1) Die wichtigste Regel: Lies die Domain – nicht den Text

Der sichtbare Link-Text, Button-Label oder die E-Mail-Adresse im Absenderfeld kann täuschen. Entscheidend ist die tatsächliche URL. Bevor du klickst: mit der Maus drüberfahren (Desktop) oder lange drücken (Mobile), um die Ziel-URL zu sehen.

Sobald du die URL siehst, konzentriere dich auf das eine Element, das wirklich zählt: die registrierbare Domain. Also nicht „irgendein Teil der URL“, sondern der Kern, auf den das Zertifikat ausgestellt ist und den der Browser als Website-Identität nutzt.

2) URL lesen wie ein Profi: Was ist Domain, was ist nur Beiwerk?

Eine URL hat typischerweise diese Struktur:

• Protokoll: https:// oder http://
• Host: Subdomain + Domain + TLD (z. B. login.example.com)
• Pfad: /konto/reset
• Query: ?token=...&utm_source=...
• Fragment: #abschnitt

Für die Verifikation ist der Host entscheidend. Und darin wiederum: Domain + TLD (z. B. example.com). Alles davor (Subdomain) kann jeder Domainbesitzer frei anlegen – und genau dort findet viel Täuschung statt.

3) Subdomains: Der Klassiker der Täuschung

Eine Subdomain kann seriös sein (z. B. accounts.google.com). Sie kann aber auch missbraucht werden, um Nutzer:innen zu verwirren: z. B. paypal.com.sicher-login.tld. Viele lesen „paypal.com“ und klicken – aber die echte Domain ist sicher-login.tld.

So checkst du Subdomains korrekt

• Lies von rechts nach links: TLD → Domain → Subdomain.
• Der entscheidende Kern steht direkt vor der TLD. Bei shop.example.com ist das example.com.
• Lange Hostnamen sind nicht automatisch böse, aber bei „Marke + zufällige Wörter + TLD“ solltest du wach werden.

4) Fake-Domains: Typosquatting, Lookalikes und „fast richtig“

Angreifer registrieren Domains, die dem Original ähneln: ein Buchstabe zu viel, vertauschte Zeichen, fehlender Punkt, andere Endung oder ein Zeichen, das im Font gleich aussieht.

Häufige Muster

• Typos: gooogle.com, paypai.com, arnazon.com (rn statt m)
• Zusatzwörter: example-support.com, example-security.com, login-example.com
• Andere TLD: example.co statt example.com, example.net statt example.de
• Bindestriche: secure-example.com (kann legit sein – wird aber oft missbraucht)

Ein guter Reflex: Wenn es um Login, Zahlung oder „dringende“ Sicherheitswarnungen geht, öffne die Seite nicht über den Link, sondern tippe die bekannte Adresse manuell ein oder nutze ein Lesezeichen.

5) IDN & Punycode: Wenn Buchstaben gar keine sind

Internationalisierte Domains (IDN) erlauben Sonderzeichen. Das ist normal (z. B. für viele Sprachen), wird aber für Homograph-Angriffe missbraucht: Zeichen sehen aus wie lateinische Buchstaben, sind aber andere Unicode-Zeichen.

Browser zeigen dann oft eine punycode-Darstellung mit xn-- an. Wenn du eine Domain siehst, die „komisch“ wirkt, oder du ein xn-- entdeckst, gilt: Stopp – besonders bei Banking, Login, Krypto, Wallets und Shop-Checkout.

Praxis: Wenn du nicht sicher bist, nutze die offizielle App oder tippe die Domain manuell – und vergleiche sie mit einer verifizierten Quelle (z. B. Impressum/Datenschutz der echten Website, bekannte App-Store-Einträge, offizielle Social-Media-Accounts mit Verifizierung).

6) HTTPS: Gut – aber kein Freifahrtschein

Viele denken: „Da ist ein Schloss, also ist es sicher.“ Das ist ein gefährlicher Mythos. HTTPS bedeutet vor allem: die Verbindung ist verschlüsselt. Es bedeutet nicht automatisch, dass die Seite seriös ist.

Phishing-Seiten nutzen längst ebenfalls HTTPS. Was du prüfen solltest:

• Stimmt die Domain exakt? (das bleibt der Kern)
• Warnungen des Browsers: Zertifikatsfehler, unsichere Verbindung, HSTS-Fehler – niemals ignorieren
• „Sicher“-Label ersetzt keine Identität: Identität kommt durch Domain & Kontext, nicht durch das Schloss

7) Weiterleitungen & Tracking: Der Link ist nicht immer das Ziel

Viele Links sind „Zwischenstationen“: Newsletter-Tracking, Kampagnen-Redirects, Click-Tracking. Das ist nicht automatisch böse, aber es kann missbraucht werden. Gefährlich wird es, wenn du gar nicht mehr erkennst, wo du am Ende landest.

Warnsignale bei Redirects

• Mehrere Sprünge nacheinander, besonders über unbekannte Domains
• „Login“ oder „Payment“ nach einem Redirect von einer Marketing-Domain
• Sehr lange URLs mit vielen Parametern, die die echte Domain „verstecken“

In sensiblen Fällen: Öffne den Link nicht direkt, sondern gehe über die offizielle Website/App. Ein seriöser Dienst zwingt dich nicht, deine Zugangsdaten über irgendeinen Tracking-Link einzugeben.

8) Shortlinks (bit.ly & Co.): Sicher entpacken statt blind klicken

Shortlinks sind praktisch – aber sie nehmen dir genau das weg, was du prüfen willst: die Domain. Deshalb gilt: Shortlinks erst auflösen, dann entscheiden.

• Nutze Vorschau-Funktionen (viele Shortener bieten Preview-URLs) oder sichere Vorschau-Tools in deinem Security-Stack.
• Wenn du keine Preview hast: öffne am besten über einen isolierten Kontext (z. B. separater Browser/Profil) und prüfe sofort die Enddomain.
• Bei Zahlungs- oder Login-Themen: Shortlinks grundsätzlich vermeiden und stattdessen offizielle Domains manuell nutzen.

9) Kontext-Check: Passt die Aufforderung zur Situation?

Phishing gewinnt nicht durch Technik, sondern durch Psychologie: Zeitdruck, Angst, Belohnung. Deshalb ist der Kontext-Check so stark: Warum soll ich das jetzt tun?

Typische Social-Engineering-Trigger

• Dringlichkeit: „In 30 Minuten wird Ihr Konto gesperrt“
• Angst: „Ungewöhnlicher Login, sofort bestätigen“
• Belohnung: „Sie haben gewonnen“, „Rückerstattung wartet“
• Autorität: „IT-Abteilung“, „Bank“, „Behörde“ mit generischen Formulierungen

Wenn die Nachricht Druck macht, ist das ein Signal, langsamer zu werden. Seriöse Anbieter bieten Wege ohne Hektik: App-Benachrichtigung, Konto-Portal, Support-Kontakt über bekannte Kanäle.

10) Praktische Klick-Routine in 15 Sekunden

1. Hover/Long-Press: Ziel-URL anzeigen lassen.
2. Domain von rechts lesen: TLD → Domain → Subdomain.
3. Lookalikes scannen: Tippfehler, zusätzliche Wörter, andere TLD.
4. Sensibler Vorgang? Dann nicht über Link: Domain manuell oder App öffnen.
5. Wenn unsicher: Link nicht klicken, sondern über verifizierte Quelle navigieren.

Diese Routine ist simpel – aber sie verhindert einen großen Teil der klassischen Phishing-Fälle, weil sie genau den Punkt trifft, den Angreifer am schwersten sauber fälschen können: die echte Domain plus passenden Kontext.

11) Was du zusätzlich aktivieren solltest (ohne Technik-Overkill)

• Passwortmanager: Füllt Passwörter nur auf der echten Domain aus – das ist ein starker Phishing-Filter.
• 2FA/MFA: App-basierte Codes oder Security Keys sind deutlich robuster als SMS.
• Browser-Profile trennen: „Arbeit/Privat/Tests“ getrennt halten, damit Session-Cookies nicht überall wirken.
• Updates: Browser und OS aktuell halten – viele Angriffe nutzen alte Lücken.
• Misstrauen bei Anhängen: Gerade wenn Link + Anhang kombiniert werden.

12) Mini-Checkliste: Diese 7 Warnsignale reichen oft

• Die Domain ist „fast richtig“, aber nicht exakt.
• Die Nachricht erzeugt Druck oder Angst.
• Es geht um Login/Zahlung und der Link kommt aus E-Mail/SMS.
• Shortlink ohne klar erkennbares Ziel.
• Mehrere Redirects über unbekannte Domains.
• Browser meldet Zertifikats- oder Sicherheitswarnungen.
• Du sollst Daten eingeben, die du normalerweise nie „per Link“ bestätigst.

Wenn zwei oder mehr Punkte zutreffen: nicht klicken, lieber über die offizielle Website oder App gehen. Das kostet Sekunden – kann aber Accounts, Geld und Nerven retten.

FAQ