Phishing – einfach erklärt

Phishing ist eine Form des Social Engineering, bei der Angreifer gefälschte Kommunikationskanäle nutzen, um Personen zur Preisgabe sensibler Daten zu verleiten oder sie zu schädlichen Handlungen zu bewegen – ohne dabei technische Schwachstellen in Systemen ausnutzen zu müssen.

Was ist Phishing? Definition und Herkunft

Der Begriff ist ein Neologismus, zusammengesetzt aus dem englischen „fishing" (angeln) und „phreaking" – einem Slangausdruck für das Hacken von Telefonsystemen, der in der frühen Hacker-Subkultur entstand. Das Bild des Angelns ist treffend: Angreifer werfen einen Köder aus und warten, bis jemand anbeißt.

Phishing ist keine technische Attacke im klassischen Sinne. Ein technischer Angriff zielt auf Schwachstellen in Software, Netzwerken oder Protokollen. Phishing hingegen zielt ausschließlich auf menschliches Verhalten: Vertrauen, Angst, Neugierde und die Tendenz, unter Druck unüberlegt zu handeln. Antivirensoftware und Firewalls bieten deshalb keinen vollständigen Schutz – sie können eine gefälschte E-Mail blockieren, aber nicht verhindern, dass ein Mensch auf eine täuschend echte Nachricht reagiert.

Das grundlegende Funktionsprinzip folgt einem einfachen Ablauf: Der Angreifer gibt sich als vertrauenswürdige Instanz aus – eine Bank, eine Kryptobörse, ein Behörde oder ein bekannter Kontakt. Er übermittelt eine Nachricht, die eine Handlung erfordert. Wer diese Handlung ausführt, gibt entweder Zugangsdaten preis, überweist Geld oder installiert Schadsoftware.

Wie Phishing funktioniert: Methoden und Kanäle

E-Mail-Phishing

E-Mail ist der historisch älteste und nach wie vor meistgenutzte Kanal. Angreifer versenden massenhaft Nachrichten, die optisch den Kommunikationsvorlagen bekannter Unternehmen nachahmen. Logos, Schriftarten und Formulierungen werden originalgetreu kopiert. Eine professionell aussehende E-Mail ist kein Beweis für ihre Echtheit – Absenderadressen lassen sich technisch einfach fälschen, und selbst die angezeigte Absender-Domain kann so manipuliert werden, dass sie auf den ersten Blick legitim wirkt.

Smishing (SMS-Phishing)

Beim Smishing erfolgt der Angriff per Kurznachricht. Da viele Nutzer SMS intuitiv als direkteren und persönlicheren Kanal wahrnehmen als E-Mail, ist die Hemmschwelle zum Klicken auf einen enthaltenen Link niedriger – Nutzer klicken leichtfertiger, weil sie SMS-Nachrichten tendenziell mehr vertrauen. Typische Smishing-Nachrichten tarnen sich als Paketbenachrichtigungen, Bankalerts oder Sicherheitshinweise.

Vishing (Voice-Phishing)

Vishing bezeichnet Angriffe über Telefonanrufe. Ein vermeintlicher Support-Mitarbeiter einer Börse, Bank oder Behörde ruft an und schildert ein angebliches Problem – ein gesperrtes Konto, eine verdächtige Transaktion oder einen Sicherheitsvorfall. Der mündliche Kontakt erzeugt ein stärkeres Gefühl von Unmittelbarkeit und Authentizität als eine geschriebene Nachricht.

Gefälschte Websites

Angreifer erstellen Websites, die bekannte Plattformen imitieren. Die Domains unterscheiden sich oft nur durch einzelne Zeichen: Ein „l" wird durch eine „1" ersetzt, ein „o" durch ein „0", oder es wird eine andere Top-Level-Domain verwendet. Gefälschte Google-Anzeigen können diese Seiten sogar oberhalb der echten Suchergebnisse platzieren – wer blind auf den obersten Treffer klickt, landet möglicherweise auf einer Fälschung.

Psychologische Mechanismen

Alle Phishing-Angriffe nutzen eine begrenzte Anzahl psychologischer Hebel:

Zeitdruck ist dabei besonders wirksam: Er soll verhindern, dass das Opfer innehält, nachdenkt oder die Nachricht bei einer zweiten Quelle überprüft. Das Gefühl der Dringlichkeit ist keine legitime Handlungsaufforderung – es ist eine bewusste Manipulationstaktik.

Phishing im Krypto-Kontext

Kryptowährungen sind für Phishing-Angreifer aus einem zentralen Grund besonders attraktiv: Blockchain-Transaktionen sind in der Regel irreversibel. Es gibt keine Chargeback-Funktion wie bei Kreditkarten, keine zentrale Behörde, die eine Transaktion rückgängig machen kann, und keine Einlagensicherung. Wer einmal Zugang zu einer Wallet verloren hat oder eine Transaktion bestätigt hat, hat kaum realistische Aussichten auf Rückerstattung.

Fake-Börsen-Support

Eine der häufigsten Maschen im Krypto-Bereich: Ein angeblicher Mitarbeiter einer bekannten Börse kontaktiert den Nutzer unaufgefordert per E-Mail, Telegram oder Discord. Er behauptet, es liege ein Sicherheitsproblem vor, und bittet um Zugangsdaten oder eine Bestätigung der Seed Phrase. Legitime Dienste fragen unter keinen Umständen nach der Seed Phrase oder dem Private Key – weder per E-Mail noch telefonisch noch im Chat.

Gefälschte Sicherheitswarnungen

Nutzer erhalten Nachrichten, die aussehen wie offizielle Warnungen bekannter Plattformen. Darin wird behauptet, das Konto sei kompromittiert oder eine verdächtige Transaktion wurde erkannt. Der enthaltene Link führt auf eine gefälschte Login-Seite, die Zugangsdaten abgreift.

Mining-Gewinn-Betrug

Eine weitere Variante: Nachrichten behaupten, der Empfänger habe durch automatisiertes Cloud-Mining einen Betrag erwirtschaftet. Um diesen „Gewinn" auszuzahlen, müsse man sich sofort einloggen – andernfalls werde das Konto dauerhaft gesperrt. Die Doppelstrategie aus verlocktem Gewinn und drohendem Verlust soll die Hemmschwelle senken.

Seed-Phrase-Abfragen

Angreifer erstellen gefälschte Wallet-Wiederherstellungsseiten oder geben sich als technischer Support aus. Sie fordern Nutzer auf, ihre Seed Phrase einzugeben, um „das Wallet zu verifizieren" oder „den Zugang wiederherzustellen". Wer die Seed Phrase eingibt, übergibt damit die vollständige Kontrolle über alle darin gesicherten Vermögenswerte.

Spear-Phishing und BEC im Krypto-Kontext

Neben Massenangriffen existiert das gezielte Spear-Phishing: Angreifer recherchieren ihr Opfer vorab, personalisieren die Nachricht und imitieren bekannte Kontakte oder Geschäftspartner. Im Unternehmenskontext spricht man von Business Email Compromise (BEC) – dabei werden Mitarbeiter angewiesen, Rechnungen oder Zahlungen in Kryptowährung an Adressen der Angreifer zu leisten. Diese Angriffe sind besonders gefährlich, weil sie selbst erfahrene Nutzer täuschen können.

Phishing erkennen: Warnsignale im Überblick

URL und Absender genau prüfen

Die vollständige URL einer Website sollte vor jedem Login manuell geprüft werden – nicht nur der angezeigte Name im Browser. Gefälschte Domains enthalten häufig zusätzliche Zeichen, Bindestriche oder alternative Endungen. Bei E-Mails zeigt ein Blick auf die vollständige technische Absenderadresse (nicht nur den Anzeigenamen) oft die Fälschung.

Unaufgeforderter Kontakt durch „Support"

Seriöse Unternehmen kontaktieren Nutzer nicht unaufgefordert per Direktnachricht auf Telegram, Discord oder WhatsApp, um Sicherheitsprobleme zu melden. Wer von einem angeblichen Support-Mitarbeiter kontaktiert wird, sollte den Kontakt abbrechen und den offiziellen Support-Kanal der Plattform direkt aufsuchen – über die manuell eingetippte Adresse, nicht über einen Link aus der erhaltenen Nachricht.

Zeitdruck und Drohungen

Jede Nachricht, die eine sofortige Handlung unter Androhung von Kontosperrung, Datenverlust oder rechtlichen Konsequenzen fordert, ist mit erhöhter Skepsis zu behandeln. Der erzeugte Druck ist das Werkzeug, nicht die Situation.

Anfragen nach Seed Phrase oder Private Key

Dies ist das eindeutigste Warnsignal im Krypto-Bereich: Kein legitimer Dienst, keine Börse, kein Wallet-Anbieter und kein Support wird jemals nach der Seed Phrase oder dem Private Key fragen. Entsprechende Anfragen sind ausnahmslos als Betrugsversuch einzustufen.

Überblick der wichtigsten Warnsignale

Schutzmaßnahmen und Grenzen des Schutzes

Technische Maßnahmen

Zwei-Faktor-Authentifizierung (2FA) ist eine der wirksamsten Basismaßnahmen. Selbst wenn Zugangsdaten erbeutet werden, verhindert ein zweiter Faktor den Zugriff – sofern dieser zweite Faktor nicht ebenfalls kompromittiert wurde. Hardware-basierte 2FA-Token (etwa FIDO2-Sticks) sind dabei sicherer als SMS-basierte Codes, da letztere durch SIM-Swapping angreifbar sind.

Eine Hardware Wallet schützt den Private Key, indem sie ihn physisch vom Internet trennt. Selbst wenn ein Gerät mit Malware infiziert ist, kann der Schlüssel nicht ohne physische Bestätigung am Gerät verwendet werden. Die Seed Phrase einer Hardware Wallet gehört offline, auf Papier oder einem dauerhaften Medium gesichert – niemals in einer Cloud, einer E-Mail oder einem Messenger.

Verhaltensbasierte Maßnahmen

• Links aus E-Mails, SMS oder Messenger-Nachrichten nicht direkt anklicken – Adressen stattdessen manuell eintippen oder gespeicherte Lesezeichen nutzen.
• Bei unerwarteten Sicherheitsmeldungen die offizielle Website der Plattform direkt aufsuchen und dort den Status des Kontos prüfen.
• Unaufgeforderte Kontaktversuche über inoffizielle Kanäle grundsätzlich ignorieren.
• Nachrichten, die Seed Phrases oder Private Keys abfragen, sofort abbrechen – ohne Ausnahme.

Grenzen des Schutzes

Es wäre unehrlich zu behaupten, dass vollständiger Schutz erreichbar ist. Angriffe werden kontinuierlich raffinierter: KI-generierte Texte eliminieren die Rechtschreibfehler, die früher als Erkennungsmerkmal galten. Deepfake-Audioanrufe imitieren Stimmen bekannter Personen. Spear-Phishing-Angriffe, die auf öffentlich zugänglichen Informationen über das Opfer basieren, können selbst erfahrene und technisch versierte Nutzer täuschen. Der realistischste Schutz ist deshalb kein einmaliges Sicherheitssystem, sondern eine dauerhaft kritische Grundhaltung gegenüber jeder unaufgeforderten Kommunikation, die eine Handlung fordert.

Häufige Fragen zu Phishing

Quellen & weiterführende Links

Für diesen Artikel wurden Primärquellen ausgewertet. Eine Auswahl zum Weiterlesen:

• Was ist Phishing? – IBM Think (DE)
• Phishing – Wikipedia (DE)
• Was ist Phishing? – Proofpoint (DE)
• Krypto-Betrug durch Phishing und Fake-Support – Hortmannlaw
• Was ist Phishing? Funktionsweise und Methoden – Zscaler