Kurz gesagt: Es kommt darauf an, was du nach dem Öffnen getan hast
Die Gefahr einer Phishing-Nachricht liegt nach Darstellung von Polizei und BSI darin, dass Links auf gefälschte Internetseiten führen, auf denen Daten abgegriffen werden. Dazu kommen Anhänge, die Schadsoftware enthalten können. Das bloße Lesen einer Mail nennen die Quellen nicht als Gefahr. Wer ganz sicher gehen will, kontrolliert trotzdem in den nächsten Tagen seine Konten.
Die Tabelle fasst die fünf Fälle zusammen, darunter die Details.
| Was ist passiert? | Risiko | Sofort tun |
|---|---|---|
| (a) Nur Mail geöffnet | gering, solange du nichts angeklickt hast | Nichts anklicken, Mail löschen oder melden |
| (b) Link geklickt, nichts eingegeben | Seite kann zu Datenabfrage oder Schadcode führen | Seite schließen, nichts herunterladen, Gerät auf Schadsoftware prüfen |
| (c) Zugangsdaten eingegeben | Konto kann übernommen werden | Neues Passwort, Anbieter kontaktieren, gleiche Passwörter überall ändern |
| (d) Bank- oder Kartendaten eingegeben | Zugriff auf Geld und Zahlungsverkehr | Bank anrufen, Karten und Zugänge sperren lassen, Umsätze prüfen, Anzeige |
| (e) Anhang geöffnet oder etwas installiert | Gerät kann infiziert sein | Vom Netz trennen, Fachleute einbeziehen, Passwörter nur von sauberem Gerät ändern |
(a) Du hast die Mail nur geöffnet
Klicke keine Links an, öffne keine Anhänge und scanne keine QR-Codes in der Nachricht. Das BSI weist darauf hin, dass Virenscanner QR-Codes als harmloses Bild einstufen und solche Betrugsversuche deshalb nicht erkennen. Antworte nicht auf die Mail. Die Verbraucherzentrale rät, solche Mails unbeantwortet in den Spam-Ordner zu verschieben und Hinweise nur über die offizielle App oder die bekannte Internetseite des Anbieters zu prüfen. Nutze keine Telefonnummer aus der Mail, wenn du Zweifel an der Echtheit hast; suche die Nummer selbst heraus (Polizei/BSI-Checkliste).
(b) Du hast den Link angeklickt, aber nichts eingegeben
Schließe die Seite, ohne etwas einzutippen, zu bestätigen oder herunterzuladen. Laut BSI können gefälschte Seiten nicht nur Eingabemasken für Daten enthalten, sondern auch das Gerät mit Schadcode infizieren. Halte deshalb Betriebssystem und Software aktuell und nutze ein Antivirenprogramm, wie es die Polizei/BSI-Checkliste empfiehlt. Das BSI rät bei Smartphones, bei unerklärlichem Verhalten eine zuletzt installierte App zu deinstallieren und das Gerät mit einem aktuellen Virenscanner zu prüfen. Achte danach auf Geldforderungen: Die Checkliste sagt, dass du keinem Unbekannten Geld zahlen sollst. Wende dich bei Forderungen an Polizei, Verbraucherzentrale oder einen Rechtsbeistand.
(c) Du hast Zugangsdaten eingegeben
Vergib beim betroffenen Dienst sofort ein neues Passwort und nimm Kontakt mit dem Anbieter auf (Polizei/BSI-Checkliste). Das Passwort änderst du am besten auf einem Gerät, das du für sauber hältst: Die Verbraucherzentrale empfiehlt, bei Verdacht auf Schadsoftware zuerst zu scannen und die weiteren Schritte auf einem anderen Gerät zu erledigen.
- E-Mail-Zugang eingegeben: Neues Passwort setzen und auch die Konten zurücksetzen, die über dieses Postfach erreichbar sind oder deren Passwort darüber geändert werden konnte. Das gilt laut Checkliste auch für Konten, in die du dich über dieses Konto bei anderen Diensten anmeldest.
- Zugang zu einem Shop oder anderen Konto eingegeben: Passwort ändern, Anbieter kontaktieren und prüfen, ob auch Zahlungsdaten betroffen waren.
- Apple Account: Wenn du dein Passwort auf einer betrügerischen Seite eingegeben hast, ändere es laut Apple Support sofort und stelle sicher, dass die Zwei-Faktor-Authentifizierung aktiv ist.
Die komplette Reihenfolge für übernommene Konten steht im Artikel Konto gehackt: Was tun?. Vergib für jedes Konto ein eigenes Passwort; Passwort-Manager können dabei helfen, so die Checkliste.
(d) Du hast Bank- oder Kartendaten eingegeben
Das ist der zeitkritischste Fall. Sperre dein Bankkonto, kontrolliere die Umsätze und setze dich mit der Bank in Verbindung. Nach der Entsperrung verwendest du nur neue Passwörter und PINs. So steht es in der Checkliste von Polizei und BSI.
Erreichst du die Bank nicht sofort, kannst du laut Verbraucherzentrale die Rufnummer 116 116 wählen. Sie ist rund um die Uhr geschaltet. Darüber lassen sich unter anderem Girocard, Kreditkarten, Online-Banking, Telefonbanking und SIM-Karten sperren. Notiere dir, welche deiner Zugänge dort sperrbar sind. Die Verbraucherzentrale rät außerdem, unrechtmäßig gezahlte Beträge zurückbuchen zu lassen und Strafanzeige zu erstatten. Die Polizei empfiehlt die Anzeige auch bei vagem Verdacht, online etwa über die Onlinewache.
(e) Du hast einen Anhang geöffnet oder etwas installiert
Behandle das Gerät als möglicherweise infiziert. Die Polizei/BSI-Checkliste warnt besonders vor Dateiformaten wie .exe oder .scr und vor Doppelendungen wie „Dokument.pdf.exe“. Was jetzt folgt, unterscheidet sich je nach Gerät und Umfeld.
Privat am PC oder Laptop: Das BSI empfiehlt, den Computer auszuschalten und, wenn du kein Experte bist, fachlichen Rat einzuholen. Die BSI-Anleitung nennt eine Rescue-Lösung auf einem sauberen Boot-Medium; die beste Methode sei das Neuformatieren und Zurückspielen gesicherter Daten. Das setzt aktuelle Backups voraus.
Smartphone oder Tablet: Das BSI rät, eine kurz vorher installierte App zu deinstallieren, mit einem aktuellen Virenscanner zu prüfen, bei Problemen im abgesicherten Modus neu zu starten und erst als letzten Schritt das Gerät auf Werkseinstellungen zurückzusetzen. Dabei gehen später installierte Apps und Daten wie Fotos verloren. Mehr dazu im Artikel Handy gehackt erkennen.
Für alle: Laut Verbraucherzentrale nutzt du das infizierte Gerät nicht weiter, trennst es vom Internet, ändert alle möglicherweise betroffenen Passwörter von einem sicheren Gerät aus, sperrst bei Bedarf Karten und Konten und erstattest Anzeige. Hält die Meldung auf dem Bildschirm einen Lösegeldzettel bereit, lass dich nicht unter Zeitdruck setzen. Mehr zum Vorgehen bei Erpressersoftware steht im Artikel Ransomware-Angriffe. Welche Schadsoftware-Arten es gibt, steht in Malware-Arten verständlich erklärt.
Im Unternehmen: sofort die IT informieren
Melde den Vorfall unverzüglich der IT oder dem Sicherheitsverantwortlichen, auch wenn du nur „vielleicht“ geklickt hast. Wie du mit der Mail selbst umgehst, also ob du sie aufbewahrst, weiterleitest oder löschst, gibt die IT vor. Sprich dich ab, bevor du das Gerät ausschaltest: Das BSI rät in seinem Arbeitspapier zu schweren IT-Sicherheitsvorfällen, potenziell infizierte Systeme sofort vom Netzwerk zu isolieren, indem das Netzwerkkabel gezogen wird, das Gerät aber nicht herunterzufahren, um eine forensische Sicherung zu ermöglichen. Administratorkonten dürfen sich nicht auf einem potenziell infizierten System anmelden. Außerdem verweist das BSI auf mögliche Meldepflichten und auf externe Unterstützung. Die Polizei weist darauf hin, dass Unternehmen verstärkt Ziel von Phishing sind, mit dem Ziel, an Unternehmensdaten oder ins Firmennetz zu gelangen.
Phishing melden
- Verbraucherzentrale NRW: Leite verdächtige Mails an phishing@verbraucherzentrale.nrw weiter. Funktioniert das nicht, kannst du die Mail als .eml-Datei speichern und auf der Phishing-Radar-Seite hochladen. Antworten sind wegen der Menge nicht zu erwarten.
- Das imitierte Unternehmen: Die Verbraucherzentrale rät, die Mail auch an das Unternehmen weiterzuleiten, dessen Identität missbraucht wird. Eine spezielle Adresse findest du oft im Kontaktbereich der Website. Apple nennt zum Beispiel reportphishing@apple.com für Mails und SMS, die angeblich von Apple stammen (Apple Support).
- SMS und Messenger: Beschwerden über Phishing per SMS oder Messenger nimmt laut BSI die Bundesnetzagentur entgegen.
- Polizei: Wenn du Daten preisgegeben hast oder ein Schaden entstanden ist, erstatte Anzeige, etwa über die Onlinewache.
Wie du Phishing früher erkennst, zeigt der Artikel Phishing erkennen: Die häufigsten Betrugsmethoden. Bei Geldverlust wende dich an Bank und Polizei, im Unternehmen an die IT oder einen professionellen Incident-Responder.