Phishing ist eine Form des Social Engineering, bei der Angreifer gefälschte E-Mails, Webseiten oder Kurznachrichten einsetzen, um Opfer durch die Nachahmung eines vertrauenswürdigen Absenders zur Preisgabe von Zugangsdaten oder Zahlungsinformationen zu bewegen.
Auf einen Blick
Der Name setzt sich vermutlich aus dem englischen fishing (Angeln) und Phreaking (Manipulation von Telefonsystemen) zusammen – laut Duden eine im Hackerjargon gebräuchliche Verfremdung – und beschreibt bildlich das Angeln nach Zugangsdaten mit einem Köder.
Ein nachgebautes Login-Formular, ein manipulierter Anhang oder ein präparierter Link genügt, um Zugangsdaten oder andere sensible Angaben abzugreifen; der eigentliche Schaden entsteht erst in den nachgelagerten Systemen, in denen die erbeuteten Daten weiterverwendet werden.
Die tatsächliche Linkziel-URL vor dem Klick zu prüfen bietet mehr Sicherheit als der Blick auf die Absenderadresse allein.
Was ist Phishing?
Phishing setzt auf die Nachahmung eines bekannten Absenders oder Dienstes und nutzt aus, dass Empfänger E-Mails, Webseiten und Kurznachrichten in vertrauten Layouts selten im Detail prüfen. Der Erfolg hängt maßgeblich von der Dringlichkeit der Nachricht ab: Eine angebliche Kontosperrung, eine ausstehende Zahlung oder ein knappes Zeitfenster sollen Empfänger zu einer schnellen, unüberlegten Reaktion bewegen, bevor Unstimmigkeiten in Absenderadresse oder Linkziel auffallen. Bekannte Varianten sind Spear-Phishing (gezielte Auswahl einzelner Opfer statt eines breiten Empfängerkreises), Whaling (Fokus auf Führungskräfte), Smishing (Zustellung per SMS) und Quishing (Köder über einen QR-Code anstelle eines Links).
Mitarbeiter von Versicherungen und Finanzdienstleistern haben durch ihre Arbeit unmittelbaren Zugang zu Kundendaten, Policen und Auszahlungsprozessen, was sie zu einem lohnenden Ziel macht. Bei Versicherern kann eine nachgebaute Login-Seite für das Vertriebsportal oder eine gefälschte Aufforderung zur Bestätigung von Bankdaten in der Bestandsführung oder Schadenregulierung dieselbe Wirkung entfalten wie ein technischer Systemausfall, bleibt dabei aber länger unbemerkt. Auch externe Vertriebspartner und Makler sind über ihre Zugänge zum Bestandssystem ein mögliches Einfallstor, wodurch der Kreis der relevanten Empfänger über die eigene Belegschaft hinausreicht.
Wie funktioniert Phishing?
Ein Phishing-Angriff läuft in vier Schritten ab: Adressbeschaffung, Köder, Zustellung und Verwertung der erbeuteten Daten. Die Adressen stammen aus veröffentlichten Kontaktseiten, aus Datenlecks oder aus einem bereits übernommenen Postfach. Der Köder ist eine Nachricht mit einem Anlass, der eine Reaktion erzwingt, und einem Ziel, das die Eingabe von Zugangsdaten verlangt.
Bei der Zustellung entscheidet sich, ob die Nachricht überhaupt ankommt: Absenderprüfungen wie SPF, DKIM und DMARC greifen nur, sofern der empfangende Server sie auswertet und die Domain eine Richtlinie hinterlegt hat. Nach der Eingabe folgt die Verwertung, und hier liegt der eigentliche Schaden – nicht auf dem Endgerät, sondern in den Systemen, in denen die Zugangsdaten gelten. Bei Adversary-in-the-Middle-Kampagnen schaltet sich der Angreifer zwischen Nutzer und echten Dienst und greift dabei das Sitzungs-Cookie ab, sodass die Anmeldung ohne erneute Bestätigung übernommen werden kann. Für Versicherer verschiebt sich der Aufwand damit vom Erkennen der Nachricht zum Absichern der Anmeldung: Wo eine zweite Bestätigungsstufe greift, bleibt ein erbeutetes Passwort ohne Wirkung, solange der Angreifer die laufende Sitzung nicht ebenfalls übernimmt.
Phishing vs. Spear-Phishing
| Merkmal | Phishing | Spear-Phishing |
|---|---|---|
| Empfängerkreis | breit gestreut, ohne Vorauswahl | eine vorab ausgewählte Person oder Abteilung |
| Vorbereitung | dieselbe Vorlage für den gesamten Verteiler | Recherche zu Rolle, Vorgängen und Ansprechpartnern |
| Erkennbarkeit | unpersönliche Anrede und allgemeiner Anlass | korrekter Name, passender Vorgang, vertrauter Ton |
| Abwehrschwerpunkt | Filter, Domain-Authentifizierung, Awareness | Freigabeprozess mit Rückfrage über einen zweiten Kanal |
Woran erkenne ich Phishing?
| Signal in der Nachricht | Was sich prüfen lässt |
|---|---|
| Aufforderung, sofort zu handeln | Den Vorgang über das bekannte Portal oder eine bekannte Nummer nachfragen, nicht über die Nachricht |
| Link mit abweichender Zieladresse | Die tatsächliche Ziel-URL vor dem Klick anzeigen; bei Kurzlinks die aufgelöste Adresse prüfen |
| Anmeldeseite nach dem Klick | Statt der verlinkten Seite die Anmeldung über das bekannte Lesezeichen öffnen |
| Anhang, den niemand angekündigt hat | Beim angeblichen Absender über einen bereits bekannten Kontaktweg rückfragen |
| Absendername bekannt, Adresse leicht abgewandelt | Die vollständige Adresse im Nachrichtenkopf ansehen, nicht nur den angezeigten Namen |
Schutz im Ernstfall
Vorbeugen
- Betriebssystem, Programme und Antivirus-Software aktuell halten sowie die Firewall aktiviert lassen
- Bei einer Anfrage nach vertraulichen Daten beim Anbieter über eine selbst recherchierte Telefonnummer nachfragen
- Bei Unsicherheit die im E-Mail-Text genannte Seite über die Startseite der Organisation aufrufen statt über den angegebenen Link
Was tun im Ernstfall
- Passwort über den bekannten Weg ändern und alle aktiven Sitzungen beenden, da ein Passwortwechsel allein laufende Sitzungen nicht immer beendet
- Vorfall über den internen Meldeweg melden, auch wenn die Eingabe abgebrochen wurde
- Nachricht als Beleg aufbewahren und nicht löschen
Beispiele aus der Praxis
- Angreifer versenden massenhaft E-Mails, die scheinbar von einer bekannten Bank stammen, und fordern Empfänger auf, ihre Zugangsdaten auf einer gefälschten Login-Seite zu bestätigen.
- Bei einem Spear-Phishing-Angriff auf einen Finanzchef verschickt ein Angreifer eine täuschend echte E-Mail im Namen des CEOs, die zur dringenden Überweisung eines hohen Betrags auffordert (CEO-Fraud).
- Kriminelle versenden SMS-Nachrichten, die angeblich von einem Paketdienstleister stammen (Smishing), und leiten Empfänger auf eine gefälschte Seite zur Eingabe von Kreditkartendaten weiter.
- Über PhaaS-Plattformen (Phishing-as-a-Service) können Angreifer fertige Phishing-Kits mieten, die bekannte Onlinedienste imitieren und erbeutete Zugangsdaten automatisiert weiterleiten.
- Eine E-Mail im Layout der internen IT-Abteilung fordert eine Vertriebsmitarbeiterin eines Lebensversicherers zur erneuten Anmeldung im Vertriebsportal auf; die nachgebaute Login-Seite übernimmt die Zugangsdaten, mit denen Angreifer anschließend auf Kundendaten und laufende Vertragsvorgänge zugreifen können.
Die Varianten im Detail (26)
Anti-Phishing Anti-Phishing umfasst technische Schutz- und Filtermechanismen, die Phishing erkennen und blockieren, bevor es wirkt.
Anti-Phishing bezeichnet technische Schutzmaßnahmen und Filtermechanismen, die Phishing-Angriffe erkennen, blockieren oder ihre Folgen begrenzen, bevor Nutzer geschädigt werden, und reicht von E-Mail-Filtern über Browser-Warnhinweise bis zu phishing-resistenter Authentifizierung mit Verfahren wie FIDO2.
Autofill-Angriff Autofill-Angriff ist das Auslösen der automatischen Formularausfüllung, um gespeicherte Daten abzugreifen.
Versteckte Formularfelder auf einer Seite veranlassen den Browser oder Passwortmanager, gespeicherte Angaben einzutragen, die unbemerkt an den Angreifer übermittelt werden. Der Nutzer muss dafür keine Eingabe selbst vornehmen.
Browser-in-the-Browser Browser-in-the-Browser ist eine Technik, die ein gefälschtes Browserfenster innerhalb einer Webseite darstellt.
Das nachgebildete Fenster samt Adresszeile und Anmeldedialog besteht nur aus Seiteninhalt, zeigt aber eine vertrauenswürdige Adresse an. Eingegebene Zugangsdaten gelangen so unbemerkt an den Angreifer, obwohl das Fenster echt wirkt.
Browser-in-the-Browser-Angriff Browser-in-the-Browser-Angriff ist ein Phishing-Angriff mit einem nachgebildeten Browserfenster.
Das gefälschte Fenster samt Adressleiste wird auf der Webseite selbst dargestellt und täuscht so eine echte Anmeldemaske vor. Der Begriff umfasst den gesamten Vorgang bis zum Abgreifen der Zugangsdaten, nicht nur die Darstellungstechnik.
Bösartiger Link Bösartiger Link ist ein Verweis, der auf eine Seite mit Schadsoftware oder betrügerischen Inhalten führt.
Er wird in Nachrichten, Dokumenten oder Webseiten platziert und wirkt zunächst unauffällig. Erst der Aufruf löst Schaden aus, etwa den Abfluss von Zugangsdaten oder das Nachladen von Schadcode.
Clone Phishing Clone Phishing ist die Nachbildung einer bereits zugestellten E-Mail mit ausgetauschten Links oder Anhängen.
Clone Phishing nutzt aus, dass Empfänger einer bereits zugestellten E-Mail vertrauen: Angreifer bilden diese Nachricht exakt nach, ersetzen enthaltene Links oder Anhänge durch schädliche Versionen und senden die Kopie erneut an das ursprüngliche Opfer.
E-Mail-Phishing E-Mail-Phishing nutzt gefälschte E-Mails, um zur Preisgabe vertraulicher Daten oder zum Öffnen von Links zu verleiten.
Absender, Gestaltung und Inhalt imitieren eine bekannte Stelle und verleiten zum Öffnen von Links oder Anhängen. Es ist die klassische und am weitesten verbreitete Form, von der viele weitere Kanäle abgeleitet sind.
Fake-Login Fake-Login ist eine nachgebildete Anmeldemaske, die eingegebene Zugangsdaten an Angreifer weiterleitet.
Die Maske gleicht optisch dem echten Dienst, speichert aber Benutzername und Passwort, statt sie zu prüfen. Häufig folgt eine Weiterleitung auf die echte Seite, damit der Vorgang unauffällig bleibt.
Gefährliche URL Gefährliche URL bezeichnet eine Webadresse, die auf schädliche oder betrügerische Inhalte verweist.
Der Begriff stellt die Adresse selbst in den Vordergrund, nicht den anklickbaren Verweis. Er wird in Warnhinweisen und Sicherheitsfiltern verwendet, wenn Adressen als riskant eingestuft werden, auch ohne dass ein bösartiger Link vorliegt.
Gefälschte Abmahnung Gefälschte Abmahnung ist eine betrügerische Nachricht, die sich als Rechtsverfolgung ausgibt.
Mit angeblichen Rechtsverstößen und Zahlungsforderungen wird Druck aufgebaut, damit Empfänger Anhänge öffnen, Links folgen oder Geld überweisen. Das Schreiben ahmt die Form anwaltlicher Post nach.
Gefälschte Login-Seite Gefälschte Login-Seite ist eine Webseite, die eine Anmeldung vortäuscht, um Zugangsdaten abzugreifen.
Anders als ein bloß nachgebautes Anmeldeformular ahmt sie die gesamte Seite samt Adresse und Seitenaufbau des Originals nach. Phishing-Nachrichten verweisen auf solche Seiten, um die Eingaben der Opfer zu erfassen.
Homograph-Angriff Homograph-Angriff nutzt optisch gleiche Schriftzeichen verschiedener Alphabete, um Adressen zu fälschen.
Ein Zeichen aus einem anderen Alphabet kann einem lateinischen Buchstaben zum Verwechseln ähneln. So entsteht eine Adresse, die für Betrachter identisch mit der echten wirkt, technisch aber eine andere ist.
HTML-Phishing HTML-Phishing ist Phishing, bei dem die betrügerische Seite als HTML-Datei oder HTML-Inhalt zugestellt wird.
Die Datei wird als Anhang oder eingebetteter Inhalt geliefert und öffnet lokal eine Anmeldemaske. Da keine Webadresse aufgerufen wird, greifen Prüfungen auf bekannte schädliche Adressen häufig nicht.
In-Game-Phishing In-Game-Phishing läuft über Chat und Handelsfunktionen, um Konten und Spielgegenstände zu erlangen.
Angreifer nutzen Chat, Handelsfunktionen oder Gemeinschaftsangebote, um Spieler zu falschen Anmeldeseiten oder zur Herausgabe von Konten und Spielgegenständen zu bewegen.
JavaScript-Phishing JavaScript-Phishing blendet per Skriptcode im Browser gefälschte Masken ein oder liest Formulareingaben mit.
Der Code verändert Seiteninhalte, blendet gefälschte Masken ein oder liest Formulareingaben mit. Die Täuschung entsteht erst im Browser und ist im ursprünglichen Seitenquelltext teils nicht sichtbar.
Link-Shortener-Missbrauch Link-Shortener-Missbrauch ist die Nutzung von Kurzlink-Diensten, um das wahre Ziel einer Adresse zu verbergen.
Eine lange schädliche Adresse wird in eine kurze, neutral wirkende Form umgewandelt. Das Ziel ist vor dem Aufruf nicht erkennbar, und Filter, die nach bekannten Adressen suchen, werden umgangen.
Mobile Phishing Mobile Phishing sind Phishing-Angriffe, die auf die Darstellungs- und Bedienlogik mobiler Geräte zugeschnitten sind.
Mobile Phishing nutzt aus, dass Smartphones und Tablets Nachrichten und Links anders darstellen als Desktop-Rechner, und bezeichnet Angriffe über SMS, Messenger-Dienste oder gefälschte mobile Webseiten, die Zugangsdaten oder sensible Informationen abgreifen.
Phishing-as-a-Service Phishing-as-a-Service ist ein Geschäftsmodell, bei dem fertige Phishing-Werkzeuge gegen Entgelt bereitgestellt werden.
Anbieter stellen Vorlagen, Infrastruktur und Auswertung bereit, sodass auch Angreifer ohne technische Kenntnisse Kampagnen durchführen können. Es beschreibt die Arbeitsteilung hinter Angriffen, nicht eine einzelne Methode.
Phishing-Kit Phishing-Kit ist ein vorgefertigtes Softwarepaket zum Aufbau gefälschter Webseiten und zum Abgreifen von Daten.
Es enthält Seitenvorlagen, Skripte zur Datenerfassung und Weiterleitung sowie oft Anleitungen. Damit lässt sich eine Fälschung schnell aufsetzen und vielfach wiederverwenden.
Phishing-Köder Phishing-Köder ist der Inhalt, der Empfänger zu einer Handlung wie Klick oder Eingabe verleiten soll.
Typisch sind angebliche Rechnungen, Sicherheitswarnungen oder Gewinnbenachrichtigungen, die Neugier, Angst oder Dringlichkeit auslösen. Der Köder entscheidet darüber, ob die Nachricht geöffnet und befolgt wird.
Tabnabbing Tabnabbing ist das Verändern eines inaktiven Browser-Tabs in eine gefälschte Seite.
Wird ein Tab im Hintergrund geöffnet, tauscht ein Skript seinen Inhalt gegen eine nachgebildete Anmeldeseite aus. Wechselt der Nutzer zurück, hält er sie für die ursprünglich geöffnete Seite.
Telefon-Phishing Telefon-Phishing erfolgt per Anruf, bei dem sich Täter als Bank, Support oder Behörde ausgeben und Zeitdruck erzeugen.
Die Anrufer geben sich als Bank, Support oder Behörde aus und erzeugen Zeitdruck. Sie versuchen, Zugangsdaten, Codes oder Zahlungen zu erhalten, ohne dass eine gefälschte Webseite nötig ist.
URL-Phishing URL-Phishing täuscht mit einer Webadresse, die einem echten Dienst ähnelt oder vertrauenswürdige Namensteile enthält.
Die Adresse ähnelt der eines echten Dienstes oder enthält vertrauenswürdige Namensbestandteile an unauffälliger Stelle. Wer sie nur flüchtig liest, hält die Zielseite für echt.
URL-Verschleierung URL-Verschleierung ist das Verbergen oder Umgestalten einer Webadresse, damit ihr wahres Ziel unerkannt bleibt.
Angewandt werden Kodierungen, Umleitungen, zusätzliche Zeichen oder Kurzformen. Das Verfahren erschwert die Prüfung durch Nutzer und automatische Filter und ist verwandt mit dem verschleierten Link.
XING-Phishing XING-Phishing gibt sich als Nachricht des Karrierenetzwerks aus und lockt mit Kontaktanfragen oder Stellenangeboten.
Gefälschte Kontaktanfragen, Stellenangebote oder Nachrichten führen zu nachgebildeten Anmeldeseiten. Berufliche Netzwerke eignen sich, weil Nutzer dort mit Nachrichten fremder Personen rechnen.
Zwei-Faktor-Phishing Zwei-Faktor-Phishing fragt Einmalcodes ab und leitet sie in Echtzeit weiter, um den zweiten Anmeldefaktor zu umgehen.
Die gefälschte Seite fragt Einmalcodes oder Bestätigungen ab und leitet sie in Echtzeit an den echten Dienst weiter. Dadurch wird der zusätzliche Schutz der Anmeldung umgangen.
Häufiger Irrtum
Mythos „Ein Schloss-Symbol und „https“ in der Adresszeile zeigen, dass die Seite echt ist.“
Richtig Das Symbol belegt nur eine verschlüsselte Verbindung zur aufgerufenen Adresse, nicht die Identität des Betreibers. Auch eine nachgebaute Anmeldeseite kann ein gültiges Zertifikat besitzen; aussagekräftig ist die Domain selbst, nicht das Schloss.
Häufige Fragen
Was passiert, wenn ich eine Phishing-Mail nur geöffnet habe?
Das Anzeigen einer Nachricht überträgt für sich genommen keine Zugangsdaten. Kritisch wird der Vorgang erst, sobald ein Anhang ausgeführt, ein Link aufgerufen oder auf der Zielseite etwas eingegeben wurde. Sofern das Nachladen externer Inhalte zugelassen ist, kann das Öffnen dem Absender allerdings bestätigen, dass die Adresse aktiv genutzt wird.
Wie melde ich eine Phishing-Mail im Unternehmen?
Über den internen Meldeweg, nicht durch Löschen: Die Nachricht bleibt als Beleg erhalten und wird an die zuständige Stelle weitergeleitet. Erst dadurch lässt sich prüfen, ob dieselbe Kampagne weitere Postfächer erreicht hat und ob Zugänge gesperrt werden müssen.
