Auf einen Phishing-Link geklickt – was jetzt zu tun ist

Wie schlimm ist ein Klick wirklich?

Die meisten Phishing-Mails funktionieren nicht durch technische Tricks, sondern durch Täuschung: Sie sollen eine gefälschte Seite besuchen und dort freiwillig Ihr Passwort eintippen. Der bloße Seitenaufruf richtet auf einem aktuell gepatchten System in aller Regel keinen Schaden an. Was zählt, ist der zweite Schritt.

Drei Stufen mit sehr unterschiedlichem Risiko:

• Nur geklickt, Seite sofort geschlossen – geringes Risiko. Schließen Sie den Tab, geben Sie nichts ein und beobachten Sie Ihr Konto in den nächsten Tagen.
• Zugangsdaten eingegeben – hohes Risiko. Ihr Passwort liegt jetzt beim Angreifer, oft innerhalb von Minuten automatisiert im Einsatz. Handeln Sie sofort.
• Anhang geöffnet oder Datei ausgeführt – hohes Risiko. Hier kann Schadsoftware auf dem Gerät gelandet sein. Nehmen Sie den Rechner vom Netz und holen Sie Ihre IT dazu.

Sofortmaßnahmen: die ersten 30 Minuten

1. Melden Sie es – jetzt, nicht später

Informieren Sie Ihre IT-Verantwortlichen oder Ihre Geschäftsführung, bevor Sie irgendetwas anderes tun. Das ist der Schritt, der am meisten Überwindung kostet und am meisten bringt. Niemand wird für einen Klick gefeuert; teuer wird ein Vorfall, den jemand aus Scham drei Tage verschweigt. Falls Sie selbst die Geschäftsführung sind: Machen Sie diese Zusicherung gegenüber Ihrem Team ausdrücklich und schriftlich.

2. Passwort ändern – am betroffenen Dienst und überall sonst

Ändern Sie zuerst das Passwort des Dienstes, den die gefälschte Seite imitiert hat. Wichtig: Nutzen Sie dafür nicht den Link aus der Mail, sondern rufen Sie die Seite selbst über die Adresszeile oder ein Lesezeichen auf. Ändern Sie danach das Passwort überall dort, wo Sie dasselbe oder ein ähnliches verwendet haben – dieser Punkt ist meist der entscheidende.

3. Alle aktiven Sitzungen beenden

Ein neues Passwort wirft angemeldete Geräte nicht automatisch hinaus. Nutzen Sie die Funktion „Von allen Geräten abmelden“ in den Kontoeinstellungen, sonst bleibt ein Angreifer trotz Wechsel eingeloggt.

4. Zwei-Faktor-Authentifizierung aktivieren

Falls noch nicht aktiv, richten Sie sie jetzt ein. Damit nützt dem Angreifer ein erbeutetes Passwort in den meisten Fällen nichts mehr. Authenticator-App oder Hardware-Schlüssel sind SMS-Codes vorzuziehen.

5. Konto auf Manipulationen prüfen

Angreifer richten häufig binnen Minuten eine Weiterleitung ein, um auch nach einem Passwortwechsel mitzulesen. Kontrollieren Sie deshalb: Weiterleitungs- und Filterregeln, hinterlegte Wiederherstellungs-Adresse und Telefonnummer, verbundene Apps und Geräte. Wie das im Detail geht, steht im Ratgeber E-Mail-Konto gehackt? Diese 9 Anzeichen verraten es.

6. Bei Anhang oder Download: Gerät isolieren

Haben Sie eine Datei geöffnet, trennen Sie den Rechner vom Netzwerk (WLAN aus, Netzwerkkabel ziehen), lassen Sie ihn aber eingeschaltet – Ihre IT möchte ihn möglicherweise untersuchen. Vollständigen Virenscan durchführen lassen. Bei Verdacht auf Verschlüsselungstrojaner: sofort auch die Backups vom Netz trennen, bevor diese mitverschlüsselt werden.

7. Bei Bank- oder Zahlungsdaten: Karte sperren

Wurden Bankdaten oder Kartendaten eingegeben, informieren Sie umgehend Ihre Bank und lassen Sie die Karte sperren. Der zentrale Sperr-Notruf in Deutschland ist die 116 116.

8. Vorfall dokumentieren

Machen Sie Screenshots der Mail (samt vollständiger Absenderadresse), der aufgerufenen Seite und aller auffälligen Kontoeinstellungen. Notieren Sie Uhrzeiten. Das brauchen Sie für eine mögliche Anzeige, für die Versicherung und – falls personenbezogene Daten betroffen sind – für die Dokumentationspflicht nach DSGVO.

Und wenn Kollegen dieselbe Mail bekommen haben?

Phishing-Wellen treffen selten nur eine Person. Informieren Sie das gesamte Team kurz und sachlich: Wie sah die Mail aus, was ist zu tun, wenn jemand geklickt hat. Eine Warnung im Team ist wirksamer als jeder Spamfilter – und sie signalisiert, dass Melden erwünscht ist.

Prüfen Sie außerdem, ob die Mail vom Konto eines Geschäftspartners kam. Wenn ja, ist dort möglicherweise ein Postfach übernommen worden. Ein kurzer Anruf – nicht per Mailantwort – hilft dem Partner mehr, als ihm lieb ist zu erfahren.

Woran Sie Phishing künftig schneller erkennen

Klassische Merkmale wie schlechtes Deutsch taugen kaum noch als Indiz. Verlässlicher sind diese Fragen: Erzeugt die Nachricht künstlichen Zeitdruck („innerhalb von 24 Stunden“, „Konto wird gesperrt“)? Werde ich zu einer Anmeldung über einen Link aufgefordert? Passt die tatsächliche Absenderadresse zur angezeigten? Weicht die Zieladresse des Links beim Darüberfahren von der erwarteten Domain ab? Bittet mich jemand um eine ungewöhnliche Zahlung oder Datenweitergabe – womöglich im Namen der Geschäftsführung?

Die verlässlichste Regel bleibt: Anmeldeseiten nie über einen Link in einer Mail aufrufen, sondern immer über ein Lesezeichen oder die manuell eingegebene Adresse.

Häufige Fragen

Dieser Beitrag gibt allgemeine Hinweise und ersetzt keine individuelle Beratung. Bei einem konkreten Sicherheitsvorfall ziehen Sie Ihren IT-Dienstleister und – bei Betroffenheit personenbezogener Daten – Ihren Datenschutzbeauftragten hinzu.