Lukas Schmidt · Redakteur Technologie und Cybersicherheit
Phishing sind längst keine schlecht geschriebenen E-Mails eines "nigerianischen Prinzen" mehr. 2026 imitieren die Angriffe Sparkasse, Deutsche Bank, DHL, Finanzamt und die Dienste, die Sie täglich nutzen — oft KI-generiert und mit Ihrem Namen personalisiert.
Wir haben 8 echte Beispiele zusammengestellt, die aktuell in Deutschland kursieren, mit den Warnsignalen, die sie entlarven. Klicken Sie bei keiner dieser Nachrichten — folgen Sie den Schritten am Ende. Weitere Ressourcen beim BSI.
8 echte Beispiele, die jetzt kursieren
#1 · E-Mail
Falsche Bankwarnung (Sparkasse / DKB / Deutsche Bank)
""Ihr Konto wurde wegen verdächtiger Aktivität gesperrt. Bestätigen Sie Ihre Identität in 24h" mit Link zu einer Klon-Seite der Bank."
Red flags
✗Gefälschte Domain (z. B. sparkasse-sicherheit-de.com)
✗Künstlicher Zeitdruck (24h)
✗Verlangt vollständige Zugangsdaten (Bank tut das nie)
✗Generische Anrede statt Ihres Namens
#2 · SMS
DHL-Paket in Wartestellung
""Ihr Paket wartet. Zahlen Sie 1,99€ Zollgebühr unter dhl-de.info"."
Red flags
✗Domain ist nicht dhl.de
✗Kleiner Betrag (greift Kartennummer ab)
✗Keine echte Tracking-Nummer
✗Kommt ohne erwartete Lieferung
#3 · WhatsApp
Sohn/Tochter mit neuer Nummer
""Hallo Mama, ich bin's Max, mein Handy ist kaputt. Kannst du eine dringende Rechnung zahlen? Ich schicke dir die IBAN.""
Red flags
✗Unbekannte Nummer
✗Bittet sofort um Geld
✗Lehnt Sprachanruf ab
✗Emotionale Geschichte zum Druck
#4 · E-Mail
Finanzamt - Steuererstattung
""Sie haben 427,18€ Erstattung offen. IBAN bestätigen, um zu erhalten.""
Red flags
✗Finanzamt fragt nie per E-Mail IBAN
✗Link zu finanzamt-online-de.com falsch
✗PDF mit Makros
✗Eile beim Reklamieren der Erstattung
#5 · E-Mail
Microsoft 365 / Google - Sitzung abgelaufen
""Ihr Passwort läuft heute ab. Hier verifizieren, um Zugang zu behalten.""
Red flags
✗URL mit komischem Bindestrich (microsoft-login.co)
✗Veraltetes Logo
✗Verlangt altes + neues Passwort
✗Fängt auch den MFA-Code ab
#6 · Push
MFA Fatigue (Anfragen-Bombardement)
"Sie erhalten nachts um 3 Uhr 20+ Microsoft/Google Login-Freigabeanfragen, in der Hoffnung, dass Sie versehentlich akzeptieren."
Red flags
✗Anfragen, die Sie nicht gestartet haben
✗Ungewöhnlicher Standort
✗Verdächtige Uhrzeiten
✗Begleitet von gefälschtem "IT"-Anruf
#7 · Telefon
Vishing - "die Bank" ruft an
""Wir haben verdächtige Käufe entdeckt. Ich verbinde Sie mit der Sicherheitsabteilung." Sie verlangen den SMS-Code zur Bestätigung."
Red flags
✗Verlangen SMS-Code (Bank tut das nie)
✗Caller ID lässt sich fälschen
✗Druck zu sofortigem Handeln
✗Verlangen TeamViewer/AnyDesk-Installation
#8 · E-Mail
Falsche Lieferanten-Rechnung (Unternehmen)
""Im Anhang Rechnung Nr. 2026/0142. Bitte bis 31.01. begleichen." Excel-Anhang mit Makro."
Red flags
✗Ähnlicher aber abweichender Absender
✗Anhang .xlsm oder .docm
✗Andere IBAN als üblich
✗Generischer Ton, kein Bezug zu echtem Auftrag
So erkennen Sie Phishing auf jedem Kanal
Prüfen Sie immer die Domain in der Adressleiste, bevor Sie Zugangsdaten eingeben — fahren Sie mit der Maus über Links, ohne zu klicken.
Zeitdruck ("24h", "jetzt", "letzte Chance") ist das Markenzeichen von Phishing. Halten Sie inne und atmen Sie durch.
Banken, Finanzamt, DHL und Microsoft verlangen niemals Passwort, MFA-Code oder vollständige IBAN per E-Mail/SMS/Telefon.
Bestätigen Sie über den offiziellen Kanal: rufen Sie die Bank über die Nummer auf der Kartenrückseite an, öffnen Sie die DHL-App, schreiben Sie dem Kollegen über einen internen Kanal.
Prüfen Sie auf HaveIBeenPwned oder mit unserem Datenleck-Check, ob Ihre E-Mail bereits geleakt wurde — so kommen die Angreifer an Ihren Namen.
Was tun, wenn Sie schon geklickt oder Daten gesendet haben
Ändern Sie sofort das Passwort des betroffenen Kontos und jedes Kontos, das dasselbe Passwort nutzt.
Aktivieren Sie MFA (möglichst per App, nicht SMS) für alle kritischen Konten — Bank, E-Mail, Social Media.
Kontaktieren Sie die Bank, wenn Sie Bankdaten gesendet haben: lassen Sie die Karte sperren und verdächtige Buchungen rückbuchen.
Melden Sie den Fall beim BSI und bei der lokalen Polizei (Onlinewache des jeweiligen Bundeslandes).
Führen Sie einen Antivirus-Scan aus, wenn Sie Anhänge geöffnet haben — siehe unseren Antivirus-Vergleich.
Häufige Fragen
Was ist Phishing in einfachen Worten?
Phishing ist ein Betrug, bei dem sich jemand als vertrauenswürdige Marke (Bank, DHL, Finanzamt, Microsoft) ausgibt, um Sie zur Herausgabe von Zugangsdaten, Codes oder Geld zu bringen. Es passiert per E-Mail, SMS, WhatsApp, Telefon oder Push-Nachricht.
Fragen Banken wirklich per SMS nach Daten?
Nie. Keine Bank in Deutschland verlangt Passwort, MFA-Code, PIN oder vollständige IBAN per SMS, E-Mail oder Telefon. Jede solche Nachricht ist Phishing.
Ich habe geklickt, aber keine Daten eingegeben. Bin ich sicher?
Wahrscheinlich ja, aber führen Sie einen Antivirus-Scan durch. Manche bösartige Seiten nutzen Browser-Schwachstellen aus. Aktualisieren Sie Browser und Betriebssystem.
Wie melde ich Phishing in Deutschland?
Melden Sie beim BSI (bsi.bund.de), bei der Polizei über die Onlinewache und beim imitierten Anbieter (Banken haben meist eine Adresse wie phishing@bank.de).
Erkennt Antivirus Phishing?
Moderne Antivirus-Programme mit Webschutz (Bitdefender, TotalAV, Norton) blockieren bekannte Phishing-Seiten vor dem Laden. Sie ersetzen kein kritisches Denken, reduzieren aber das Risiko erheblich.
Testen Sie Ihr Wissen
Glauben Sie, Sie würden alle erkennen? Machen Sie unser interaktives Phishing-Quiz mit 10 echten Beispielen.