Phishing-Login erkennen: Warum gefälschte Anmeldeseiten so gefährlich sind

Eine E-Mail warnt vor einer Kontosperrung, einer ungewöhnlichen Anmeldung oder einer offenen Rechnung. Ein Button führt zu einer vertraut aussehenden Seite. Logo, Farben, Eingabefelder und Fußzeile wirken genauso wie beim echten Anbieter.

Auf der Seite sollen E-Mail-Adresse und Passwort eingegeben werden. Manchmal folgt anschließend noch die Aufforderung, einen Sicherheitscode zu bestätigen.

Genau das ist ein typischer Phishing-Angriff.

Bei Login-Phishing erstellen Angreifer eine gefälschte Anmeldeseite, um Zugangsdaten abzufangen. Die Seite führt nicht in das echte Kundenkonto. Die eingegebenen Daten werden stattdessen an die Angreifer übermittelt.

Wie ein Phishing-Login typischerweise funktioniert

Der Angriff beginnt häufig mit einer E-Mail, SMS oder Nachricht. Sie soll einen nachvollziehbaren Grund liefern, warum sich der Empfänger sofort anmelden muss.

Typische Behauptungen sind:

• Das Konto wurde vorübergehend gesperrt.
• Eine Rechnung konnte nicht bezahlt werden.
• Die Zahlungsdaten müssen aktualisiert werden.
• Es wurde eine verdächtige Anmeldung erkannt.
• Das Passwort läuft ab.
• Das Postfach ist voll.
• Ein Dokument wurde für den Empfänger freigegeben.

Der enthaltene Button führt nicht zur offiziellen Website, sondern zu einer nachgebauten Login-Seite.

Dort eingegebene Zugangsdaten können unmittelbar gespeichert oder an ein anderes System übertragen werden. Anschließend zeigt die Seite möglicherweise eine Fehlermeldung oder leitet den Nutzer sogar zur echten Website weiter.

Dadurch entsteht leicht der Eindruck, man habe sich lediglich vertippt oder die Sitzung sei abgelaufen.

Warum die gefälschte Seite so echt aussehen kann

Das sichtbare Design einer Website ist kein Echtheitsbeweis.

Logos, Texte, Farben, Formulare und Fußzeilen einer öffentlich erreichbaren Website können nachgebaut werden. Angreifer müssen das ursprüngliche System dafür nicht kontrollieren.

Eine gefälschte Seite kann deshalb enthalten:

• das echte Unternehmenslogo
• die gleichen Farben und Schriftarten
• eine passende Datenschutzerklärung
• ein kopiertes Impressum
• bekannte Produktnamen
• professionell gestaltete Login-Felder
• Links zur echten Website

Ein seriöses Erscheinungsbild sagt lediglich etwas über die Gestaltung aus. Es beweist nicht, wer die Seite betreibt.

Entscheidend ist die Adresse im Browser

Bei einer Login-Seite ist nicht das Logo entscheidend, sondern die Adresse im Browser.

Angreifer versuchen häufig, bekannte Markennamen in einer langen oder komplizierten Adresse unterzubringen.

Die Begriffe „login“ und „ionos“ stehen zwar in der Adresse. Die eigentliche registrierte Domain lautet aber scam.de.

Domains werden bei dieser Prüfung von rechts nach links eingeordnet. Die Domainendung ist in diesem Beispiel .de. Direkt davor steht die registrierte Domain scam. Alles links davon sind Subdomains.

Der Betreiber von scam.de kann selbst Subdomains anlegen. Dazu könnten beispielsweise gehören:

• ionos.scam.de
• login.ionos.scam.de
• microsoft.scam.de
• kundenportal.scam.de
• rechnung.paypal.scam.de

Ein bekannter Markenname innerhalb der Adresse bedeutet daher nicht automatisch, dass die Seite zu diesem Unternehmen gehört.

Bei einer Login-Seite muss geprüft werden, welche registrierte Domain tatsächlich aufgerufen wurde – nicht nur, ob irgendwo ein bekannter Name in der URL steht.

Auch ähnlich geschriebene Domains sind gefährlich

Nicht jeder Angriff verwendet eine auffällige Subdomain. Manche Domains werden so registriert, dass sie der echten Adresse möglichst ähnlich sehen.

Beispiele für solche Muster sind:

• marke-kundenkonto.de
• marke-login.de
• marke-sicherheit.com
• service-marke.example
• mein-markenportal.example

Auch kleine Schreibabweichungen können leicht übersehen werden. Dazu gehören vertauschte Buchstaben, zusätzliche Bindestriche oder ähnlich aussehende Zeichen.

Die sichere Frage lautet deshalb nicht:

Sieht die Adresse ungefähr richtig aus?

Sondern:

Ist das wirklich genau die offizielle Domain, die ich normalerweise verwende?

Das Schloss-Symbol beweist nicht, dass die Seite echt ist

Viele Nutzer achten auf das Schloss-Symbol im Browser. Das ist grundsätzlich sinnvoll, wird aber häufig falsch eingeordnet.

Eine HTTPS-Verbindung bedeutet, dass die Verbindung zwischen Browser und Website verschlüsselt wird. Sie beweist jedoch nicht automatisch, dass die Website zu dem Unternehmen gehört, dessen Logo angezeigt wird.

Auch eine betrügerische Website kann ein gültiges TLS-Zertifikat besitzen und mit HTTPS erreichbar sein.

Das Schloss bedeutet daher sinngemäß:

Die Verbindung zu dieser Domain ist verschlüsselt.

Es bedeutet nicht:

Diese Domain gehört sicher zu dem dargestellten Unternehmen.

Warum Login-Phishing besonders gefährlich ist

Mit gestohlenen Zugangsdaten können Angreifer versuchen, sich beim echten Dienst anzumelden.

Je nach betroffenem Konto sind anschließend unterschiedliche Schäden möglich:

• Zugriff auf E-Mails und Nachrichten
• Änderung von Kontaktdaten
• Bestellungen oder Vertragsänderungen
• Zugriff auf Rechnungen und Kundendaten
• Versand weiterer Phishing-Nachrichten
• Zurücksetzen anderer Passwörter
• Missbrauch gespeicherter Zahlungsmittel
• Zugriff auf Cloud-Dateien und Dokumente

Besonders kritisch ist der Zugriff auf ein E-Mail-Konto. Viele andere Dienste verwenden die E-Mail-Adresse für das Zurücksetzen von Passwörtern. Wer das Postfach kontrolliert, kann dadurch möglicherweise weitere Konten übernehmen.

Manche Seiten fragen zusätzlich einen Sicherheitscode ab

Einige Phishing-Seiten beschränken sich nicht auf Benutzername und Passwort. Sie fragen anschließend auch nach einem Code aus einer Authenticator-App, SMS oder Sicherheitsabfrage.

Der Angreifer kann parallel versuchen, sich beim echten Anbieter anzumelden. Der echte Dienst fordert daraufhin einen zweiten Faktor an. Die gefälschte Seite fragt diesen Code beim Opfer ab und übermittelt ihn weiter.

Multi-Faktor-Authentifizierung verbessert den Schutz erheblich. Sie macht aber nicht jede Form des Phishings automatisch unmöglich.

Phishingresistentere Verfahren wie Passkeys oder physische Sicherheitsschlüssel binden die Anmeldung stärker an die tatsächlich aufgerufene Website und können deshalb einen besseren Schutz bieten.

Woran man einen verdächtigen Login erkennt

Ein einzelnes Merkmal reicht nicht immer aus. Mehrere Auffälligkeiten zusammen sind jedoch ein deutliches Warnsignal.

1. Die Anmeldung wurde durch eine überraschende Nachricht ausgelöst

Wenn man sich nur anmeldet, weil eine unerwartete E-Mail dazu auffordert, sollte man den Vorgang unterbrechen und die Website selbst öffnen.

2. Die Domain ist unbekannt oder ungewöhnlich lang

Bekannte Markennamen innerhalb einer langen Adresse können als Subdomain oder Bestandteil einer fremden Domain eingesetzt werden.

3. Der Passwortmanager trägt das Passwort nicht automatisch ein

Passwortmanager ordnen gespeicherte Zugangsdaten normalerweise einer bestimmten Domain zu.

Wenn ein sonst automatisch ausgefüllter Login plötzlich leer bleibt, kann das ein wichtiges Warnsignal sein. Das Passwort sollte dann nicht manuell kopiert werden, bevor die Domain geprüft wurde.

4. Die Seite erzeugt ungewöhnlichen Zeitdruck

Hinweise auf sofortige Sperrung, Datenverlust oder eine angeblich letzte Frist sollen verhindern, dass die Adresse sorgfältig kontrolliert wird.

5. Das Verhalten nach der Anmeldung ist ungewöhnlich

Verdächtig sind wiederholte Fehlermeldungen, ein sofortiger Rücksprung zur Startseite oder eine Weiterleitung auf eine andere Domain.

6. Es werden ungewöhnlich viele Informationen abgefragt

Ein normaler Login benötigt nicht plötzlich zusätzlich Kreditkartendaten, vollständige Anschrift, Sicherheitsfragen und persönliche Identifikationsdaten.

Der sicherste Weg zur Anmeldung

Bei einer unerwarteten Sicherheitsmeldung sollte der Login nicht über den enthaltenen Button erfolgen.

Die sicherere Vorgehensweise ist:

• Die Nachricht nicht für die Anmeldung verwenden.
• Den Browser separat öffnen.
• Die bekannte Adresse des Anbieters selbst eingeben.
• Alternativ ein eigenes Lesezeichen verwenden.
• Im Kundenkonto nach Warnungen, Rechnungen oder Nachrichten suchen.
• Im Zweifel den Anbieter über bekannte Kontaktdaten erreichen.

Wichtig ist dabei, nicht die Telefonnummer oder Kontaktadresse aus der verdächtigen Nachricht zu übernehmen. Auch diese Angaben können zum Angriff gehören.

Warum ein Passwortmanager helfen kann

Ein Passwortmanager schützt nicht nur vor mehrfach verwendeten Passwörtern. Er kann auch beim Erkennen gefälschter Login-Seiten helfen.

Gespeicherte Zugangsdaten werden normalerweise nur auf der dazugehörigen Domain angeboten.

Ist ein Passwort beispielsweise für die offizielle Domain eines Anbieters gespeichert, sollte es auf einer fremden Domain nicht automatisch ausgefüllt werden.

Das ist kein vollständiger Schutz. Es schafft aber eine zusätzliche technische Hürde und ein deutliches Warnsignal.

Was tun, wenn Zugangsdaten eingegeben wurden?

Wer Benutzername und Passwort auf einer verdächtigen Seite eingegeben hat, sollte nicht abwarten.

Wichtig ist, die folgenden Schritte über die offizielle Website oder App des betroffenen Anbieters auszuführen.

1. Passwort sofort ändern

Das Passwort sollte über den offiziellen Zugang geändert werden. Dabei sollte ein neues, einzigartiges Passwort verwendet werden.

2. Wiederverwendete Passwörter ebenfalls ändern

Wurde dasselbe Passwort bei anderen Diensten verwendet, müssen auch diese Konten abgesichert werden.

Angreifer testen gestohlene Zugangsdaten häufig bei weiteren Diensten.

3. Aktive Sitzungen abmelden

Viele Konten bieten eine Übersicht über angemeldete Geräte oder aktive Sitzungen. Unbekannte Sitzungen sollten beendet werden. Wenn möglich, sollten alle bestehenden Sitzungen abgemeldet werden.

4. Multi-Faktor-Authentifizierung prüfen

Falls noch nicht vorhanden, sollte ein zweiter Faktor aktiviert werden. Wurde bereits ein Sicherheitscode auf der Phishing-Seite eingegeben, sollten auch die hinterlegten Sicherheitsmethoden geprüft werden.

5. Kontodaten und Änderungen kontrollieren

Zu prüfen sind unter anderem:

• hinterlegte E-Mail-Adressen
• Telefonnummern
• Weiterleitungsregeln
• Wiederherstellungsoptionen
• neue Geräte
• Bestellungen und Zahlungen
• versendete Nachrichten

6. Bei einem E-Mail-Konto besonders gründlich prüfen

Bei kompromittierten Postfächern sollten Weiterleitungen, Filterregeln, verbundene Anwendungen und zuletzt versendete Nachrichten kontrolliert werden.

Angreifer richten teilweise automatische Weiterleitungen ein oder löschen bestimmte Warnmeldungen, damit der Zugriff unbemerkt bleibt.

7. Im Unternehmen intern informieren

Wurden geschäftliche Zugangsdaten eingegeben, sollte der Vorfall intern gemeldet werden. Das gilt auch dann, wenn noch kein sichtbarer Schaden entstanden ist.

Nur so können weitere Konten, Zugriffe und mögliche Folgeangriffe geprüft werden.

Was Unternehmen vorbeugend festlegen sollten

Klare und einfache Regeln sind wirkungsvoller als lange Sicherheitsdokumente, die im Alltag niemand verwendet.

Eine praktikable Regel könnte lauten:

Anmeldungen zu geschäftlichen Konten erfolgen nicht über unerwartete E-Mail-Links, sondern über bekannte Lesezeichen oder manuell aufgerufene Anbieter-Websites.

Zusätzlich sinnvoll sind:

• individuelle Passwörter für jeden Dienst
• ein zentral empfohlener Passwortmanager
• Multi-Faktor-Authentifizierung
• Passkeys oder Sicherheitsschlüssel für besonders wichtige Konten
• regelmäßige Überprüfung aktiver Benutzerkonten
• klare interne Ansprechpersonen bei verdächtigen Nachrichten
• kurze, praxisnahe Sicherheitshinweise für Mitarbeitende

Eine einfache Prüfregel für den Alltag

Vor der Eingabe von Zugangsdaten helfen drei kurze Fragen:

Ist eine dieser Fragen nicht eindeutig zu beantworten, sollte die Anmeldung abgebrochen und die Website über einen bekannten Weg neu geöffnet werden.

Fazit

Gefälschte Login-Seiten sind gefährlich, weil sie vertraute Abläufe imitieren. Das Design kann professionell sein, das Logo korrekt aussehen und sogar die Verbindung verschlüsselt sein.

Entscheidend ist nicht, wie echt die Seite wirkt. Entscheidend ist, auf welcher Domain sie tatsächlich läuft und warum die Anmeldung gerade verlangt wird.

Die wichtigste Gewohnheit lautet deshalb:

Zugangsdaten nicht über einen unerwarteten Link eingeben. Die bekannte Website selbst öffnen und dort prüfen, ob tatsächlich Handlungsbedarf besteht.

Wer zusätzlich individuelle Passwörter, einen Passwortmanager und eine starke Multi-Faktor-Authentifizierung verwendet, reduziert das Risiko einer erfolgreichen Kontoübernahme deutlich.