Phishing ist ein Täuschungsangriff: Angreifer geben sich in einer Nachricht, auf einer Website oder am Telefon als vertrauenswürdige Person oder Organisation aus. Ihr Ziel kann sein, Zugangsdaten, Zahlungs- oder andere persönliche Informationen zu erhalten oder zum Öffnen eines schädlichen Links oder Anhangs zu bewegen. Die US-Sicherheitsbehörde CISA nennt E-Mail, SMS, Direktnachrichten in sozialen Netzwerken und Anrufe als typische Kanäle.
Der Kern von Phishing ist nicht ein bestimmtes Programm, sondern die Manipulation einer Entscheidung. Eine Nachricht erzeugt etwa Zeitdruck: Ein Konto werde gesperrt, eine Zahlung müsse bestätigt oder ein Paket erneut zugestellt werden. Sie kann dabei das Aussehen einer bekannten Bank, eines Online-Shops oder einer Kollegin nachahmen. Nach der Definition des NIST wird dabei eine betrügerische Aufforderung genutzt, um sensible Daten zu erlangen, während sich der Täter als seriöses Unternehmen oder vertrauenswürdige Person ausgibt.
Nicht jede verdächtige Nachricht ist technisch aufwendig. Gerade glaubwürdige Absendernamen, echte Logos oder sprachlich saubere Texte sind kein Beweis für Echtheit. Entscheidend ist, ob die Aufforderung und ihr Ziel unabhängig überprüft werden können.
Ein typischer Ablauf beginnt mit einer Nachricht, die zu einer Handlung drängt. Ein Link führt auf eine nachgebaute Anmeldeseite, ein Anhang soll geöffnet werden oder ein Anruf verlangt einen Code. Werden Zugangsdaten oder Einmalcodes eingegeben, können Angreifer sie für den Zugriff auf das echte Konto verwenden. Andere Varianten zielen darauf, Schadsoftware auszuführen oder weitere Informationen für einen späteren Betrugsversuch zu sammeln.
Phishing kann breit gestreut sein, etwa als massenhafte Paket- oder Kontobenachrichtigung. Es kann aber auch gezielt auf eine Person, ein Team oder eine Organisation zugeschnitten werden. Öffentliche Angaben zu Rolle, Lieferanten oder Projekten helfen dabei, eine Anfrage plausibel wirken zu lassen. Der gemeinsame Nenner bleibt die Täuschung über Absender, Anlass oder Zielseite.
Eine Mitarbeiterin erhält eine E-Mail, die angeblich vom IT-Support stammt. Darin heißt es, ihr Postfach werde noch am selben Tag deaktiviert; ein Link führe zur „Bestätigung“. Statt den Link zu öffnen, ruft sie das bekannte Service-Portal über ein gespeichertes Lesezeichen auf oder kontaktiert den Support über einen bereits bekannten Kanal. So prüft sie die Behauptung, ohne die in der Nachricht angebotene Verbindung zu benutzen.
CISA rät bei einem Verdacht ebenfalls dazu, nicht auf Links oder Anhänge zu klicken. Wenn eine Anfrage echt sein könnte, soll die betreffende Organisation über eine unabhängig ermittelte Website oder Kontaktmöglichkeit erreicht werden.
Phishing beschreibt sowohl die Angriffsmethode als auch konkrete Vorfälle in Privat- und Arbeitsumgebungen. Im Alltag geht es häufig um Kundenkonten, E-Mail-Zugänge oder Zahlungsdaten. In Unternehmen können kompromittierte Konten den Zugang zu Dokumenten, internen Anwendungen oder weiteren Mitarbeitenden öffnen. Deshalb gehören klare Meldewege, aktuelle Software und eine Multi-Faktor-Authentifizierung zu sinnvollen Schutzmaßnahmen.
Multi-Faktor-Authentifizierung kann die Folgen eines abgegriffenen Passworts begrenzen, ersetzt aber nicht die Prüfung einer Nachricht: Ein Angreifer kann auch versuchen, zur Freigabe eines Codes oder einer Anmeldebestätigung zu drängen. Wo ein Dienst sie unterstützt, sind Passkeys ein anderes Anmeldeverfahren; sie sind jedoch kein allgemeiner Schutz gegen jede Täuschung, etwa bei betrügerischen Überweisungsaufforderungen.
Ein Schloss-Symbol im Browser oder eine HTTPS-Verbindung beweist nur, dass die Verbindung zu der aufgerufenen Domain verschlüsselt ist. Es beweist nicht, dass die Domain zum behaupteten Unternehmen gehört oder dass die Anfrage berechtigt ist. Ebenso sind Rechtschreibfehler kein verlässliches Alleinstellungsmerkmal: CISA weist darauf hin, dass heutige Nachrichten auch sprachlich fehlerfrei sein können.
Phishing ist außerdem nicht mit jeder Form von Schadsoftware gleichzusetzen. Ein Phishing-Versuch kann ohne Schadprogramm allein auf die Preisgabe von Daten zielen; umgekehrt kann Schadsoftware auf anderen Wegen verbreitet werden. Verschlüsselung schützt Daten während bestimmter Übertragungen oder bei Speicherung, entscheidet aber nicht darüber, ob eine Person an eine gefälschte Stelle Daten weitergibt.
Spam ist vor allem unerwünschte Massenkommunikation. Phishing ist dagegen auf Täuschung und eine riskante Handlung oder Datenpreisgabe angelegt; es kann zwar als Spam auftreten, muss es aber nicht. Social Engineering ist der breitere Oberbegriff für die Manipulation von Menschen. Phishing ist eine digitale Form davon, die häufig gefälschte Kommunikation oder Websites nutzt.
Nicht über den Link, die Telefonnummer oder die Antwortfunktion der Nachricht reagieren. Stattdessen die bekannte Website selbst aufrufen oder einen vorhandenen Kontaktweg nutzen. Die Nachricht im Mailprogramm oder beim jeweiligen Dienst melden und sie nach den dortigen Vorgaben behandeln. Wurden Zugangsdaten eingegeben, sollte das Passwort unverzüglich über die echte Dienstseite geändert und vorhandene Sitzungen sowie hinterlegte Wiederherstellungsdaten geprüft werden. In einer Organisation ist zusätzlich der vorgesehene Sicherheits- oder IT-Kontakt zu informieren.
Quellenstand: 13. September 2026