Phishing erkennen: drei Spuren, die Sie in 30 Sekunden prüfen

Eine Mail vom Steuerportal, eine SMS zur Paketzustellung, eine Nachricht der Bank: Viele davon sind echt. Einige sind Fälschungen, und die sehen heute ordentlich aus. Logo, Anrede, fehlerfreies Deutsch. Rechtschreibfehler als Erkennungszeichen taugen kaum noch, weil Textprogramme Betrugsnachrichten sauber formulieren.

Was trotzdem bleibt, sind Spuren, die sich nicht wegpolieren lassen. Drei davon können Sie in einer halben Minute prüfen, ohne Fachwissen und ohne Werkzeug.

Was Phishing ist

Phishing nennt man Nachrichten, die sich als bekannte Absender ausgeben, damit Sie Zugangsdaten, Kartendaten oder Geld herausgeben. Das Wort erinnert an „fishing“, also angeln. Der Weg ist fast immer gleich: Die Nachricht nennt einen Anlass, setzt eine Frist und führt über einen Link auf eine nachgebaute Seite. Dort sollen Sie sich anmelden, bezahlen oder etwas bestätigen.

Laut Bundesministerium für Inneres und Bundeskriminalamt wurden in Österreich von Jänner bis September 2026 rund 5.000 Phishing-Fälle angezeigt (Presseaussendung vom 9. Oktober 2026). Das sind die angezeigten Fälle; wie viele Versuche ins Leere gingen, weiß niemand. Für Sie zählt etwas anderes: Jede dieser Nachrichten hatte Spuren.

Spur 1: Die Adresse, nicht der Name

Der Name, der als Absender angezeigt wird, ist frei wählbar. Jeder kann sich „Muster Bank Kundenservice“ nennen. Aussagekräftiger ist die Adresse dahinter und bei Links die Domain, also der Teil vor dem ersten einzelnen Schrägstrich.

So lesen Sie eine Adresse:

• Bei service@mohnfeldbank.at gehört die Mail zu mohnfeldbank.at.
• Bei service@mohnfeldbank.at.konto-pruefen.co gehört sie zu konto-pruefen.co. Der bekannte Name steht nur vorne als Dekoration.
• Bei office@rnusterbank.example ist aus dem m ein r und ein n geworden. Auf dem Handy sieht das fast gleich aus.

Am Computer zeigt Ihnen der Mauszeiger über einem Link das Ziel. Am Handy halten Sie den Finger auf den Link, ohne loszulassen; dann erscheint die Adresse.

Ein Beispiel, das Watchlist Internet im Frühjahr 2026 dokumentiert hat: SMS zur angeblich ablaufenden ID Austria verwiesen auf Adressen wie atrust-austrian.online oder id-austria.at.gv.-oesterreich.com. Die offiziellen Adressen enden auf id-austria.gv.at und a-trust.at. Wer das Ende liest, sieht den Unterschied.

Eine Einschränkung gehört dazu: Eine richtige Adresse beweist nicht, dass die Nachricht echt ist. Postfächer können gehackt werden, dann kommt die Fälschung vom echten Absender. Eine falsche Adresse ist aber ein klares Zeichen, dass etwas nicht stimmt.

Spur 2: Druck und Frist

Fast jede Phishing-Nachricht nimmt Ihnen Zeit weg. „Innerhalb von 24 Stunden“, „noch heute“, „sonst wird Ihr Konto eingeschränkt“, „sonst droht ein Verwaltungsstrafverfahren“. Der Druck hat einen Zweck: Wer schnell entscheidet, prüft weniger.

Das Bundesministerium für Finanzen hat am 14. Jänner 2026 vor Mails gewarnt, die Unternehmerinnen und Unternehmern eine angebliche jährliche Pflicht zur Prüfung ihrer FinanzOnline-Daten vorgaukeln und mit Strafen drohen. Das Ministerium schreibt dazu: Informationen kommen als Bescheid per Post oder in die FinanzOnline-Databox, und Passwörter, Kreditkarten- oder Kontodaten werden nie abgefragt.

Eine Frist allein macht eine Nachricht nicht falsch. Echte Rechnungen haben Zahlungsziele, echte Zertifikate laufen ab. Im Frühjahr und Sommer 2026 liefen laut Watchlist Internet tatsächlich rund 300.000 Zertifikate der ID Austria ab. Die Betrugs-SMS nutzten genau diesen echten Anlass. Die Frage ist deshalb nicht „gibt es eine Frist?“, sondern: Soll ich wegen dieser Frist über einen Link handeln, den mir jemand geschickt hat?

Spur 3: Die ungewöhnliche Bitte

Die dritte Spur ist die Handlung, die von Ihnen verlangt wird. Typisch sind:

• sich über einen Link anmelden, statt die App oder das eigene Lesezeichen zu nutzen,
• Kartendaten für eine kleine Gebühr eingeben, etwa 1,99 Euro für eine Zustellung,
• eine neue Bankverbindung übernehmen,
• einen Code weitergeben oder eine Freigabe in der App bestätigen.

Watchlist Internet hat am 9. Oktober 2026 drei Fragen veröffentlicht, die hier helfen: Gehört die Nachricht zu einem echten Vorgang? Würde ein echtes Unternehmen so vorgehen? Lässt sich die Behauptung über einen eigenen Weg prüfen? Eine Bank, die per SMS nach einem Code fragt, oder ein Amt, das Zahlungsdaten über einen Link sammelt, besteht diese Fragen nicht.

Der zweite Weg

Alle drei Spuren führen zur selben Handlung: Wechseln Sie den Weg. Öffnen Sie die App Ihrer Bank selbst. Tippen Sie die Adresse des Steuerportals selbst ein. Rufen Sie den Lieferanten unter der Nummer an, die Sie schon vor der Mail hatten. Nicht die Nummer aus der Signatur und nicht die Antwort-Taste, denn beide führen zurück zum Absender der Nachricht.

Das kostet eine Minute. Der Absender einer Fälschung hat gegen diese Minute kein Mittel, weil er den zweiten Weg nicht kontrolliert.

Was tun, wenn Sie schon geklickt haben

Geklickt zu haben ist kein Versagen, sondern eine Information, die andere brauchen.

1. Nichts weiter eingeben, Seite schließen.
2. Haben Sie Zugangsdaten eingegeben: Passwort über die echte App oder Seite ändern, bei Bankdaten sofort die Bank unter der Nummer auf Ihrer Karte anrufen.
3. Im Betrieb: der zuständigen Stelle Bescheid geben, auch wenn Sie unsicher sind. Dieselbe Nachricht liegt oft in mehreren Postfächern.
4. Bei Schaden: Anzeige bei der Polizei. Verdächtige Nachrichten können Sie auch an Watchlist Internet melden.

Warum Üben mehr bringt als Lesen

Die drei Spuren klingen einfach. Schwierig wird es am Montag um 8:14 Uhr, zwischen zwei Telefonaten, wenn die Mahnung eines bekannten Lieferanten im Postfach liegt. Dann entscheidet, was man schon ein paar Mal selbst gemacht hat. Deshalb setzen wir auf kurze Fälle zum Durchspielen statt auf Folien: Man sucht die Spuren in einer echt wirkenden Mail und bekommt nach jeder Antwort einen Satz, warum.

Checkliste für 60 Sekunden

• Adresse: Endet die Absenderadresse oder der Link auf die Domain, die Sie kennen? Das Ende zählt, nicht der Anfang.
• Druck: Gibt es eine Frist oder Drohung? Dann bewusst langsamer werden.
• Bitte: Sollen Sie sich über einen Link anmelden, zahlen, Kontodaten ändern oder einen Code weitergeben?
• Vorgang: Haben Sie selbst etwas bestellt, beantragt oder begonnen, das dazu passt?
• Zweiter Weg: App selbst öffnen, Adresse selbst eintippen, bekannte Nummer anrufen.
• Melden: Im Zweifel der zuständigen Stelle Bescheid geben, auch nach einem Klick.

Selbst ausprobieren: Unter /spielen können Sie einen Fall im Browser spielen. Ein Fall dauert drei bis vier Minuten; Sie suchen drei Spuren in einer Mail und sehen danach, woran man sie erkennt.

Quellen: BMI/BK, Presseaussendung OTS_20261009_OTS0123, 9.10.2026; BMF, Phishing-Warnung vom 14.1.2026; Watchlist Internet, „Das Zertifikat für die ID Austria läuft ab?“, 7.4.2026, und „Ergibt das Sinn? Drei Fragen gegen Betrugsnachrichten“, 9.10.2026.