Ein Angriff, viele Kanäle
Phishing ist digitaler Trickbetrug per Nachricht: Der Angreifer gibt sich als jemand aus, dem Sie vertrauen, um an Zugangsdaten, Geld oder einen Klick auf Schadsoftware zu kommen — und es ist der häufigste Einstieg überhaupt: Vier von fünf Ransomware-Angriffen beginnen mit einer Phishing-Mail. Dass es dabei jeden trifft und warum niemand „zu unwichtig" ist, hat Lektion 1.1.1 gezeigt.
Neu und phishing-eigen ist vor allem der Weg. Früher kam Phishing fast nur per E-Mail, heute läuft es parallel über mehrere Kanäle — und jeder wirkt für sich vertrauenswürdig:
- E-Mail — nach wie vor der häufigste Weg.
- SMS (Smishing) — trifft das Handy, das viele für rein privat halten.
- WhatsApp — oft als zweiter Schritt, um den User auf einen ungeschützten Kanal zu ziehen.
- LinkedIn — gefälschte Recruiter und seriös wirkende Geschäftsanfragen.
- Microsoft Teams — gerade weil es als interne, sichere Plattform gilt.
- QR-Code (Quishing) — überklebt im öffentlichen Raum (Parkautomaten, Ladesäulen) oder als Bild in E-Mails und Briefen.
Zwei dieser Wege sind so eigen, dass die nächsten beiden Lektionen sie vertiefen: QR-Code-Betrug (Lektion 1.3.2) sowie Angriffe per Stimme und Video-Deepfake (Lektion 1.3.3).
Die Masche ist über alle Kanäle dieselbe und zielt nicht auf die Technik, sondern auf Sie: Die Teams-Nachricht macht Zeitdruck, die SMS setzt auf eine harmlos kleine Summe, das LinkedIn-Angebot auf einen Wunsch. Warum solche Hebel wirken, ist das Thema von Lektion 1.1.2 — fürs Phishing genügt, sie wiederzuerkennen.
Das eine Merkmal, das bleibt
Lange war schlechte Sprache das beste Warnzeichen — „Sehr geehrte Dame oder Herr, Ihre Konto wurde kompromittiert". Das ist vorbei: KI schreibt heute fehlerfreie, persönlich zugeschnittene Nachrichten. Tippfehler sind kein verlässliches Erkennungsmerkmal mehr (mehr dazu im Vertiefungsteil).
Ein Merkmal aber bleibt, über jeden Kanal hinweg: Eine Phishing-Nachricht verlangt immer eine Aktion — einen Klick, eine Eingabe, eine Überweisung, einen Download, einen Anruf. Und sie verlangt es mit Druck. Daraus wird Ihre verlässliche Prüffrage: Werde ich hier zu einer Handlung gedrängt? Lautet die Antwort ja, ist Vorsicht angebracht — ganz gleich, wie echt die Nachricht aussieht.
Trauen Sie keinem Link
Besonders oft steckt der Betrug in der Adresse selbst: eine Null statt des Buchstabens O, ein großes „I" statt eines kleinen „l". micros0ft.com, paypaI.de, G00GLE.COM sehen echt aus, führen aber auf gefälschte Seiten (wie das im Detail funktioniert, steht im Vertiefungsteil). Die Konsequenz ist einfach: Verlassen Sie sich nie auf das bloße Aussehen eines Links. Tippen Sie die Adresse, die Sie kennen, selbst in den Browser — oder rufen Sie die Seite über ein Lesezeichen auf.
Wenn eine Nachricht Sie zum Handeln drängt
Was dann zu tun ist, kennen Sie im Kern schon: innehalten, über einen zweiten Kanal prüfen, melden (Lektion 1.1.2). Fürs Phishing kommen zwei konkrete Punkte hinzu:
- Prüfen heißt hier: die Absender-Adresse und jeden Link auf getarnte Zeichen ansehen (Null statt O, großes „I" statt „l") — und den angeblichen Absender nie über die verdächtige Nachricht selbst kontaktieren, sondern über einen bekannten Weg.
- Falls Sie doch geklickt oder Daten eingegeben haben: das Gerät sofort vom Netz trennen, die IT informieren und die Passwörter der betroffenen Konten von einem anderen Gerät aus ändern.
Zum Weiterlesen:
die Technik dahinter
Nicht Pflichtstoff — für alle, die genauer wissen wollen, warum die Verfahren sich so unterscheiden.
E-Mail bleibt der häufigste Angriffsweg. Typisch: eine gefälschte Absenderadresse, die auf den ersten Blick korrekt aussieht (support@micros0ft.com statt microsoft.com), ein angeblich dringendes Konto-Problem, ein Link zu einer täuschend echten Anmeldeseite. Erkennbar an merkwürdiger Absender-Domain, allgemeiner Anrede („Sehr geehrter Nutzer"), fehlenden Details zum eigenen Konto, übertriebener Dringlichkeit.
SMS / Smishing trifft ein Gerät, das viele als privat betrachten: das Handy. Beliebte Vorwände sind Paketprobleme (DHL, Hermes), Zollgebühren oder Bankwarnungen. Das BSI beobachtet seit 2025 eine Welle KI-gestützter Smishing-Angriffe, bei denen klassische Merkmale wie Tippfehler verschwunden sind; der durchschnittliche Schaden pro Fall liegt nach aktuellen Meldungen bei 4.000 bis 6.000 Euro. Erkennbar an unbekannter Absendernummer, einer Domain, die dem echten Dienst nur ähnelt (dlh-zollservice.destattdhl.de`), und Zahlungsaufforderungen für Kleinstbeträge.
WhatsApp wird zunehmend als zweiter Schritt genutzt: Der erste Kontakt entsteht auf LinkedIn oder per E-Mail, dann soll es „auf WhatsApp weitergehen" — dort agieren Betrüger ohne Firmen-Schutzfilter. Typisch: gefälschte Jobangebote, angebliche Lieferanten, dringende Anweisungen scheinbarer Vorgesetzter.
LinkedIn ist längst kein sicherer Hafen. Dokumentiert sind Kampagnen, bei denen personalisierte Direktnachrichten zum Download von Archivdateien animieren — beim Öffnen wird ein Fernzugriffs-Trojaner installiert. Die Angreifer bauen vollständige Fake-Profile mit KI-generierten Texten und Fotos auf. Erkennbar an zu gut klingenden Angeboten, Drängen auf Kontaktwechsel und Links zu Dateien statt normaler Konversation.
Microsoft Teams gilt vielen als interne, sichere Plattform — genau das macht es attraktiv. Die Ransomware-Gruppe BlackBasta gibt sich in Teams-Nachrichten als interner IT-Helpdesk aus und bittet um Fernzugriff. Externe Nutzer können über die Chat-Funktion Nachrichten schicken, die von Microsoft-Servern stammen und dadurch legitim wirken. Erkennbar an unbekanntem externen Absender, der Bitte um Zugangsdaten oder Fernzugriff und Zeitdruck.
Angreifer tauschen einzelne Zeichen gegen zum Verwechseln ähnliche aus: eine Null statt des Buchstabens O, ein großes „I" statt eines kleinen „l". micros0ft.com, paypaI.de, G00GLE.COM wirken auf den ersten Blick echt, sind in Wahrheit aber fremde Adressen. Manche Kampagnen gehen weiter und setzen kyrillische Buchstaben ein, die den lateinischen exakt gleichen — für das Auge ist der Unterschied nicht zu erkennen. Fachleute nennen das einen homographischen Angriff.
Moderne Angreifer nutzen KI-Sprachmodelle, um in Sekunden fehlerfreie, personalisierte Nachrichten zu erzeugen. Sie sammeln vorab Informationen aus sozialen Medien — Name der Führungskraft, aktuelles Projekt, Kollegenname — und bauen sie ein. Das nennt sich Spear-Phishing: ein Angriff, der auf eine bestimmte Person zugeschnitten ist.
Wie wirksam das ist, zeigt eine viel zitierte Einschätzung des SANS Institute (Alan Paller, 2013): 95 Prozent aller Angriffe auf Unternehmensnetzwerke gehen auf gezielte Attacken gegen einzelne Personen zurück. Wie stark KI die Wirkung steigert, belegt Microsofts Digital Defense Report 2025: KI-geschriebene Phishing-Mails werden 4,5-mal häufiger angeklickt als von Hand verfasste (54 % gegenüber 12 %). Und Angriffe mit gefälschten Stimmen (Deepfake-Vishing) vervielfachten sich binnen eines einzigen Quartals.
Keine Panik. Trennen Sie das Gerät sofort vom Netzwerk — WLAN und Kabel — und informieren Sie die IT. Geben Sie keine weiteren Daten ein. Ändern Sie die Passwörter aller betroffenen Konten umgehend, am besten von einem anderen Gerät aus.
Die Nachrichten wechseln ständig das Kostüm, die Masche bleibt gleich. Was 2026 besonders häufig auftaucht:
- Paket-SMS: angebliche Nachricht von DHL, Hermes, DPD oder GLS — „Adressdaten fehlen" oder „Zollgebühr offen", mit Link zur Kartendaten-Abfrage.
- Bank-Nachrichten: gefälschte Warnungen von DKB, Sparkasse, Postbank oder Commerzbank, oft mit dem Vorwand „Ihre App-Registrierung läuft ab".
- Amazon-„Produktrückruf": eine dringende E-Mail, ein Produkt sei zurückzugeben — der Link führt auf eine nachgebaute Anmeldeseite.
- ELSTER-/Steuer-Mails: „Ihr Steuerbescheid 2026 ist abrufbar" oder eine angebliche Erstattung.
- Brushing: unbestellte Pakete im Briefkasten — Ihre Adressdaten werden für gefälschte Kundenbewertungen missbraucht.
Der SMS-Betrug (Smishing) hat 2026 spürbar zugenommen, und jüngere Menschen trifft es besonders oft. Verdächtiges können Sie an phishing@verbraucherzentrale.nrw weiterleiten; das tagesaktuelle Phishing-Radar der Verbraucherzentrale listet neue Wellen.
- Was ist Phishing? — Cisco (deutsche Übersetzung, 2026-07-05)
- Was ist Spear-Phishing? — Cisco (deutsche Übersetzung, 2026-07-05)
- What is spam vs. phishing? — Cisco (englisches Original)
- BSI — Passwortdiebstahl durch Phishing
- Microsoft Teams Phishing — netatwork.de
- Cyberangriffe auf Signal und Teams — borncity.com / BSI-Warnung
- LinkedIn-Phishing — IT-Service-Network
- Neue LinkedIn-Angriffskampagne — itwelt.at
- KMU Cybergefahren 2025 — mausch.it
- Microsoft Digital Defense Report 2025 (via SC Media)
- CrowdStrike/Keepnet — Deepfake-Vishing
- BSI-Smishing-Warnung 2026
- Verbraucherzentrale Phishing-Radar
