So erkennt ihr Phishing: Die aktuellen Betrugsmaschen im Check

Aber noch einmal von vorne: Phishing ist der Versuch, über gefälschte Nachrichten oder Websites an sensible Daten zu gelangen. Der Begriff leitet sich vom englischen „fishing“ ab – die Täter:innen gehen also sinngemäß auf Datenfang.

Die Nachrichten kommen per E-Mail, SMS oder Messenger, über Social Media oder manchmal auch telefonisch. Häufig führen sie auf eine nachgebaute Website, auf der ihr euch einloggen oder Zahlungsdaten eingeben sollt.

Phishing funktioniert über solche Alltagssituationen und arbeitet damit, dass wir nicht genau hinschauen und rasch handeln. Kriminelle versuchen, an Passwörter, Bankdaten, Kreditkartendaten oder andere persönliche Informationen zu kommen. Häufig setzen sie dabei auf Zeitdruck, bekannte Namen und Geschichten, die möglichst glaubwürdig klingen.

Wie verbreitet solche Betrugsversuche inzwischen sind, zeigen die aktuellen Zahlen aus Österreich. 2025 wurden insgesamt 63.459 Anzeigen im Bereich Internetkriminalität registriert. 31.001 davon entfielen auf Internetbetrug. Die Zahl ist gegenüber dem Vorjahr zwar leicht zurückgegangen, Internetbetrug bleibt damit aber der größte Bereich innerhalb der Internetkriminalität. 

Auch der finanzielle Schaden ist beträchtlich. Laut Oesterreichischer Nationalbank wurden 2025 rund 351.000 betrügerische Transaktionen im unbaren Zahlungsverkehr registriert. Der entstandene Schaden belief sich auf 115,4 Millionen Euro. Besonders ins Gewicht fallen dabei betrügerische Überweisungen: Sie verursachten einen Schaden von 89,6 Millionen Euro, wobei die Betroffenen häufig durch gezielte Täuschung dazu gebracht wurden, die Überweisung selbst freizugeben.

Mit der aktuellen Kampagne „Phishen Impossible!“ macht die Payment Services Austria (PSA) auf verschiedene Betrugsmaschen aufmerksam. Die Kampagne zeigt anhand von Alltagssituationen, wie leicht man in eine Falle geraten kann und welche Warnsignale dabei helfen, einen Betrugsversuch rechtzeitig zu erkennen.

Im Mittelpunkt stehen unterschiedliche Methoden, vom klassischen Phishing über gefälschte Nachrichten bis hin zu Romance- und Investment-Betrug.

Einige typische Warnzeichen solltet ihr deshalb kennen:

• Zeitdruck: Eine Nachricht fordert euch auf, sofort zu handeln, sonst werde beispielsweise euer Konto gesperrt. 

• Ungewöhnliche Zahlungsaufforderungen: Ihr sollt Geld an eine Person oder ein Konto überweisen, das euch bisher unbekannt war.

• Unrealistische Gewinn- oder Renditeversprechen: Hohe Gewinne bei gleichzeitig geringem oder gar keinem Risiko sind ein Warnsignal.

• Neue Online-Bekanntschaften: Jemand, den ihr nur aus dem Internet kennt, bittet plötzlich um Geld.

• Unbekannte Links: Eine Nachricht fordert euch auf, euch über einen Link einzuloggen oder persönliche Daten einzugeben. 

• Unerwartete Anhänge: Eine Datei stammt von einem Absender, mit dem ihr eigentlich gar nicht gerechnet habt.

• Familien- und Freundschaftsmaschen: Eine vermeintlich bekannte Person schreibt plötzlich von einer neuen Telefonnummer und braucht dringend Geld.

• Gestohlene Zugangsdaten: Ein starkes, einzigartiges Passwort und eine Zwei-Faktor-Authentifizierung erschweren den Zugriff auf eure Accounts.

Die Kampagne „Phishen Impossible!“ zeigt diese und weitere Beispiele und gibt Tipps, wie ihr Betrugsversuche im Alltag schneller erkennt. 

Lange Zeit war eine Phishing-Mail relativ leicht zu entlarven: ein merkwürdiger Absender, schlechtes Deutsch, ein seltsamer Link. Heute ist das leider nicht mehr so einfach. Gefälschte Websites sehen professionell aus, Nachrichten sind sprachlich sauber formuliert und künstliche Intelligenz erleichtert es Betrüger:innen zusätzlich, glaubwürdige Texte, Bilder oder sogar Stimmen zu erstellen.

Betrüger:innen nutzen bekannte Unternehmen und Behörden als Absender, bauen täuschend echte Websites nach und passen ihre Nachrichten an aktuelle Ereignisse an. Dazu kommt Social Engineering. Dabei geht es weniger um technische Tricks als darum, Menschen gezielt zu einer bestimmten Handlung zu bewegen.

Ein Beispiel: Ihr bekommt einen Anruf von einer Person, die sich als Bankmitarbeiter:in ausgibt. Es habe einen verdächtigen Zahlungsvorgang gegeben, heißt es. Um das Konto zu schützen, sollt ihr eine Überweisung bestätigen. Wer in diesem Moment glaubt, gerade eine Sicherheitsmaßnahme durchzuführen, kann damit tatsächlich selbst die Zahlung freigeben.

Fünf Minuten Aufmerksamkeit können viel ausmachen

Eine unerwartete Nachricht mit einem Link oder einer Zahlungsaufforderung solltet ihr in Ruhe prüfen. Ein paar einfache Gewohnheiten helfen dabei.

Schaut genau auf den Absender

Bei E-Mails lohnt sich ein Blick auf die vollständige Adresse und nicht nur auf den angezeigten Namen. Bei SMS und Messenger-Nachrichten gilt dasselbe: Eine bekannte Absenderbezeichnung allein sagt noch nichts über die Echtheit aus.

Öffnet Websites selbst

Wenn euch eure Bank, ein Paketdienst oder eine Behörde auffordert, etwas zu erledigen, öffnet die entsprechende App oder Website lieber selbst. So umgeht ihr den Link aus der Nachricht.

Lasst euch nicht hetzen

Formulierungen wie „sofort bestätigen“, „letzte Warnung“ oder „Konto wird heute gesperrt“ sollen euch zu einer schnellen Reaktion bringen. Gerade dann lohnt sich eine kurze Pause.

Gebt sensible Daten nicht weiter

Passwörter, PINs, TANs oder Kreditkartendaten gehören nicht in eine Antwort auf eine unerwartete Nachricht. Auch bei einem Anruf gilt: Eine Bankmitarbeiterin oder ein Bankmitarbeiter sollte euch niemals dazu bringen, eine Zahlung zu bestätigen, die ihr selbst gar nicht beauftragt habt.

Fragt direkt nach

Wenn ihr unsicher seid, kontaktiert das Unternehmen selbst. Verwendet dafür eine offizielle Telefonnummer oder die Kontaktdaten auf der jeweiligen Website – und nicht die Nummer aus der verdächtigen Nachricht.

Auch QR-Codes können in die Falle führen

QR-Codes gehören mittlerweile zum Alltag. Wir scannen sie im Restaurant, auf Plakaten oder beim Bezahlen. Auch Betrüger:innen nutzen diese Gewohnheit.

Beim sogenannten Quishing führt ein manipulierten QR-Code auf eine gefälschte Website. Dort können wieder Zugangsdaten oder Zahlungsinformationen abgefragt werden.

Wenn ein QR-Code euch zu einem Login oder einer Zahlung führt, schaut deshalb kurz auf die Zieladresse. Bei Bankgeschäften ist es sinnvoll, die Banking-App direkt zu öffnen und den Vorgang dort aufzurufen.

Wenn ein QR-Code euch zu einem Login oder einer Zahlung führt, schaut deshalb kurz auf die Zieladresse. Bei Bankgeschäften ist es sinnvoll, die Banking-App direkt zu öffnen und den Vorgang dort aufzurufen.

Gerade bei Bankgeschäften ist Aufmerksamkeit wichtig. Wüstenrot wird euch nicht per E-Mail oder SMS über einen unbekannten Link dazu auffordern, eure Zugangsdaten oder eine Freigabe-PIN bekanntzugeben.

Bei Zahlungen und anderen Vorgängen im Wüstenrot eBanking erfolgt die Freigabe über die vorgesehenen Sicherheitsverfahren. Die Wüstenrot App dient dabei als zusätzlicher Sicherheitsfaktor.

Eine einfache Regel hilft dabei: Schaut vor jeder Freigabe nach, was ihr gerade bestätigt. Wenn ihr den Vorgang selbst gar nicht gestartet habt, solltet ihr besonders aufmerksam sein.

Einige Dinge könnt ihr direkt über die Wüstenrot App erledigen. Bei Verlust oder Diebstahl lässt sich die Bankkarte beispielsweise sperren. Eine vorübergehende Sperre kann später auch wieder aufgehoben werden.

Für Onlinezahlungen steht außerdem Visa Secure beziehungsweise 3D Secure zur Verfügung. Die Möglichkeit für Onlinezahlungen kann über das eBanking verwaltet werden.

Die App bietet außerdem einen Überblick über eure Wüstenrot Produkte und ermöglicht verschiedene Bankgeschäfte direkt am Smartphone.

Ein Klick auf einen verdächtigen Link bedeutet noch nicht automatisch, dass bereits ein Schaden entstanden ist. Entscheidend ist, was ihr anschließend gemacht habt.

Ihr habt die Seite nur geöffnet? Schließt sie wieder und führt dort keine weiteren Schritte aus.

Ihr habt ein Passwort eingegeben? Ändert es möglichst rasch. Verwendet ihr dasselbe Passwort auch bei anderen Diensten, solltet ihr es dort ebenfalls ändern.

Ihr habt Bank- oder Kreditkartendaten eingegeben? Meldet euch sofort bei eurer Bank und lasst prüfen, welche Schritte notwendig sind.

Ihr habt eine Zahlung freigegeben, die ihr selbst nicht beauftragt habt? Kontaktiert eure Bank unverzüglich.

Bei Wüstenrot erreicht ihr den Kundenservice unter 057070 777, Montag bis Freitag von 8 bis 17 Uhr. Eine verlorene oder gestohlene Bankkarte könnt ihr direkt über die App sperren oder rund um die Uhr über die österreichweite Sperr-Hotline 0800 204 8800.

Auch Watchlist Internet informiert laufend über aktuelle Betrugsversuche und veröffentlicht konkrete Beispiele für Phishing-Mails, SMS und andere Internetfallen.

👉 Watchlist Internet: Aktuelle Internetfallen

Beim Thema Phishing ist es am wichtigsten, eine gesunde Portion Skepsis an den Tag zu legen, sobald eine Nachricht Geld, persönliche Daten oder einen schnellen Klick von euch verlangt.

Folgende drei Dinge wollen wir euch mitgeben:

Erstens: Lasst euch von einer Nachricht nicht unter Druck setzen. 
Zweitens: Öffnet Bank- und andere wichtige Websites lieber selbst über die offizielle App oder Adresse. 
Drittens: Prüft jede Zahlungsfreigabe und gebt sensible Daten nur dort ein, wo ihr selbst den Vorgang gestartet habt.

Wer diese drei Dinge im Alltag beherzigt, hat bereits einiges getan, um das Risiko, Opfer eines Phishing-Versuchs zu werden, zu minimieren.

Phishing wird immer professioneller und passt sich unserem Alltag an. Heute kann eine Betrugsnachricht genauso gut wie eine echte Nachricht aussehen, einen bekannten Absender verwenden oder sich auf eine Situation beziehen, die tatsächlich gerade zu unserem Leben passt.

Die aktuelle Kampagne „Phishen Impossible!“ zeigt deshalb acht unterschiedliche Szenarien – von Online Banking und Paketdiensten bis zu Familien-, Romance- und Investment-Betrug. Wüstenrot beteiligt sich an der gemeinsamen Präventionsarbeit, weil neben technischen Sicherheitsmaßnahmen auch Wissen und Aufmerksamkeit eine wichtige Rolle spielen.

Wenn euch eine Nachricht ungewöhnlich vorkommt, nehmt euch die paar Sekunden für einen zweiten Blick. Öffnet die App selbst, prüft den Absender oder ruft beim Unternehmen an. 

Weiterführende Informationen

• Phishen Impossible! – die aktuelle Präventionskampagne der PSA

• Watchlist Internet – aktuelle Phishing-Meldungen und Internetfallen

• Wüstenrot App – Banking und Sicherheitsfunktionen

• Bundeskriminalamt Österreich – Informationen und Tipps zu Cybercrime