Was ist Phishing – und warum funktioniert es so gut?
Phishing bezeichnet das Versenden gefälschter E-Mails, die sich als vertrauenswürdige Organisationen ausgeben – Banken, Lieferdienste, Behörden, Mailanbieter – um Empfänger:innen dazu zu bringen, Zugangsdaten, Zahlungsinformationen oder persönliche Daten herauszugeben.
Das funktioniert aus einem ganz einfachen Grund: Um darauf reinzufallen, braucht es kein technisches Wissen. Eine überzeugende Phishing-Mail sieht aus wie eine echte. Der Absendername passt. Das Logo stimmt. Der Text liest sich professionell. Die Hinweise sind klein – eine Domain, die nur leicht abweicht; ein Link, der eben doch nicht dorthin führt, wo er behauptet – und die meisten Menschen halten beim Öffnen ihres Posteingangs nicht gezielt nach genau diesen Dingen Ausschau.
Die Größenordnung ist enorm. Mehr als 3,4 Milliarden Phishing-Mails werden jeden Tag verschickt. 2023 spielte Phishing bei 36 % aller Datenschutzverletzungen eine Rolle. Und die wichtigste Angriffsfläche dabei ist immer dieselbe: deine E-Mail-Adresse.
6 Phishing-Arten, die du kennen solltest
E-Mail-Phishing – Massenkampagnen, die sich als bekannte Marken ausgeben (Banken, Lieferdienste, Streaming-Anbieter). Breit gestreut, lebt von der schieren Menge.
Spear-Phishing – gezielte Angriffe, die deinen Namen, deinen Arbeitgeber oder eine kürzliche Aktivität nutzen, um persönlich zu wirken. Deutlich überzeugender als Massenkampagnen.
Whaling – Spear-Phishing, das speziell auf Führungskräfte oder besonders lohnende Ziele abzielt. Aufwendig recherchiert, gibt sich oft als Vorstandsmitglied oder Rechtsabteilung aus.
Smishing – Phishing per SMS, oft mit gekürzten Links. Wächst schnell, weil die Mailfilter besser geworden sind.
Vishing – Phishing per Anruf. Folgt häufig auf eine Mail, um sie glaubwürdiger zu machen („Ich rufe wegen der Mail an, die wir Ihnen gerade geschickt haben“).
Clone-Phishing – Angreifer fangen eine echte E-Mail ab, die du bereits erhalten hast, und schicken eine fast identische Kopie hinterher, in der die Links durch schädliche ausgetauscht sind.
8 Warnzeichen für eine Phishing-Mail
Die Absenderdomain passt nicht zum Unternehmen. Eine echte Mail von PayPal kommt von @paypal.com – nicht von @paypal-security.net, @paypal.support-team.com oder irgendeiner Variante. Prüf die tatsächliche Domain, nicht nur den angezeigten Namen.
Links, die nicht zu ihrem angeblichen Ziel passen. Halte den Mauszeiger über jeden Link, bevor du klickst. Wenn die angezeigte URL nicht zu dem passt, was die Mail behauptet, klick nicht. Auf dem Smartphone hilft langes Tippen zur Vorschau.
Unerwartete Anhänge – besonders .zip, .exe, .doc. Anhänge sind ein Hauptkanal für Schadsoftware. Eine seriöse Bank, eine Behörde oder ein Arbeitgeber schickt dir so gut wie nie unaufgefordert einen Anhang.
Aufforderungen zur Eingabe von Passwörtern, Kartennummern oder persönlichen Daten. Keine seriöse Organisation fragt dich per Mail nach Passwort, PIN, vollständiger Kartennummer oder kompletter Sozialversicherungsnummer. So etwas ist immer ein Phishing-Versuch.
Unpersönliche Anreden statt deines echten Namens. Massen-Phishing arbeitet oft mit „Sehr geehrte Kundin / Sehr geehrter Kunde“ oder „Hallo Nutzer“ statt mit deinem Namen. Das ist kein eindeutiger Beweis – Spear-Phishing nennt deinen Namen –, aber bei sicherheitsrelevanten Mails ist eine generische Anrede ein klares Warnsignal.
Verdächtige oder nicht passende Login-Seiten. Wenn dich ein Link zu einer Login-Seite führt, schau dir die URL genau an, bevor du irgendetwas eingibst. Phisher bauen sehr überzeugende Kopien auf leicht abweichenden Domains.
Dringlichkeit oder Drohungen. „Ihr Konto wird in 24 Stunden gesperrt.“ „Sofortiges Handeln erforderlich.“ Diese künstliche Dringlichkeit existiert genau deshalb, um dein kritisches Denken auszuhebeln.
Schlechte Formatierung, seltsame Schriften, kaputte Bilder. KI hat das Niveau von Phishing-Mails zwar gehoben, aber günstiger gestrickte Kampagnen kommen weiterhin mit Layoutfehlern, komischen Abständen oder kaputten Logos daher, die die Fälschung verraten.
Wie anonyme E-Mail dich von der Zielliste nimmt
Die meisten Phishing-Angriffe brauchen deine echte Adresse, um dich überhaupt zu erreichen. Diese Adresse muss irgendwo herkommen – aus einem Datenleck, einer gekauften Liste, einer abgegrasten Webseite, einem vor Jahren gegründeten Account bei einem Dienst, der inzwischen kompromittiert ist.
Wenn deine echte Adresse nie an einen bestimmten Dienst gegangen ist, kann sie auch nicht aus diesem Dienst herausleaken. Genau das ist der grundlegende Schutz, den Wegwerf-E-Mail liefert.
Jedes Mal, wenn du statt deiner echten Adresse ein Wegwerf-Postfach für eine Anmeldung verwendest, schaltest du eine weitere mögliche Quelle für Adressleaks aus. Die Wegwerfadresse kann durchaus in einem Datenleck landen, in einer Liste auftauchen oder Phishing-Mails empfangen – aber sie ist längst abgelaufen, bevor irgendetwas davon passiert, und sie ist in keiner Weise mit deiner echten Identität verknüpft.
Was sich ändert, wenn du Wegwerf-E-Mail nutzt
- Kompromittierte Dienste leaken eine tote Adresse, nicht deine echte
- Spam-Listen, die aus deinen Anmeldungen entstehen, enthalten Adressen, die es gar nicht mehr gibt
- Spear-Phishing-Recherchen finden keinen Mailverlauf, der mit deiner echten Identität verbunden ist
- Die Angriffsfläche für gezieltes Phishing schrumpft drastisch
Bei einem 10-Minuten-Postfach ist das Zeitfenster so kurz, dass jede Lücke zwischen Datenleck und Phishing-Kampagne bereits hinter der Ablauffrist der Adresse liegt. Bei einem 3-Tage-Postfach ist die Adresse zufällig und mit keinem Profil verbunden – ein Spear-Phisher hat schlicht nichts, woran er recherchieren oder ansetzen könnte.
Wer nutzt anonyme E-Mail – und warum
Online-Käufer:innen – um lebenslange Marketingstrecken und Datenleaks aus einmaligen Bestellungen zu vermeiden.
Entwickler:innen und QA-Teams – saubere, isolierte Postfächer, um Mailflüsse zu testen, ohne echte Adressen zu verschmutzen.
Gamer:innen – Probekonten und Beta-Zugänge ohne dauerhafte Spur, die mit der echten Identität verknüpft ist.
Forscher:innen und Journalist:innen – Zugang zu Quellen, Plattformen und Diensten, ohne einen Datenpfad zu erzeugen, den jemand gezielt angreifen könnte.
Reisende – Anmeldung an Flughafen- und Hotel-WLAN-Portalen, ohne dafür eine echte Adresse herauszugeben.
Berufstätige – Recherche zu Wettbewerbern und Bewertung von Diensten, ohne Vertriebs-Follow-up auszulösen.
Datenschutz-bewusste Nutzer:innen – alle, die ihre echte Adresse als schützenswertes Gut behandeln und nicht als beliebig austeilbare Ware.
Was tun, wenn du schon auf einen Phishing-Link geklickt hast
Handel sofort. Je länger du wartest, desto größer kann der Schaden werden.
Wenn du Zugangsdaten eingegeben hast: Ändere dein Passwort beim betroffenen Dienst – und überall sonst, wo du dasselbe Passwort verwendest. Aktiviere jetzt Zwei-Faktor-Authentifizierung für dein Haupt-Mailkonto.
Wenn du Zahlungsdaten eingegeben hast: Ruf sofort deine Bank an und lass die Karte sperren oder ersetzen. Reklamiere alle Abbuchungen, die du nicht zuordnen kannst.
Wenn du eine Datei heruntergeladen hast: Führe einen vollständigen Malware-Scan durch, bevor du das Gerät weiter nutzt. Trenne die Internetverbindung, falls du eine aktive Infektion vermutest.
In jedem Fall: Nutze den E-Mail-Leak-Checker, um zu sehen, ob deine Daten bereits im Umlauf sind, und beobachte deine Konten in den folgenden Wochen genau.
Weiterlesen
- Was ist eine Wegwerf-E-Mail? Der vollständige Leitfaden
- Wie temporäre E-Mail deine Privatsphäre online schützt
- Der vollständige Leitfaden zur E-Mail-Privatsphäre
- Spam vermeiden: 7 erprobte Strategien
- Temp Mail bekommt keinen OTP? So löst du das schnell
- SPF, DKIM und DMARC prüfen
- Wegwerf-E-Mail vs. Burner-Mail vs. Temp Mail
Wer versteht, wie E-Mail-Authentifizierung funktioniert, kann auch besser einschätzen, welche Temp-Mail-Anbieter wirklich vertrauenswürdig sind.
Der einfachste Weg, deine Phishing-Angriffsfläche zu verkleinern, ist, weniger Diensten deine echte Adresse zu geben. Starte mit einem kostenlosen Wegwerf-Postfach – das geht in zwei Sekunden und verlangt nichts von dir.
Your temp mail is ready right now
No signup, no password. A disposable inbox waiting the moment you open the page.
Get My Free Temp Mail →