Auf einen Phishing-Link geklickt? Tun Sie jetzt diese 6 Dinge

Atmen Sie durch. Auf einen Phishing-Link zu klicken ist nicht automatisch eine Katastrophe. In den meisten Fällen kompromittiert der Klick selbst weder Ihre Konten noch Ihr Gerät. Entscheidend ist, was in den Sekunden nach dem Klick passiert ist – und was Sie in den nächsten Minuten tun.

Diese Anleitung führt Sie genau dadurch: Triage, Handlungsschritte und wie Sie sicherstellen, dass es nie wieder passiert.

Zuerst: was ist beim Klicken tatsächlich passiert?

Moderne Browser und Betriebssysteme sind darauf ausgelegt, Bedrohungen einzudämmen. Allein auf einer bösartigen Seite zu landen installiert selten von sich aus etwas. Echter Schaden erfordert fast immer eine weitere Aktion Ihrerseits – etwas eintippen, etwas herunterladen oder eine Aufforderung bestätigen.

Fragen Sie sich, welcher dieser Zweige auf Ihre Situation passt:

Ich habe nur geklickt und den Tab sofort geschlossen. Geringes Risiko. Ihr Gerät ist sehr wahrscheinlich in Ordnung. Gehen Sie trotzdem die Schritte 1 und 4 unten durch, aber keine Panik.

Ich habe mein Passwort oder meinen Benutzernamen eingegeben. Hohes Risiko. Behandeln Sie Ihre Zugangsdaten als kompromittiert. Springen Sie direkt zu Schritt 2 und handeln Sie schnell – Diebstahl von Zugangsdaten ist das häufigste Ergebnis eines Phishing-Klicks.

Ich habe eine Datei heruntergeladen und geöffnet. Hohes Risiko. Eine heruntergeladene Datei kann Code ausführen. Schritt 4 – ein Malware-Scan – wird Ihre oberste Priorität, zusammen mit dem Ändern aller Passwörter für Konten, auf die Sie auf diesem Gerät zugegriffen haben.

Ich habe Kredit- oder Debitkartendaten eingegeben. Hohes Risiko. Kontaktieren Sie sofort Ihre Bank (Schritt 5), um die Karte zu sperren oder zu überwachen. Zeit ist hier entscheidend.

Ich habe eine Authentifizierungsaufforderung bestätigt oder einer App eine Berechtigung erteilt. Hohes Risiko. Angreifer nutzen „MFA-Fatigue“-Angriffe und OAuth-Berechtigungserteilungen, um Konten selbst ohne Passwortdiebstahl zu übernehmen. Gehen Sie zu den Sicherheitseinstellungen Ihres Kontos und widerrufen Sie alle unbekannten App-Berechtigungen.

Wenn Sie sich weiterhin unsicher sind, was passiert ist, arbeiten Sie alle sechs Schritte der Reihe nach durch. Es dauert unter 20 Minuten und deckt jedes Szenario ab.

Die 6 Schritte, die Sie jetzt gehen sollten

1. Trennen Sie sich von der Seite und geben Sie nichts weiteres ein

Schließen Sie den Tab sofort, falls Sie es noch nicht getan haben. Gehen Sie nicht zurück, geben Sie nichts erneut ein und klicken Sie auf keine sekundären Pop-ups oder „Schließen“-Schaltflächen innerhalb der Seite selbst – manche Phishing-Seiten nutzen diese, um Downloads auszulösen.

Wenn Sie sich noch auf einer Seite befinden, die sich verdächtig anfühlt, schließen Sie das gesamte Browserfenster, statt wegzunavigieren. Erzwingen Sie auf einem Smartphone das Beenden der App.

Sie müssen Ihr Gerät nicht vom Internet trennen. Phishing-Angriffe sind darauf angewiesen, dass Sie Informationen bereitstellen – sie sind typischerweise keine Drive-by-Exploits, die im Hintergrund still ausgeführt werden, sobald eine Seite lädt.

2. Ändern Sie das offengelegte Passwort sofort – und überall, wo es wiederverwendet wird

Wenn Sie ein Passwort auf der Phishing-Seite eingetippt haben, gehen Sie davon aus, dass dieses Passwort jetzt in den Händen des Angreifers ist. Ändern Sie es sofort auf der legitimen Seite, bevor Sie den Rest dieser Liste beenden.

Dann halten Sie inne. Denken Sie darüber nach, wo Sie dasselbe Passwort sonst noch verwenden. Jedes Konto, das es teilt, ist nun angreifbar, denn Angreifer testen gestohlene Zugangsdaten automatisch gegen Dutzende beliebter Seiten (das nennt sich Credential Stuffing). Ändern Sie das Passwort auf jedem wiederverwendeten Konto.

Verwenden Sie für jede Seite ein einzigartiges, zufällig generiertes Passwort. Ein Passwort-Manager macht das praktikabel.

3. Aktivieren Sie die Zwei-Faktor-Authentifizierung

Sobald Sie das kompromittierte Passwort geändert haben, aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für dieses Konto – und für alle anderen wichtigen Konten, die sie noch nicht haben.

2FA bedeutet, dass ein Angreifer, selbst wenn er morgen Ihr neues Passwort hat, ohne Ihren zweiten Faktor trotzdem nicht hineinkommt. Nutzen Sie nach Möglichkeit eine Authentifizierungs-App (wie Google Authenticator oder Authy) statt SMS – SMS-Codes können abgefangen werden, sind aber immer noch besser als nichts.

4. Führen Sie einen Malware-Scan durch und beobachten Sie das Verhalten Ihres Geräts

Wenn Sie eine Datei von der Phishing-Seite heruntergeladen und geöffnet haben, führen Sie mit Ihrer Sicherheitssoftware einen vollständigen Malware-Scan durch. Unter Windows ist Microsoft Defender (integriert) ein solider Ausgangspunkt. Auf dem Mac hat Malwarebytes eine seriöse kostenlose Stufe.

Selbst wenn Sie nichts heruntergeladen haben, behalten Sie Ihr Gerät die nächsten 48 Stunden im Auge:

Unerwartete Langsamkeit oder hohe CPU-Auslastung
Neue Browser-Erweiterungen oder Symbolleisten, die Sie nicht installiert haben
Passwort-Reset-E-Mails, die Sie nicht angefordert haben
Unbekannte Anmeldeaktivität in Ihrem Kontoverlauf

Wenn Sie eines davon bemerken, eskalieren Sie – kontaktieren Sie Ihr IT-Team, falls dies auf einem Arbeitsgerät geschah, oder ziehen Sie professionelle Hilfe in Betracht.

5. Alarmieren Sie Ihre Bank, wenn Zahlungsdaten betroffen waren

Wenn Sie eine Kartennummer, ein Ablaufdatum, eine Prüfziffer (CVV) oder Bank-Zugangsdaten eingegeben haben, rufen Sie jetzt Ihre Bank oder Ihren Kartenanbieter an. Die meisten haben rund um die Uhr erreichbare Betrugs-Hotlines. Bitten Sie sie um Folgendes:

Die Karte zur Überwachung markieren oder einen Ersatz ausstellen
Aktuelle Transaktionen auf Unbekanntes prüfen
Zahlungen an unbekannte Händler blockieren

Innerhalb von Stunden zu handeln erhöht die Chance dramatisch, betrügerische Abbuchungen zu stoppen oder rückgängig zu machen. Warten Sie nicht bis zum Morgen.

6. Melden Sie den Phishing-Versuch

Das Melden dauert zwei Minuten und hilft anderen wirklich, sich zu schützen. Hier melden Sie:

Ihr E-Mail-Anbieter: Nutzen Sie die Schaltfläche „Phishing melden“ in Gmail, Outlook oder Apple Mail. Das trainiert deren Filter, denselben Angriff bei anderen abzufangen.
Ihr IT- oder Sicherheitsteam (falls dies ein Arbeitskonto war): Es muss Bescheid wissen, um zu untersuchen, ob andere in Ihrer Organisation ins Visier genommen wurden.
Das nachgeahmte Unternehmen: Wenn die Phishing-E-Mail vorgab, von Ihrer Bank, Netflix, PayPal oder einer anderen Marke zu stammen, leiten Sie sie an das Missbrauchs- oder Sicherheitsteam dieses Unternehmens weiter (die meisten veröffentlichen eine Adresse zum Melden von Phishing, z. B. phishing@paypal.com). Sie können Maßnahmen ergreifen, um die Seite offline nehmen zu lassen.
Nationale Cyberkriminalitätsbehörden: In Deutschland können Sie Phishing bei der Verbraucherzentrale (phishing@verbraucherzentrale.nrw) und bei der örtlichen Polizei melden. In den USA melden Sie an die Anti-Phishing Working Group unter reportphishing@apwg.org und leiten die E-Mail an phishing-report@us-cert.gov weiter.

Ein Hinweis, falls Sie auf Ihrem iPhone oder Android geklickt haben

Viele Menschen suchen in Panik nach „Phishing-Link auf iPhone geklickt“ oder „Phishing-Link auf Android geklickt“. Hier ist die ehrliche Antwort: Moderne mobile Betriebssysteme haben ein starkes Sandboxing. Ein Tippen auf einen Link – selbst einen bösartigen – führt sehr selten zu automatischer Code-Ausführung oder Infektion.

Das eigentliche Risiko auf dem Smartphone ist identisch mit dem am Desktop: Es geht um das, was Sie eingetippt haben. Smartphone-Bildschirme sind kleiner, URLs schwerer zu prüfen, und Angreifer wissen das – Phishing-Seiten werden zunehmend so gestaltet, dass sie auf einem Smartphone perfekt aussehen. Wenn Sie Zugangsdaten oder Zahlungsdaten auf einer mobilen Seite eingegeben haben, befolgen Sie die Schritte 2 und 5 oben, unabhängig davon, welches Gerät Sie genutzt haben.

Ein Zurücksetzen Ihres Smartphones auf Werkseinstellungen nach dem Klicken auf einen Link (ohne etwas herunterzuladen oder zu installieren) ist fast nie nötig. Heben Sie das Zurücksetzen für Fälle auf, in denen Sie eine verdächtige App installiert haben und sie nicht entfernt bekommen.

Prävention: prüfen Sie den Link nächstes Mal vor dem Klick

Der beste Weg, diese Situation zu vermeiden, ist, einen Link zu verifizieren, bevor Sie ihn auf Ihrem echten Gerät öffnen.

Zwei Optionen machen das einfach:

Lernen Sie, den Link zuerst zu lesen. Unsere Anleitung zum sicheren Link-Checker erklärt, warum statische URL-Scanner brandneue Phishing-Domains verpassen – und wie Sie einen verdächtigen Link stattdessen sicher prüfen. Es dauert Minuten und kostet nichts.

Öffnen Sie ihn in einem Browser, den es in Minuten nicht mehr gibt. Der Tempbrowser-Analysator öffnet den Link in einer temporären Cloud-Sandbox, die auf Ihren Bildschirm gestreamt wird. Die Seite läuft in einer isolierten Umgebung – nicht auf Ihrem Gerät. Wenn Ihre Sitzung endet, wird die gesamte Sandbox gelöscht: kein Verlauf, keine Cookies, keine Spur. Wenn die Seite etwas versucht, geschieht es völlig woanders. Der Free-Plan erfordert keine Anmeldung und keine Kreditkarte – Sie erhalten drei Starts pro Tag, jeweils bis zu 3 Minuten. Das ist mehr als genug, um einen verdächtigen Link zu inspizieren, bevor Sie entscheiden, ob Sie ihm vertrauen.

Mehr zur Bewertung verdächtiger Links finden Sie in unserer Anleitung: Ist dieser Link sicher? So prüfen Sie ihn vor dem Klick.

FAQ

Kann allein das Klicken auf einen Link mein Smartphone hacken?

In fast allen realen Fällen nein. Auf einen Link zu klicken und eine Seite zu laden installiert für sich genommen keine Malware und kompromittiert Ihre Konten nicht. Ausgeklügelte „Zero-Click“-Exploits existieren, sind aber selten, gezielt und werden schnell gepatcht. Die überwältigende Mehrheit der Phishing-Angriffe erfordert, dass Sie etwas eingeben – ein Passwort, eine Kartennummer oder einen Authentifizierungscode. Wenn Sie geklickt, aber nichts eingetippt haben, ist Ihr Risiko sehr gering.

Was, wenn ich geklickt, aber nichts eingegeben habe?

Sie sind höchstwahrscheinlich in Ordnung. Schließen Sie den Tab, führen Sie einen schnellen Malware-Scan durch, falls Sie eine Datei heruntergeladen haben, und behalten Sie Ihre Konten die nächsten paar Tage auf ungewöhnliche Aktivität im Auge. Passwortänderungen sind nicht nötig, es sei denn, Sie haben tatsächlich Ihre Zugangsdaten eingetippt.

Sollte ich nach dem Klick auf einen Phishing-Link auf Werkseinstellungen zurücksetzen?

Mit ziemlicher Sicherheit nicht – besonders, wenn Sie nur geklickt und geschlossen haben. Das Zurücksetzen auf Werkseinstellungen ist ein letztes Mittel für Situationen, in denen eine bösartige App installiert ist und nicht entfernt werden kann. Bei einem Phishing-Klick, bei dem Sie nichts heruntergeladen oder installiert haben, wäre ein Zurücksetzen massiv übertrieben und würde Sie unnötig Daten verlieren lassen.

Wie prüfe ich einen verdächtigen Link, ohne darauf zu klicken?

Zwei Ansätze funktionieren gut. Erstens: Fahren Sie (am Desktop) mit der Maus über den Link, um die tatsächliche URL in der Statusleiste Ihres Browsers zu sehen – achten Sie auf falsch geschriebene bekannte Marken oder ungewöhnliche Domain-Endungen. Zweitens: Öffnen Sie ihn irgendwo Wegwerfbarem – fügen Sie die URL in den Tempbrowser-Analysator ein, wo jeglicher bösartige Inhalt in einer isolierten Cloud-Umgebung läuft, die nie Ihr Gerät berührt. Unsere Anleitung zum sicheren Link-Checker erklärt, warum statische Scanner allein nicht ausreichen.

Was ist das häufigste Ergebnis nach dem Klick auf einen Phishing-Link?

Diebstahl von Zugangsdaten ist bei weitem das häufigste Ergebnis. Angreifer bauen überzeugende gefälschte Anmeldeseiten für Banken, E-Mail-Anbieter und beliebte Apps, sammeln Ihren Benutzernamen und Ihr Passwort und nutzen diese Zugangsdaten sofort – oft innerhalb von Minuten. Deshalb ist es so entscheidend, ein offengelegtes Passwort schnell zu ändern.

Wenn Sie dies im Nachhinein lesen, haben Sie jetzt eine klare Handlungsliste. Arbeiten Sie sie der Reihe nach durch, und Sie haben alles getan, was ein vernünftiger Mensch tun kann. Künftig genügt eine Prüfung von zwei Sekunden vor dem Klick, um Phishing-Angriffe dramatisch weniger gefährlich zu machen.

Öffnen Sie Ihren nächsten verdächtigen Link sicher – keine Anmeldung nötig: Tempbrowser-Analysator