Sie haben auf einen Phishing-Link geklickt? Ein Klick allein bedeutet noch nicht automatisch, dass Ihr Handy oder Computer gehackt wurde. Entscheidend ist, was nach dem Klick passiert ist: Haben Sie nur eine Webseite geöffnet, Zugangsdaten eingegeben, Bank- oder Kreditkartendaten übermittelt, eine Datei heruntergeladen, eine App installiert oder eine Anmeldung bestätigt?

Wenn Sie Zugangsdaten, Zahlungsinformationen oder andere sensible Daten eingegeben haben, sollten Sie unmittelbar handeln. Ändern Sie betroffene Zugangsdaten über ein anderes vertrauenswürdiges Gerät, sichern Sie wichtige Informationen zum Vorfall und kontaktieren Sie bei betroffenen Bank- oder Kreditkartendaten unverzüglich Ihre Bank beziehungsweise den Zahlungsdienstleister.

Soll der Vorfall später technisch untersucht werden, sollten Sie den verdächtigen Link, die ursprüngliche Nachricht und andere digitale Spuren nicht vorschnell löschen. Installieren Sie nicht wahllos Sicherheitssoftware und setzen Sie das betroffene Gerät nicht sofort auf Werkseinstellungen zurück. Dadurch können relevante Spuren verändert oder vernichtet werden.

Was ist nach einem Klick auf einen Phishing-Link zuerst zu tun?

Die richtige Reaktion hängt davon ab, was nach dem Klick geschehen ist.

Wurde lediglich eine Webseite geöffnet und anschließend wieder geschlossen, ist die Situation anders zu bewerten als nach der Eingabe eines Passworts oder der Installation einer unbekannten Anwendung.

Deshalb sollte zunächst rekonstruiert werden, welche Handlungen tatsächlich stattgefunden haben.

1. Nur auf den Link geklickt

Wenn Sie lediglich einen Link geöffnet, aber keine Daten eingegeben, keine Datei heruntergeladen und keine App installiert haben, bedeutet dies nicht automatisch, dass Ihr Gerät kompromittiert wurde.

Der Besuch einer manipulierten Webseite kann grundsätzlich Sicherheitsrisiken bergen. Bei einem aktuellen Betriebssystem und Browser ist ein erfolgreicher technischer Angriff allein durch den Seitenaufruf jedoch nicht automatisch anzunehmen.

Dokumentieren Sie die Nachricht und den Link trotzdem, wenn Ihnen der Vorgang verdächtig erscheint.

2. Benutzername und Passwort eingegeben

Wenn Sie auf der geöffneten Webseite Zugangsdaten eingegeben haben, sollten Sie davon ausgehen, dass diese Zugangsdaten möglicherweise einem Dritten bekannt geworden sind.

Ändern Sie das betroffene Passwort unverzüglich über die offizielle Webseite oder App des Dienstes und möglichst von einem anderen vertrauenswürdigen Gerät.

Wenn dasselbe Passwort auch für andere Benutzerkonten verwendet wurde, müssen diese Konten ebenfalls berücksichtigt werden.

3. E-Mail-Passwort eingegeben

Ein kompromittiertes E-Mail-Konto ist besonders kritisch.

Über das E-Mail-Konto können bei vielen Diensten neue Passwörter angefordert werden. Ein Angreifer könnte deshalb versuchen, weitere Benutzerkonten zu übernehmen.

Ändern Sie das Passwort und kontrollieren Sie anschließend aktive Sitzungen, angemeldete Geräte, Wiederherstellungsadressen, Telefonnummern, Weiterleitungen und eingerichtete E-Mail-Regeln.

4. Bankdaten eingegeben

Wenn Sie Online-Banking-Zugangsdaten, TAN-Informationen oder andere Bankinformationen auf einer verdächtigen Webseite eingegeben haben, kontaktieren Sie unverzüglich Ihre Bank über einen offiziellen Kommunikationsweg.

Verwenden Sie dafür keine Telefonnummer oder Kontaktmöglichkeit aus der verdächtigen Nachricht.

Welche Sperr- oder Schutzmaßnahmen erforderlich sind, muss die Bank anhand des konkreten Vorgangs beurteilen.

5. Kreditkartendaten eingegeben

Wurden Kartennummer, Ablaufdatum, Prüfnummer oder andere Kreditkartendaten übermittelt, sollte der Kartenausgeber beziehungsweise die Bank unverzüglich informiert werden.

Kontrollieren Sie anschließend die Transaktionen und dokumentieren Sie unbekannte Belastungen.

6. Eine Datei heruntergeladen

Das Herunterladen einer Datei bedeutet noch nicht zwangsläufig, dass Schadsoftware ausgeführt wurde.

Entscheidend sind Dateityp, Betriebssystem und die Frage, ob die Datei lediglich gespeichert oder anschließend geöffnet beziehungsweise ausgeführt wurde.

Wenn eine spätere forensische Untersuchung vorgesehen ist, sollte die Datei nicht vorschnell gelöscht werden.

7. Eine Datei geöffnet oder ausgeführt

Wurde eine unbekannte Datei geöffnet oder ein Programm ausgeführt, steigt das technische Risiko.

Insbesondere ausführbare Programme, Skripte, manipulierte Dokumente oder andere präparierte Dateien können Bestandteil eines Angriffs sein.

Bei einem konkreten Verdacht sollte das Gerät fachlich untersucht werden, bevor umfangreiche Bereinigungsmaßnahmen durchgeführt werden.

8. Eine App installiert

Wenn der Link zur Installation einer Anwendung geführt hat, sollte geprüft werden, welche App installiert wurde, aus welcher Quelle sie stammt und welche Berechtigungen sie erhalten hat.

Bei Android-Geräten können insbesondere Anwendungen aus Quellen außerhalb des offiziellen Stores relevant sein.

Auf Apple-Geräten können neben Apps auch Konfigurationsprofile, Geräteverwaltungen oder andere Einstellungen von Interesse sein.

9. Eine Anmeldung bestätigt

Besonders kritisch kann es sein, wenn nach Eingabe der Zugangsdaten zusätzlich eine Zwei-Faktor-Anfrage, Push-Bestätigung oder TAN bestätigt wurde.

Dadurch könnte eine fremde Anmeldung erfolgreich autorisiert worden sein.

Prüfen Sie unverzüglich die Sicherheits- und Sitzungsinformationen des betroffenen Kontos.

10. Eine Telefonnummer angegeben

Die Angabe einer Telefonnummer allein ermöglicht normalerweise noch keinen vollständigen Zugriff auf ein Smartphone.

Sie kann jedoch für weitere Social-Engineering- oder Phishing-Versuche verwendet werden.

Seien Sie deshalb bei anschließend eingehenden SMS, Messenger-Nachrichten oder Anrufen besonders vorsichtig.

11. Persönliche Daten eingegeben

Name, Anschrift, Geburtsdatum und andere persönliche Informationen können für Identitätsmissbrauch oder weitere gezielte Betrugsversuche verwendet werden.

Welche Maßnahmen erforderlich sind, hängt davon ab, welche Informationen tatsächlich übermittelt wurden.

12. Personalausweis oder andere Dokumente hochgeladen

Wenn Sie Ausweisdokumente oder vergleichbare Identitätsnachweise auf einer betrügerischen Webseite hochgeladen haben, besteht ein erhöhtes Risiko des Identitätsmissbrauchs.

Dokumentieren Sie genau, welche Dokumente übermittelt wurden und an welche Webseite beziehungsweise Gegenstelle.

Was ist Phishing überhaupt?

Phishing bezeichnet den Versuch, Menschen durch gefälschte Nachrichten, Webseiten oder andere Kommunikationsformen zur Preisgabe sensibler Informationen oder zu sicherheitsrelevanten Handlungen zu bewegen.

Die Täter versuchen häufig, eine vertrauenswürdige Organisation nachzuahmen. Dazu können Banken, Paketdienste, Zahlungsanbieter, Online-Shops, Behörden, Arbeitgeber oder bekannte Internetdienste gehören.

Wie funktioniert ein typischer Phishing-Angriff?

Häufig beginnt der Angriff mit einer E-Mail, SMS oder Messenger-Nachricht.

Die Nachricht erzeugt Zeitdruck oder vermittelt ein dringendes Problem. Beispielsweise soll ein Paket nicht zugestellt werden können, ein Bankkonto gesperrt sein oder eine ungewöhnliche Anmeldung bestätigt werden müssen.

Ein Link führt anschließend zu einer Webseite, die dem Original täuschend ähnlich sehen kann.

Warum sehen Phishing-Seiten heute teilweise so echt aus?

Das Erscheinungsbild einer echten Webseite lässt sich technisch relativ einfach nachbilden.

Logos, Schriftarten, Farben und andere Gestaltungselemente sind deshalb kein zuverlässiger Echtheitsnachweis.

Auch eine HTTPS-Verbindung und das Schloss-Symbol im Browser beweisen lediglich eine verschlüsselte Verbindung zur aufgerufenen Domain. Sie beweisen nicht, dass die dahinterstehende Webseite vertrauenswürdig ist.

Kann allein durch das Anklicken eines Links mein Handy gehackt werden?

Technisch ist ein Angriff über Sicherheitslücken im Browser oder Betriebssystem grundsätzlich möglich.

Das bedeutet jedoch nicht, dass jeder Phishing-Link automatisch Schadsoftware installiert.

Viele Phishing-Angriffe verfolgen ein wesentlich einfacheres Ziel: Der Benutzer soll seine Zugangsdaten selbst auf einer gefälschten Webseite eingeben.

Kann ein iPhone allein durch einen Link gehackt werden?

Ein pauschales Nein wäre technisch falsch. Sicherheitslücken können grundsätzlich auch Angriffe ermöglichen, die mit dem Aufruf manipulierter Inhalte beginnen.

Das Anklicken eines verdächtigen Links ist jedoch für sich genommen kein Beweis dafür, dass ein iPhone erfolgreich kompromittiert wurde.

Kann ein Android-Handy durch einen Phishing-Link gehackt werden?

Auch bei Android hängt das Risiko davon ab, was tatsächlich vorgefallen ist.

Besonders relevant wird der Vorgang beispielsweise dann, wenn anschließend eine Anwendung heruntergeladen und installiert oder eine sicherheitsrelevante Berechtigung erteilt wurde.

Kann ein Computer durch einen Phishing-Link infiziert werden?

Auch auf Computern können manipulierte Webseiten, Downloads oder Dateien Bestandteil eines Angriffs sein.

Ob eine Kompromittierung stattgefunden hat, kann nicht allein aus dem Klick abgeleitet werden.

Was ist gefährlicher: der Link oder die Eingabe des Passworts?

Bei klassischem Credential-Phishing ist insbesondere die Eingabe der Zugangsdaten entscheidend.

Der Link dient hauptsächlich dazu, das Opfer auf die gefälschte Anmeldeseite zu führen.

Bei anderen Angriffstypen kann dagegen bereits die Auslieferung oder Ausführung schädlicher Inhalte relevant sein.

Was muss ich tun, wenn ich mein Passwort eingegeben habe?

Ändern Sie das Passwort des betroffenen Kontos unverzüglich über den offiziellen Dienst.

Verwenden Sie ein neues Passwort, das nicht für andere Konten eingesetzt wird.

Prüfen Sie anschließend aktive Sitzungen und angemeldete Geräte.

Reicht eine Passwortänderung aus?

Nicht immer.

Wenn ein Angreifer bereits eine aktive Sitzung aufgebaut, Wiederherstellungsinformationen verändert oder zusätzliche Zugriffswege eingerichtet hat, kann eine reine Passwortänderung möglicherweise nicht sämtliche Folgen beseitigen.

Kontrollieren Sie deshalb die Sicherheitseinstellungen des Kontos vollständig.

Soll ich alle Sitzungen abmelden?

Wenn der Dienst diese Möglichkeit bietet und ein unbefugter Zugriff vermutet wird, kann das Beenden unbekannter beziehungsweise aller anderen Sitzungen eine sinnvolle Sicherheitsmaßnahme sein.

Wenn der Vorgang später untersucht werden soll, dokumentieren Sie verdächtige Sitzungen zuvor.

Soll ich Zwei-Faktor-Authentifizierung aktivieren?

Ja, sofern der jeweilige Dienst eine geeignete Zwei-Faktor-Authentifizierung anbietet und diese noch nicht aktiviert ist.

Sie ersetzt allerdings nicht die Prüfung, ob bereits ein unbefugter Zugriff stattgefunden hat.

Was ist MFA-Fatigue?

Bei sogenannten MFA-Fatigue-Angriffen werden wiederholt Authentifizierungsanfragen ausgelöst, um den Benutzer dazu zu bringen, eine davon aus Gewohnheit oder genervt zu bestätigen.

Bestätigen Sie keine Anmeldeanforderung, die Sie nicht selbst ausgelöst haben.

Warum sollte ich das Passwort auf einem anderen Gerät ändern?

Wenn das ursprünglich verwendete Gerät tatsächlich kompromittiert sein sollte, reduziert die Verwendung eines anderen vertrauenswürdigen Geräts das Risiko, neue Zugangsdaten erneut über das möglicherweise betroffene System einzugeben.

Was passiert, wenn ich dasselbe Passwort mehrfach verwendet habe?

Dann können weitere Konten gefährdet sein.

Angreifer können gestohlene Kombinationen aus Benutzername und Passwort automatisiert bei anderen Diensten ausprobieren.

Deshalb sollten identische oder sehr ähnliche Passwörter auch bei anderen wichtigen Konten geändert werden.

Was ist Credential Stuffing?

Credential Stuffing bezeichnet den automatisierten Versuch, bereits bekannte Zugangsdaten bei anderen Diensten einzusetzen.

Die Wiederverwendung desselben Passworts erhöht deshalb das Risiko erheblich.

Welche Konten sollte ich zuerst absichern?

Priorität haben Konten, über die weitere Zugänge kontrolliert oder finanzielle Schäden verursacht werden können.

Dazu gehören insbesondere das zentrale E-Mail-Konto, Apple Account oder Google-Konto, Online-Banking, Zahlungsdienste und geschäftlich relevante Benutzerkonten.

Was sollte ich bei meinem E-Mail-Konto prüfen?

Kontrollieren Sie aktive Sitzungen, unbekannte Geräte, Wiederherstellungsadressen, Telefonnummern sowie Weiterleitungen und Filterregeln.

Gerade heimlich eingerichtete Weiterleitungen können dazu führen, dass Nachrichten auch nach einer Passwortänderung an Dritte gelangen.

Was muss ich tun, wenn bereits Geld abgebucht wurde?

Kontaktieren Sie unverzüglich Ihre Bank oder den jeweiligen Zahlungsdienstleister über dessen offizielle Kommunikationswege.

Dokumentieren Sie die betreffende Transaktion und bewahren Sie die Phishing-Nachricht, den Link und alle zugehörigen Informationen auf.

Welche Möglichkeiten zur Sperrung, Beanstandung oder Rückholung bestehen, muss die Bank beziehungsweise der Zahlungsdienstleister anhand des konkreten Vorgangs beurteilen.

Sollte ich meine Bankkarte sperren?

Wenn Kartendaten kompromittiert wurden, sollte unverzüglich der Kartenausgeber beziehungsweise die Bank kontaktiert werden.

Ob eine Kartensperre erforderlich ist, sollte anhand des konkreten Vorfalls entschieden werden.

Welche digitalen Spuren sollte ich sichern?

Bewahren Sie die ursprüngliche E-Mail, SMS oder Messenger-Nachricht auf.

Dokumentieren Sie Absender, Zeitpunkt, Link, aufgerufene Webseite, eingegebene Informationen, heruntergeladene Dateien, unbekannte Anmeldungen und gegebenenfalls finanzielle Transaktionen.

Soll ich einen Screenshot der Phishing-Nachricht machen?

Ja, wenn dadurch eine flüchtige Information dokumentiert werden kann.

Ein Screenshot ist jedoch nur eine zusätzliche Dokumentation. Die ursprüngliche Nachricht sollte möglichst ebenfalls erhalten bleiben.

Soll ich die Phishing-Mail löschen?

Nicht, wenn der Vorfall später untersucht oder dokumentiert werden soll.

Die ursprüngliche E-Mail kann technische Informationen enthalten, die auf einem Screenshot nicht sichtbar sind.

Warum können E-Mail-Header wichtig sein?

E-Mail-Header enthalten technische Informationen über die Übermittlung einer Nachricht.

Sie können unter anderem für die Untersuchung des Versandweges und bestimmter Mailserver-Informationen relevant sein.

Der sichtbare Absendername allein besitzt dagegen nur begrenzte Aussagekraft.

Soll ich den Phishing-Link nochmals öffnen?

Nein.

Öffnen Sie einen verdächtigen Link nicht erneut nur zu Dokumentationszwecken.

Wenn eine technische Analyse erforderlich ist, sollte diese kontrolliert und nicht durch wiederholte Nutzung des möglicherweise betroffenen Geräts erfolgen.

Soll ich die verdächtige Datei löschen?

Nicht vor einer geplanten forensischen Untersuchung.

Eine verdächtige Datei kann selbst ein wichtiges Untersuchungsobjekt darstellen.

Soll ich mein Handy oder meinen Computer zurücksetzen?

Nicht, wenn eine technische Rekonstruktion oder Beweissicherung vorgesehen ist.

Ein Zurücksetzen kann Browserdaten, Downloads, Protokolle und andere relevante Artefakte entfernen.

Soll ich den Browser-Verlauf löschen?

Nein, wenn der Vorfall untersucht werden soll.

Browser-Verlauf, Cache, Downloadinformationen und weitere Browserartefakte können Hinweise auf den Ablauf des Vorfalls enthalten.

Soll ich Sicherheitssoftware installieren?

Wenn eine forensische Untersuchung geplant ist, sollte nicht unkontrolliert neue Software installiert werden.

Jede Installation verändert den Datenbestand. Sicherheitssoftware kann zudem verdächtige Dateien löschen oder isolieren und dadurch die ursprüngliche Situation verändern.

Kann IT-Forensik nach einem Phishing-Angriff helfen?

Ja, insbesondere wenn geklärt werden soll, welche digitalen Spuren auf einem Smartphone oder Computer vorhanden sind, welche Dateien heruntergeladen wurden oder ob weitere Hinweise auf eine Kompromittierung bestehen.

LB Forensik untersucht digitale Sicherheitsvorfälle und kompromittierte Systeme und dokumentiert relevante digitale Spuren strukturiert. [oai_citation:1‡LB Forensik](https://lb-forensik.de/baden-wuerttemberg/it-forensik-stuttgart/?utm_source=chatgpt.com)

Was kann auf einem Smartphone untersucht werden?

Je nach Gerät, Betriebssystem und technischer Zugriffsmöglichkeit können unter anderem Browseraktivitäten, App-Daten, Kommunikationsdaten, Dateien, Systeminformationen und weitere relevante Artefakte untersucht werden.

Bei einem Phishing-Vorfall über ein Mobilgerät kann deshalb eine Smartphone-Forensik sinnvoll sein.

Was kann auf einem Computer untersucht werden?

Je nach Vorfall können beispielsweise Browserartefakte, Downloads, Dateien, Benutzeraktivitäten, Systeminformationen und andere digitale Spuren untersucht werden.

Welche Daten relevant sind, richtet sich nach dem konkreten Angriffsablauf.

Kann festgestellt werden, welche Webseite ich geöffnet habe?

Unter bestimmten Voraussetzungen können Browser-Verlauf, Cache, DNS-bezogene Artefakte oder andere Daten Hinweise auf besuchte Webseiten liefern.

Ob diese Informationen noch vorhanden sind, hängt vom Browser, Gerät und zwischenzeitlicher Nutzung ab.

Kann festgestellt werden, ob eine Datei heruntergeladen wurde?

Je nach System können Browser-Downloads, Dateisystemartefakte und weitere technische Informationen Hinweise auf einen Download enthalten.

Kann festgestellt werden, ob die heruntergeladene Datei ausgeführt wurde?

Auf Computersystemen können unter bestimmten Voraussetzungen verschiedene System- und Dateiartefakte Hinweise auf die Ausführung einer Datei liefern.

Die Aussagekraft hängt von Betriebssystem, Dateityp und vorhandenen Daten ab.

Kann festgestellt werden, ob Schadsoftware installiert wurde?

Eine forensische Untersuchung kann nach verdächtigen Programmen, Dateien, Persistenzmechanismen und anderen technischen Auffälligkeiten suchen.

Ein negativer Befund beweist allerdings nicht zwangsläufig, dass niemals Schadsoftware vorhanden war.

Kann festgestellt werden, welche Zugangsdaten gestohlen wurden?

Nicht immer.

Wenn rekonstruierbar ist, welche Phishing-Seite besucht und welche Interaktion durchgeführt wurde, können sich Hinweise ergeben. Der genaue Inhalt übermittelter Formulardaten ist jedoch nicht in jedem Fall lokal rekonstruierbar.

Kann festgestellt werden, wohin meine Daten übertragen wurden?

Unter bestimmten Voraussetzungen können URL-, Netzwerk-, Browser- oder andere technische Artefakte Hinweise auf beteiligte Systeme liefern.

Eine vollständige Rekonstruktion ist jedoch nicht garantiert.

Kann die IP-Adresse des Täters festgestellt werden?

Nicht allein deshalb, weil ein Phishing-Link angeklickt wurde.

Server- und Providerdaten können außerhalb des betroffenen Geräts liegen und unterliegen eigenen technischen und rechtlichen Zugriffsmöglichkeiten.

Eine auf dem Gerät gefundene IP-Adresse identifiziert außerdem nicht automatisch eine konkrete Person.

Kann eine Phishing-Webseite später verschwinden?

Ja.

Betrügerische Webseiten können nur kurze Zeit aktiv sein oder vom Hosting-Anbieter entfernt werden.

Deshalb ist eine zeitnahe Dokumentation des Vorfalls sinnvoll, ohne den verdächtigen Link unnötig erneut aufzurufen.

Wann sollte eine forensische Untersuchung erfolgen?

Eine Untersuchung kann insbesondere sinnvoll sein, wenn ein erheblicher finanzieller Schaden entstanden ist, sensible Unternehmensdaten betroffen sind, Schadsoftware vermutet wird oder der technische Ablauf später nachvollziehbar dokumentiert werden soll.

Auch bei wiederkehrenden Kontoübernahmen trotz Passwortänderung kann eine weitergehende Analyse erforderlich sein.

Warum sollte die Untersuchung möglichst zeitnah erfolgen?

Digitale Systeme verändern sich fortlaufend.

Browserdaten können gelöscht, temporäre Dateien überschrieben und Protokolle rotiert werden. Auch normale weitere Nutzung kann relevante Spuren verändern.

Bei einem konkreten Beweisinteresse ist eine zeitnahe Sicherung deshalb sinnvoll.

Was bedeutet ein negativer forensischer Befund?

Wenn keine Hinweise auf Schadsoftware gefunden werden, bedeutet dies zunächst, dass innerhalb des untersuchten Datenbestands keine entsprechenden belastbaren Spuren festgestellt wurden.

Es bedeutet nicht automatisch, dass die Phishing-Nachricht ungefährlich war oder keine Zugangsdaten kompromittiert wurden.

Phishing ist nicht automatisch ein Hackerangriff auf das Gerät

Diese Unterscheidung ist für die richtige Reaktion entscheidend.

Bei klassischem Phishing wird häufig nicht das Smartphone oder der Computer technisch übernommen. Stattdessen wird der Benutzer dazu gebracht, seine Zugangsdaten freiwillig an eine gefälschte Webseite zu übermitteln.

In diesem Fall liegt das Hauptproblem zunächst beim kompromittierten Benutzerkonto.

Wurde dagegen eine Datei ausgeführt, eine unbekannte App installiert oder trat nach dem Besuch der Webseite ein konkretes ungewöhnliches Systemverhalten auf, muss zusätzlich eine mögliche Gerätekompromittierung betrachtet werden.

FAQ: Phishing-Link angeklickt – was tun?

Ich habe nur auf einen Phishing-Link geklickt. Ist mein Handy jetzt gehackt?

Nein, das lässt sich aus dem Klick allein nicht ableiten. Entscheidend ist, was anschließend vorgefallen ist und ob weitere Aktionen durchgeführt wurden.

Ich habe den Link geöffnet, aber nichts eingegeben. Was soll ich tun?

Dokumentieren Sie den Vorgang und beobachten Sie relevante Konten. Ein bloßer Seitenaufruf bedeutet nicht automatisch eine erfolgreiche Kompromittierung.

Ich habe mein Passwort eingegeben. Was soll ich tun?

Ändern Sie das Passwort unverzüglich über den offiziellen Dienst und möglichst über ein anderes vertrauenswürdiges Gerät. Prüfen Sie außerdem aktive Sitzungen und Sicherheitseinstellungen.

Ich habe mein E-Mail-Passwort eingegeben. Ist das besonders gefährlich?

Ja, weil ein E-Mail-Konto häufig zur Wiederherstellung weiterer Benutzerkonten verwendet werden kann.

Ich habe meine Bankdaten eingegeben. Was soll ich tun?

Kontaktieren Sie unverzüglich Ihre Bank über deren offiziellen Kommunikationsweg.

Ich habe meine Kreditkartendaten eingegeben. Was soll ich tun?

Informieren Sie unverzüglich den Kartenausgeber beziehungsweise Ihre Bank und lassen Sie die erforderlichen Schutzmaßnahmen prüfen.

Ich habe eine TAN bestätigt. Was soll ich tun?

Kontaktieren Sie unverzüglich die Bank beziehungsweise den betroffenen Dienst, da möglicherweise eine Transaktion oder Anmeldung autorisiert wurde.

Ich habe eine App installiert. Was soll ich tun?

Wenn die App aus einer verdächtigen Quelle stammt, sollte das Gerät genauer untersucht werden. Bei Beweisinteresse sollte die App nicht vorschnell gelöscht werden.

Ich habe eine Datei heruntergeladen, aber nicht geöffnet. Bin ich infiziert?

Nicht zwangsläufig. Das bloße Speichern einer Datei ist von ihrer Ausführung zu unterscheiden.

Ich habe die Datei geöffnet. Ist mein Computer gehackt?

Das lässt sich ohne Untersuchung nicht sicher feststellen. Dateityp, Inhalt, Betriebssystem und weitere technische Spuren sind entscheidend.

Soll ich den Phishing-Link noch einmal öffnen?

Nein. Öffnen Sie einen verdächtigen Link nicht erneut nur zur Kontrolle.

Soll ich die Phishing-Mail löschen?

Nicht, wenn sie für eine spätere Untersuchung oder Dokumentation relevant sein könnte.

Soll ich meinen Browser-Verlauf löschen?

Nicht bei bestehendem Beweisinteresse, da Browserdaten für die Rekonstruktion relevant sein können.

Soll ich mein Gerät auf Werkseinstellungen zurücksetzen?

Nicht vor einer geplanten forensischen Untersuchung. Dadurch können relevante digitale Spuren verloren gehen.

Soll ich sofort alle Passwörter ändern?

Priorisieren Sie tatsächlich betroffene und besonders wichtige Konten. Verwenden Sie dafür möglichst ein anderes vertrauenswürdiges Gerät.

Reicht eine Passwortänderung?

Nicht zwingend. Prüfen Sie auch aktive Sitzungen, unbekannte Geräte, Wiederherstellungsdaten und andere Sicherheitseinstellungen.

Kann Phishing die Zwei-Faktor-Authentifizierung umgehen?

Bestimmte Angriffsmethoden versuchen auch zweite Faktoren oder bereits autorisierte Sitzungen zu missbrauchen. Zwei-Faktor-Authentifizierung reduziert das Risiko erheblich, beseitigt es aber nicht vollständig.

Kann IT-Forensik feststellen, was vorgefallen ist?

Je nach vorhandenen Daten können Browser-, Datei-, App-, System- und andere Artefakte zur Rekonstruktion des Vorfalls beitragen. Eine vollständige Rekonstruktion kann jedoch nicht garantiert werden.

Kann IT-Forensik mein gestohlenes Geld zurückholen?

Nein. IT-Forensik kann technische Vorgänge untersuchen und dokumentieren. Fragen zur Sperrung oder Rückholung von Zahlungen müssen mit Bank beziehungsweise Zahlungsdienstleister geklärt werden.

Wann sollte ich professionelle Hilfe in Anspruch nehmen?

Insbesondere bei finanziellen Schäden, kompromittierten Geschäftskonten, möglicher Schadsoftware, wiederholten Kontoübernahmen oder einem späteren Beweisinteresse kann professionelle Unterstützung sinnvoll sein.

Nach einem Phishing-Link entscheidet die nächste Handlung über das Risiko

Der Satz „Ich habe auf einen Phishing-Link geklickt“ beschreibt noch nicht, was technisch passiert ist.

Für die Bewertung müssen die einzelnen Schritte getrennt werden: Wurde nur die Webseite geöffnet? Wurden Zugangsdaten eingegeben? Wurde eine Zwei-Faktor-Anfrage bestätigt? Wurde eine Datei heruntergeladen oder ausgeführt? Wurde eine App installiert? Sind bereits unbekannte Kontoaktivitäten oder finanzielle Schäden aufgetreten?

Erst daraus ergibt sich, welche Sofortmaßnahmen erforderlich sind.

Bei kompromittierten Zugangsdaten steht die Absicherung der betroffenen Konten im Vordergrund. Bei Bank- oder Kreditkartendaten muss unverzüglich der jeweilige Finanzdienstleister eingeschaltet werden. Besteht dagegen der Verdacht auf eine technische Kompromittierung des Smartphones oder Computers, kann die Erhaltung des aktuellen Gerätezustands für eine spätere Untersuchung entscheidend sein.

Wer mögliche Beweise benötigt, sollte deshalb nicht reflexartig Browserdaten löschen, verdächtige Dateien entfernen oder das gesamte Gerät zurücksetzen. Eine kontrollierte Sicherung kann später wesentlich besser zeigen, welche digitalen Spuren tatsächlich vorhanden waren.

Zurück zur Wissensübersicht