Was ist Phishing?
Phishing ist ein Kunstwort aus „Passwort“ und „Fishing“, so erklärt es das BSI. Kriminelle werfen einen Köder aus und warten, wer anbeißt. Der Köder ist eine Nachricht, die echt aussieht: von der Bank, vom Paketdienst, von Google oder Meta.
Das Muster ist fast immer gleich. Eine Karte läuft ab, ein Konto ist gesperrt, ein Sicherheitsvorfall muss bestätigt werden. Du sollst schnell klicken und dich anmelden. Die Login-Seite dahinter ist eine Fälschung, und deine Zugangsdaten landen direkt bei den Tätern.
Welche Varianten gibt es?
Variante
Kanal
Phishing
E-Mail, gefälschte Website
Spear-Phishing
Gezielt auf eine Firma oder Person
Smishing
SMS und Messenger
Quishing
QR-Code
Vishing
Telefon
Spear-Phishing ist für Unternehmen am gefährlichsten. Die Täter kennen Namen, Rollen und Tools aus Datenlecks. Das BSI hat 354 bekannt gewordene Datenleaks ausgewertet: In 86,7 % davon waren Namen oder Benutzernamen betroffen, in 41,8 % E-Mail-Adressen. Rohmaterial für sehr glaubwürdige Mails.
Warum Marketing-Teams ein Ziel sind
Werbekonten sind bares Geld. Wer ein Google-Ads- oder Meta-Konto übernimmt, schaltet eigene Anzeigen auf deine Kreditkarte und sperrt dich aus.
Case A · Meta
Phishing über die echte Meta Business Suite
rund 40.000
Phishing-Mails
> 5.000
betroffene Firmenkunden
Absender war echt, die Login-Seite nicht
Täter missbrauchten 2025 laut Check Point die Einladungsfunktion für Business-Seiten. Die Mails kamen von facebookmail.com.
Case B · USA
Beschwerden beim FBI 2024
193.407
Fälle Phishing/Spoofing
2,77 Mrd. $
Schaden durch Business E-Mail Compromise
Phishing ist der Einstieg, der Schaden kommt danach
Phishing war die häufigste Deliktart, der direkt gemeldete Schaden lag nur bei rund 70 Mio. $. Teuer wird es, wenn das gekaperte Postfach für Zahlungsbetrug genutzt wird.
Bei Google Ads beschrieb Malwarebytes Anfang 2025 gefälschte Anzeigen für „Google Ads“, die auf nachgebaute Login-Seiten führten. Mit den Daten fügten die Täter einen neuen Admin hinzu und verbrauchten das Budget.
So erkennst du Phishing
Vergiss den alten Tipp mit dem schlechten Deutsch. Laut BSI-Lagebericht 2025 schreiben Täter ihre Texte zunehmend mit KI. Achte stattdessen auf:
- Zeitdruck: „innerhalb von 24 Stunden“, „sonst wird Ihr Konto gelöscht“.
- Die Adresszeile: Die Login-Seite liegt nicht auf der Domain des Anbieters.
- Unerwartete Anlässe: eine Rechnung, ein Paket, eine Sperrung, die du nicht erwartest.
- QR-Codes in Mails: Sie umgehen Linkprüfungen und landen auf dem Handy, wo die Adresse schlecht zu sehen ist.
Die beste Regel ist einfach: Nie über den Link in der Mail anmelden. Ruf Google Ads, Meta oder deine Bank immer selbst über das Lesezeichen auf.
Was rechtlich gilt
- Strafbar: Phishing fällt unter anderem unter Computerbetrug nach § 263a StGB (bis fünf Jahre Freiheitsstrafe) und Ausspähen von Daten nach § 202a StGB.
- Meldepflicht: Gelangen durch den Angriff personenbezogene Daten an Dritte, ist das eine Datenpanne. Nach Art. 33 DSGVO meldest du sie der Aufsichtsbehörde möglichst binnen 72 Stunden, außer es besteht voraussichtlich kein Risiko.
- Dokumentieren: Jede Panne gehört intern dokumentiert, auch wenn du sie nicht melden musst.
Häufige Fehler
Fehler 1 · Dem Absender trauen
Im Meta-Fall war der Absender echt. Absendernamen lassen sich außerdem leicht fälschen. Entscheidend ist, wohin der Link führt.
Fehler 2 · Sich mit SMS-Codes sicher fühlen
Moderne Phishing-Seiten reichen Codes in Echtzeit weiter. Gegen Phishing schützen laut BSI vor allem Passkeys, weil sie nur auf der echten Website funktionieren.
Fehler 3 · Den Klick verschweigen
Aus Scham sagt niemand etwas, und die Täter haben Tage Zeit. Je schneller du reagierst, desto kleiner der Schaden. Mach in deinem Team klar: Melden ist richtig, nicht peinlich.
Geklickt, was jetzt?
- Passwort sofort über den echten Weg ändern und alle aktiven Sitzungen abmelden.
- Zweiten Faktor prüfen und wenn möglich auf Passkey umstellen.
- In Werbekonten Admins, Zahlungsmittel und laufende Kampagnen kontrollieren.
- Bei Bankdaten sofort die Bank anrufen.
- Prüfen, ob personenbezogene Daten betroffen sind, wegen der 72-Stunden-Frist.
- Anzeige bei der Polizei erstatten, die Mail an den Phishing-Radar der Verbraucherzentrale weiterleiten.
Häufige Fragen
Was ist der Unterschied zwischen Phishing, Smishing und Quishing?
Es ist derselbe Betrug über verschiedene Kanäle. Phishing läuft klassisch per E-Mail, Smishing per SMS oder Messenger, Quishing über QR-Codes. Vishing ist die Variante am Telefon.
Ich habe auf einen Phishing-Link geklickt. Was jetzt?
Ein Klick allein ist meist noch kein Schaden. Hast du Daten eingegeben, ändere sofort das Passwort über den echten Weg, melde alle Sitzungen ab, prüfe deine Konten und informiere deine IT. Bei Bankdaten ruf sofort die Bank an.
Muss ich einen Phishing-Vorfall nach DSGVO melden?
Wenn personenbezogene Daten betroffen sind und ein Risiko für die Betroffenen besteht, ja. Die Meldung an die Aufsichtsbehörde soll möglichst binnen 72 Stunden erfolgen. Dokumentieren musst du jeden Vorfall.
Schützt Zwei-Faktor-Authentifizierung vor Phishing?
Teilweise. Ein zweiter Faktor stoppt alle, die nur dein Passwort haben. Gegen Seiten, die Codes in Echtzeit weiterreichen, helfen nur Passkeys oder Sicherheitsschlüssel.
Wie erkenne ich gefälschte Mails von Meta oder Google Ads?
Gar nicht immer sicher, selbst echte Absender werden missbraucht. Deshalb gilt: nie über den Link in der Mail anmelden. Öffne das Werbekonto selbst über dein Lesezeichen und schau dort nach, ob wirklich etwas anliegt.
Quellen
- BSI: Passwortdiebstahl durch Phishing
- BSI: Jahresrückblick Digitaler Verbraucherschutz 2024
- BSI: Die Lage der IT-Sicherheit in Deutschland 2025
- FBI IC3: Internet Crime Report 2024
- Gesetze im Internet: § 263a StGB
- Gesetze im Internet: § 202a StGB
- EUR-Lex: Datenschutz-Grundverordnung (EU) 2016/679
- BSI: Passkeys
