Die drei Sekunden, die alles entscheiden
Phishing wirkt, weil wir auf Autopilot klicken. Eine vertraut aussehende E-Mail, ein dringender Ton, ein gewohnter Reflex - und der Schaden ist da. Die gute Nachricht: Drei sehr kurze Prüfungen reichen aus, um die meisten Versuche zu enttarnen.
Absender prüfen
Stimmt die Domain exakt? microsoft.com ist nicht micros0ft.com - und auch nicht ms-alerts-secure.com.
Link hovern
Maus über den Link halten, ohne zu klicken. Die echte Ziel-URL erscheint unten links im Browser oder E-Mail-Client.
Kontext hinterfragen
Habe ich diese E-Mail erwartet? Passt der Ton zur Beziehung? Wenn nein - nicht klicken.
Schritt 1 - Den Absender wirklich lesen
Ihr Mail-Client zeigt oft nur den Anzeigenamen wie „Microsoft 365 Team". Die echte Adresse dahinter kann noreply@ms-alerts-secure.com sein - eine völlig fremde Domain. Klicken Sie auf den Anzeigenamen oder fahren Sie mit der Maus darüber, um die echte Adresse zu sehen.
Typische Tricks, die in 90 % der Phishing-Mails vorkommen:
- Buchstabentausch:
rnstattm,0statto,paypa1.com - Subdomain-Falle:
microsoft.com.support-portal.ru- die echte Domain istsupport-portal.ru - Plus-Tricks:
info+microsoft@phisher.comsieht im Kopf aus wie „microsoft"
Schritt 2 - Links prüfen, bevor Sie klicken
Hovern Sie immer über Links, bevor Sie sie anklicken. Die Statusleiste oder ein Tooltip zeigt das echte Ziel.
- Stimmt die Domain mit dem Absender überein?
- Beginnt die URL mit
https://? - Sehen Sie einen URL-Shortener wie
bit.lyodert.co? Dann besondere Vorsicht.
Auf dem Smartphone tippen Sie lange auf den Link - dann erscheint die Vorschau ohne zu öffnen.
„Ihr Postfach ist voll - klicken Sie hier, um zu erweitern." Absender: IT-Support <it-support@firma-cloud-help.com>. Echte IT-Domain wäre firma.ch. Der Link führte zu firma-cloud-help.com/login - eine täuschend echte Login-Seite. Wer Zugangsdaten eingab, gab sie an Angreifer.
Schritt 3 - Kontext und Bauchgefühl
Die wirksamste Verteidigung ist die einfachste Frage: Habe ich das erwartet?
- Hat DHL mir wirklich angekündigt, dass ein Paket kommt?
- Hat meine Bank je per E-Mail nach dem Passwort gefragt?
- Hat mein Chef diesen Ton jemals verwendet?
Wenn die Antwort „nein" oder „unsicher" lautet: nicht klicken. Fragen Sie direkt beim Absender nach - aber über einen unabhängigen Kanal (Telefon, persönlich, gespeicherte Adresse).
Die goldene Regel
Seriöse Organisationen fragen niemals per E-Mail nach Passwort, PIN oder TAN. Niemals.
Wenn etwas Druck macht, dringt oder mit Konsequenzen droht - ist es fast immer ein Versuch, Ihren gesunden Menschenverstand auszuhebeln. Drei Sekunden Pause sind alles, was Sie brauchen.