Was mache ich, wenn ich auf den Link in einer Phishing-Mail geklickt habe?

Wenn Sie nichts eingegeben haben, aktualisieren Sie den Virenschutz und lassen Sie den ganzen Rechner prüfen. Haben Sie Zugangsdaten eingegeben, ändern Sie das Passwort sofort und kontaktieren Sie bei Bankdaten die Bank.

Wohin kann ich Phishing-Mails melden?

Eine selbst empfangene Mail können Sie an phishing@verbraucherzentrale.nrw weiterleiten, damit das Phishing-Radar der Verbraucherzentrale NRW sie auswertet. Eine Strafanzeige stellen Sie dagegen bei der Polizei, zum Beispiel über die Onlinewache Ihres Bundeslandes.

Kann ich dem Absender einer Mail vertrauen, wenn die Adresse bekannt aussieht?

Nein. Absenderangaben lassen sich fälschen, und bei übernommenen Postfächern kommt die Mail sogar von der echten Adresse. Bei Zahlungsaufforderungen oder geänderten Bankverbindungen hilft nur ein Rückruf unter einer Nummer aus dem eigenen Adressverzeichnis.

Sicherheit

Phishing erkennen: Mails, SMS, Anrufe und QR-Codes prüfen und richtig reagieren

Phishing erkennen Sie weniger an Rechtschreibfehlern als an Druck, unerwarteten Aufforderungen und Absenderangaben, die sich fälschen lassen. Im Zweifel rufen Sie die Website selbst auf oder fragen über einen bekannten Kontaktweg nach, statt auf die Nachricht zu reagieren.

Stand: 11. November 2026 · ca. 6 Min. Lesezeit · 10 Quellen

Was ist Phishing und worauf zielt es?

Phishing bezeichnet gefälschte E-Mails, SMS oder Messenger-Nachrichten, die aussehen, als kämen sie von Bank, Online-Shop, Behörde, Paketdienst oder von Bekannten. Die Täter wollen meist Zugangs-, Adress- oder Zahlungsdaten, teils auch eine Ausweiskopie. Dazu fordern sie auf, einen Anhang zu öffnen oder einem Link auf eine nachgebaute Seite zu folgen (Quelle: polizei-beratung.de/themen-und-tipps/sicher-handeln/onlinebetrug-masch…).

Woran erkenne ich eine Phishing-Nachricht?

Die Polizei nennt als typische Merkmale eine dringende Handlungsaufforderung, eine unpersönliche Anrede, Rechtschreib- und Grammatikfehler, eine Absenderadresse, die nicht zur angeblichen Organisation passt, und Drohungen wie eine Kontosperre. Alle Nachrichten verbindet der Druck, sofort zu handeln (Quelle: polizei-beratung.de/themen-und-tipps/sicher-handeln/onlinebetrug-masch…).

Das Fehlen dieser Merkmale beweist keine Echtheit. Die Verbraucherzentrale weist darauf hin, dass Mails auch bei fehlerfreiem Deutsch, scheinbar vertrauenswürdiger Absenderadresse und plausiblem Link gefälscht sein können, weil sich Absenderangaben fälschen lassen (Quelle: verbraucherzentrale.de/wissen/digitale-welt/phishingradar/phishingmail…).

Prüfreihenfolge für jede unerwartete Nachricht:

Erwarte ich diese Nachricht, und baut sie Zeitdruck auf?
Verlangt sie Daten, einen Klick oder das Öffnen eines Anhangs?
Dann nicht antworten und nicht klicken, sondern die Website des Anbieters selbst aufrufen oder ihn über einen bekannten Kontaktweg erreichen.

Die Polizei rät, Websites besser direkt aufzurufen, weil sich Nachrichten dort in der Regel wiederfinden, und nie Anhänge zu öffnen, die man nicht selbst angefordert hat (Quelle: polizei-beratung.de/themen-und-tipps/sicher-handeln/onlinebetrug-masch…). Die Verbraucherzentrale ergänzt: Eine unerwartete Mail mit Datei zum Öffnen oder Herunterladen sollte nicht geöffnet werden, weil die Datei in der Regel Schadsoftware enthält (Quelle: verbraucherzentrale.de/wissen/digitale-welt/phishingradar/phishingmail…).

Wie erkenne ich Phishing per Telefon und mit QR-Codes?

Bei Anrufen ist die angezeigte Nummer kein Echtheitsnachweis. Die Bundesnetzagentur beschreibt, dass die übermittelte Rufnummer manipuliert sein kann (Call-ID-Spoofing). Erscheint 110 als Absenderrufnummer, ist die Anzeige in jedem Fall manipuliert; die Notrufabfragestellen der Polizei rufen mit den Ortsnetznummern der Dienststellen zurück (Quelle: bundesnetzagentur.de/DE/Vportal/TK/Aerger/Faelle/Manipulation/start.ht…).

QR-Codes sind ein weiterer Weg auf gefälschte Seiten („Quishing“). Die Verbraucherzentrale nennt falsche Bankbriefe, überklebte QR-Codes an Ladesäulen und Parkautomaten sowie falsche Strafzettel. Sie rät, vor dem Öffnen die angezeigte Internetadresse zu prüfen und auf Satzzeichen zu achten; zeigt der Scanner die Adresse nicht an, sollte eine App genutzt werden, die das tut (Quelle: verbraucherzentrale.de/wissen/digitale-welt/phishingradar/quishing-fal…). Phishing funktioniert laut Polizei auch per Brief mit QR-Code (Quelle: polizei-beratung.de/themen-und-tipps/sicher-handeln/onlinebetrug-masch…).

Gefälschte Rechnungen und CEO-Fraud: Was gilt im Büro?

Im Büro ist die gefährlichste Variante der Zahlungsbetrug. Beim CEO-Fraud geben sich Täter als Geschäftsführer oder Handelspartner aus und fordern meist Mitarbeitende aus Buchhaltung oder Rechnungswesen auf, größere Summen ins Ausland zu überweisen, etwa mit Hinweis auf eine Übernahme oder geänderte Bankverbindungen. Die Täter sammeln vorher Informationen aus Handelsregister, Firmenwebsite und sozialen Netzwerken (Quelle: polizei-beratung.de/themen-und-tipps/gefahren-im-internet/ceo-fraud/).

Das Landeskriminalamt Baden-Württemberg beschreibt weitere Muster: manipulierte Rechnungen mit verfälschter Bankverbindung, Mails angeblicher Geschäftspartner über geänderte Kontodaten und Mitteilungen eines angeblichen Mitarbeiters an die Personalstelle über ein neues Gehaltskonto. Mails können dabei sogar von den echten Adressen kommen, weil Postfächer übernommen wurden (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-e-mail-betrug-3/, Stand der Seite: 21.10.2022).

Regeln, die auch ein Zwei-Personen-Büro umsetzen kann:

Ungewöhnliche Überweisungsaufträge vor der Zahlung per Rückruf prüfen und die Geschäftsleitung informieren (Quelle: polizei-beratung.de/themen-und-tipps/gefahren-im-internet/ceo-fraud/).
Eine betriebsinterne Summe festlegen, ab der das Zielkonto telefonisch oder per Videoanruf beim Rechnungssteller verifiziert wird. Bei jeder mitgeteilten Änderung der Bankverbindung immer verifizieren, mit einer Telefonnummer aus dem eigenen Adressverzeichnis, nicht aus Rechnung oder Mail (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-e-mail-betrug-3/).
Die Änderung im Stammdatensatz dokumentieren: Zeitpunkt, Veranlasser, Verifizierungskanal, Name der bestätigenden Person (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-e-mail-betrug-3/).
Eine Checkliste mit internen und externen Zuständigen (Bank, IT-Dienstleister, Polizei) und deren Erreichbarkeit vorbereiten und ausgedruckt bereithalten (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-e-mail-betrug-3/).

Ich habe geklickt: Was tun?

Die richtige Reaktion hängt davon ab, was tatsächlich passiert ist.

Nur den Link geöffnet, nichts eingegeben

Auch ein bloßer Klick ist laut Verbraucherzentrale eine gefährliche Situation, weil manche Seiten Schadprogramme enthalten, die bei veralteter Software wirken können. Das Risiko besteht vor allem, wenn Virenschutz, Browser oder Betriebssystem nicht aktuell sind. Empfohlen wird, den Virenschutz zu aktualisieren und den gesamten Computer prüfen zu lassen (Quelle: verbraucherzentrale.de/wissen/digitale-welt/phishingradar/phishingmail…).

Anhang geöffnet oder Schadsoftware vermutet

Die Mail dann nicht löschen: Sie ist ein wichtiges Beweismittel für die Polizei. Vor dem Löschen sollte sie an die Verbraucherzentrale weitergeleitet werden (Quelle: verbraucherzentrale.de/wissen/digitale-welt/phishingradar/phishingmail…). Arbeitet ein Büro mit mehreren Rechnern, gelten zusätzlich die Schritte aus dem Ransomware-Notfallplan, vor allem das Trennen vom Netzwerk.

Passwort oder Zahlungsdaten eingegeben

Wer Daten eingegeben hat, ändert sofort das Passwort und nimmt gegebenenfalls Kontakt zur Bank oder zum Betreiber der echten Website auf (Quelle: polizei-beratung.de/themen-und-tipps/sicher-handeln/onlinebetrug-masch…). Ist das Gerät möglicherweise infiziert, sollte man testen, ob der Login über ein anderes Gerät funktioniert, und das Passwort von dort ändern. Bei gehacktem Bank- oder Zahlungskonto die Bank oder den Finanzdienstleister kontaktieren und Buchungen prüfen (Quelle: verbraucherzentrale.de/wissen/digitale-welt/datenschutz/erste-hilfe-be…). Karten lassen sich im Zweifel über 116 116 sperren; der Anruf ist laut Sperr-Notruf aus dem deutschen Festnetz gebührenfrei, aus dem Mobilnetz und dem Ausland können Gebühren anfallen (Quelle: sperr-notruf.de/faq).

Nach dem Passwortwechsel lohnt ein zweiter Faktor für das Konto; wie das im Team funktioniert, steht in Passwortmanager und Zwei-Faktor-Authentisierung.

Geld überwiesen

Zahlungen im betrügerischen Zusammenhang sollten schnellstmöglich der eigenen Bank gemeldet werden, mit der Bitte um Stornierung und Rückholung. Danach folgt unverzüglich die Anzeige bei der Polizei mit Datum, Summe, Ziel- und Abgangskonto (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-e-mail-betrug-3/). Ein Rückholungserfolg wird dort nicht zugesagt.

Postfach übernommen

Bei unberechtigtem Zugriff auf ein E-Mail-Konto empfiehlt das LKA: Konto sperren und Passwort ändern, Geschäftspartner telefonisch informieren, Anzeige erstatten und das Konto auf unbemerkt eingerichtete Weiterleitungen und Filterregeln prüfen. Gefundene Regeln werden mit Screenshot oder Notiz dokumentiert und dann gelöscht (Quelle: lka.polizei-bw.de/handlungsempfehlungen-gegen-e-mail-betrug-3/).

Wo melde ich Phishing?

Meldung und Anzeige sind zwei verschiedene Wege.

Phishing-Radar der Verbraucherzentrale: Selbst empfangene verdächtige Mails können an [email protected] weitergeleitet werden. Funktioniert das nicht, lässt sich die Mail als .eml-Datei (Limit 2 MB) auf der Seite des Phishing-Radars hochladen. Die Verbraucherzentrale NRW wertet die Mails aus und informiert über aktuelle Betrugsmaschen; personenbezogene Daten werden anonymisiert (Quelle: verbraucherzentrale.de/wissen/digitale-welt/phishingradar/phishingrada…, Stand der Seite: 10. November 2026). Eine Einzelfallberatung folgt daraus nicht.

Polizei: Über die Onlinewache lassen sich Strafanzeigen erstatten oder Hinweise senden. Zuerst wird das Bundesland gewählt; liegt der Tatort im Internet, im Ausland oder ist er unbekannt, gilt das Bundesland des deutschen Wohnsitzes. Fälle mit komplexem Sachverhalt sollen direkt bei einer Polizeidienststelle gemeldet werden. Screenshots und E-Mail-Verläufe können als Beweismittel hochgeladen werden (Quelle: portal.onlinewache.polizei.de/de/).

Bei Rufnummernmissbrauch: Die Bundesnetzagentur informiert zu manipulierten Rufnummern auf ihrer Seite (Quelle: bundesnetzagentur.de/DE/Vportal/TK/Aerger/Faelle/Manipulation/start.ht…).

Was ich vorbereiten sollte, bevor es passiert

Betriebssystem, Browser und Virenschutz automatisch aktuell halten (siehe Übersicht Sicherheit).
Für alle Konten einzigartige Passwörter und einen zweiten Faktor einrichten, besonders für das E-Mail-Postfach.
Die Zahlungsregeln aus dem Abschnitt zu Rechnungsbetrug schriftlich festlegen und allen mitteilen.
Ein Backup außerhalb des Netzes vorhalten, siehe Datensicherung.

Häufige Fragen

Was mache ich, wenn ich auf den Link in einer Phishing-Mail geklickt habe?: Wenn Sie nichts eingegeben haben, aktualisieren Sie den Virenschutz und lassen Sie den ganzen Rechner prüfen. Haben Sie Zugangsdaten eingegeben, ändern Sie das Passwort sofort und kontaktieren Sie bei Bankdaten die Bank.
Wohin kann ich Phishing-Mails melden?: Eine selbst empfangene Mail können Sie an [email protected] weiterleiten, damit das Phishing-Radar der Verbraucherzentrale NRW sie auswertet. Eine Strafanzeige stellen Sie dagegen bei der Polizei, zum Beispiel über die Onlinewache Ihres Bundeslandes.
Kann ich dem Absender einer Mail vertrauen, wenn die Adresse bekannt aussieht?: Nein. Absenderangaben lassen sich fälschen, und bei übernommenen Postfächern kommt die Mail sogar von der echten Adresse. Bei Zahlungsaufforderungen oder geänderten Bankverbindungen hilft nur ein Rückruf unter einer Nummer aus dem eigenen Adressverzeichnis.