Phishing 2026: Die Erkennungsmerkmale fallen weg — die Schutzmaßnahmen nicht
Eine Klarstellung vorweg, weil sie in der Diskussion regelmäßig durcheinandergeht:
Was nicht mehr funktioniert, sind die Erkennungsmerkmale — holprige Sprache, falsche Anrede, offensichtliche Fehler. Was weiterhin funktioniert, sind die technischen Schutzmaßnahmen.
Diese Unterscheidung ist wichtig, weil aus ihr das Gegenteil dessen folgt, was oft nahegelegt wird: Die technischen Maßnahmen werden nicht überflüssig — sie werden wichtiger, weil du dich auf die eigene Erkennung nicht mehr verlassen kannst.
Dieser Artikel behandelt beides: welche Merkmale weggefallen sind und welcher Schutz tatsächlich greift.
Was sich verändert hat
Sprache ist kein Filter mehr
Die Merkmalsliste, die jahrelang funktionierte, ist abgelaufen. Fehlerhafte Grammatik, unpersönliche Anrede, seltsame Formulierungen — das waren Hinweise auf maschinelle Übersetzung, nicht auf Betrug an sich.
Diese Hinweise gibt es nicht mehr. Eine Nachricht in fehlerfreiem Deutsch, im Tonfall des angeblichen Absenders, mit passendem Bezug auf tatsächliche Vorgänge, ist heute erreichbar.
Personalisierung ist billig geworden
Was früher aufwendige Handarbeit war, ist heute in großer Zahl möglich: Nachrichten, die sich auf deinen Arbeitgeber, deine Position oder einen bekannten Vorgang beziehen.
Die Informationen dafür stehen öffentlich — in beruflichen Netzwerken, auf Unternehmensseiten, in Pressemitteilungen.
Die zweite Stufe
Der Punkt, auf den man vorbereitet sein sollte: Auf eine Nachricht folgt zunehmend ein Anruf.
Er bestätigt, was in der Nachricht stand, und erhöht den Druck. Stimmen lassen sich nachbilden — die dafür nötige Materialmenge ist gering, und für öffentlich auftretende Personen liegt sie ohnehin vor.
Ein Anruf ist damit kein Beleg für Echtheit mehr. Das ist die Umstellung, die am schwersten fällt.
Was daraus folgt — und was nicht
Nicht daraus folgt, dass Schutzmaßnahmen sinnlos wären. Das Gegenteil ist der Fall.
Der Grund ist einfach: Die wirksamen Verfahren beruhen nicht darauf, dass du eine Fälschung erkennst. Sie funktionieren auch dann, wenn du hereinfällst.
Was tatsächlich greift
Verfahren, die an die Adresse gebunden sind
Das ist der wirksamste Einzelschutz, und er löst das Problem an der Wurzel.
Moderne Anmeldeverfahren ohne Passwort prüfen, ob die Adresse stimmt, bei der du dich anmeldest. Auf einer nachgebauten Seite funktionieren sie nicht — auch dann nicht, wenn du es versuchst.
Das ist der entscheidende Unterschied zu Bestätigungscodes: Einen Code kannst du auf einer gefälschten Seite eingeben, und der Angreifer leitet ihn weiter. Ein adressgebundenes Verfahren gibt es nicht her.
Wo solche Verfahren angeboten werden, sind sie die beste verfügbare Absicherung — und sie sind inzwischen bei vielen Diensten verfügbar.
Die Abstufung
| Verfahren | Schutz gegen nachgebaute Seiten |
|---|---|
| Adressgebundene Anmeldung | Wirksam — funktioniert auf der falschen Seite nicht |
| Hardwareschlüssel | Wirksam — nach demselben Prinzip |
| Code aus einer App | Besser als nichts, aber weiterleitbar |
| Code per Kurznachricht | Schwächster Schutz — zusätzlich durch Kartenübernahme angreifbar |
| Nur Passwort | Kein Schutz |
Die Reihenfolge ist entscheidend: Wer von „nur Passwort“ auf einen Code umsteigt, gewinnt viel. Wer von einem Code auf ein adressgebundenes Verfahren umsteigt, gewinnt die Phishing-Resistenz dazu.
Ein Passwortmanager schützt mit
Ein oft übersehener Nebeneffekt: Ein Passwortmanager füllt Zugangsdaten nur auf der hinterlegten Adresse aus.
Bietet er auf einer Seite nichts an, obwohl du dort ein Konto hast, ist das ein Warnsignal — die Adresse stimmt dann nicht.
Das ist eine Prüfung, die im Hintergrund läuft, ohne dass du daran denken musst.
Die Regel für Anrufe und Nachrichten
Weil Inhalt und Stimme keine Belege mehr sind, bleibt nur der Weg zurück:
Beende das Gespräch und ruf über eine Nummer zurück, die du selbst herausgesucht hast — von der Rückseite deiner Karte, aus einem alten Schreiben, von der offiziellen Seite.
Niemals über eine Nummer aus der Nachricht oder aus dem Anruf selbst.
Warum das gegen Druck hilft
Jede dieser Maschen arbeitet mit Dringlichkeit. Ein Rückruf kostet Minuten — und genau die soll die Dringlichkeit verhindern.
Eine echte Stelle hat damit kein Problem. Wer dich am Auflegen hindern will, hat sich damit selbst enttarnt.
Und im beruflichen Umfeld
Für Zahlungsanweisungen und Datenänderungen braucht es eine festgelegte Regel, nicht Einzelfallentscheidungen: Bestätigung über einen zweiten, unabhängigen Kanal — telefonisch über eine bekannte Nummer, persönlich, oder über ein internes System.
Diese Regel muss vorher existieren und allen bekannt sein. Im Moment des Drucks wird sie nicht erfunden.
Was Schulungen ändern müssten
Trainings, die weiterhin Rechtschreibfehler und falsche Anreden als Erkennungsmerkmale lehren, bereiten auf ein Szenario vor, das es nicht mehr gibt.
Was stattdessen trägt:
- Prozesse statt Merkmale. Nicht „woran erkennst du es“, sondern „was tust du bei jeder Zahlungsanweisung“.
- Der Rückrufweg als Standard, nicht als Ausnahme für Verdachtsfälle.
- Eine Meldekultur ohne Schuldzuweisung. Wer glaubt, für einen Klick belangt zu werden, meldet nicht — und dann bleiben Minuten ungenutzt, die zählen.
Der letzte Punkt ist der wichtigste und der am seltensten umgesetzte.
Häufige Fehler
| Fehler | Warum er dich trifft |
|---|---|
| Auf Sprachfehler als Erkennungsmerkmal setzen | Die Merkmalsliste ist abgelaufen |
| Einen Anruf als Bestätigung werten | Stimmen lassen sich nachbilden |
| Aus dem Wegfall der Merkmale schließen, Schutz sei sinnlos | Er wird wichtiger, nicht überflüssig |
| Bei Codes bleiben, wo adressgebundene Verfahren angeboten werden | Codes sind weiterleitbar, adressgebundene Verfahren nicht |
| Kurznachrichten-Codes für ausreichend halten | Zusätzlich durch Kartenübernahme angreifbar |
| Über eine Nummer aus der Nachricht zurückrufen | Sie führt zum Absender, nicht zur echten Stelle |
| Auf Dringlichkeit eingehen | Sie soll genau den Rückruf verhindern |
| Freigaberegeln im Einzelfall entscheiden | Unter Druck wird keine Regel erfunden |
| Schulungen mit veralteten Beispielen fahren | Sie bereiten auf ein Szenario vor, das es nicht mehr gibt |
| Vorfälle sanktionieren statt melden lassen | Dann bleiben die Minuten ungenutzt, die zählen |
Praktische Handlungsempfehlungen September 2026
- Bei den wichtigsten Konten auf adressgebundene Anmeldung umstellen, wo sie angeboten wird — E-Mail und Bank zuerst.
- Passwortmanager nutzen und sein Verhalten als Warnsignal lesen.
- Kurznachrichten-Codes ersetzen, wo eine bessere Option verfügbar ist.
- Rückrufnummern jetzt heraussuchen und getrennt vom Telefon notieren.
- Die Rückrufregel zur Gewohnheit machen — bei jedem Anruf, der zu etwas auffordert.
- Im Betrieb eine Freigaberegel schriftlich festlegen und bekannt machen.
- Schulungsinhalte auf Prozesse umstellen statt auf Merkmale.
- Einen Meldeweg schaffen, der ohne Konsequenzen nutzbar ist.
Fazit
Die Unterscheidung, um die es geht, ist die zwischen Erkennungsmerkmalen und Schutzmaßnahmen. Die Merkmale sind weggefallen — fehlerfreie Sprache, passender Tonfall und Bezug auf echte Vorgänge sind heute erreichbar. Die Schutzmaßnahmen sind es nicht.
Daraus folgt das Gegenteil dessen, was oft nahegelegt wird: Technische Absicherung wird wichtiger, nicht überflüssig. Denn die wirksamen Verfahren beruhen nicht darauf, dass du eine Fälschung erkennst — sie funktionieren auch dann, wenn du hereinfällst.
Am wirksamsten sind Anmeldeverfahren, die an die Adresse gebunden sind: Auf einer nachgebauten Seite funktionieren sie nicht, auch wenn du es versuchst. Das ist der entscheidende Unterschied zu Bestätigungscodes, die sich weiterleiten lassen. Und für alles andere bleibt der Rückruf über eine selbst herausgesuchte Nummer.
Quellen und weiterführende Informationen
- Bundesamt für Sicherheit in der Informationstechnik (bsi.bund.de) — aktuelle Warnungen, Empfehlungen zu Anmeldeverfahren und Hinweise für Privatpersonen wie Unternehmen.
- Verbraucherzentrale (verbraucherzentrale.de) — Phishing-Radar mit aktuellen Beispielen und Vorgehen im Schadensfall.
- Deine Bank — verbindlich für Rückrufnummern, Freigabeverfahren und das Vorgehen bei Verdacht.
- Polizeiliche Kriminalprävention (polizei-beratung.de) — Hinweise zu Betrugsmaschen und Anzeigeerstattung.
- Sicherheitshinweise deiner Diensteanbieter — welche Anmeldeverfahren unterstützt werden.
- Gesetze im Internet (gesetze-im-internet.de) — §§ 675u und 675v BGB zur Haftung bei nicht autorisierten Zahlungen.
Haftungsausschluss
Allgemeiner Hinweis: Dieser Artikel auf vpnsafe.de dient der allgemeinen Information zur Sensibilisierung und ersetzt keine sicherheitstechnische oder rechtliche Beratung. Die beschriebenen Maßnahmen verringern das Risiko, schließen es aber nicht aus. Angriffsmethoden entwickeln sich fortlaufend; Empfehlungen geben den Stand zum Redaktionszeitpunkt wieder. Konkrete Anbieter und Produkte nennen wir bewusst nicht — welche Anmeldeverfahren dir zur Verfügung stehen, erfährst du bei deinen Diensteanbietern.
Zum Vorgehen im Verdachtsfall: Reagiere nicht auf die Nachricht und nutze keine darin enthaltenen Kontaktwege. Wende dich über eine selbst herausgesuchte Nummer an die betroffene Stelle — bei Banken über die Nummer auf der Rückseite deiner Karte oder aus dem Onlinebanking. Besteht der Verdacht, dass Zugangsdaten abgeflossen sind, lass betroffene Zugänge sperren und ändere Passwörter von einem anderen, nicht betroffenen Gerät aus. Sichere Belege wie Nachrichten, Absenderadressen und Zeitpunkte. Erstatte bei finanziellem Schaden Anzeige; bei nicht autorisierten Zahlungen bestehen nach §§ 675u und 675v BGB Erstattungsansprüche gegenüber dem Zahlungsdienstleister, die jedoch bei grober Fahrlässigkeit eingeschränkt sein können — melde einen Vorfall deshalb unverzüglich. In Unternehmen gelten zusätzlich interne Meldewege; bei Betroffenheit personenbezogener Daten können Meldepflichten nach der DSGVO innerhalb kurzer Fristen bestehen.
Zu technischen Maßnahmen: Adressgebundene Anmeldeverfahren und Hardwareschlüssel bieten Schutz gegen nachgebaute Anmeldeseiten, setzen aber voraus, dass sie beim jeweiligen Dienst unterstützt und für alle Zugänge konsequent eingerichtet werden. Richte für den Verlust eines Schlüssels oder Geräts vorab einen Wiederherstellungsweg ein und bewahre Ersatzcodes getrennt und sicher auf; ohne Rückfallebene kann der Zugang dauerhaft verloren gehen. Ein zweiter Faktor ersetzt weder aktuelle Software noch Vorsicht bei Anhängen und Downloads. Werden geschäftliche Zugänge betroffen, informiere die zuständige Stelle im Unternehmen unverzüglich. Einzelne Links in diesem Beitrag können Affiliate-Links sein; bei einem Kauf kann eine Provision anfallen, ohne dass sich der Preis für dich ändert. Alle genannten Markennamen sind eingetragene Warenzeichen der jeweiligen Inhaber.
Affiliate-Hinweis: Dieser Beitrag enthält Affiliate-Links (mit * oder als Amazon-Partnerlink gekennzeichnet). Bei einem Kauf über diese Links erhalten wir eine kleine Provision – für dich entstehen dabei keine zusätzlichen Kosten. Wir empfehlen nur Produkte, die wir für sinnvoll halten.
