Phishing-Link geklickt? Was du jetzt tun musst – in der richtigen Reihenfolge

Ein falscher Klick ist noch kein Totalschaden. Aber wenn du auf einer gefälschten Seite ein Passwort, Bankdaten oder eine TAN eingegeben hast, zählt jetzt tatsächlich jede Minute.

Die wichtigste Regel lautet: Nicht in Panik überall irgendetwas ändern. Arbeite den Schaden von innen nach außen ab. Zuerst Bank oder betroffenes Konto sichern, dann aktive Sitzungen beenden, wiederverwendete Passwörter ändern und erst danach in Ruhe Belege sammeln und das Gerät prüfen.

Dieser Beitrag ist kein Bericht über einen eigenen Phishing-Fall und kein Ersatz für eine individuelle Sicherheitsanalyse. Er ist ein recherchierter Ernstfall-Guide auf Basis aktueller Hinweise von Verbraucherzentrale, Polizei, BSI und internationalen Cybersecurity-Behörden.

Die Antwort in 60 Sekunden

Das ist die Kurzfassung. Der entscheidende Unterschied steckt im Detail: Ein Klick, ein eingegebenes Passwort und eine bestätigte TAN sind drei völlig verschiedene Schadenslagen. Wer alles pauschal als „Handy gehackt“ behandelt, verliert Zeit an der falschen Stelle.

Nur auf den Phishing-Link geklickt: Wie schlimm ist das?

Wenn du nur eine Seite geöffnet, aber keine Daten eingegeben, keine Datei heruntergeladen und keine Software installiert hast, ist das Risiko deutlich kleiner. Das britische National Cyber Security Centre hält in diesem Fall weitere Maßnahmen meist nicht für nötig, empfiehlt aber, Konten und Benachrichtigungen auf Auffälligkeiten zu beobachten.^[5]

Die Verbraucherzentrale formuliert vorsichtiger: Auch eine präparierte Website kann versuchen, über Sicherheitslücken Schadsoftware einzuschleusen. Deshalb sollen Browser, Betriebssystem und Schutzsoftware aktuell sein; ein vollständiger Scan kann sinnvoll sein.^[3]

Das widerspricht sich nicht. Es bedeutet nur: Ein Klick allein ist kein Beweis für eine Infektion, aber auch kein Freifahrtschein.

Prüfe jetzt in Ruhe:

• Hat der Browser eine Datei heruntergeladen?
• Wurde eine Browser-Erweiterung, App oder ein Profil installiert?
• Hast du eine Benachrichtigung oder Kalenderfreigabe erlaubt?
• Hast du dich mit Passwort, Passkey, QR-Code oder Einmalcode angemeldet?
• Hat die Seite dich aufgefordert, eine Fernwartungs-App zu installieren?

Wenn die Antwort überall „nein“ lautet, musst du dein Smartphone nicht reflexartig auf Werkseinstellungen setzen. Aktualisiere das System, kontrolliere den Download-Ordner und beobachte deine Konten. Ein übereilter Komplett-Reset ist in dieser Lage eher Aktionismus als Hilfe.

Passwort, Anmeldecode oder Freigabe eingegeben: Jetzt wird es ernst

Ein eingegebenes Passwort ist kompromittiert, auch wenn der Login auf der falschen Seite scheinbar „fehlgeschlagen“ ist. Genau diese Fehlermeldung kann Teil der Masche sein.

1. Öffne den echten Dienst selbst

Starte die bekannte App oder tippe die Adresse selbst in den Browser. Verwende weder den Link aus der Nachricht noch eine Telefonnummer, die auf der Phishing-Seite angezeigt wurde. Aktuelle Warnungen der Verbraucherzentrale zu DKB und Spotify empfehlen genau diesen Gegencheck über offizielle App oder Website.^[2]

2. Ändere das Passwort – aber von einem vertrauenswürdigen Gerät

Wenn du zusätzlich eine verdächtige Datei geöffnet oder Software installiert hast, ändere Passwörter besser auf einem anderen, sauberen Gerät. Sonst gibst du das neue Passwort im schlimmsten Fall direkt wieder preis.

Das neue Passwort muss einzigartig sein. Hast du dasselbe oder ein sehr ähnliches Passwort noch woanders verwendet, ändere es dort ebenfalls. Die Polizei rät außerdem, nach dem Passwortwechsel alle aktiven Sitzungen zu beenden. So verlieren Angreifer den Zugriff, wenn sie bereits eingeloggt sind.^[4]

3. Sichere zuerst dein E-Mail-Konto

Das E-Mail-Postfach ist der Generalschlüssel zu deinem digitalen Leben. Darüber lassen sich Passwörter zurücksetzen, Sicherheitswarnungen löschen und weitere Konten übernehmen.

Prüfe dort besonders:

• unbekannte angemeldete Geräte und Sitzungen
• neue Weiterleitungsregeln oder Filter
• geänderte Wiederherstellungsadresse und Telefonnummer
• unbekannte App-Zugriffe
• Nachrichten im Papierkorb und im „Gesendet“-Ordner

Wenn du das kompromittierte Passwort auch für dein E-Mail-Konto genutzt hast, ändere dieses zuerst. Danach kommen Banking, Zahlungsdienste, Shops, soziale Netzwerke und alle Konten, die über dieses Postfach zurückgesetzt werden können.

4. Einmalcode oder Push-Freigabe bestätigt?

Dann reicht ein Passwortwechsel allein möglicherweise nicht. Entferne unbekannte Geräte, prüfe eingerichtete Anmeldeverfahren und widerrufe verdächtige App- oder Kontozugriffe. Ein per SMS oder Authenticator-App erzeugter Einmalcode ist besser als nur ein Passwort, aber nicht automatisch phishingfest: Das BSI weist darauf hin, dass Täter Passwort und Code in Echtzeit über eine täuschend echte Seite abgreifen können.^[8]

Bank-, Karten- oder Zahlungsdaten eingegeben: Nicht erst den Umsatz abwarten

Hier ist die Priorität eindeutig: Bank oder Zahlungsanbieter sofort kontaktieren. Nutze die offizielle Banking-App, die Nummer auf deiner Karte oder eine selbst aufgerufene Website. Die Polizei empfiehlt, betroffene Zugänge zu sperren, Umsätze zu kontrollieren und die weiteren Schritte direkt mit der Bank abzustimmen.^[4]

Warte nicht darauf, dass tatsächlich Geld verschwindet. Kriminelle können Daten zeitversetzt nutzen, weiterverkaufen oder einen zweiten Anruf starten, in dem sie sich als „Sicherheitsabteilung“ ausgeben. Wer deine Daten bereits kennt, klingt im nächsten Gespräch erschreckend glaubwürdig.

Was du der Bank sagen solltest

• welche Daten du eingegeben hast
• ob du eine TAN oder Push-Freigabe bestätigt hast
• wann das passiert ist
• ob bereits unbekannte Buchungen sichtbar sind
• ob du eine App installiert oder Fernzugriff erlaubt hast

Bei einer unberechtigten Buchung solltest du nichts selbst als „geklärt“ abhaken. Dokumentiere die Transaktion und lass dir von der Bank erklären, welche Sperren, Reklamationen oder weiteren Nachweise notwendig sind. Ob und wie Geld zurückgeholt werden kann, hängt vom konkreten Zahlungsweg und Einzelfall ab. Ein pauschales Rückzahlungsversprechen wäre unseriös.

Datei geöffnet, App installiert oder Fernzugriff erlaubt

Das ist eine andere Lage als ein bloß geöffneter Link. Trenne die Verbindung, wenn du ernsthaft Schadsoftware oder laufenden Fernzugriff vermutest: WLAN ausschalten, Netzwerkkabel ziehen oder am Smartphone den Flugmodus aktivieren. Nutze das Gerät bis zur Klärung nicht für Banking, Einkäufe oder Passwortänderungen.

Danach:

1. Prüfe installierte Apps, Browser-Erweiterungen, Konfigurationsprofile und Geräteadministratoren.
2. Aktualisiere Betriebssystem, Browser und vorhandene Schutzsoftware aus offiziellen Quellen.
3. Führe einen vollständigen Scan aus.
4. Informiere bei einem Arbeitsgerät sofort die IT-Abteilung – nicht erst am nächsten Morgen.
5. Bleiben Auffälligkeiten oder wurde Fernzugriff gewährt, hole fachkundige Hilfe. Ein Zurücksetzen kann nötig sein, ist aber kein Ersatz für eine saubere Sicherung und Kontoprüfung.

Verbraucherzentrale und NCSC empfehlen bei möglicher Schadsoftware ebenfalls einen vollständigen Scan und gegebenenfalls professionelle Unterstützung.^[3][5]

Vorsicht vor der zweiten Falle: Suche nicht hektisch nach irgendeiner „Phishing-Reinigungssoftware“ und installiere den ersten Treffer. Auch angebliche Hilfsprogramme können unseriös sein. Nutze die integrierten Sicherheitsfunktionen des Systems, bekannte offizielle Anbieter oder einen vertrauenswürdigen Fachbetrieb.

Phishing erkennen: Rechtschreibfehler sind längst nicht mehr der beste Test

Die alte Regel „schlechtes Deutsch gleich Phishing“ ist zu bequem. Moderne Nachrichten können fehlerfrei sein, echte Logos verwenden, deinen Namen kennen und sogar zu einer Situation passen, die gerade wirklich existiert.

Die Verbraucherzentrale warnt im Juli 2026 unter anderem vor angeblichen DKB-Freigaben und einem vermeintlichen Spotify-Zahlungsproblem. Die Muster dahinter sind nicht neu: Zeitdruck, drohende Kontoeinschränkung und ein Link, über den Daten „bestätigt“ werden sollen.^[2]

Verlässlicher als Stilgefühl sind diese Fragen:

Habe ich die Nachricht erwartet?

Eine echte Paketankündigung kann trotzdem gefälscht sein. Aber eine unerwartete Rückerstattung, Sicherheitsprüfung oder Zahlungsstörung verdient immer einen Gegencheck.

Soll ich über genau diesen Link handeln?

Öffne stattdessen die App oder Website selbst. Wenn dort keine passende Meldung auftaucht, ist das ein starkes Warnsignal.

Wird künstlicher Druck aufgebaut?

„Heute noch“, „Konto wird gesperrt“, „letzte Mahnung“ oder „ungewöhnlicher Login“ sollen das Nachdenken abkürzen. Dringlichkeit ist kein Beweis für Betrug – aber ein Grund, den Kommunikationskanal zu wechseln.

Passt die tatsächliche Domain?

Nicht das Logo und nicht der sichtbare Linktext zählen, sondern die echte Internetadresse. Achte auf Buchstabendreher, zusätzliche Wörter und fremde Domain-Endungen. Auf dem Smartphone ist das schwieriger, weil Adressen verkürzt dargestellt werden. Genau deshalb ist die selbst geöffnete App oft der bessere Weg.

Will jemand Passwort, TAN oder Freigabecode?

Dann abbrechen. Auch ein angeblicher Supportmitarbeiter braucht keinen Code, der eine Anmeldung oder Zahlung bestätigt.

Der Schutz, der wirklich etwas bringt

Kein Spamfilter erwischt alles. Sinnvoller Schutz besteht deshalb aus mehreren kleinen Hürden, die zusammen verhindern, dass ein einzelner Fehler zum kompletten Kontoverlust wird.

Einzigartige Passwörter und ein Passwortmanager

Das klingt unspektakulär, ist aber entscheidend: Wenn jedes Konto ein eigenes Passwort hat, bleibt ein gestohlener Zugang lokal begrenzt. Ein Passwortmanager hilft, diese Passwörter zu erzeugen und nur auf der passenden Domain auszufüllen. Das BSI empfiehlt für jedes Konto ein eigenes Passwort und nennt Passwortmanager ausdrücklich als Hilfe.^[10]

Zwei-Faktor-Authentisierung – ja, aber mit Grenzen

Aktiviere 2FA, wo immer es möglich ist. Sie verhindert viele Kontoübernahmen, wenn nur das Passwort gestohlen wurde. Gib einen Einmalcode aber niemals auf einer Seite ein, die du über eine verdächtige Nachricht geöffnet hast. Echtzeit-Phishing kann auch diesen Code abfangen.

Passkeys, wenn der Dienst sie unterstützt

Passkeys ersetzen das klassische Passwort durch ein kryptografisches Schlüsselpaar. Der geheime Teil bleibt auf deinem Gerät oder bei deinem Passkey-Anbieter; die Anmeldung ist an die echte Website beziehungsweise App gebunden. Deshalb sind Passkeys deutlich widerstandsfähiger gegen klassische Phishing-Seiten. BSI und FIDO Alliance ordnen sie als phishingresistent ein.^[8][9]

Das heißt nicht, dass Passkeys jeden Betrug lösen. Social Engineering, kompromittierte Wiederherstellungswege oder eine freiwillig bestätigte Zahlung verschwinden dadurch nicht. Aber für die typische gefälschte Login-Seite sind sie ein großer Fortschritt.

Wichtige Anfragen über einen zweiten Kanal prüfen

Ändert ein Lieferant plötzlich seine Bankverbindung? Bittet der Chef per Mail um Geschenkkarten? Meldet sich ein Familienmitglied mit neuer Nummer? Dann über einen bekannten, unabhängigen Kanal zurückrufen oder nachfragen. Nicht auf die Nachricht antworten und nicht die dort genannte Nummer verwenden.

Beweise sichern und Phishing melden

Bevor du die Nachricht löschst, sichere das Nötige:

• Screenshot der Nachricht und der Absenderangabe
• vollständige URL der verdächtigen Seite
• Datum und Uhrzeit
• welche Daten du eingegeben oder welche Datei du geöffnet hast
• verdächtige Buchungen, Login-Hinweise und Geräte
• Gesprächsverlauf und Rufnummern bei Anrufen oder Messenger-Betrug

Die Verbraucherzentrale nimmt verdächtige Nachrichten für ihr Phishing-Radar entgegen; die Adresse und Hinweise stehen auf der aktuellen Warnseite.^[2] SMS- und Messenger-Spam sowie Rufnummernmissbrauch können je nach Fall über die Bundesnetzagentur gemeldet werden.^[7]

Wenn Geld, ein Kundenkonto oder personenbezogene Daten missbraucht wurden, ist die offizielle Onlinewache der Polizeien der Länder ein sinnvoller Einstieg. Dort lassen sich Betrug im Internet und der Missbrauch von Daten oder Kundenkonten anzeigen; Screenshots und Belege können hochgeladen werden.^[6]

Wichtig ist die Reihenfolge: Erst laufenden Schaden stoppen, dann dokumentieren und melden. Die schönste Beweissammlung hilft wenig, wenn der Täter währenddessen noch Zugriff auf dein Postfach oder Konto hat.

Mein Fazit: Der erste Fehler ist menschlich, der zweite oft vermeidbar

Phishing funktioniert nicht, weil alle Opfer unvorsichtig sind. Es funktioniert, weil die Nachricht im richtigen Moment plausibel wirkt: Du erwartest ein Paket, eine Zahlung ist tatsächlich fällig oder eine bekannte Marke meldet angeblich ein Sicherheitsproblem.

Entscheidend ist deshalb nicht, ob du „schlau genug“ bist, nie zu klicken. Entscheidend ist, ob dein digitales Setup einen Fehler aushält.

Einzigartige Passwörter, 2FA, Passkeys, aktuelle Systeme und ein gut gesichertes E-Mail-Konto machen aus einem falschen Klick eher eine lästige Viertelstunde als eine Katastrophe. Und wenn du bereits Daten eingegeben hast: Scham kostet nur Zeit. Bank, Anbieter, IT oder Polizei haben lieber eine schnelle ehrliche Meldung als einen perfekt formulierten Bericht drei Tage später.

Häufige Fragen zu Phishing

Ich habe nur auf einen Phishing-Link geklickt. Muss ich alle Passwörter ändern?

Nicht automatisch. Wenn du nichts eingegeben, nichts heruntergeladen und nichts installiert hast, reicht meist: Seite schließen, System und Browser aktualisieren, Downloads prüfen und Konten beobachten. Bei einer verdächtigen Datei oder unbekannten Installation ist ein Sicherheitscheck nötig.

Ich habe mein Passwort eingegeben, aber die Seite zeigte einen Fehler. Bin ich trotzdem betroffen?

Ja. Die Fehlermeldung kann Teil der Phishing-Seite sein. Ändere das Passwort über die echte App oder selbst aufgerufene Website und beende alle aktiven Sitzungen.

Welches Passwort muss ich zuerst ändern?

Das betroffene Konto – und bei Wiederverwendung besonders dein E-Mail-Konto. Das Postfach ermöglicht oft das Zurücksetzen vieler weiterer Zugänge.

Reicht Zwei-Faktor-Authentisierung gegen Phishing?

Sie hilft stark, ist aber nicht unfehlbar. Einmalcodes und Push-Freigaben können durch Echtzeit-Phishing abgegriffen oder erschlichen werden. Passkeys sind gegen klassische gefälschte Login-Seiten widerstandsfähiger.

Muss ich nach einem Phishing-Klick mein Smartphone zurücksetzen?

Nicht bei jedem Klick. Ein Reset kommt eher infrage, wenn Schadsoftware installiert wurde, Fernzugriff bestand oder sich das Gerät nicht zuverlässig bereinigen lässt. Sichere vorher wichtige Daten und hole bei Unsicherheit fachkundige Hilfe.

Wo kann ich Phishing in Deutschland melden?

Verdächtige Nachrichten können an das Phishing-Radar der Verbraucherzentrale weitergeleitet werden. Bei finanziellem Schaden, Daten- oder Kontomissbrauch ist die Onlinewache der Polizeien der Länder eine offizielle Anlaufstelle. Rufnummern- und SMS-Missbrauch kann je nach Fall über die Bundesnetzagentur gemeldet werden.