Phishing erkennen & vermeiden – so schützen Sie sich vor Betrug

Eine E-Mail von der Bank, eine SMS vom Paketdienst, ein QR-Code auf einem Plakat – Phishing-Angriffe lauern überall. Und sie werden immer raffinierter: Dank künstlicher Intelligenz sind betrügerische Nachrichten heute oft kaum noch von echten zu unterscheiden. Laut der Sicherheitsstudie des Handelsverbands zählt Phishing mit 63 % zu den häufigsten Formen von Cybercrime im österreichischen Handel. Allein 2025 wurden österreichische Organisationen im Schnitt 1.665 Mal pro Woche angegriffen – Tendenz steigend.

In diesem Ratgeber zeigen wir Ihnen, wie Sie Phishing zuverlässig erkennen, welche neuen Maschen 2026 kursieren und was Sie tun sollten, wenn Sie auf einen Betrugsversuch hereingefallen sind.

Was ist Phishing?

Phishing ist eine Betrugsmasche, bei der Kriminelle sich als vertrauenswürdige Absender ausgeben – etwa als Bank, Behörde, Paketdienst oder Arbeitgeber. Das Ziel: Sie sollen auf einen Link klicken, persönliche Daten eingeben oder eine Datei öffnen. Mit den gestohlenen Daten räumen die Täter Konten leer, übernehmen Accounts oder schleusen Schadsoftware ein.

Die Phishing-Arten im Überblick

E-Mail-Phishing (der Klassiker)

Gefälschte E-Mails, die aussehen wie Nachrichten von Banken, Online-Shops oder Behörden. Sie enthalten Links zu täuschend echten Login-Seiten, auf denen Sie Ihre Zugangsdaten eingeben sollen. E-Mail-Phishing macht nach wie vor den Großteil aller Angriffe aus.

Smishing (SMS-Phishing)

Betrügerische SMS-Nachrichten, typischerweise mit angeblichen Paket-Benachrichtigungen, Bankmeldungen oder Behördennachrichten. Der enthaltene Link führt zu einer gefälschten Website oder installiert Schadsoftware auf Ihrem Smartphone.

Vishing (Voice-Phishing)

Betrügerische Telefonanrufe, bei denen sich Kriminelle als Bankmitarbeiter, Polizisten oder Support-Techniker ausgeben. Besonders perfide: Mit KI-Tools können Stimmen mittlerweile täuschend echt nachgeahmt werden – sogar die Stimme von Vorgesetzten oder Familienmitgliedern.

Quishing (QR-Code-Phishing)

Eine der neuesten Maschen: Kriminelle platzieren manipulierte QR-Codes auf Parkautomaten, in E-Mails, auf gefälschten Briefen oder sogar über echten QR-Codes in Restaurants. Wer scannt, landet auf einer Phishing-Seite. Studien zeigen, dass die Mehrheit der Nutzer QR-Codes scannt, ohne die Ziel-URL vorher zu prüfen. Seit 2023 sind Quishing-Angriffe um fast 600 % gestiegen.

Aktuelle Trends 2026: KI macht Phishing gefährlicher

Die Qualität der Angriffe hat sich dramatisch verändert. Was früher an schlechter Grammatik und plumpen Formulierungen leicht zu erkennen war, sieht heute professionell aus:

• KI-generierte E-Mails: Rund 83 % aller Phishing-Mails werden mittlerweile maschinell erzeugt – perfekt formuliert, personalisiert und ohne die typischen Rechtschreibfehler von früher
• Deepfake-Anrufe: KI kann Stimmen klonen und so täuschend echte Telefonanrufe erzeugen, etwa vom vermeintlichen Geschäftsführer mit einer dringenden Zahlungsanweisung
• Personalisierte Angriffe: KI-Tools durchsuchen soziale Medien und Unternehmenswebsites, um Phishing-Nachrichten mit echten Namen, Projekten und Zusammenhängen zu füllen
• Gefälschte Login-Seiten: Landing Pages sind heute nahezu identisch mit den Originalen – inklusive korrekter Logos, Farben und sogar gültiger SSL-Zertifikate

Das BSI warnt ausdrücklich vor dieser neuen Qualität von KI-gestütztem Phishing und empfiehlt erhöhte Wachsamkeit.

So erkennen Sie Phishing – die Checkliste

Auch wenn Phishing-Angriffe immer besser werden, gibt es Merkmale, an denen Sie sie erkennen können:

Absender prüfen

• Klicken Sie auf den Absendernamen und prüfen Sie die vollständige E-Mail-Adresse – nicht nur den angezeigten Namen
• Achten Sie auf kleine Abweichungen in der Domain: sparkasse-austria.com statt sparkasse.at, amaz0n.com statt amazon.com
• Bei SMS: Unbekannte oder ausländische Rufnummern sind verdächtig

Inhalt hinterfragen

• Zeitdruck und Drohungen: „Ihr Konto wird in 24 Stunden gesperrt“ – seriöse Unternehmen setzen Sie nicht unter Druck
• Unerwartete Nachrichten: Sie erwarten kein Paket, haben aber eine Paketbenachrichtigung erhalten?
• Aufforderung zur Dateneingabe: Keine Bank und kein Amt fordert Sie per E-Mail oder SMS auf, Passwörter oder TANs einzugeben
• Ungewöhnliche Zahlungsaufforderungen: Besonders bei angeblichen Vorgesetzten oder Geschäftspartnern immer über einen zweiten Kanal verifizieren

Links und Anhänge prüfen

• Links nicht blind anklicken: Fahren Sie mit der Maus über den Link (ohne zu klicken) und prüfen Sie die angezeigte URL
• Verkürzte URLs (bit.ly, tinyurl) in offiziellen Mails sind ein Warnsignal
• Anhänge von unbekannten Absendern niemals öffnen – besonders .exe, .zip oder Office-Dateien mit Makros
• QR-Codes: Prüfen Sie nach dem Scannen immer die angezeigte URL, bevor Sie die Seite öffnen

Technische Merkmale

• Fehlende persönliche Anrede: „Sehr geehrter Kunde“ statt Ihres Namens
• Ungewöhnliche Absende-Zeiten: Offizielle E-Mails kommen selten um 3 Uhr nachts
• Gemischte Sprachen oder untypische Formulierungen

Was tun, wenn Sie reingefallen sind?

Keine Panik – aber handeln Sie schnell:

1. Passwörter sofort ändern – für den betroffenen Account und alle Accounts, bei denen Sie dasselbe Passwort verwenden
2. Bank kontaktieren – wenn Zahlungsdaten betroffen sind, lassen Sie Karte oder Konto sperren (Sperr-Notruf Österreich: 0800 204 8800)
3. Gerät auf Schadsoftware prüfen – Virenscanner laufen lassen, im Zweifel professionelle Hilfe holen (z. B. per Fernwartung)
4. Vorfall dokumentieren – Screenshots der Phishing-Nachricht und der gefälschten Website sichern
5. Phishing melden – in Österreich an die Cybercrime-Meldestelle des Bundeskriminalamts: against-cybercrime@bmi.gv.at
6. Anzeige erstatten – bei der nächsten Polizeidienststelle, kostenlos
7. Watchlist Internet prüfen und melden – unter watchlist-internet.at können Sie den Betrugsversuch melden und aktuelle Warnungen einsehen

Phishing im Unternehmen: Das steht auf dem Spiel

Für Unternehmen ist Phishing besonders gefährlich. Laut IBM „Cost of a Data Breach Report“ kostet eine Datenpanne durch Phishing Unternehmen im Durchschnitt rund 4,9 Millionen Euro – durch Datenverlust, Betriebsunterbrechung, Reputationsschaden und Strafzahlungen.

DSGVO-Meldepflicht bei Datenpannen

Wenn durch einen Phishing-Angriff personenbezogene Daten kompromittiert werden, greift die DSGVO-Meldepflicht:

• Meldung an die Datenschutzbehörde innerhalb von 72 Stunden (dsb.gv.at)
• Bei hohem Risiko müssen auch die betroffenen Personen benachrichtigt werden
• Bei Verstößen gegen die Meldepflicht drohen Bußgelder bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes

So schützen Unternehmen sich wirksam

• Regelmäßige Phishing-Schulungen: Mitarbeiter sind die erste Verteidigungslinie – Awareness-Trainings machen den Unterschied
• Klare Meldewege: Mitarbeiter müssen wissen, an wen sie verdächtige Nachrichten weiterleiten können – ohne Angst vor Konsequenzen
• Multi-Faktor-Authentifizierung (MFA): Selbst wenn Zugangsdaten gestohlen werden, schützt MFA vor dem tatsächlichen Zugriff. Das BSI empfiehlt Hardware-Token oder biometrische Verfahren statt SMS-basierter MFA
• E-Mail-Sicherheit: SPF-, DKIM- und DMARC-Einträge konfigurieren, um gefälschte Absender zu blockieren
• Freigabeprozesse für Zahlungen: Überweisungen ab einem bestimmten Betrag immer über einen zweiten Kanal bestätigen lassen
• Regelmäßige Backups: Falls Schadsoftware über Phishing eingeschleust wird, sind aktuelle Backups Ihre Rettung
• IT-Sicherheitskonzept als Gesamtstrategie: Phishing-Schutz funktioniert am besten als Teil einer umfassenden Sicherheitsstrategie

Krempl-IT: Phishing-Schutz für Weiz und die Oststeiermark

Als IT-Dienstleister in der Region bieten wir Privatpersonen und Unternehmen professionelle Unterstützung:

• Phishing-Awareness-Schulungen für Ihr Team – praxisnah mit aktuellen Beispielen
• E-Mail-Sicherheit einrichten – SPF, DKIM, DMARC und Spam-Filter konfigurieren
• Microsoft 365 Security – MFA, Conditional Access und Anti-Phishing-Policies
• IT-Sicherheitscheck – Schwachstellen erkennen, bevor es Angreifer tun
• Soforthilfe bei Phishing-Vorfällen – per Fernwartung oder vor Ort

Wir betreuen Privatkunden und Unternehmen in Weiz, Gleisdorf, St. Ruprecht an der Raab, Birkfeld, Hartberg, Passail, Pöllau, Vorau und im Großraum Graz.

Sie haben eine verdächtige Nachricht erhalten oder möchten Ihr Unternehmen gegen Phishing absichern? Kontaktieren Sie uns – wir helfen schnell und unkompliziert. Für akute Fälle steht unsere Fernwartung bereit.

Häufige Fragen

Woran erkenne ich eine Phishing-E-Mail?

An vier Dingen. Erstens am Absender: Prüfen Sie die vollständige E-Mail-Adresse, nicht nur den angezeigten Namen, und achten Sie auf Abweichungen in der Domain wie „sparkasse-austria.com“ statt „sparkasse.at“. Zweitens am Inhalt: Zeitdruck, Drohungen, unerwartete Nachrichten und Aufforderungen zur Eingabe von Passwörtern oder TANs sind Warnsignale – keine Bank und kein Amt verlangt das per E-Mail. Drittens an den Links: mit der Maus darüberfahren, ohne zu klicken, und die Ziel-URL prüfen; verkürzte Adressen in offiziellen Mails sind verdächtig. Viertens an Details wie fehlender persönlicher Anrede oder ungewöhnlichen Absendezeiten.

Was ist Quishing?

Quishing ist Phishing über manipulierte QR-Codes. Kriminelle platzieren sie auf Parkautomaten, in E-Mails, auf gefälschten Briefen oder kleben sie über echte QR-Codes in Restaurants. Wer scannt, landet auf einer Phishing-Seite. Seit 2023 sind solche Angriffe um fast 600 % gestiegen, und Studien zeigen, dass die Mehrheit der Nutzer QR-Codes scannt, ohne die Ziel-URL vorher zu prüfen. Genau das ist die einzige wirksame Gegenmaßnahme: nach dem Scannen die angezeigte Adresse lesen, bevor Sie die Seite öffnen.

Was tue ich, wenn ich auf eine Phishing-Nachricht hereingefallen bin?

Schnell und der Reihe nach handeln: Passwörter für den betroffenen Account und alle Konten mit demselben Passwort sofort ändern. Bei betroffenen Zahlungsdaten die Bank kontaktieren und Karte oder Konto sperren lassen – der Sperr-Notruf in Österreich lautet 0800 204 8800. Anschließend das Gerät auf Schadsoftware prüfen, den Vorfall mit Screenshots dokumentieren, ihn melden und Anzeige bei der nächsten Polizeidienststelle erstatten. Die Anzeige ist kostenlos.

Wo melde ich Phishing in Österreich?

An die Cybercrime-Meldestelle des Bundeskriminalamts unter against-cybercrime@bmi.gv.at. Zusätzlich können Sie den Betrugsversuch auf watchlist-internet.at melden und dort aktuelle Warnungen einsehen. Sind personenbezogene Daten betroffen, kommt für Unternehmen die Meldung an die Datenschutzbehörde hinzu.

Schützt Multi-Faktor-Authentifizierung vor Phishing?

Sie verhindert den entscheidenden Schritt: Selbst wenn Zugangsdaten gestohlen werden, kommt der Angreifer ohne zweiten Faktor nicht in das Konto. Das BSI empfiehlt dabei Hardware-Token oder biometrische Verfahren statt SMS-basierter MFA. MFA ersetzt aber weder Awareness-Schulungen noch technische Maßnahmen wie SPF-, DKIM- und DMARC-Einträge gegen gefälschte Absender.

Welche Meldepflichten hat ein Unternehmen nach einem Phishing-Angriff?

Werden personenbezogene Daten kompromittiert, greift die DSGVO-Meldepflicht: Meldung an die Datenschutzbehörde innerhalb von 72 Stunden, bei hohem Risiko zusätzlich Benachrichtigung der betroffenen Personen. Verstöße gegen die Meldepflicht sind mit Bußgeldern bis zu 10 Millionen Euro oder 2 % des Jahresumsatzes bedroht. Legen Sie deshalb vorab klare interne Meldewege fest – Mitarbeiter müssen verdächtige Nachrichten ohne Angst vor Konsequenzen weitergeben können.

Quellen

• BSI – Schutz gegen Phishing
• WKO – Phishing-Angriffe auf Ihr Unternehmen abwehren
• WKO – DSGVO: Meldung von Datenschutzverletzungen
• Onlinesicherheit.gv.at – Phishing Cybermonitor
• Onlinesicherheit.gv.at – Meldestellen
• Bundeskriminalamt – Cybercrime-Meldestelle
• Watchlist Internet – Beratung und Hilfe
• Datenschutzbehörde Österreich – Meldung Data Breach