Was ist Phishing?
Phishing greift Deine Aufmerksamkeit an, nicht Deinen Rechner. Nichts muss gehackt werden, keine Software muss eine Schwachstelle haben, und es muss auch keine Malware laufen. Jemand schickt Dir eine Nachricht, die aussieht wie von einem Dienst, den Du ohnehin nutzt, liefert einen Grund zur Eile mit und legt Dir einen Link vor. Wenn Du innerhalb dieser Nachricht handelst, hat der Angriff bereits funktioniert.
Diese Sichtweise ist wichtig, denn sie erklärt, warum Phishing jede technische Gegenmaßnahme überlebt. Spamfilter werden besser, Zertifikate billiger, Browser misstrauischer, und Phishing funktioniert weiter. Ausgenutzt wird die sehr gewöhnliche menschliche Gewohnheit, auf eine Nachricht zu reagieren, die legitim wirkt.
Wie Phishing tatsächlich funktioniert
Jeder Phishing-Angriff hat drei bewegliche Teile. Die zu verstehen bringt mehr, als sich eine Liste von Warnzeichen zu merken, denn die Teile bleiben gleich, während die Oberfläche sich ständig ändert.
Der Vorwand: ein Grund zur Eile
Die Nachricht erzeugt einen kleinen Notfall. Dein Konto wird gesperrt. Eine Zahlung ist fehlgeschlagen. Ein Paket wartet auf eine Zollgebühr. Jemand hat ein Dokument mit Dir geteilt und wartet auf Deinen Kommentar. Die konkrete Geschichte ist beliebig. Ihre einzige Aufgabe ist, Dich vom Lesen ins Handeln zu bringen, ohne Pause dazwischen, denn in der Pause fallen einem Dinge auf.
Auf die Dringlichkeit können Angreifer als Einziges nicht verzichten. Eine Nachricht mit “melde Dich an, wenn Du mal Zeit hast” schenkt Dir Bedenkzeit, und Bedenkzeit tötet den Angriff.
Der Kanal: etwas, dem Du ohnehin vertraust
E-Mail ist der klassische Kanal, aber längst nicht der einzige. Derselbe Vorwand kommt per SMS, über WhatsApp, als LinkedIn-Nachricht, als Kalendereinladung, als Kommentar in einem geteilten Dokument oder als QR-Code auf einem Aufkleber am Parkautomaten. Angreifer folgen dem Vertrauen. Wirkt ein Kanal für Dich offiziell, lohnt er sich für sie.
Die Landeseite: muss nur kurz richtig aussehen
Der Link führt irgendwohin, wo es aussieht wie die echte Anmeldeseite. Eine perfekte Kopie muss das nicht sein, und einer genauen Prüfung muss sie auch nicht standhalten. Sie muss zwanzig Sekunden lang überzeugen, so lange, wie Du zum Tippen eines Passworts brauchst.
Zunehmend ist es nicht einmal eine Kopie. Eine Relay-Seite sitzt dazwischen, zeigt Dir die echte Seite und greift alles ab, was Du eingibst, um es direkt an den echten Dienst weiterzureichen.
Warum die Tipps von früher nicht mehr greifen
Den meisten wurde beigebracht, die Nachricht zu prüfen. Das war einmal sinnvoll. Heute ist es fast nutzlos und erzeugt Sicherheit ausgerechnet dort, wo sie nicht angebracht ist.
“Achte auf Rechtschreib- und Grammatikfehler.” Holpriges Deutsch war ein verlässliches Zeichen. Sprachmodelle schreiben in jeder Sprache fehlerfreie Texte, kostenlos und in beliebiger Menge. Die Tippfehler sind weg. Übrig bleibt ein Filter, der nur die faulsten Versuche erwischt und Dir dabei beibringt, gut geschrieben hieße sicher.
“Achte auf das Schloss-Symbol.” Das Schloss bedeutet, dass die Verbindung verschlüsselt ist. Dass die Seite ehrlich ist, hat es nie bedeutet. Zertifikate sind kostenlos und automatisiert, eine Phishing-Seite hat also dasselbe Schloss wie Deine Bank. Als Vertrauenssignal war es immer weniger wert, als die Leute dachten, und heute ist es gar nichts mehr wert.
“Fahr über den Link und lies ihn.” Schon besser, aber gleich von mehreren Seiten ausgehöhlt. Nachgemachte Domains nutzen Zeichen, über die das Auge hinweggleitet. Angreifer leiten über echte, seriöse Redirect- und Tracking-Domains, sodass die sichtbare URL einer realen Firma gehört. Und die legitimen Absender haben allen beigebracht, seltsame URLs zu akzeptieren, denn Marketing-Mails schicken fast jeden Link über eine Tracking-Domain, die der Marke kein bisschen ähnelt.
Die unangenehme Schlussfolgerung: echte und gefälschte Nachrichten haben sich angeglichen. Zuverlässig herausprüfen kannst Du Dich da nicht mehr, und deshalb muss die Verteidigung weg von Deinen Augen.
Die Spielarten, die man kennen sollte
Reply-Chain-Hijacking
Das ist die Variante, die auch vorsichtige Leute erwischt, und die, die man wirklich verstanden haben sollte.
Ein Angreifer verschafft sich Zugang zum Postfach einer Person, oft über einen früheren, ganz gewöhnlichen Phishing-Erfolg. Statt neue Nachrichten zu schreiben, durchsucht er bestehende Unterhaltungen, findet einen echten, tatsächlich laufenden Thread und antwortet darin.
Jedes Vertrauenssignal, das man normalerweise prüft, ist echt. Die Absenderadresse stimmt, weil das Postfach wirklich kompromittiert wurde. Die Betreffzeile gehört zu einem Gespräch, an dem Du selbst beteiligt warst. Der zitierte Verlauf darunter ist Dein eigener Text. Der Ton passt, weil der Angreifer den Thread gelesen hat. Die Nachricht kommt zu einem Zeitpunkt, an dem eine Antwort erwartet wird, von jemandem, der einen legitimen Grund hat, Dir eine Datei oder einen Link zu schicken.
Es gibt nichts zu erkennen. Der Thread ist echt und das Konto der Person ist echt. Nur die neueste Nachricht ist es nicht. Genau deshalb versagt “sieht das legitim aus” als Verteidigung: hier ist es in jeder Hinsicht legitim, außer in der Absicht.
Spear Phishing
Gezielt statt in Masse, gebaut aus echten Details über Dich: Arbeitgeber, Rolle, ein Projektname, eine Kollegin. Einzeln sind diese Details öffentlich, auf einer Firmenseite oder in einem beruflichen Profil. In einer Nachricht zusammengesetzt ergeben sie etwas, das nur von innen kommen zu können scheint.
Smishing und Quishing
Derselbe Angriff per SMS oder versteckt hinter einem QR-Code. QR-Codes sind für Angreifer wirksam, weil ein Code keine lesbare URL mitliefert, die Prüfgewohnheit also nichts hat, woran sie ansetzen könnte, und weil gescannt wird, wo Menschen abgelenkt herumstehen und die Adresszeile abgeschnitten ist.
Relay in Echtzeit und MFA-Fatigue
Die moderne Variante, und der Grund, warum “schalt einfach 2FA ein” keine vollständige Antwort mehr ist. Die Phishing-Seite reicht Deine Sitzung live weiter. Du gibst das Passwort ein, sie leitet es weiter. Die echte Seite fragt nach dem Code aus Deiner Authenticator-App, die Seite fragt Dich danach, Du lieferst ihn, und er wird innerhalb von Sekunden eingespielt. Am Ende bist Du erfolgreich angemeldet, es fühlt sich also nichts falsch an, während der Angreifer eine gültige Session hält.
MFA-Fatigue ist der plumpere Verwandte: wiederholte Push-Benachrichtigungen um elf Uhr abends, bis jemand auf Bestätigen tippt, damit das Summen aufhört.
Was tatsächlich schützt
Eine Gewohnheit, und sie schlägt jede Checkliste
Handle nie aus der Nachricht heraus. Lies sie, nimm die Information mit, und geh dann auf Deinem eigenen Weg zum Dienst: über ein Lesezeichen, die App auf Deinem Telefon oder die von Hand getippte Adresse. Hat Dein Konto wirklich ein Problem, wartet das Problem dort auf Dich. Wartet nichts, war die Nachricht gelogen und Du hast nichts verloren außer ein paar Sekunden.
Das funktioniert, weil es völlig gleichgültig ist, wie überzeugend die Nachricht war. Es verlangt kein Urteil über Grammatik, Absenderadressen oder URLs, und es hält auch gegen ein gekapertes Reply-Chain stand, wo das Urteil ohnehin nichts hat, woran es sich festhalten könnte. Der Begleittext dazu, warum Du nie einen Link in einer E-Mail anklicken solltest , geht die Gewohnheit in der Praxis durch.
Passkeys und Hardware-Keys schließen das Relay-Loch
Ein Passkey ist kryptografisch an die Domain gebunden, für die er angelegt wurde. Einer Nachahmung gegenüber liefert er keine schwächere Antwort und fragt auch nicht nach einer Bestätigung. Er liefert gar nichts, denn aus seiner Sicht ist die Seite schlicht nicht die Seite. Für einen Hardware-Security-Key gilt dasselbe. Das ist die einzige Gegenmaßnahme, die das Echtzeit-Relay wirklich aushebelt, und deshalb ist “phishing-resistant” eine konkrete technische Aussage und kein Marketing.
Ein Passwort-Manager ist ein Phishing-Detektor
Das ist seine am meisten unterschätzte Eigenschaft. Ein Passwort-Manager gleicht gespeicherte Zugangsdaten mit der Domain ab und füllt auf einer nachgemachten Seite deshalb einfach nichts aus. Dieses Schweigen ist eine Maschine, die einen Abgleich vornimmt, den Deine Augen nicht zuverlässig leisten können. Wenn die automatische Eingabe unerwartet nichts anbietet, nimm das als Warnung und nicht als Ärgernis.
Mach den Wiederherstellungsweg langweilig
Phishing zielt häufig auf das Konto, das die anderen kontrolliert. Meistens ist das die E-Mail. Gib ihr einen Passkey oder Hardware-Key, sieh nach, welche Wiederherstellungsadressen und Telefonnummern hinterlegt sind, und entferne alles, was Du nicht kennst. Wer sich Zugang verschafft, trägt oft eine Wiederherstellungsadresse oder eine Weiterleitungsregel ein, um den Zugriff über ein Zurücksetzen des Passworts hinaus zu behalten. Genau deshalb steht in der Liste oben, danach zu suchen.
Wer tatsächlich gefährdet ist
Alle, aber nicht auf dieselbe Weise. Für die meisten liegt das Risiko im Finanziellen und Privaten: Banking, Pakete, Post vom Finanzamt, Streaming-Abos.
Für Entwickler kommt eine zweite Front dazu. Dieselbe Social-Engineering-Masche kommt als Paket daher, das einem Paket ähnelt, auf das Du Dich verlässt, als Pull Request von einem Konto, das einem Maintainer ähnelt, oder als Anfrage nach einem CI-Secret, die nach Routine aussieht. Diese Überschneidung ist der Grund, warum Supply-Chain-Angriffe in dieselbe Denkkategorie gehören: ein gephishtes Maintainer-Konto steht am Anfang sehr vieler von ihnen.
Zunehmend wird auch Software gephisht, nicht nur Menschen. Ein KI-Agent, der in Deinem Auftrag eine Webseite liest, kann Anweisungen untergeschoben bekommen, die in dieser Seite versteckt sind. Das ist prompt injection und verhält sich bemerkenswert ähnlich wie Phishing gegen eine Maschine. Der Vorwand ist derselbe. Nur der Lesende hat gewechselt.
FAQ
Kann ich eine Phishing-Mail zuverlässig am Aussehen erkennen?
Nein, und genau darauf die eigene Verteidigung zu bauen ist der Fehler. Modernes Phishing hat sauberes Deutsch, ein gültiges Zertifikat und beim Reply-Chain-Hijacking sogar einen echten Absender samt echtem Gesprächsverlauf. Prüfen mit den Augen erwischt die faulen Versuche und macht Dich bei den guten fälschlich sicher. Ändere die Gewohnheit, statt den Blick zu schärfen.
Schützt Zwei-Faktor-Authentisierung vor Phishing?
Codes aus einer App oder per SMS nicht. Eine Relay-Seite in Echtzeit sammelt Passwort und sechsstelligen Code ein und spielt beide innerhalb von Sekunden bei der echten Seite ein. Passkeys und Hardware-Security-Keys stoppen es dagegen, weil der Credential kryptografisch an die echte Domain gebunden ist und auf eine Nachahmung schlicht nicht reagiert.
Ich habe geklickt. Was jetzt?
Ändere das Passwort dieses Kontos in einem Tab, den Du selbst geöffnet hast, nicht über irgendeinen Link. Melde danach in den Sicherheitseinstellungen alle Sessions ab, denn der Angreifer hält womöglich schon ein gültiges Session-Cookie. Prüfe, ob neue Weiterleitungsregeln oder zusätzliche Wiederherstellungsadressen eingetragen wurden, denn so bleibt der Zugriff auch nach einem Passwortwechsel bestehen. War es ein Firmenkonto, sag sofort der Stelle Bescheid, die bei Euch Security macht.
Hast Du einen Fehler oder eine Lücke entdeckt?
5bats lässt sich lieber korrigieren, als selbstbewusst im Unrecht zu liegen. Sollte hier etwas ungenau oder veraltet sein oder eine Bedrohung fehlen, melde Dich über Session oder E-Mail , Korrekturen und Ergänzungen sind wirklich willkommen.
Lasst die Tools kostenlos bleiben
Dieser Leitfaden und die darin genannten Tools sind kostenlos und selbst finanziert. Wenn Dir diese Arbeit nützlich ist, kannst Du Sponsor werden . So bleibt sie gepflegt, wird auf CVE-Schwachstellen geprüft und bleibt für alle kostenlos. Ohne Konto, ohne Tracker von Drittanbietern, einfach nur über einen Link.
