Ein Klick allein ist meist noch kein Schaden – entscheidend ist, was danach passiert ist. Haben Sie die Seite nur geöffnet und nichts eingegeben, reicht es in der Regel, Ihr Gerät zu prüfen und auf dem neuesten Stand zu halten. Haben Sie dagegen Zugangsdaten, PIN, TAN oder Kartendaten eingegeben, zählt jede Minute: Lassen Sie Ihr Online-Banking sperren, informieren Sie Ihre Bank und ändern Sie Ihre Passwörter. Diese Anleitung zeigt Ihnen Schritt für Schritt, was in Ihrer Situation zu tun ist.
Phishing (von „password fishing“) bedeutet: Betrüger geben sich als Bank, Zahlungsdienst oder bekannter Anbieter aus und locken Sie auf eine täuschend echte, gefälschte Seite. Dort sollen Sie Passwörter oder Bankdaten eingeben. Allein in der vergangenen Woche hat die Verbraucherzentrale im Phishing-Radar neue Mails im Namen von Volksbanken Raiffeisenbanken, easybank, PayPal und Spotify dokumentiert.
Erst einordnen: Was ist nach dem Klick passiert?
| Ihre Situation | Wie ernst? | Was Sie tun sollten |
|---|---|---|
| Link nur geöffnet, nichts eingegeben, nichts heruntergeladen | gering, aber nicht null | Gerät aktualisieren und prüfen (Fall 1) |
| Datei oder Anhang geöffnet bzw. App installiert | hoch | Gerät nicht weiter nutzen, prüfen lassen (Fall 1) |
| Passwort für E-Mail, PayPal, Amazon oder Microsoft-Konto eingegeben | hoch | Passwort sofort ändern, Zwei-Faktor-Schutz einschalten (Fall 3) |
| Bankzugang, PIN, TAN oder Kartendaten eingegeben | sehr hoch | Sofort sperren lassen und Bank informieren (Fall 2) |
Fall 1: Nur geklickt, nichts eingegeben
Die Verbraucherzentrale nennt auch diese Lage „eine gefährliche Situation“, weil eine Seite Schadsoftware verstecken kann. Panik ist trotzdem nicht nötig. So gehen Sie vor:
- Seite schließen, nichts weiter anklicken, nichts herunterladen.
- Updates installieren: Betriebssystem, Browser und Apps auf den neuesten Stand bringen. Bei Smartphones gilt das ebenso für iPhone wie für Android.
- Virenschutz aktualisieren und einen vollständigen Suchlauf starten (am PC).
- Mail nicht löschen, sondern aufbewahren – sie kann als Beweis dienen.
Haben Sie eine Datei oder einen Anhang geöffnet, rät die Verbraucherzentrale, das Gerät bis zur Prüfung nicht weiter zu nutzen. Ein Virenscan ist dann nicht in jedem Fall zuverlässig. Im Zweifel muss das System neu aufgesetzt werden – gut, wenn eine aktuelle Datensicherung vorhanden ist.
Fall 2: Bankdaten eingegeben – Ihr Notfallplan
Gehen Sie diese Schritte möglichst ohne Pause durch:
- Zugang sperren lassen. Rufen Sie Ihre Bank oder den zentralen Sperr-Notruf 116 116 an (aus dem Ausland: +49 116 116). Das BSI nennt als schnellen Weg außerdem: dreimal hintereinander eine falsche PIN im Online-Banking eingeben – dann sperrt die Bank den Zugang. Laden Sie vorher, wenn möglich, einen aktuellen Kontoauszug herunter.
- Bank informieren. Schildern Sie, was passiert ist. Laut BSI lassen sich manche Buchungen noch zurückholen, wenn Sie schnell reagieren.
- Passwörter ändern – zuerst das Ihres E-Mail-Postfachs, dann Online-Banking und Zahlungsdienste. Schalten Sie, wo möglich, die Zwei-Faktor-Authentisierung ein (eine zweite Bestätigung, etwa per App, zusätzlich zum Passwort).
- Anzeige erstatten – bei der Polizeidienststelle vor Ort oder über die Onlinewache Ihres Bundeslandes. Für die Girocard können Sie dabei eine sogenannte KUNO-Sperre veranlassen (Polizeiliche Kriminalprävention). Sie verhindert, dass die Karte im Lastschriftverfahren mit Unterschrift im Handel weiter genutzt wird.
- Kontoauszüge prüfen und unberechtigte Lastschriften über Ihre Bank zurückgeben.
- Beweise sichern: Mail, SMS oder Brief aufbewahren, Screenshots der gefälschten Seite und Uhrzeiten notieren.
Fall 3: Passwort für ein anderes Konto eingegeben
Betrifft der Phishing-Versuch Ihr E-Mail-Konto, PayPal, Amazon oder Ihr Microsoft-Konto, ändern Sie das Passwort sofort – aber nie über den Link aus der Mail. Öffnen Sie die App des Anbieters oder tippen Sie die bekannte Adresse selbst ein. Haben Sie dasselbe Passwort auch woanders verwendet, ändern Sie es dort ebenfalls. Ist Ihre E-Mail-Adresse zugleich Ihr Benutzername, empfiehlt die Verbraucherzentrale, die Passwörter aller damit verbundenen Konten zu wechseln. Ob Ihre Daten in bekannten Datenlecks auftauchen, zeigen etwa der Identity Leak Checker des Hasso-Plattner-Instituts oder „Have I Been Pwned“.
So sehen aktuelle Phishing-Maschen aus (Oktober 2026)
| Datum | Absender (gefälscht) | Vorwand |
|---|---|---|
| 21.10.2026 | Volksbanken Raiffeisenbanken | „Stammdatenbestätigung“ wegen angeblicher Umstellung des Online-Bankings |
| 22.10.2026 | easybank | Neuer Echtzeit-Überweisungsdienst müsse aktiviert werden, sonst Kontosperrung |
| 23.10.2026 | PayPal | „Aktualisierung des Schutzstandards“, Bestätigung innerhalb von 24 Stunden |
| 26.10.2026 | Spotify | Premium-Abo „pausiert“, Zahlungsdaten sollen aktualisiert werden |
| 13.–19.10.2026 | örtliche Bank (Landkreis Leer) | Brief mit QR-Code zur „Bestätigung“ persönlicher Daten |
Quellen: Verbraucherzentrale Phishing-Radar; Polizeiinspektion Leer/Emden, 26.10.2026.
Das letzte Beispiel zeigt: Phishing kommt nicht nur per Mail. Beim sogenannten Quishing (QR-Code plus Phishing) steckt der gefährliche Link in einem QR-Code – auf Briefen, Zetteln oder Plakaten. Die Adresse sehen Sie erst nach dem Scannen, und auf dem kleinen Smartphone-Bildschirm fällt eine Fälschung schwerer auf. Haben Sie über einen solchen Code Daten eingegeben, gilt derselbe Notfallplan wie oben.
Checkliste: 60 Sekunden, bevor Sie das nächste Mal klicken
- Erwarte ich diese Nachricht überhaupt?
- Wird mit Sperrung, Mahnung oder einer kurzen Frist Druck gemacht?
- Werde ich aufgefordert, Daten über einen Link oder QR-Code zu „bestätigen“?
- Passt die Absenderadresse wirklich zum Anbieter? (Der angezeigte Name kann gefälscht sein.)
- Führt der Link – beim Darüberfahren mit der Maus sichtbar – auf eine fremde Adresse?
Trifft einer dieser Punkte zu: nicht klicken. Öffnen Sie stattdessen die App Ihrer Bank oder tippen Sie die Adresse selbst ein. Ihre Bank fragt laut Verbraucherzentrale niemals per E-Mail oder Telefon nach PIN oder TAN. Verdächtige Mails können Sie an phishing@verbraucherzentrale.nrw weiterleiten (direkt weiterleiten, nicht als Anhang) und anschließend löschen.
Für Praxen, Büros und Selbstständige: Was zusätzlich gilt
Im Arbeitsalltag zielen Phishing-Mails oft auf das Microsoft-365-Konto. Der IT-Sicherheitsanbieter Check Point hat im Oktober 2026 eine Welle gefälschter Kalendereinladungen beschrieben, die mehr als 40.000 Organisationen erreicht hat. Hinter dem „Teilnehmen“-Link wartete eine gefälschte Microsoft-Anmeldeseite.
Hat jemand im Team dort sein Passwort eingegeben:
- Sofort die IT oder den IT-Dienstleister informieren – auch wenn es unangenehm ist. Je früher, desto eher lassen sich fremde Anmeldungen erkennen und stoppen.
- Passwort ändern und prüfen lassen, ob die Zwei-Faktor-Authentisierung für alle Konten aktiv ist.
- Datenschutz prüfen: Waren Patienten- oder Kundendaten zugänglich, kann eine Meldung an die Datenschutzaufsicht nötig sein – nach Art. 33 DSGVO in der Regel innerhalb von 72 Stunden.
Auf Dauer helfen zwei Dinge: ein guter Spam- und Virenschutz, der viele Mails gar nicht erst durchlässt, und ein geschultes Team. Wie das aussehen kann, lesen Sie auf unserer Seite zu IT-Awareness-Schulungen.
Phishing-Verdacht im Betrieb? Wir helfen bei der Einordnung, sichern betroffene Konten ab und richten Microsoft 365 so ein, dass ein gestohlenes Passwort allein nicht reicht.
Häufige Fragen
Soll ich die Phishing-Mail löschen?
Haben Sie geklickt oder Daten eingegeben: noch nicht. Die Mail ist ein Beweisstück für Bank und Polizei. Haben Sie nichts angeklickt, können Sie sie an phishing@verbraucherzentrale.nrw weiterleiten und danach löschen.
Ich habe einen QR-Code aus einem Brief gescannt – was nun?
Haben Sie die Seite nur geöffnet, schließen Sie sie und halten Sie Ihr Smartphone aktuell. Haben Sie Daten eingegeben, lassen Sie Karte und Online-Banking über Ihre Bank oder 116 116 sperren und erstatten Sie Anzeige. Im Zweifel rufen Sie Ihre Bank unter der Ihnen bekannten Nummer an – nicht unter einer Nummer aus dem Brief.
Fragt meine Bank per E-Mail nach PIN oder TAN?
Nein. Banken fordern vertrauliche Daten wie PIN oder TAN nicht per E-Mail, Telefon oder Brief an. Eine solche Aufforderung ist immer ein Warnsignal.
Stand: 27. Oktober 2026. Allgemeine Information, keine Rechtsberatung.