Enkeltrick, Phishing & Fake-SMS: Betrug sicher erkennen und abwehren

Früher erkannte man betrügerische Nachrichten meist sofort an schlechtem Deutsch, seltsamen Zeichensätzen und unpersönlichen Anreden wie 'Sehr geehrter Kunde'. Das hat sich grundlegend geändert. Mit Hilfe von Künstlicher Intelligenz (KI – Computerprogramme, die Texte automatisch verfassen) können Kriminelle heute tadellos formulierte, personalisierte Nachrichten in jeder Sprache verschicken – inklusive Ihres Vor- und Nachnamens, Ihrer Bankverbindung oder sogar der letzten vier Ziffern Ihrer Kreditkarte, die sie aus früheren Datenpannen kennen.

Hinzu kommt, dass Betrüger die Optik echter Firmen täuschend echt nachahmen. Eine Phishing-Mail (eine gefälschte E-Mail, die echte Daten stehlen soll) von angeblich der Bank Austria oder der Post sieht oft haargenau so aus wie das Original – gleiches Logo, gleiche Farben, gleiche Schriftart. Nur wer genau hinschaut, entdeckt kleine Unstimmigkeiten, auf die ich in diesem Artikel gezielt eingehe.

Dazu kommt der psychologische Druck: Fast alle Betrugsversuche erzeugen bewusst Stress und Dringlichkeit. 'Ihr Konto wird in 24 Stunden gesperrt', 'Ihre Paketzustellung scheitert', 'Ihr Enkel hat einen Unfall' – solche Formulierungen sollen Sie dazu bringen, ohne langes Nachdenken zu handeln. Genau diesen Mechanismus möchte ich Ihnen durchsichtig machen, damit er bei Ihnen keine Wirkung mehr entfaltet.

Das Wissen um diese Tricks ist der wichtigste Schutz, den es gibt. Kein technisches Sicherheitsprogramm der Welt ersetzt das eigene kritische Urteilsvermögen. Deshalb lohnt es sich, ein paar Minuten in diesen Ratgeber zu investieren – und ihn anschließend ruhig an Familienmitglieder oder Nachbarn weiterzugeben.

Das Wort 'Phishing' setzt sich aus den englischen Wörtern 'Password' (Passwort) und 'Fishing' (Angeln) zusammen – die Betrüger angeln buchstäblich nach Ihren Zugangsdaten. Sie erhalten eine E-Mail, die vorgibt, von Ihrer Bank, der Post, Amazon, PayPal, Netflix oder einer Behörde zu stammen. Darin werden Sie aufgefordert, auf einen Link (eine anklickbare Verknüpfung zu einer Webseite) zu klicken und sich anzumelden oder Ihre Daten zu bestätigen.

Das Tückische: Die verlinkte Webseite sieht der echten täuschend ähnlich. Geben Sie dort Benutzername und Passwort ein, landen diese Daten direkt bei den Kriminellen. Manchmal wird auch Schadsoftware (ein schädliches Computerprogramm) auf Ihr Gerät geladen, sobald Sie den Link anklicken – selbst wenn Sie nichts eingeben.

Folgende Warnsignale weisen zuverlässig auf Phishing hin: Die Absenderadresse klingt zwar ähnlich, ist aber nie die echte Firmendomain (z. B. 'service@bank-austria-sicherheit.com' statt '@bankaustria.at'). Der Link im E-Mail führt zu einer Adresse, die mit dem angeblichen Absender nichts zu tun hat. Es wird ein sofortiger Handlungsbedarf unter Zeitdruck konstruiert. Sie werden nach Passwort, PIN (persönliche Geheimzahl) oder TAN (Transaktionsnummer für Online-Banking) gefragt. Und im Text tauchen seltsam anmutende Satzstellungen oder ungewöhnliche Begriffe auf.

Meine praktische Empfehlung: Bewegen Sie die Maus auf dem Computer langsam über einen Link, ohne zu klicken. Unten im Browserfenster (dem Programm, mit dem Sie ins Internet gehen) oder als kleines Aufklapp-Feld sehen Sie dann die tatsächliche Zieladresse. Stimmt diese nicht mit dem offiziellen Internetauftritt des Absenders überein, löschen Sie die E-Mail sofort.

• Absenderadresse genau prüfen – echte Domain oder Fake?
• Über Links hovern (Maus draufhalten), bevor man klickt
• Keine Bank und keine Behörde fragt per E-Mail nach Passwort oder PIN
• Zeitdruck ('nur noch 24 Stunden') ist immer ein Warnsignal
• Im Zweifelsfall: offizielle Webseite direkt im Browser eintippen, nicht über den Link öffnen
• Verdächtige E-Mail an die echte Firma weiterleiten (viele haben dafür eine Meldestelle)

Neben E-Mails sind SMS (Kurznachrichten) und Messenger-Dienste wie WhatsApp zu beliebten Betrugskanälen geworden. Experten nennen diese Form des Betrugs 'Smishing' – ein Kunstwort aus SMS und Phishing. Typische Smishing-Nachrichten behaupten, ein Paket der Post, von DHL oder DPD könne nicht zugestellt werden, da eine kleine Gebühr offen sei. Oder es heißt, Ihre Handyrechnung sei unbezahlt, Ihr Apple- oder Google-Konto sei gesperrt, oder Sie hätten einen Preis gewonnen.

Der enthaltene Link führt auf eine täuschend echte Webseite, auf der Sie Ihre Kreditkartendaten 'zur Zahlung der Versandgebühr' eingeben sollen. Was wie ein Betrag von ein oder zwei Euro aussieht, gibt den Kriminellen in Wirklichkeit vollen Zugriff auf Ihre Kreditkarte. In anderen Fällen wird durch den Klick auf den Link automatisch eine teure Abo-Falle aktiviert oder Schadsoftware auf Ihrem Handy installiert.

Besonders heimtückisch sind SMS, die optisch so aussehen, als kämen sie von einer Nummer, die Sie bereits kennen – zum Beispiel Ihrer eigenen Bank. Das ist technisch möglich, weil Betrüger den angezeigten Absendernamen fälschen können (Spoofing genannt). Die Nachricht erscheint dann im selben Chat-Verlauf wie frühere echte Nachrichten Ihrer Bank und wirkt dadurch besonders glaubwürdig.

Meine Faustformel: Weder die Post noch DHL, weder Ihr Mobilfunkanbieter noch eine Bank verschickt legitime Zahlungsaufforderungen per SMS mit einem direkten Zahlungslink. Wenn Sie unsicher sind, rufen Sie den Kundendienst des betreffenden Unternehmens direkt an – die Nummer finden Sie auf der offiziellen Webseite, nicht in der SMS.

Der klassische Enkeltrick – ein Anruf von jemandem, der vorgibt, Ihr Enkel oder ein enger Verwandter in einer Notsituation zu sein – ist vielen Menschen bekannt. Weniger bekannt ist, dass dieselbe Masche heute massenhaft über WhatsApp und SMS stattfindet. Die Nachricht lautet sinngemäß: 'Hallo Mama, das ist meine neue Nummer, mein altes Handy ist kaputt. Ich brauche dringend Hilfe, kannst du mir kurz Geld überweisen? Ich erkläre alles später.' Der erste Satz soll Sie dazu bringen, die unbekannte Nummer als Ihre Tochter oder Ihren Sohn abzuspeichern – dann fühlt sich die Konversation sofort vertraut an.

Der psychologische Mechanismus ist derselbe wie beim alten Telefonanruf: Liebe und Sorge für ein Familienmitglied schalten das kritische Denken aus. Die Betrüger gehen dabei gezielt auf ältere Personen los, die weniger mit digitalen Tricks vertraut sind – aber auch jüngere Menschen fallen darauf herein. Die geforderten Summen beginnen oft klein (ein paar Hundert Euro für eine 'dringende Arztrechnung') und steigen mit jedem Schritt der Unterhaltung.

Das Erkennungsmerkmal Nummer eins: Echte Familienmitglieder rufen bei einer wirklichen Notlage an oder wenden sich an andere bekannte Personen. Eine Bitte um Geldüberweisung per Messenger, ohne vorherigen Anruf zur Bestätigung, ist ein klares Warnsignal. Das Erkennungsmerkmal Nummer zwei: Die neue Nummer lässt sich nicht mit früheren Nachrichten des echten Familienmitglieds verknüpfen. Das Erkennungsmerkmal Nummer drei: Die Nachricht kommt zu einer ungewöhnlichen Uhrzeit oder enthält kleine sprachliche Merkwürdigkeiten, die Ihrem Kind oder Enkel so nicht entsprechen.

Was tun? Rufen Sie die Person sofort auf ihrer alten, Ihnen bekannten Nummer an. Wenn diese wirklich kaputt ist, können Sie auch andere Familienmitglieder oder Freunde der Person kontaktieren, um die Geschichte zu bestätigen. Überweisen Sie unter keinen Umständen Geld, bevor Sie die Identität der kontaktierenden Person auf einem zweiten, unabhängigen Weg bestätigt haben.

Eine weitere sehr verbreitete Betrugsform sind sogenannte 'Tech-Support-Scams' (Technischer-Support-Betrug). Dabei erscheint plötzlich ein großes Warnfenster auf Ihrem Bildschirm mit einer Meldung wie 'Ihr Computer ist mit einem Virus infiziert' oder 'Windows hat ungewöhnliche Aktivitäten festgestellt – rufen Sie sofort diese Nummer an'. Dazu ertönt oft ein lauter, nicht abstellbarer Piepton. Das soll Panik auslösen.

Die angezeigte Telefonnummer führt zu einem betrügerischen Callcenter (oft im Ausland), dessen Mitarbeiter sich als Microsoft-, Apple- oder Windows-Support ausgeben. Sie bitten Sie freundlich und professionell darum, ein Fernwartungsprogramm (ein Programm, das einem anderen Menschen erlaubt, Ihren Computer aus der Ferne zu bedienen) herunterzuladen und zu installieren. Sobald das passiert ist, haben die Täter vollen Zugriff auf Ihr Gerät, Ihre gespeicherten Passwörter, Ihr Online-Banking und alle Ihre Dateien.

Die wichtigste Gegenmassnahme: Microsoft, Apple und alle anderen großen Softwarehersteller rufen Sie niemals unaufgefordert an und zeigen Ihnen niemals ein Warnfenster mit einer Telefonnummer an. Das gibt es in der echten Welt schlicht nicht. Wenn ein solches Fenster erscheint, schließen Sie den Browser (das Internet-Programm) sofort – notfalls durch einen Neustart des Computers. Die Meldung selbst ist harmlos, solange Sie nicht anrufen und kein Programm installieren.

Falls Sie bereits eine solche Nummer angerufen und ein Fernwartungsprogramm installiert haben: Trennen Sie sofort die Internetverbindung (ziehen Sie das WLAN-Kabel oder schalten Sie WLAN und Mobilfunk aus), schalten Sie den Computer aus und rufen Sie so schnell wie möglich jemanden an, dem Sie vertrauen. In einem solchen Fall helfe ich Ihnen gerne beim Hausbesuch, den Schaden zu begrenzen und das Gerät wieder sicher zu machen.

Selbst wenn Sie alle Betrugsmaschen kennen, kann es passieren, dass Zugangsdaten einmal in falsche Hände geraten – etwa durch einen Datenleck (eine Sicherheitspanne, bei der Kundendaten eines Unternehmens gestohlen werden) bei einem Anbieter, den Sie nutzen. Dann ist ein starkes, einzigartiges Passwort für jeden Dienst Ihr wichtigstes Sicherheitsnetz. Ein starkes Passwort hat mindestens zwölf Zeichen, enthält Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen (zum Beispiel !, @, #) und kommt nirgendwo sonst vor.

Da es unmöglich ist, sich für jeden Dienst ein anderes starkes Passwort zu merken, empfehle ich einen Passwort-Manager (ein sicheres Programm, das alle Passwörter gespeichert und verschlüsselt aufbewahrt). Sie merken sich nur noch ein einziges, sehr starkes Masterpasswort. Der Passwort-Manager erledigt den Rest. Bewährte Programme sind etwa Bitwarden (kostenlos), 1Password oder der in modernen iPhones und Android-Geräten eingebaute Passwort-Speicher.

Noch wichtiger als das Passwort ist die sogenannte Zwei-Faktor-Authentifizierung (kurz 2FA – ein zweiter Sicherheitsschritt beim Einloggen). Selbst wenn jemand Ihr Passwort kennt, kann er sich nicht einloggen, weil er zusätzlich einen zeitlich begrenzten Code benötigt, der nur auf Ihrem Handy erscheint. Diese Funktion können Sie bei fast allen wichtigen Diensten – E-Mail, Online-Banking, Amazon, Google, Apple ID – in den Einstellungen aktivieren. Ich zeige Ihnen gerne beim Hausbesuch, wie das für Ihre Geräte konkret funktioniert.

Überprüfen Sie außerdem regelmäßig auf der kostenlosen Seite haveibeenpwned.com, ob Ihre E-Mail-Adresse in einem bekannten Datenleck aufgetaucht ist. Wenn ja, sollten Sie das Passwort für den betreffenden Dienst sofort ändern. Diese Prüfung ist völlig sicher und kostenlos – die Seite wurde vom angesehenen Sicherheitsforscher Troy Hunt entwickelt.

Zunächst das Wichtigste: Schämen Sie sich nicht. Diese Maschen sind professionell gemacht und darauf ausgelegt, auch kritische, aufmerksame Menschen zu täuschen. Jedes Jahr fallen weltweit Millionen von Menschen darauf herein – quer durch alle Altersgruppen und Bildungsstände. Entscheidend ist, schnell und besonnen zu handeln, um den Schaden zu begrenzen.

Haben Sie auf einen Phishing-Link geklickt und Ihre Daten eingegeben? Dann ändern Sie sofort das Passwort des betroffenen Kontos und aller Konten, bei denen Sie dasselbe Passwort verwenden. Informieren Sie Ihre Bank, wenn Bankdaten oder Kreditkartennummern betroffen sind. Viele Banken können eine Transaktion noch stoppen oder rückbuchen, wenn Sie schnell genug reagieren. Aktivieren Sie die Zwei-Faktor-Authentifizierung für alle wichtigen Dienste.

Haben Sie Geld an Betrüger überwiesen? Wenden Sie sich sofort an Ihre Bank und bitten Sie um eine Rückbuchung (einen sogenannten 'Recall'). Erstatten Sie außerdem Anzeige bei der Polizei – entweder persönlich auf der nächsten Polizeidienststelle oder online über das Bundesministerium für Inneres. Dokumentieren Sie vorher alles: Screenshots von Nachrichten, Überweisungsbelege, Gesprächsnotizen mit Datum und Uhrzeit.

Haben Sie ein Fernwartungsprogramm installiert? Dann gilt oberste Priorität: Gerät vom Internet trennen, ausschalten, Passwörter von einem anderen Gerät aus ändern, Bank informieren. Danach sollte das betroffene Gerät von einer Fachperson gründlich überprüft werden, denn Betrüger hinterlassen mitunter versteckte Programme, die später erneut aktiv werden. Genau dabei helfe ich Ihnen bei einem Hausbesuch in Mödling und Wien.

Das Smartphone ist heute das Gerät, über das die meisten Betrugsversuche laufen – Phishing per E-Mail, Smishing per SMS, WhatsApp-Betrug und gefälschte Warnmeldungen. Deshalb lohnt es sich, ein paar Grundeinstellungen zu überprüfen, die Sie deutlich sicherer machen. Das kostet keine fünfzehn Minuten und kann großen Schaden verhindern.

Halten Sie Ihr Betriebssystem (das Grundprogramm des Geräts, also iOS bei Apple oder Android bei Samsung, Huawei etc.) immer aktuell. Updates (Aktualisierungen) schließen bekannte Sicherheitslücken, die Betrüger sonst ausnutzen. Dasselbe gilt für alle installierten Apps (Programme). Aktivieren Sie automatische Updates in den Einstellungen, dann passiert das im Hintergrund, ohne dass Sie daran denken müssen.

Installieren Sie keine Apps aus unbekannten Quellen außerhalb des offiziellen App Store (Apple) oder Google Play Store (Android). Betrügerische Apps imitieren manchmal echte Banken-Apps oder Sicherheitsprogramme. Überprüfen Sie vor der Installation den Namen des Entwicklers, die Anzahl der Bewertungen und das Erscheinungsdatum. Eine echte Bank-App hat Hunderttausende Bewertungen; eine gefälschte hat vielleicht zwanzig.

Schalten Sie außerdem Bluetooth (eine drahtlose Kurzstreckenverbindung) und den genauen Standort (GPS) aus, wenn Sie diese Funktionen gerade nicht brauchen. Das minimiert die Angriffsfläche und spart zudem Akku. Und richten Sie eine Bildschirmsperre mit PIN, Fingerabdruck oder Gesichtserkennung ein – damit sind Ihre Daten auch dann geschützt, wenn das Gerät einmal verloren geht oder gestohlen wird.

• Betriebssystem und Apps immer aktuell halten (automatische Updates aktivieren)
• Apps nur aus dem offiziellen App Store oder Google Play Store installieren
• Bildschirmsperre mit PIN oder Fingerabdruck aktivieren
• Bluetooth und Standort ausschalten, wenn nicht benötigt
• Keine unbekannten Links in SMS, E-Mail oder Messenger anklicken
• Regelmäßig nicht mehr benötigte Apps löschen

Auch am Computer, ob Windows-PC oder Mac, gibt es einige einfache Maßnahmen, die Sie wirksam schützen. Verwenden Sie einen modernen Browser (Internet-Programm) wie Google Chrome, Mozilla Firefox oder Microsoft Edge – alle drei warnen Sie, wenn Sie eine bekannte Phishing-Seite besuchen wollen, und zeigen oben in der Adressleiste ein Schloss-Symbol, wenn eine Seite verschlüsselt ist. Fehlt dieses Schloss oder erscheint eine Warnung, verlassen Sie die Seite sofort.

Installieren Sie ein Antivirenprogramm (Sicherheitssoftware, die schädliche Programme erkennt und entfernt). Unter Windows ist das kostenlose Windows Defender (bereits eingebaut) für die meisten Nutzer völlig ausreichend, vorausgesetzt, Windows ist aktuell. Auf dem Mac ist das Risiko etwas geringer, aber auch hier empfehle ich zumindest das regelmäßige Prüfen der installierten Programme auf Unbekanntes.

Richten Sie für Ihren E-Mail-Account (Ihr elektronisches Postfach) Spamfilter (automatische Filter, die verdächtige E-Mails aussondern) ein. Die meisten E-Mail-Anbieter haben diese Funktion, sie muss manchmal erst aktiviert werden. Zusätzlich gilt: Öffnen Sie keine Anhänge (angehängte Dateien) in E-Mails von unbekannten Absendern – besonders keine Word-Dokumente, Excel-Tabellen oder ZIP-Archive (komprimierte Dateisammlungen), denn diese können Schadsoftware enthalten.

Eine besonders wirkungsvolle Gewohnheit: Legen Sie sich eine separate E-Mail-Adresse für Registrierungen bei Online-Shops, Gewinnspielen und ähnlichem an. Ihre 'echte' E-Mail-Adresse, über die Sie mit Familie und Behörden kommunizieren, bleibt dann sauber und wird seltener zum Ziel von Phishing. Das ist schnell eingerichtet und macht einen spürbaren Unterschied.

Technische Sicherheitsmaßnahmen sind nur die eine Seite. Die andere und oft wirkungsvollere Seite ist das offene Gespräch in der Familie. Ältere Familienmitglieder schämen sich manchmal, zuzugeben, dass sie eine Nachricht seltsam fanden – aus Angst, als naiv oder technisch unbegolten dazustehen. Genau dieses Schweigen nutzen Betrüger aus. Machen Sie es zur Normalität, verdächtige Nachrichten einfach kurz zu erwähnen und gemeinsam anzuschauen.

Zeigen Sie konkreten Familienmitgliedern, wie Phishing-Mails aussehen, indem Sie echte (aber deaktivierte) Beispiele durchgehen. Erklären Sie, was Sie beim Lesen stutzig gemacht hat. Dieses gemeinsame 'Trainieren des Blicks' ist viel nachhaltiger als jede abstrakte Warnung. Kinder und Enkelkinder können dabei eine wichtige Rolle spielen – nicht als Besserwisser, sondern als geduldige Erklärer.

Vereinbaren Sie klare Regeln für Notfallsituationen: Wer in der Familie wird angerufen, bevor Geld überwiesen wird? Auf welchem zweiten Weg bestätigen Sie, dass eine Nachricht wirklich von dem stammt, der sie zu schreiben vorgibt? Solche Absprachen kosten nichts, können aber Tausende Euro sparen. Das Codewort, das ich im Abschnitt über den WhatsApp-Enkeltrick erwähnt habe, ist ein gutes Beispiel dafür.

Wenn Sie merken, dass ein älteres Familienmitglied regelmäßig mit verdächtigen Nachrichten zu kämpfen hat oder unsicher ist, wie es sein Gerät schützen soll, ist ein Hausbesuch oft die einfachste und entspannteste Lösung. Ich nehme mir die Zeit, die es braucht – ohne Zeitdruck, ohne Fachjargon, und mit dem Ziel, dass Sie anschließend wirklich verstehen, was ich gemacht habe und warum. So sind Sie beim nächsten Betrugsversuch besser gewappnet.