Du hast auf Deinem Android-Handy oder iPhone einen verdächtigen Link geöffnet? Schließe die Seite und gib dort nichts mehr ein. Ein angeklickter Phishing-Link bedeutet nicht automatisch, dass Dein Handy infiziert ist. Entscheidend ist, ob Du nur die Webseite gesehen, Zugangsdaten eingegeben, eine Zahlung bestätigt oder etwas installiert hast. Bei weitergegebenen Bankdaten oder einer bestätigten TAN hat der Kontakt zur Bank Vorrang vor der Geräteprüfung.
Auch eine täuschend echte Paketnachricht, eine angebliche Kontosperre oder eine Virenwarnung im Browser kann zu einer Betrugsseite führen. Nutze für alle weiteren Schritte ausschließlich selbst geöffnete Apps, gespeicherte Lesezeichen oder bekannte Kontaktwege – nicht die Telefonnummern und Schaltflächen aus der verdächtigen Nachricht.
Die erste Entscheidung: Was hast Du nach dem Klick gemacht?
Gehe die folgenden Fälle von oben nach unten durch. Treffen mehrere zu, beginne mit dem ersten passenden Fall. Damit verlierst Du keine Zeit mit dem Löschen des Browserverlaufs, während ein Konto oder eine Zahlung gefährdet ist.
- Du hast eine TAN, einen Banking-Zugang, Kartendaten oder eine Zahlung freigegeben: Kontaktiere sofort die Bank beziehungsweise den Kartenanbieter über die offizielle App oder eine bekannte Rufnummer. Lass prüfen, welche Zugänge oder Zahlungsmittel gesperrt und welche Zahlungen noch gestoppt werden können.
- Du hast eine App installiert, Fernzugriff erlaubt oder weitreichende Geräteberechtigungen vergeben: Trenne das betroffene Handy vom Internet. Aktiviere den Flugmodus und schalte WLAN zusätzlich aus, falls es eingeschaltet bleibt. Verwende für Bankkontakte und Passwortänderungen ein anderes, vertrauenswürdiges Gerät.
- Du hast ein Passwort, einen Bestätigungscode oder eine Anmeldefreigabe weitergegeben: Sichere das betroffene Konto über dessen offizielle App oder selbst aufgerufene Kontoseite. Ein Passwortwechsel allein beendet nicht zwingend bereits bestehende Sitzungen.
- Du hast nur eine Datei heruntergeladen: Öffne sie nicht. Prüfe in der Downloadübersicht, was gespeichert wurde, und entferne die unbekannte Datei. Wurde sie bereits geöffnet oder installiert, hängt das weitere Vorgehen vom Dateityp und den erteilten Freigaben ab.
- Du hast ausschließlich die Webseite geöffnet: Schließe den Tab, prüfe mögliche Downloads und erteilte Website-Berechtigungen. Ohne weitere Auffälligkeiten oder Freigaben ist ein Zurücksetzen des Handys normalerweise nicht der erste sinnvolle Schritt.
Notiere möglichst den Zeitpunkt und sichere die ursprüngliche Nachricht sowie sichtbare Zahlungs- oder Anmeldehinweise. Öffne die Betrugsseite dafür nicht erneut. Screenshots vorhandener Nachrichten reichen zunächst aus; die Sicherung darf eine dringende Sperrung nicht verzögern.
Nur die Seite geöffnet: Was der Klick bedeutet
Beim bloßen Aufruf einer Phishing-Seite werden nicht automatisch sämtliche Fotos, Kontakte oder gespeicherten Passwörter übertragen. Die Seite kann jedoch unter anderem die IP-Adresse, Browserinformationen und den Aufruf des Links erfassen. Ein individuell zugeordneter Link kann dem Absender außerdem zeigen, dass seine Nachricht geöffnet wurde.
Ein technischer Angriff über eine Sicherheitslücke ist möglich. Aus dem Klick allein lässt sich aber keine Infektion ableiten. Ein unterstütztes, mit Sicherheitsupdates versorgtes Gerät verringert solche Risiken, ersetzt jedoch nicht die Prüfung Deiner anschließenden Handlungen.
Schau in der Downloadliste des Browsers nach, ob eine Datei gespeichert wurde. Prüfe außerdem, ob Du Benachrichtigungen, Kamera-, Mikrofon- oder Standortzugriff für die Seite erlaubt hast. Entziehe solche Freigaben in den Website-Einstellungen des verwendeten Browsers. Bei Chrome findest Du diese je nach Version unter Einstellungen und Website-Einstellungen.
Eine eingeblendete Warnung über angeblich gefundene Viren ist kein verlässlicher Gerätescan. Installiere keine dort angebotene Schutz-App und rufe keine eingeblendete Supportnummer an. Wiederkehrende Meldungen können auch von erlaubten Browser-Benachrichtigungen stammen, ohne dass eine Schad-App installiert ist.
Passwort eingegeben: Nicht nur das Kennwort ändern
Behandle ein auf der Betrugsseite eingetipptes Passwort als offengelegt, selbst wenn Du nicht auf die Anmeldeschaltfläche gedrückt hast. Webseiten können Eingaben bereits während des Tippens übertragen. Dass danach eine Fehlermeldung erschien, macht die Eingabe nicht rückgängig.
Öffne den betroffenen Dienst unabhängig von der Nachricht. Nutze bei Verdacht auf eine installierte Schad-App ein anderes Gerät. Ist das E-Mail-Konto betroffen, sichere es mit hoher Priorität: Darüber lassen sich häufig Passwörter weiterer Dienste zurücksetzen.
- Vergib ein neues, ausschließlich für dieses Konto verwendetes Passwort. Hast Du das alte Passwort mehrfach genutzt, ändere es auch bei den anderen betroffenen Diensten.
- Prüfe die angemeldeten Geräte und aktiven Sitzungen. Melde unbekannte Zugriffe ab; verwende eine angebotene Abmeldung aller Sitzungen, wenn Du die Zugriffe nicht sicher zuordnen kannst.
- Kontrolliere Wiederherstellungsadresse, Telefonnummer und eingerichtete Anmeldeverfahren. Entferne unbekannte Änderungen erst, nachdem Dein eigener Zugang abgesichert ist.
- Prüfe verbundene Apps und erteilte Kontozugriffe. Widerrufe unbekannte Berechtigungen, auch wenn Du auf der Betrugsseite kein Passwort eingegeben, sondern einen Kontozugriff bestätigt hast.
- Aktiviere eine Zwei-Faktor-Authentifizierung oder einen angebotenen Passkey. Prüfe bei bereits aktivierter Absicherung, ob fremde Anmeldeverfahren hinzugefügt wurden.
Im Google-Konto sind die Bereiche Sicherheit, Deine Geräte und Verbindungen zu Drittanbieter-Apps und -Diensten passende Prüfpunkte. Beim Apple Account kontrollierst Du in den Einstellungen unter Deinem Namen die Geräteliste sowie Anmeldung und Sicherheit. Die Bezeichnungen können sich mit der System- oder Kontoversion unterscheiden; nutze bei Abweichungen die offizielle Kontohilfe.
Bei einem E-Mail-Konto gehören auch Weiterleitungsregeln, Filter und der Ordner für gesendete Nachrichten zur Kontrolle. Eine unbemerkte Weiterleitung kann Nachrichten weiterhin kopieren, obwohl das Passwort bereits geändert wurde.
Ein Beispiel: Du hast auf einer angeblichen Paketdienstseite das Passwort Deines E-Mail-Kontos eingegeben. Das Handy zeigt danach keine Auffälligkeiten. Trotzdem ist zuerst das E-Mail-Konto abzusichern – ein unauffälliges Gerät sagt nichts darüber aus, ob die Zugangsdaten bereits verwendet wurden.
Bankdaten, TAN oder Kartendaten übermittelt
Bei Finanzdaten zählt, welche Angaben und Freigaben betroffen sind. Eine mitgeteilte IBAN ist anders einzuordnen als ein vollständiger Banking-Zugang mit bestätigter TAN. Schildere der Bank genau, was Du eingegeben oder freigegeben hast, statt nur einen verdächtigen Link zu melden.
Nenne insbesondere, ob Du Kartennummer, Ablaufdatum und Kartenprüfnummer übermittelt, eine Push-Freigabe bestätigt oder eine Überweisung ausgelöst hast. Bitte die Bank, offene Vorgänge, Sperrmöglichkeiten und gegebenenfalls einen Zahlungsrückruf zu prüfen. Ob eine Zahlung noch aufgehalten werden kann, hängt vom Vorgang ab; eine Erstattung ist nicht automatisch gesichert.
Lehne weitere Freigabeanfragen ab. Auch ein anschließender Anruf einer angeblichen Sicherheitsabteilung kann Teil desselben Betrugs sein. Überweise kein Geld auf ein vermeintliches Sicherheitskonto und teile keine zusätzlichen Codes mit.
Kontrolliere danach Umsätze und Benachrichtigungen über neue Geräte oder Zahlungsempfänger. Dokumentiere unbekannte Vorgänge und melde sie über den vorgesehenen Reklamationsweg Deiner Bank. Bei einem Schaden oder Identitätsmissbrauch ist außerdem eine Anzeige bei der Polizei sinnvoll. Sie ersetzt den sofortigen Kontakt zur Bank nicht.
Android prüfen: Download, Installation und Berechtigungen unterscheiden
Eine heruntergeladene APK-Datei ist noch nicht dasselbe wie eine installierte App. Prüfe, ob Du einen Installationsdialog bestätigt hast und die Anwendung unter Einstellungen und Apps auftaucht. Verlasse Dich nicht ausschließlich auf den Startbildschirm: Dort muss eine installierte App nicht sichtbar sein.
Verdächtige App und zusätzliche Rechte kontrollieren
Sieh Dir die zuletzt installierten Anwendungen an. Achte besonders auf Apps, die Du im Verlauf der verdächtigen Nachricht installiert hast, etwa eine vermeintliche Paketverfolgung, Sicherheitsprüfung oder Fernwartung. Der angezeigte Name allein beweist weder Harmlosigkeit noch Schadsoftware.
Prüfe bei dieser App die Berechtigungen. Besonders relevant sind Bedienungshilfen, Geräteadministratorrechte, Benachrichtigungszugriff, SMS-Zugriff und die Erlaubnis, über anderen Apps eingeblendet zu werden. Die Menüs unterscheiden sich nach Hersteller und Android-Version. Über die Einstellungssuche lassen sich Begriffe wie Bedienungshilfen, Geräteadministrator-Apps oder Spezieller App-Zugriff finden.
Entziehe einer eindeutig verdächtigen App zusätzliche Rechte und deinstalliere sie. Entferne keine unbekannte Systemkomponente auf Verdacht. Bei einem Firmenhandy solltest Du Geräteverwaltung und Arbeitsprofil nicht eigenmächtig verändern, sondern die IT informieren.
Play Protect und Installationsfreigaben prüfen
Auf Geräten mit Google Play findest Du im Play Store über das Profilbild den Bereich Play Protect. Starte dort eine Überprüfung. Ein unauffälliges Ergebnis ist hilfreich, aber kein Beweis dafür, dass weder Schadsoftware noch ein Kontodiebstahl vorliegt.
Falls Du dem Browser oder Dateimanager das Installieren unbekannter Apps erlaubt hast, nimm diese Freigabe wieder zurück. Der entsprechende Einstellungsbereich heißt häufig Unbekannte Apps installieren. Installiere anschließend verfügbare Android-Sicherheitsupdates und App-Updates über die regulären System- und Store-Funktionen.
Lässt sich die verdächtige App nicht entfernen oder werden Einstellungen blockiert, experimentiere nicht mit weiteren Reinigungs-Apps. Nutze den Hersteller-Support beziehungsweise die offizielle Anleitung zum abgesicherten Modus für Dein Modell. Bis zur Klärung bleibt das Gerät für Banking und Passwortänderungen ungeeignet.
iPhone prüfen: Profile, VPN und installierte Apps
Auch auf dem iPhone sind gestohlene Zugangsdaten ein Risiko, selbst wenn keine zusätzliche App installiert wurde. Bei einer Installationsaufforderung prüfst Du außerdem, ob eine App, ein Konfigurationsprofil oder eine Geräteverwaltung hinzugefügt wurde.
Unter Einstellungen, Allgemein, VPN und Geräteverwaltung kannst Du vorhandene Konfigurationsprofile und Verwaltungszuordnungen kontrollieren. Je nach Einrichtung wird der Bereich ohne entsprechende Einträge nicht angezeigt. Ein heruntergeladenes Profil ist noch nicht automatisch installiert; dafür sind normalerweise weitere Bestätigungen nötig.
Entferne ein Profil nur, wenn Du es dem betrügerischen Vorgang zuordnen kannst. Profile eines Arbeitgebers oder einer Schule können legitime Einstellungen enthalten. Auf einem verwalteten iPhone ist die zuständige IT der richtige Ansprechpartner.
Kontrolliere zusätzlich unbekannte Apps und VPN-Verbindungen. Nutze bei Bedarf unter Allgemein und iPhone-Speicher die Liste installierter Apps. Eine neu aufgetauchte VPN-Verbindung ist ein Anlass zur Prüfung, aber für sich genommen kein Beweis für Datendiebstahl.
Installiere verfügbare iOS-Updates unter Einstellungen, Allgemein, Softwareupdate. Wurde eine Website als Web-App zum Home-Bildschirm hinzugefügt, entferne sie und kontrolliere ihre Mitteilungen. Eine im Browser angezeigte Virenmeldung kann das iPhone nicht verlässlich auf Schadsoftware untersuchen.
Was Verlauf löschen und Zurücksetzen tatsächlich leisten
Das Löschen von Website-Daten kann Cookies und lokale Daten einer Betrugsseite entfernen. Es holt jedoch keine übermittelten Passwörter zurück, stoppt keine bestätigte Zahlung und entfernt keine installierte Schad-App. Sichere bei einem Betrugsfall benötigte Angaben, bevor Du Browserdaten oder Nachrichten löschst.
Ein Zurücksetzen auf Werkseinstellungen ist nach einem bloßen Seitenaufruf normalerweise unverhältnismäßig. Es kann sinnvoll werden, wenn eine verdächtige Installation nicht zuverlässig entfernt werden kann, unerklärliche Verwaltungsrechte bestehen bleiben oder eine fachliche Prüfung dazu rät. Ein Reset sichert allerdings kein bereits übernommenes Onlinekonto.
Vor einem solchen Schritt brauchst Du Zugriff auf Deine Konten, Wiederherstellungscodes und eine Sicherung wichtiger persönlicher Dateien. Übernimm danach keine verdächtigen Apps oder Profile erneut. Bei einem beruflich genutzten Gerät oder möglichem Beweismaterial solltest Du das weitere Vorgehen zuvor mit der IT beziehungsweise der zuständigen Stelle abstimmen.
Nach dem Vorfall: Folgebetrug erkennen und Veränderungen prüfen
Bewahre die ursprüngliche Nachricht mit Absender, Zeitpunkt und gegebenenfalls Zahlungsbezug auf. Melde sie über die Meldefunktion des Nachrichtendienstes und informiere den imitierten Anbieter über dessen offiziellen Betrugs- oder Sicherheitskontakt. Teile einen noch anklickbaren Phishing-Link nicht unkommentiert mit anderen.
Wurden über Dein Konto bereits Nachrichten verschickt, warne die betroffenen Kontakte über einen unabhängigen Kanal. Hast Du Ausweisdaten oder Dokumente übermittelt, dokumentiere auch diese Weitergabe und achte auf unerwartete Vertrags-, Bestell- oder Kontoeröffnungsnachrichten. Beziehe bei erkennbarem Missbrauch den betroffenen Anbieter und die Polizei ein.
Prüfe in der nächsten Zeit Sicherheitsmeldungen, Wiederherstellungsdaten und finanzielle Vorgänge. Neue Anmeldecodes, unbekannte Geräte oder unerwartete Passwortänderungen verlangen eine erneute Kontoprüfung. Ein leerer Virenscan oder ein normal funktionierendes Handy kann gestohlene Kontodaten nicht ausschließen.
Für Deine nächsten Schritte zählt damit nicht, wie bedrohlich die Betrugsseite aussah, sondern was Du preisgegeben oder freigegeben hast. Sichere zuerst gefährdete Zahlungen und Konten. Die Gerätebereinigung folgt dort, wo tatsächlich Downloads, Installationen oder zusätzliche Berechtigungen im Spiel waren.
Passende Hilfethemen
