÖS WEITERLESEN

Offizielle und fachliche Anlaufstellen

Stand: SEPTEMBER 2026. Dieser Ratgeber bietet allgemeine Orientierung und ersetzt keine individuelle Rechtsberatung.