Web-Security 101

🌐 Was ist Web-Security heute?

Die Bedrohungslage — ohne Panik

Angreifer suchen keine Ziele, sie suchen Gelegenheiten

Der häufigste Irrtum lautet: „Bei mir gibt es nichts zu holen, ich bin nicht interessant." Das setzt voraus, dass sich jemand für dich persönlich entschieden hat. Genau das passiert fast nie. Die große Mehrheit der Angriffe läuft automatisiert: Mails an Millionen Adressen, Login-Versuche mit Passwörtern aus alten Datenlecks, Scans nach veralteter Software.

Du bist in diesem Modell kein Ziel, sondern eine Zeile in einer Liste. Deshalb ist Sicherheit auch keine Frage von Wichtigkeit, sondern von Aufwand: Wer eine Handvoll einfacher Dinge richtig macht, fällt aus der automatisierten Auswahl heraus – und übrig bleiben Angriffe, die sich für den Aufwand nicht lohnen.

Und dein Konto ist wertvoller, als es sich anfühlt. Ein gekapertes E-Mail-Konto ist nicht nur deine Mail: Es ist die Passwort-zurücksetzen-Adresse für alles andere – Bank, Shops, Behörden, Social Media. Deshalb ist die E-Mail-Adresse das wichtigste Konto, das du besitzt, wichtiger als das Bankkonto selbst.

Dieser Kurs behandelt keine Angriffstechniken. Es geht um das Gegenteil: erkennen, was auf dich zukommt, und wissen, welche wenigen Maßnahmen tatsächlich etwas bringen. Am Ende hast du eine Handvoll Gewohnheiten, keine Angst.

Tipp: Dein E-Mail-Konto ist der Generalschlüssel zu allen anderen Konten. Sichere es zuerst.

Die drei Wege, wie es dich trifft

Weg eins: Jemand bringt dich dazu, etwas zu tun. Du klickst, du gibst dein Passwort ein, du überweist Geld, du installierst etwas. Das ist Social Engineering, und es ist mit großem Abstand der häufigste Weg – weil er keine technische Lücke braucht, sondern nur einen Moment Unaufmerksamkeit.

Weg zwei: Dein Passwort wird anderswo geklaut. Ein Onlineshop, bei dem du 2019 bestellt hast, wird gehackt. Deine Mailadresse und dein Passwort landen in einer Liste. Jemand probiert diese Kombination automatisiert bei hundert anderen Diensten. Wenn du dasselbe Passwort mehrfach benutzt, ist das Spiel hier vorbei.

Weg drei: Deine Software hat eine Lücke, für die es längst ein Update gibt. Angreifer scannen das Internet nach genau diesen bekannten Lücken. Das ist der Grund, warum „später erinnern" bei Updates die teuerste Schaltfläche deines Lebens sein kann.

Diese drei Wege decken den Großteil dessen ab, was Privatleuten tatsächlich passiert. Der ganze Rest des Kurses arbeitet daran: Weg eins erkennen (Module 2 bis 8 und 18), Weg zwei schließen (Module 12 bis 17), Weg drei zumachen (Modul 21).

Tipp: Drei Wege: Du wirst überredet, dein Passwort war anderswo im Leck, deine Software ist veraltet.

Was du tatsächlich schützt

Bevor du Maßnahmen ergreifst, lohnt eine Minute Nachdenken: Was wäre für dich wirklich schlimm? Für die meisten Menschen sind es drei Dinge – der Zugang zum eigenen Leben (E-Mail, Handy, Bank), unwiederbringliche Daten (Fotos, Dokumente) und der gute Ruf (Konten, in deinem Namen missbraucht).

Diese Liste ist kurz, und das ist die gute Nachricht. Du musst nicht alles absichern. Du musst wissen, welche zwei, drei Konten und welche Daten den Unterschied machen – und dort konsequent sein, statt überall halbherzig.

Ein nützliches Bild ist das Schloss an der Wohnungstür. Kein Schloss ist unknackbar. Aber ein gutes Schloss sorgt dafür, dass jemand mit begrenzter Zeit und begrenztem Interesse weiterzieht. Genau das ist auch das realistische Ziel digitaler Sicherheit: nicht unangreifbar sein, sondern der unattraktivere Aufwand.

Und plane den Ernstfall mit ein. Sicherheit heißt nicht nur verhindern, sondern auch: Wenn doch etwas passiert, weiß ich, was zu tun ist, und ich habe eine Kopie meiner Daten. Darum geht es in den Modulen 22 und 23.

Tipp: Sichere die zwei, drei Konten, die alles andere aufsperren — konsequent statt überall halbherzig.

🎣 Phishing

Die häufigste Attacke überhaupt

Was Phishing eigentlich will

Phishing ist der Versuch, dich zu einer Handlung zu bringen, die du bei klarem Kopf nicht tun würdest. Meist geht es um eines von drei Zielen: dein Passwort (du tippst es auf einer gefälschten Anmeldeseite ein), dein Geld (du überweist oder zahlst) oder deinen Rechner (du öffnest einen Anhang oder installierst etwas).

Der Name kommt vom Angeln: Der Köder wird ausgeworfen, und es reicht, wenn ein kleiner Teil anbeißt. Bei Massenmails an Hunderttausende genügt eine Trefferquote von unter einem Prozent, damit sich die Sache lohnt.

Wichtig zu verstehen: Der Angriff findet nicht in der Technik statt, sondern in deinem Kopf. Deshalb hilft ein Virenscanner hier nur begrenzt. Die eigentliche Verteidigung ist eine Gewohnheit – die Fähigkeit, in genau dem Moment innezuhalten, in dem jemand Eile erzeugt.

Phishing kommt längst nicht mehr nur per E-Mail. Es gibt es per SMS (Smishing), per Telefon (Vishing), per Messenger, per QR-Code und über gefälschte Werbeanzeigen in Suchmaschinen. Der Kanal wechselt, das Muster bleibt gleich.

Tipp: Phishing greift nicht deinen Rechner an, sondern deine Aufmerksamkeit. Der Gegenzug ist Innehalten.

Die drei Hebel: Dringlichkeit, Autorität, Angst

Fast jede Phishing-Nachricht zieht an mindestens einem von drei Hebeln. Dringlichkeit: „Ihr Konto wird in 24 Stunden gesperrt." Autorität: Absender ist die Bank, die Polizei, der Chef, das Finanzamt. Angst oder Gier: eine angebliche Abbuchung, eine Rückerstattung, ein Paket, ein Gewinn.

Diese Hebel wirken, weil sie das langsame Nachdenken abschalten. Unter Zeitdruck prüft niemand Absenderadressen. Genau darauf ist die Nachricht gebaut – die Frist ist kein Detail, sondern der eigentliche Angriff.

Daraus folgt die einzige Regel, die du dir merken musst, wenn du dir sonst nichts merkst: Je dringender eine Nachricht klingt, desto langsamer solltest du werden. Echte Banken, Behörden und Arbeitgeber setzen keine 24-Stunden-Fristen per Mail. Und wenn doch: Ein Rückruf über die dir bekannte Nummer kostet zwei Minuten.

Eine bewährte Gegenprobe: Reagiere nie im Kanal der Nachricht. Nicht auf den Link klicken, nicht die angegebene Nummer anrufen, nicht auf die Mail antworten. Stattdessen selbst zur Seite gehen – App öffnen, Adresse von Hand tippen, Nummer von der Rückseite der Karte nehmen.

Tipp: Nie im Kanal der Nachricht reagieren. App selbst öffnen, Adresse selbst tippen, Nummer von der Karte.

Gezieltes Phishing: wenn es persönlich wird

Neben der Massenware gibt es zielgerichtete Varianten. Beim Spear-Phishing weiß der Absender etwas über dich: deinen Arbeitgeber, ein laufendes Projekt, den Namen deiner Chefin. Diese Informationen stammen aus sozialen Netzwerken, aus Impressen oder aus früheren Datenlecks – niemand muss dich dafür ausspionieren.

Eine besonders teure Variante trifft Firmen: Eine Mail scheinbar von der Geschäftsführung bittet um eine dringende, vertrauliche Überweisung. Es gibt keine Schadsoftware, keinen Link, nichts, was ein Filter erkennen könnte – nur eine glaubwürdige Bitte unter Zeitdruck. Der Schutz ist rein organisatorisch: Zahlungen ab einer bestimmten Höhe werden immer über einen zweiten Kanal bestätigt.

Neu ist die Qualität. Sprachfehler als Erkennungsmerkmal sind weitgehend verschwunden, seit Texte maschinell erzeugt werden; Stimmen am Telefon lassen sich nachbilden. Verlass dich deshalb nicht mehr auf holprige Formulierungen als Warnsignal – prüfe Absender und Vorgang, nicht die Sprachqualität.

Die Verteidigung bleibt trotzdem dieselbe und wird sogar wichtiger: nicht dem Kanal vertrauen, sondern über einen zweiten, selbst gewählten Weg zurückfragen. Eine perfekt formulierte Mail und eine perfekt klingende Stimme können beide gefälscht sein – ein Rückruf auf die dir bekannte Nummer nicht.

Tipp: Fehlerfreies Deutsch ist kein Echtheitsbeweis mehr. Prüfe den Vorgang, nicht die Sprache.

🔬 Anatomie einer Phishing-Mail

Sechs Stellen, die du prüfst

Der Aufbau ist fast immer gleich

Eine Phishing-Mail besteht aus sechs Bauteilen, und jedes davon ist eine Prüfstelle. Erstens der Absender: ein vertrauter Name im Anzeigefeld, oft eine ganz andere Adresse dahinter. Zweitens die Anrede: „Sehr geehrter Kunde" statt deines Namens – oder umgekehrt dein Name, weil er aus einem Leck stammt.

Drittens der Anlass: eine Abbuchung, ein Paket, eine Sperrung, eine Rückerstattung. Viertens die Frist – der Zeitdruck aus Modul 2. Fünftens der Handlungsaufruf: ein Knopf oder Link, der zur Anmeldeseite führen soll. Sechstens die Aufmachung: Logo, Farben, Fußzeile, oft ein exaktes Abbild des Originals.

Bauteil sechs ist der Grund, warum „sieht echt aus" kein Kriterium ist. Logos und Layouts sind öffentlich; eine gefälschte Mail sieht heute oft besser aus als die echte, weil sie aus einem sauberen Baukasten stammt.

Prüfe deshalb die Bauteile eins und fünf – Absender und Ziel des Links. Die beiden lassen sich nicht so leicht fälschen wie das Aussehen, und ihnen sind die nächsten Module gewidmet.

Tipp: „Sieht echt aus" ist kein Kriterium. Logos sind öffentlich — prüfe Absender und Linkziel.

Die roten Flaggen

Manche Signale sind so verlässlich, dass sie allein zum Abbruch reichen. Erstens: Es wird nach Zugangsdaten, PIN, TAN oder Kreditkartennummer gefragt – kein seriöser Anbieter tut das per Mail oder Telefon. Zweitens: Es wird zu einer Zahlung in ungewöhnlicher Form gedrängt, etwa Gutscheinkarten, Krypto oder Bargeldtransfer.

Drittens: Die Nachricht bezieht sich auf etwas, das du nicht getan hast – eine Bestellung, die du nicht aufgegeben hast, ein Abo, das du nicht abgeschlossen hast. Das ist Absicht: Der Schreck über die angebliche Abbuchung soll dich zum Klicken bringen. Genau dann nicht klicken, sondern selbst im Konto nachsehen.

Viertens: Anhänge, die du nicht erwartest, besonders Office-Dateien mit Makro-Nachfrage, ZIP-Archive, oder Dateien mit doppelter Endung wie `rechnung.pdf.exe`. Fünftens: Antwortadressen, die von der Absenderadresse abweichen.

Und ein Sonderfall, der viele erwischt: Die Mail sieht wie eine Antwort in einem echten Verlauf aus, inklusive zitiertem Text. Das kann bedeuten, dass ein anderer Beteiligter kompromittiert wurde. Auch dann gilt: Vorgang über einen zweiten Kanal bestätigen, bevor du reagierst.

Tipp: Bezieht sich die Mail auf etwas, das du nie getan hast? Nicht klicken — selbst im Konto nachsehen.

Vier Beispiele im Vergleich

Beispiel eins: Absender „DHL Zustellung" <dhl-info@paket-status-check.net>, Text: „Ihr Paket konnte nicht zugestellt werden, Zollgebühr 2,90 € nachzahlen." Kleiner Betrag, plausibler Anlass, echtes Logo. Der Verrat steckt in der Domain – `paket-status-check.net` gehört nicht zu DHL.

Beispiel zwei: „Ihre Apple-ID wurde auf einem neuen Gerät verwendet. Waren Sie das nicht? Hier klicken." Das nutzt die richtige Reaktion (Sorge) für den falschen Weg. Richtig wäre: Gerät selbst in den Kontoeinstellungen prüfen, nicht über den Link.

Beispiel drei: eine Mail vom eigenen Arbeitgeber, „Neue Personalrichtlinie – bitte mit Firmenkonto anmelden", Link zu einer Anmeldeseite, die aussieht wie das Firmen-Login. Hier hilft nur: Die Adresse im Browser prüfen, bevor du Zugangsdaten eintippst.

Und zum Vergleich eine echte Mail: Sie spricht dich mit vollem Namen und meist mit einer Kunden- oder Vorgangsnummer an, sie fordert keine Zugangsdaten, sie setzt keine Stundenfrist, und sie funktioniert auch, wenn du sie ignorierst und dich stattdessen selbst einloggst. Dieser letzte Punkt ist der beste Test überhaupt.

Tipp: Der beste Test: Funktioniert die Sache auch, wenn du die Mail ignorierst und dich selbst einloggst?

📧 Absender prüfen

Anzeigename, echte Adresse, SPF/DKIM/DMARC

Anzeigename ist kein Absender

In deinem Posteingang siehst du meist nur einen Anzeigenamen: „Postbank Service", „Amazon", „Anna Meier". Dieser Name ist frei wählbar – er ist ungefähr so verbindlich wie der Absender, den jemand von Hand auf einen Briefumschlag schreibt. Die eigentliche Adresse steht dahinter und wird oft ausgeblendet, besonders auf dem Handy.

Erste Handlung bei jeder verdächtigen Mail: die echte Adresse sichtbar machen. Am Handy auf den Namen tippen, am Rechner mit der Maus darüberfahren oder die Detailansicht öffnen. Was du suchst, ist der Teil hinter dem @ – die Domain.

Und dort zählt nur das Ende. Bei `service@amazon.sicherheit-check.info` ist die Domain `sicherheit-check.info`, nicht Amazon. Wie man das zuverlässig liest, ist Thema von Modul 5 – es ist die wichtigste Lesefähigkeit dieses ganzen Kurses.

Zweite Prüfstelle: die Antwortadresse. Manche Fälschungen tragen einen echt aussehenden Absender, leiten Antworten aber woanders hin. In der Detailansicht steht das als „Antwort an" bzw. `Reply-To`.

Tipp: Am Handy immer auf den Absendernamen tippen. Was zählt, ist die Domain hinter dem @.

SPF, DKIM und DMARC — was die drei tun

E-Mail wurde ohne Absenderprüfung erfunden. Drei nachträgliche Verfahren schließen diese Lücke, und du musst sie nicht einrichten – aber es hilft zu wissen, was sie aussagen, wenn dein Mailprogramm sie anzeigt.

SPF beantwortet: Darf dieser Server überhaupt Mail für diese Domain verschicken? Die Domain hinterlegt dafür eine Liste erlaubter Server. DKIM beantwortet: Wurde die Mail unterwegs verändert? Der Versandserver signiert sie kryptografisch, der Empfänger prüft die Signatur.

DMARC verbindet beides und ergänzt die entscheidende Frage: Passt die geprüfte Domain zu der, die du im Absenderfeld siehst? Und es legt fest, was bei Nichtbestehen passieren soll – nichts, Spamordner oder Ablehnung. Erst DMARC macht die anderen beiden für dich als Empfänger nützlich.

Für dich praktisch heißt das: Eine bestandene Prüfung bedeutet nur, dass die Mail wirklich von dieser Domain kommt – nicht, dass die Domain vertrauenswürdig ist. Eine Phishing-Mail von `sicherheit-check.info` kann alle drei Prüfungen bestehen, weil die Angreifer ihre eigene Domain korrekt konfiguriert haben. Umgekehrt ist eine fehlgeschlagene Prüfung ein starkes Warnsignal.

Tipp: Bestandene SPF/DKIM/DMARC-Prüfung heißt: kommt wirklich von dieser Domain. Nicht: Domain ist seriös.

In die Kopfzeilen schauen

Jede Mail trägt technische Kopfzeilen mit sich, die dein Programm normalerweise versteckt. In Gmail heißt der Menüpunkt „Original anzeigen", in Outlook „Nachrichtenoptionen" bzw. „Internetkopfzeilen", in Apple Mail „Alle Kopfzeilen einblenden". Du musst dort nichts verstehen – drei Zeilen reichen.

`From:` ist der angezeigte Absender. `Reply-To:` ist die Adresse, an die deine Antwort ginge – weicht sie ab, ist das verdächtig. `Return-Path:` bzw. `Envelope-From` ist die technische Rücksendeadresse und passt bei Fälschungen häufig nicht zum sichtbaren Absender.

Dazu kommt eine Zeile wie `Authentication-Results:`, in der das Ergebnis der drei Prüfungen aus der letzten Lektion steht – etwa `spf=pass`, `dkim=pass`, `dmarc=fail`. Ein `fail` bei DMARC ist ein deutliches Signal, dass die Mail nicht von der Domain stammt, die sie behauptet.

Das alles ist Kür, nicht Pflicht. Für den Alltag reichen Absenderdomain und Linkziel. Aber wenn du bei einer wichtigen Mail wirklich sicher sein willst – etwa bei einer Zahlungsaufforderung –, sind diese drei Zeilen in zwei Minuten geprüft.

Tipp: Drei Kopfzeilen genügen: From, Reply-To, Authentication-Results. Ein dmarc=fail ist ein klares Stopp.

🔤 Domains lesen

Die wichtigste Lesefähigkeit im Netz

Von rechts nach links lesen

Eine Webadresse liest man nicht wie einen deutschen Satz von links nach rechts, sondern von rechts nach links – zumindest den Teil, auf den es ankommt. Ganz rechts steht die Endung, die Top-Level-Domain: `.de`, `.com`, `.ch`, `.info`. Direkt links davon steht der Name, den jemand gekauft hat.

Diese beiden zusammen sind die eigentliche Domain, und nur sie sagt, wem die Seite gehört. Bei `login.paypal.com` ist die Domain `paypal.com`, und `login` ist eine Subdomain, die PayPal selbst vergeben hat. Bei `login.paypal.attacker.com` ist die Domain `attacker.com` – und „paypal" ist nur ein Wort, das der Angreifer davorsetzen durfte.

Genau hier fallen die meisten Menschen herein: Sie sehen „paypal" und hören auf zu lesen. Die Regel dagegen ist mechanisch: Suche das letzte Wort vor der Endung. Das ist der Eigentümer. Alles, was davor mit Punkten abgetrennt steht, konnte dieser Eigentümer frei erfinden.

Merksatz: Subdomains kann sich jeder ausdenken, die Domain muss man kaufen. Wer `attacker.com` besitzt, kann in einer Minute `sparkasse.login.sicher.attacker.com` einrichten – ohne jemals mit der Sparkasse zu tun gehabt zu haben.

Tipp: Suche das letzte Wort vor der Endung. Das ist der Eigentümer — alles davor ist frei erfunden.

Der Schrägstrich beendet die Domain

Die zweite große Falle ist der Pfad. Nach der Domain folgt oft ein Schrägstrich und danach der Pfad innerhalb der Seite. Alles nach dem ersten einzelnen Schrägstrich gehört nicht mehr zur Domain und sagt nichts darüber aus, wem die Seite gehört.

Vergleiche: `paypal.com/login` liegt bei PayPal. `attacker.com/paypal.com/login` liegt bei `attacker.com` – dort ist „paypal.com" bloß ein Ordnername. Die Adresse sieht auf den ersten Blick vertraut aus und ist doch etwas völlig anderes.

Dieselbe Logik gilt für das Fragezeichen und alles danach – die Parameter. `attacker.com/?redirect=paypal.com` ist eine Seite von `attacker.com`. Solche Adressen kommen in Phishing-Mails häufig vor, weil das Auge nach dem bekannten Wort sucht und dabei den Anfang überliest.

Zusammengefasst: Lies vom Anfang bis zum ersten einzelnen Schrägstrich, und darin die letzten zwei Bestandteile. Das ist die Domain. Alles andere – Subdomains davor, Pfad und Parameter danach – ist frei gestaltbar.

Tipp: Nach dem ersten Schrägstrich hörst du auf zu lesen. Was danach kommt, sagt nichts über den Eigentümer.

Übung an echten Beispielen

`https://www.postbank.de/kunden/login` — Domain `postbank.de`. `www` und `kunden` sind Subdomain und Pfad, beide von der Postbank selbst gesetzt. Sieht gut aus.

`https://postbank.de.sicherheit-portal.com/login` — Domain `sicherheit-portal.com`. Der Trick: `postbank.de` steht als Subdomain davor und wirkt wie eine echte Adresse, ist aber nur ein Präfix. Das ist eine der häufigsten Varianten überhaupt.

`https://sicher-postbank.de/login` — Domain `sicher-postbank.de`. Hier gibt es keinen Punkt vor „postbank", sondern einen Bindestrich: Das ist eine komplett andere, eigens registrierte Domain. Bindestrich-Varianten des echten Namens sind fast immer ein Warnsignal.

`https://postbank.de@sicherheit-portal.com/` — hier liegt die Falle im @-Zeichen: Alles davor wird vom Browser als Benutzername interpretiert, die tatsächliche Adresse ist `sicherheit-portal.com`. Moderne Browser warnen davor oder blenden den Teil aus, aber in einer Mail sieht der Link erst einmal überzeugend aus.

Tipp: Bindestrich statt Punkt („sicher-postbank.de“) ist fast immer eine eigens registrierte Fälschung.

🪞 Lookalike-Domains

Punycode, kyrillische Zwillinge, Tippfehler

Buchstaben, die keine sind

Seit Domains auch Umlaute und andere Schriftzeichen enthalten dürfen, gibt es ein Problem: Manche Zeichen aus anderen Alphabeten sehen lateinischen Buchstaben zum Verwechseln ähnlich. Das kyrillische „а" ist für dein Auge identisch mit dem lateinischen „a" – für den Computer sind es zwei völlig verschiedene Zeichen.

Damit lässt sich eine Domain bauen, die auf dem Bildschirm exakt aussieht wie `apple.com`, technisch aber eine ganz andere Adresse ist. Der Fachbegriff dafür ist Homograph-Angriff. Ähnliche Paare gibt es viele: kyrillisch „о", „е", „р", „с" und griechische Zeichen.

Technisch werden solche Domains als Punycode gespeichert – eine reine ASCII-Schreibweise, die immer mit `xn--` beginnt. Aus einer optisch perfekten Fälschung wird dann etwas wie `xn--pple-43d.com`. Genau daran erkennst du sie.

Moderne Browser helfen: Sie zeigen verdächtige Mischungen aus mehreren Schriftsystemen direkt in der Punycode-Form an. Wenn du in der Adresszeile jemals `xn--` siehst, ist das ein sofortiges Stopp-Signal – bei einer bekannten Marke gibt es dafür keinen legitimen Grund.

Tipp: Steht `xn--` in der Adresszeile, ist die Domain in einer Fremdschrift geschrieben. Bei bekannten Marken: sofort weg.

Typosquatting: der Tippfehler als Geschäftsmodell

Die einfachere Variante braucht gar keine Sonderzeichen. Angreifer registrieren Domains, die sich nur um einen Buchstaben von der echten unterscheiden, und warten auf Vertipper: `gogle.com`, `amazn.de`, `paypaI.com` – bei letzterem ist das kleine L durch ein großes i ersetzt, in vielen Schriftarten nicht unterscheidbar.

Weitere Muster: vertauschte Nachbarbuchstaben (`gogole`), verdoppelte Buchstaben (`googgle`), die falsche Endung (`.co` statt `.com`, `.cm` statt `.com`) oder ein angehängtes Wort (`amazon-service.de`).

Der Schutz ist unspektakulär und wirksam: Tippe wichtige Adressen nicht jedes Mal neu, sondern arbeite mit Lesezeichen. Ein Lesezeichen kann sich nicht vertippen. Für Bank, Mail und alles mit Zahlungsdaten sollte der Weg immer über ein Lesezeichen oder die offizielle App führen.

Zweiter Schutz, fast noch besser: ein Passwort-Manager. Der füllt Zugangsdaten nur auf der exakt hinterlegten Domain aus. Wenn er auf einer Seite, die aussieht wie deine Bank, plötzlich nichts anbietet, ist das kein Fehler des Programms – das ist die Warnung.

Tipp: Füllt der Passwort-Manager auf einer vertrauten Seite plötzlich nichts aus, ist das keine Panne, sondern die Warnung.

Was du im Zweifel prüfst

Erstens: die Adresse groß und in Ruhe ansehen. Auf dem Handy ist die Adresszeile oft gekürzt – einmal antippen zeigt die vollständige Adresse. Genau in dieser Kürzung verschwindet der entscheidende Teil.

Zweitens: Ist die Domain die, die du erwartest, oder eine mit Zusatz? Firmen benutzen für Kampagnen manchmal eigene Domains – das ist legitim, aber es ist auch die Lücke, durch die Fälschungen unauffällig bleiben. Im Zweifel über die Hauptseite navigieren statt über den Link.

Drittens: Wenn eine Seite Zugangsdaten will, immer prüfen. Bei reinem Lesen ist eine falsche Domain unangenehm, bei einer Anmeldemaske ist sie das eigentliche Ziel des Angriffs.

Und viertens, für Firmen relevant: Es gibt Dienste, die eigene Lookalike-Domains überwachen und melden, wenn jemand eine registriert. Für Privatpersonen ist das überzogen – dort reichen Lesezeichen, Passwort-Manager und ein zweiter Blick vor dem Anmelden.

Tipp: Auf dem Handy die gekürzte Adresszeile einmal antippen — in der Kürzung verschwindet genau der wichtige Teil.

🔗 Links prüfen vor dem Klick

Vorschau, Kurzlinks, Encoding

Das Ziel sehen, ohne zu klicken

Der Text eines Links und sein Ziel haben nichts miteinander zu tun. Ein Link kann `www.sparkasse.de` heißen und irgendwohin führen – Anzeigetext und Adresse sind zwei getrennte Angaben, wie Anzeigename und Adresse bei einer Mail.

Am Rechner: mit dem Mauszeiger über den Link fahren, ohne zu klicken. Unten links im Fenster erscheint das tatsächliche Ziel. Diese eine Bewegung ist die günstigste Sicherheitsmaßnahme, die es gibt.

Am Handy: lange auf den Link tippen und halten, bis ein Menü mit Vorschau erscheint. Dort steht die vollständige Adresse. Nicht kurz tippen – das öffnet sie.

Und beurteile das Ziel nach der Regel aus Modul 5: das letzte Wort vor der Endung, alles bis zum ersten Schrägstrich. Ein langer, unübersichtlicher Link ist nicht automatisch gefährlich – entscheidend ist immer nur dieser Teil am Anfang.

Tipp: Am Rechner drüberfahren, am Handy lange drücken. Beides zeigt das echte Ziel, ohne es zu öffnen.

Kurzlinks und Weiterleitungen

Kurzlinks verbergen ihr Ziel von Natur aus. Sie sind praktisch und weit verbreitet, aber du siehst vor dem Klick nicht, wohin sie führen. In einer unerwarteten Nachricht ist ein Kurzlink deshalb ein Warnsignal – nicht weil er böse ist, sondern weil er die Prüfung verhindert.

Es gibt Dienste, die einen Kurzlink auflösen und das Ziel anzeigen, ohne ihn zu öffnen. Viele Verkürzer selbst bieten das an, indem man ein Pluszeichen an den Link hängt. Für den Alltag gilt aber die einfachere Regel: Kurzlink in einer unerwarteten Nachricht – nicht klicken, sondern die Seite selbst aufrufen.

Verwandt ist die offene Weiterleitung: Ein Link zeigt auf eine echte, vertrauenswürdige Domain, enthält aber einen Parameter, der von dort weiterschickt – etwa `echte-seite.de/go?url=attacker.com`. Der Anfang stimmt, das Ziel nicht. Deshalb lohnt bei langen Adressen ein Blick darauf, ob eine zweite Adresse in den Parametern steckt.

Und Vorsicht bei bezahlten Suchergebnissen: Angreifer schalten Anzeigen auf Markennamen, die über eine harmlose Zwischenstation auf eine gefälschte Seite führen. Wer über eine Suchmaschine zu seiner Bank will, sollte das erste Ergebnis nicht ungeprüft nehmen – besser Lesezeichen.

Tipp: Kurzlink in einer unerwarteten Nachricht: nicht klicken. Er verhindert genau die Prüfung, die du bräuchtest.

Verschleierung durch Encoding

In Webadressen dürfen bestimmte Zeichen nicht direkt stehen. Sie werden dann als Prozentzeichen plus zwei Ziffern geschrieben – `%2F` steht für den Schrägstrich, `%40` für das @-Zeichen, `%20` für ein Leerzeichen. Das ist ein normaler technischer Vorgang.

Missbraucht wird er, um Adressen unleserlich zu machen. Wenn in einem Link auffällig viele Prozentzeichen stehen, obwohl es um eine simple Anmeldeseite geht, ist das kein gutes Zeichen. Seriöse Anbieter haben keinen Grund, ihre Adressen zu verschleiern.

Zwei weitere Verschleierungen: sehr lange Subdomain-Ketten, die den echten Domainnamen aus dem sichtbaren Bereich schieben, und Adressen mit vielen Punkten und Bindestrichen, bei denen das Auge kapituliert. Beides zielt darauf, dass du aufgibst und einfach klickst.

Die richtige Reaktion auf eine unleserliche Adresse ist immer dieselbe: nicht entschlüsseln, sondern nicht benutzen. Du musst keine Adresse verstehen – du musst nur erkennen, dass sie dir nicht erlaubt, den Eigentümer zu bestimmen. Das allein ist Grund genug, den offiziellen Weg zu gehen.

Tipp: Eine Adresse, die du nicht lesen kannst, musst du nicht entschlüsseln — du benutzt sie einfach nicht.

📱 QR-Codes

Quishing — Phishing ohne sichtbaren Link

Warum QR-Codes ein Problem sind

Ein QR-Code ist nichts weiter als eine Adresse in Bildform. Das Problem ist offensichtlich, sobald man es ausspricht: Du kannst ihn nicht lesen. Alle Prüftechniken aus den letzten Modulen – Domain lesen, Ziel anzeigen, Encoding erkennen – setzen voraus, dass du die Adresse siehst. Beim QR-Code siehst du ein Muster.

Dazu kommt ein zweites Problem: QR-Codes werden fast immer mit dem Handy gescannt, und auf dem Handy ist die Adresszeile gekürzt, der Bildschirm klein und die Aufmerksamkeit meist woanders – man steht am Parkautomaten, im Restaurant, an der Haltestelle.

Und drittens rutschen QR-Codes durch Spamfilter. Ein Bild enthält keinen anklickbaren Link, den ein Filter prüfen könnte. Genau deshalb tauchen QR-Codes zunehmend in Phishing-Mails auf, gern mit der Begründung, man solle „zur Sicherheit" mit dem Handy scannen.

Der Fachbegriff dafür ist Quishing – QR plus Phishing. Das Muster ist identisch mit allem aus Modul 2, nur der Transportweg ist neu.

Tipp: Ein QR-Code in einer E-Mail ist ein Umweg um den Spamfilter — und um deine Prüfung.

Der aufgeklebte Code

Die physische Variante ist noch simpler: Jemand klebt einen eigenen QR-Code über den echten. Beliebte Orte sind Parkautomaten, Ladesäulen, Speisekarten, Plakate und Aushänge in Hausfluren. Der Aufwand besteht aus einem Aufkleber.

Deshalb lohnt bei QR-Codes im öffentlichen Raum ein kurzer Blick mit dem Finger: Fühlt sich der Code wie aufgeklebt an? Sitzt er schief, überdeckt er Text, hat er einen anderen Druck oder Glanz als der Rest? Ein aufgeklebter Code auf einem Automaten ist ein sehr starkes Warnsignal.

Besonders teuer wird es bei Bezahlvorgängen. Wenn ein Parkautomat oder eine Ladesäule dich per QR-Code zu einer Zahlung führt, prüfe die Adresse nach dem Scannen ganz genau – oder nutze die offizielle App des Betreibers, die du selbst installiert hast.

Gleiches gilt für QR-Codes auf Briefen und Rechnungen, die angeblich von einer Behörde oder einem Versorger kommen. Papierpost wirkt seriöser als E-Mail, ist aber genauso fälschbar – und der Code darauf ebenso.

Tipp: Fühl mit dem Finger, ob der QR-Code aufgeklebt ist. Bei Automaten ist das der häufigste Trick.

Richtig scannen

Die wichtigste Gewohnheit: Nach dem Scannen erscheint die Adresse als Vorschau, bevor die Seite öffnet – lies sie. Genau dafür ist diese Anzeige da, und genau sie überspringen die meisten Menschen mit einem reflexhaften Tipp auf „Öffnen".

Zweitens: Keine Zugangsdaten auf einer Seite eingeben, zu der dich ein QR-Code geführt hat. Wenn nach dem Scannen ein Login verlangt wird, brich ab und melde dich über die App oder eine selbst getippte Adresse an. Diese eine Regel deckt fast alle Quishing-Fälle ab.

Drittens: Skepsis bei Codes, die eine Zahlung, eine Anmeldung oder eine Installation auslösen sollen. Unbedenklich sind Codes, die dich zu einer Speisekarte, einem Fahrplan oder einer Produktseite führen – dort gibst du nichts preis.

Und viertens: Die Kamera-App zeigt die Adresse meist verkürzt. Halte kurz inne und lies mindestens bis zum ersten Schrägstrich. Wenn du das nicht kannst, weil die Anzeige zu kurz ist, ist Nicht-Öffnen die richtige Entscheidung.

Tipp: Nie Zugangsdaten auf einer Seite eingeben, zu der dich ein QR-Code geführt hat. Diese Regel allein reicht weit.

🔒 HTTPS und Zertifikate

Was das Schloss wirklich aussagt

Das Schloss sagt weniger, als du denkst

Das Schloss-Symbol in der Adresszeile bedeutet genau eines: Die Verbindung zwischen deinem Gerät und diesem Server ist verschlüsselt, und niemand dazwischen kann mitlesen oder verändern. Das ist wertvoll – im offenen WLAN, beim Mobilfunk, bei jedem Netzwerk, dem du nicht traust.

Was das Schloss ausdrücklich nicht bedeutet: dass die Seite ehrlich ist. Eine Phishing-Seite hat heute praktisch immer ein gültiges Zertifikat, weil Zertifikate kostenlos und automatisiert zu bekommen sind. Verschlüsselt zu einem Betrüger ist immer noch ein Betrüger.

Früher galt „achte auf das Schloss" als guter Rat, weil HTTPS selten war. Heute ist die Lage umgekehrt: Verschlüsselung ist der Normalfall, Browser markieren eher deren Fehlen. Das Schloss ist damit vom Gütesiegel zur Selbstverständlichkeit geworden.

Die praktische Konsequenz: Prüfe nicht das Schloss, prüfe den Namen daneben. Die Domain sagt dir, mit wem du sprichst; das Schloss sagt nur, dass niemand mithört. Beides zusammen ergibt Sicherheit, das Schloss allein nicht.

Tipp: Das Schloss sagt „niemand hört mit", nicht „der Gesprächspartner ist ehrlich". Prüfe die Domain daneben.

Was ein Zertifikat beweist

Ein Zertifikat ist eine Bestätigung einer dritten Stelle, dass der Server tatsächlich zu der Domain gehört, die er behauptet. Die häufigste Variante wird rein automatisch ausgestellt: Wer nachweisen kann, dass er eine Domain kontrolliert, bekommt binnen Sekunden ein Zertifikat – kostenlos.

Genau deshalb beweist ein Zertifikat nur Domain-Kontrolle, nicht Seriosität. Es gibt aufwendigere Varianten, bei denen die Existenz der Organisation geprüft wird, aber Browser stellen diese Unterschiede kaum noch sichtbar dar. Verlass dich also nicht darauf.

Du kannst ein Zertifikat trotzdem ansehen: Klick auf das Schloss, dann auf „Verbindung ist sicher" bzw. „Zertifikat". Dort steht, für welche Domain es ausgestellt wurde, von wem und wie lange es gilt. Interessant ist vor allem die erste Angabe: Sie muss zur Domain in der Adresszeile passen.

Aktueller Stand der Technik ist TLS 1.3 – die Nachfolge von SSL, das seit langem als unsicher gilt. Du musst dich darum nicht kümmern, dein Browser verhandelt das automatisch und lehnt veraltete Verfahren ab. Wenn eine Seite deshalb nicht lädt, ist die Seite das Problem, nicht dein Browser.

Tipp: Ein Zertifikat beweist Domain-Kontrolle, nicht Ehrlichkeit. Es ist kostenlos und in Sekunden zu haben.

Wenn der Browser warnt

Eine Zertifikatswarnung sieht dramatisch aus und hat meist eine banale Ursache: abgelaufenes Zertifikat, falsch geschriebener Domainname, falsch gestellte Uhr auf deinem Gerät. Trotzdem gilt eine einfache Regel – bei Seiten mit Anmeldung oder Zahlung wird eine solche Warnung nie weggeklickt.

Der gefährliche Fall dahinter heißt Man-in-the-Middle: Jemand im selben Netz hängt sich zwischen dich und die Seite und legt sein eigenes Zertifikat vor. Genau davor warnt der Browser. Im heimischen Netz ist das unwahrscheinlich, im öffentlichen WLAN deutlich weniger.

Prüfe bei einer Warnung zuerst Datum und Uhrzeit deines Geräts – eine falsche Uhr ist die häufigste harmlose Ursache. Danach: Bist du auf der richtigen Domain, oder hast du dich vertippt?

Und wenn du eine Warnung wirklich einmal übergehen musst – etwa bei einem Gerät im eigenen Heimnetz, das kein offizielles Zertifikat hat –, dann tu es bewusst und nur dort. Ein Muster daraus zu machen ist der eigentliche Fehler: Wer Warnungen gewohnheitsmäßig wegklickt, hat den Schutz abgeschaltet.

Tipp: Bei Zertifikatswarnung zuerst die Uhr deines Geräts prüfen — falsche Zeit ist die häufigste harmlose Ursache.

🔢 HTTP-Statuscodes

Was der Browser dir mitteilt

Die fünf Familien

Jedes Mal, wenn dein Browser eine Seite anfragt, antwortet der Server mit einer dreistelligen Zahl. Die erste Ziffer verrät die Art der Antwort, und mehr musst du eigentlich nicht wissen: 1xx heißt „läuft noch", 2xx heißt „hat geklappt", 3xx heißt „woanders", 4xx heißt „dein Fehler", 5xx heißt „mein Fehler".

Der bekannteste ist 404 – „nicht gefunden". Er gehört zur 4er-Familie und heißt: Die Anfrage war in Ordnung, aber diese Seite gibt es hier nicht. 403 bedeutet „verboten", 401 „nicht angemeldet", 429 „zu viele Anfragen".

Die 5er-Familie ist die interessantere: 500 heißt, dass auf dem Server etwas kaputtgegangen ist, 502 und 504 zeigen Probleme zwischen mehreren Servern, 503 heißt „vorübergehend nicht verfügbar" – oft bei Überlastung oder Wartung. Bei 5xx hilft Warten, bei 4xx nicht.

Warum das für Sicherheit relevant ist: Statuscodes sind die einzige verlässliche Rückmeldung darüber, was mit deiner Anfrage tatsächlich passiert ist. Wer sie grob einordnen kann, lässt sich schwerer erzählen, „die Seite hat nicht funktioniert, geben Sie Ihre Daten nochmal ein".

Tipp: Erste Ziffer genügt: 2 = geklappt, 3 = woanders, 4 = dein Fehler, 5 = Serverfehler. Bei 5xx hilft Warten.

Weiterleitungen: die 3er-Familie

Ein 301 bedeutet „dauerhaft umgezogen", ein 302 oder 307 „vorübergehend woanders". Dein Browser folgt solchen Antworten automatisch, meist ohne dass du etwas merkst. Genau das macht sie sicherheitsrelevant.

Weiterleitungen sind alltäglich und harmlos: von `http` auf `https`, von `www.seite.de` auf `seite.de`, von einer alten auf eine neue Adresse. Fast jede Seite, die du besuchst, leitet mindestens einmal um.

Missbraucht werden sie in Ketten: Du klickst auf einen Link zu einer harmlosen Domain, wirst über zwei, drei Stationen geschickt und landest woanders. Das ist der Grund, warum Anzeigen in Suchmaschinen und Kurzlinks als Einstieg beliebt sind – der erste Schritt sieht sauber aus.

Praktische Konsequenz: Beurteile nicht die Adresse, auf die du geklickt hast, sondern die, auf der du gelandet bist. Nach jedem Klick, bei dem du dich anmelden oder etwas eingeben sollst, gehört ein Blick in die Adresszeile – erst dort steht, wo du wirklich bist.

Tipp: Beurteile nicht, wo du hingeklickt hast, sondern wo du gelandet bist. Nach dem Klick in die Adresszeile schauen.

Fehlerseiten richtig lesen

Eine echte Fehlerseite ist unspektakulär: eine kurze Meldung, oft im Design der Seite, manchmal nur weißer Hintergrund mit einer Zeile Text. Sie will nichts von dir – keine Zugangsdaten, keine Telefonnummer, keine Installation.

Genau das unterscheidet sie von der gefälschten Variante. Ein klassisches Muster ist die angebliche Fehlermeldung, die dazu auffordert, eine Nummer anzurufen („Ihr Rechner ist infiziert, wenden Sie sich sofort an den Support"). Am anderen Ende sitzt kein Support, sondern der Angriff.

Ebenso häufig: eine Seite, die einen abgelaufenen Anmeldevorgang vortäuscht und zur erneuten Eingabe auffordert. Wenn dir nach einer Fehlermeldung eine Anmeldemaske begegnet, geh zurück auf Anfang – Seite selbst aufrufen, dort anmelden.

Merksatz: Eine echte Fehlerseite informiert, eine gefälschte fordert auf. Sobald eine Fehlermeldung eine Handlung von dir verlangt – anrufen, herunterladen, Daten eingeben –, ist es keine Fehlermeldung mehr, sondern ein Angriff im Kostüm.

Tipp: Echte Fehlerseiten informieren. Sobald eine Fehlermeldung dich zu etwas auffordert, ist es keine.

⚠️ Browser-Warnungen

Mixed Content und andere Hinweise

Mixed Content: halb verschlüsselt ist nicht verschlüsselt

Von Mixed Content spricht man, wenn eine verschlüsselte Seite Bestandteile unverschlüsselt nachlädt – ein Bild, ein Skript, ein Stylesheet über `http` statt `https`. Die Seite wirkt sicher, ein Teil ihres Inhalts ist es aber nicht.

Bei Bildern ist das unschön, bei Skripten ernst: Ein unverschlüsselt geladenes Skript kann unterwegs verändert werden und läuft dann mit allen Rechten innerhalb der eigentlich sicheren Seite. Deshalb blockieren Browser aktive Mixed-Content-Inhalte heute standardmäßig.

Für dich sichtbar wird das als durchgestrichenes Schloss, als Hinweis „nicht vollständig sicher" oder daran, dass Teile der Seite fehlen. Auf einer Seite, auf der du dich anmelden oder bezahlen willst, ist das ein Grund abzubrechen.

Meist steckt keine Absicht dahinter, sondern eine schlecht gepflegte Seite. Das Urteil bleibt trotzdem dasselbe: Wer seine eigene Seite nicht sauber auf HTTPS bekommt, ist kein guter Verwalter deiner Zugangsdaten.

Tipp: „Nicht vollständig sicher" auf einer Anmeldeseite: abbrechen. Meist Nachlässigkeit — und die reicht als Grund.

Die Warnungen, die wirklich zählen

Browser zeigen viele Hinweise, aber vier davon solltest du nie wegklicken. Erstens die Zertifikatswarnung aus Modul 9 („Verbindung ist nicht privat"). Zweitens die Warnung vor bekannten Betrugs- oder Schadseiten – meist ganzseitig und rot; sie stammt aus laufend aktualisierten Listen und hat eine hohe Trefferquote.

Drittens die Downloadwarnung: „Diese Datei wird selten heruntergeladen und könnte gefährlich sein." Das ist kein Fehlalarm-Rauschen, sondern eine Aussage über die Verbreitung genau dieser Datei – bei einer Datei aus einer unerwarteten Mail ist das ein klares Stopp.

Viertens die Warnung vor unsicheren Formularen: Wenn der Browser meldet, dass Daten unverschlüsselt gesendet werden, dann ist das keine Vermutung, sondern eine Tatsache – dein Passwort ginge im Klartext durchs Netz.

Was du hingegen getrost ignorieren darfst: Meldungen auf Webseiten, die wie Systemmeldungen aussehen („Ihr Windows ist beschädigt", „12 Viren gefunden", blinkende Warnungen). Ein Browser weiß nicht, wie es deinem Rechner geht. Alles, was innerhalb der Seite darüber behauptet wird, ist Werbung oder Betrug.

Tipp: Warnungen des Browsers ernst nehmen, Warnungen *in* der Seite ignorieren. Eine Webseite kennt deinen Rechner nicht.

Berechtigungen und Pop-ups

Seiten dürfen fragen, ob sie Benachrichtigungen senden, den Standort, die Kamera oder das Mikrofon nutzen dürfen. Diese Abfragen kommen vom Browser, nicht von der Seite – und du darfst sie ohne schlechtes Gewissen ablehnen. Standard sollte „Ablehnen" sein, „Erlauben" die Ausnahme mit gutem Grund.

Besonders unterschätzt sind Benachrichtigungen. Wer sie einmal erlaubt, bekommt vom Betreiber Meldungen direkt auf den Desktop – optisch kaum von Systemmeldungen zu unterscheiden. Genau darüber werden gefälschte Virus- und Update-Warnungen ausgeliefert.

Falls du dir das eingefangen hast: In den Browsereinstellungen unter „Website-Einstellungen" bzw. „Benachrichtigungen" lässt sich die Erlaubnis wieder entziehen. Ein Blick dort lohnt sich einmal jährlich – oft stehen dort Seiten, an die man sich nicht erinnert.

Und der Klassiker: Fenster, die sich nicht schließen lassen, oder ein Vollbild, das eine Systemmeldung nachahmt. Der richtige Ausweg ist nie der angebotene Knopf, sondern der Tab bzw. der Browser selbst – notfalls über den Task-Manager. Nichts anrufen, nichts installieren.

Tipp: Benachrichtigungen im Browser grundsätzlich ablehnen — darüber kommen die gefälschten Systemwarnungen.

🔑 Passwörter

Warum Länge wichtiger ist als Sonderzeichen

Die Regeln haben sich umgedreht

Jahrelang galt: mindestens acht Zeichen, ein Großbuchstabe, eine Zahl, ein Sonderzeichen, und alle drei Monate wechseln. Diese Regeln stammen aus einer Empfehlung von 2003 – und ihr eigener Autor hat sie später öffentlich bedauert.

Die aktuelle Empfehlung des US-Standards NIST SP 800-63B, seit 2017 und seither bestätigt, sagt fast das Gegenteil: Länge ist das Entscheidende, mindestens acht Zeichen als Untergrenze, praktisch besser 12 bis 15 oder mehr. Erzwungene Zeichenklassen-Regeln sollen entfallen. Und periodische Zwangswechsel ohne Anlass ebenfalls.

Der Grund ist einfach: Jedes zusätzliche Zeichen vervielfacht den Aufwand beim Durchprobieren, während ein Ausrufezeichen am Ende kaum etwas ändert – weil alle Menschen dieselben Tricks anwenden. Aus `Passwort` wird `Passwort1!`, und genau das steht in jeder Angriffsliste.

Zwangswechsel schaden sogar: Wer alle 90 Tage ein neues Passwort erfinden muss, zählt hoch – `Sommer2025!`, `Sommer2026!` – oder schreibt es auf. Gewechselt wird nur noch aus konkretem Anlass: bei Verdacht oder nach einem bekannten Datenleck.

Tipp: Länge schlägt Sonderzeichen. Und Passwörter wechselt man aus Anlass, nicht nach Kalender (NIST SP 800-63B).

Wie Passwörter tatsächlich geknackt werden

Kaum jemand rät ein Passwort an der Anmeldemaske – dort greift nach wenigen Versuchen eine Sperre. Der reale Weg führt über Datenlecks: Angreifer erbeuten die Passwortdatenbank eines Dienstes und probieren die Passwörter offline durch, mit spezialisierter Hardware und sehr hoher Geschwindigkeit.

Dabei wird nicht stumpf jede Kombination getestet, sondern zuerst das Wahrscheinliche: Wörterbücher, Namen, Jahreszahlen, Tastaturmuster und alle bekannten Ersetzungen – a wird zu @, e wird zu 3, o wird zu 0. Ein „kreatives" `P@ssw0rt!` ist deshalb ungefähr so stark wie `Passwort`.

Der zweite Weg braucht überhaupt kein Knacken: Credential Stuffing. Die geleakte Kombination aus Mailadresse und Passwort wird einfach bei hunderten anderen Diensten ausprobiert. Wenn du Passwörter mehrfach verwendest, ist ein einziges Leck genug.

Daraus folgen die zwei Regeln, die zusammen fast alles abdecken: Jedes Konto bekommt ein eigenes Passwort, und die wichtigen sind lang. Einzigartigkeit schlägt dabei Komplexität – ein langes, einmalig verwendetes Passwort ist besser als ein hochkomplexes, das an fünf Stellen liegt.

Tipp: P@ssw0rt! ist so stark wie Passwort — die Ersetzungen stehen in jeder Angriffsliste. Einzigartigkeit schlägt Komplexität.

Was ein gutes Passwort ausmacht

Ein gutes Passwort ist lang, einmalig und nicht ableitbar. Lang heißt: mindestens 12 bis 15 Zeichen, für E-Mail und Bank gern mehr. Einmalig heißt: nur für dieses eine Konto. Nicht ableitbar heißt: nicht aus Geburtstag, Haustier, Verein oder Straße gebaut – Dinge, die auf deinem Profil stehen.

Nicht mehr nötig sind erzwungene Zeichenklassen. Wenn ein Dienst sie trotzdem verlangt, erfülle die Regel, aber setze nicht darauf – deine Sicherheit kommt aus der Länge.

Verboten ist alles, was in Listen steht: `123456`, `passwort`, `qwertz`, der Name des Dienstes selbst. Gute Anbieter prüfen neue Passwörter inzwischen gegen Leck-Listen und lehnen bekannte ab – auch das ist eine NIST-Empfehlung.

Und die praktische Wahrheit: Diese Anforderungen kann sich kein Mensch für dreißig Konten merken. Genau deshalb ist die Antwort auf gute Passwörter nicht ein besseres Gedächtnis, sondern ein Passwort-Manager – Modul 14. Merken musst du dir dann genau zwei: das für den Manager und das für deine Mail.

Tipp: Merken musst du dir am Ende zwei Passwörter: das für den Passwort-Manager und das für dein E-Mail-Konto.

🎲 Passwörter, die man sich merkt

Satzformel und Diceware

Die Satz-Methode

Du brauchst nur wenige Passwörter im Kopf – das für den Passwort-Manager und das für dein E-Mail-Konto. Genau diese beiden sollten lang und trotzdem merkbar sein. Der einfachste Weg dorthin ist ein Satz.

Nimm einen Satz, der für dich Bedeutung hat und den niemand mit dir verbindet – nicht der Lieblingsspruch aus deinem Profil. Zum Beispiel: „Im August haben wir das Zelt dreimal falsch aufgebaut." Das sind schon über 40 Zeichen und deutlich stärker als jedes `Xk7$mQ`.

Statt Leerzeichen setzt du ein Trennzeichen, weil manche Dienste Leerzeichen nicht mögen: `Im-August-haben-wir-das-Zelt-dreimal-falsch-aufgebaut`. Damit ist die Länge da, und du kannst es tippen, ohne nachzudenken.

Wenn eine Zeichenklassen-Regel Ziffern und Sonderzeichen erzwingt, häng sie nicht stumpf hinten an, sondern bau eine Zahl in den Satz ein, die zur Geschichte gehört – das Jahr, die Anzahl. Wichtig bleibt: Der Satz darf nirgends öffentlich stehen und kein bekanntes Zitat sein. Berühmte Sätze und Liedzeilen stehen ebenfalls in Wörterbüchern.

Tipp: Ein eigener Satz mit Bindestrichen statt Leerzeichen: über 40 Zeichen, tippbar, merkbar. Kein Zitat verwenden.

Diceware: Zufall statt Kreativität

Menschen sind schlechte Zufallsgeneratoren. Wir wählen Wörter, die zusammenpassen, und genau das macht ein Passwort ratbar. Diceware löst das: Du würfelst Wörter aus einer festen Liste aus – echter, physischer Zufall.

Das Verfahren: Für jedes Wort würfelst du fünfmal mit einem normalen Würfel und liest die fünfstellige Zahl in einer Wortliste nach. Vier Wörter sind ordentlich, fünf bis sechs sind stark. Ergebnis ist etwas wie `hafen-tulpe-kessel-nordwind-schwarm`.

Der Vorteil gegenüber der Satzmethode: Die Stärke ist berechenbar und hängt nicht davon ab, wie originell du bist. Der Nachteil: Es dauert ein paar Minuten und braucht eine Liste – es gibt deutschsprachige Wortlisten frei im Netz.

Für die beiden Passwörter, die dein digitales Leben tragen, lohnt sich dieser Aufwand einmalig. Alle anderen Passwörter erzeugt ohnehin der Passwort-Manager – und der würfelt besser als jeder Mensch.

Tipp: Fünf gewürfelte Wörter aus einer Liste schlagen jedes selbst ausgedachte „kreative" Passwort.

Was du nicht tun solltest

Keine Muster, die sich fortsetzen lassen. Wer `Amazon-Sommer-2026` benutzt, hat für jeden Dienst dieselbe Formel – wer eines davon sieht, kennt alle. Genau diese Schemata werden bei Leck-Analysen automatisch erkannt.

Keine persönlichen Daten: Geburtsdaten, Namen von Kindern und Haustieren, Verein, Straße, Autokennzeichen. All das steht oft in sozialen Netzwerken und ist die erste Ratestufe.

Keine Passwörter über unsichere Wege weitergeben – nicht per Mail, nicht per Chat, nicht auf einem Zettel im Büro. Wenn du ein Passwort teilen musst (Familienkonto, Streaming), nutze die Teilen-Funktion des Passwort-Managers.

Und ein Punkt, der oft überrascht: Ein Zettel im Portemonnaie ist nicht per se falsch. Für die meisten Privatpersonen ist das Risiko „jemand klaut meine Geldbörse und probiert die Notiz durch" kleiner als „ich benutze überall dasselbe schwache Passwort". Nur an den Bildschirm gehört er nicht – und die Notiz sollte nicht dabeischreiben, wozu sie gehört.

Tipp: Kein Schema wie „Dienst-Jahreszeit-Jahr": Wer ein Passwort sieht, kennt damit alle deine anderen.

🗄️ Passwort-Manager

Das eine Werkzeug, das am meisten bringt

Warum ohne es nicht geht

Die Regeln aus Modul 12 sind eindeutig: pro Konto ein eigenes, langes Passwort. Für dreißig oder fünfzig Konten ist das mit Gedächtnis nicht machbar. Ein Passwort-Manager ist deshalb kein Komfort-Werkzeug für Technikbegeisterte, sondern die einzige praktikable Umsetzung.

Er macht drei Dinge: Er erzeugt Zufallspasswörter, er speichert sie verschlüsselt, und er füllt sie auf der richtigen Seite ein. Der dritte Punkt ist der unterschätzte – er ist gleichzeitig ein Phishing-Schutz, weil der Manager die Domain exakt vergleicht und sich optisch nicht täuschen lässt.

Der häufigste Einwand lautet: „Dann liegen alle Passwörter an einer Stelle." Das stimmt – und ist trotzdem das kleinere Risiko. Der Tresor ist mit deinem Hauptpasswort verschlüsselt, der Anbieter kann ihn nicht lesen. Die Alternative ist nicht ein besseres Gedächtnis, sondern dasselbe Passwort an dreißig Stellen.

Wichtig ist die Konsequenz: Ein Manager, in dem drei Konten liegen und der Rest weiter im Kopf, bringt wenig. Der Nutzen entsteht, wenn nach und nach alle Konten drin sind – am besten beginnend bei Mail, Bank und den Diensten mit hinterlegten Zahlungsdaten.

Tipp: Der Manager füllt nur auf der exakt richtigen Domain aus. Damit ist er nebenbei dein bester Phishing-Schutz.

Welcher — und was der Unterschied ist

Es gibt drei sinnvolle Gruppen. Erstens dedizierte Cloud-Dienste wie 1Password oder Bitwarden: geräteübergreifend, komfortabel, mit Familien-Freigabe; Bitwarden hat eine brauchbare kostenlose Stufe, 1Password ist kostenpflichtig. Zweitens lokale Lösungen wie KeePass und seine Varianten: Der Tresor ist eine Datei, die du selbst verwahrst und selbst synchronisierst – maximale Kontrolle, mehr Handarbeit.

Drittens die eingebauten Manager von Browser und Betriebssystem – Apples Passwörter-App, der Google-Passwortmanager, der von Firefox. Sie sind deutlich besser als ihr Ruf und um Welten besser als kein Manager. Ihre Schwäche ist die Bindung ans Ökosystem: Wer Windows, iPhone und Firefox mischt, stößt an Grenzen.

Die ehrliche Empfehlung: Der beste Manager ist der, den du wirklich benutzt. Wer nur Apple-Geräte hat, kann bei der Systemlösung bleiben. Wer gemischt unterwegs ist oder mit der Familie teilen will, fährt mit Bitwarden oder 1Password besser.

Worauf du achten solltest: Ende-zu-Ende-Verschlüsselung (der Anbieter kann den Tresor nicht lesen), Verfügbarkeit auf all deinen Geräten, ein sauberer Export – damit du jederzeit wechseln kannst – und Zwei-Faktor-Schutz für den Tresor selbst.

Tipp: Der beste Passwort-Manager ist der, den du wirklich benutzt. Auch der eingebaute schlägt „kein Manager" deutlich.

Richtig einrichten

Erstens das Hauptpasswort: lang, einmalig, nach der Satz- oder Diceware-Methode aus Modul 13. Es ist das einzige, das der Tresor nicht für dich speichern kann. Schreib es einmal auf und verwahre den Zettel an einem sicheren Ort außerhalb der Wohnungsschublade neben dem Rechner.

Zweitens den Notfallzugang. Was passiert, wenn dir etwas zustimmt und deine Familie an Konten muss? Gute Anbieter haben dafür eine Notfallkontakt-Funktion. Bei lokalen Lösungen gehört eine verschlüsselte Kopie an einen Ort, den eine Vertrauensperson im Ernstfall erreicht.

Drittens Zwei-Faktor für den Tresor selbst – siehe Modul 15. Und viertens den Wiederherstellungsschlüssel, den manche Anbieter ausgeben: ausdrucken, sicher verwahren, nicht als Screenshot auf dem Handy.

Danach der Umstieg, ganz ohne Hauruck: Bei jeder Anmeldung, die du in den nächsten Wochen ohnehin machst, das Passwort einmal durch ein neu erzeugtes ersetzen und speichern lassen. Nach zwei Monaten ist der Großteil erledigt – ohne einen einzigen Nachmittag Umstellungsarbeit.

Tipp: Nicht alles auf einmal umstellen. Bei jeder Anmeldung, die ohnehin ansteht, das Passwort einmal ersetzen.

Häufige Sorgen

„Was, wenn der Anbieter gehackt wird?" Dann erbeuten Angreifer verschlüsselte Tresore. Ohne dein Hauptpasswort sind die praktisch wertlos – vorausgesetzt, es ist lang. Genau deshalb ist die Länge dieses einen Passworts so wichtig; alles hängt daran.

„Was, wenn ich das Hauptpasswort vergesse?" Dann ist der Tresor verloren – das ist die Kehrseite echter Ende-zu-Ende-Verschlüsselung, denn der Anbieter kann nicht helfen. Darum der Zettel an sicherem Ort und der Wiederherstellungsschlüssel.

„Was, wenn ich offline bin?" Alle gängigen Manager halten eine lokale Kopie vor. Du kommst auch ohne Internet an deine Passwörter.

„Und wenn ich mein Handy verliere?" Dann ist der Tresor dort mit Hauptpasswort und Gerätesperre geschützt. Wichtig ist, dass du von einem zweiten Gerät aus Zugriff hast – deshalb: nie nur auf einem einzigen Gerät einrichten.

Tipp: Richte den Manager auf mindestens zwei Geräten ein. Ein Tresor, zu dem nur ein Gerät führt, ist ein Risiko.

🔐 Zwei-Faktor-Authentifizierung

Der zweite Schlüssel — und welcher taugt

Warum ein zweiter Faktor so viel bringt

Ein Passwort ist ein Wissensfaktor: Wer es kennt, kommt rein – egal ob rechtmäßig oder nicht. Ein zweiter Faktor ergänzt etwas, das man besitzt (Handy, Sicherheitsschlüssel) oder ist (Fingerabdruck, Gesicht). Ein gestohlenes Passwort allein reicht dann nicht mehr.

Das ist der entscheidende Punkt bei Datenlecks: Selbst wenn dein Passwort in einer Liste landet, scheitert der Login am zweiten Faktor. Für die drei, vier wichtigsten Konten ist Zwei-Faktor deshalb die wirksamste einzelne Maßnahme nach dem Passwort-Manager.

Reihenfolge der Einrichtung: zuerst E-Mail – weil darüber alle anderen Konten zurücksetzbar sind –, dann Passwort-Manager, dann Bank und Zahlungsdienste, dann Konten mit hinterlegter Karte, dann soziale Netzwerke.

Und ein realistischer Hinweis: Es kostet ein paar Sekunden pro Anmeldung. Bei den meisten Diensten kannst du bekannte Geräte als vertrauenswürdig markieren, sodass die Abfrage nur bei neuen Geräten kommt. Das ist ein guter Kompromiss.

Tipp: Zuerst die E-Mail absichern. Über sie lassen sich alle anderen Konten zurücksetzen.

SMS, App oder Schlüssel

Die schwächste Variante ist die SMS. Sie ist besser als nichts, hat aber eine bekannte Schwachstelle: SIM-Swapping. Dabei überzeugt jemand deinen Mobilfunkanbieter, deine Nummer auf eine neue SIM zu übertragen – und bekommt danach deine Codes. Für ein Konto mit Geld sollte SMS nicht die einzige Absicherung sein.

Deutlich besser ist eine Authenticator-App, die zeitbasierte Codes erzeugt (TOTP). Der Code entsteht auf deinem Gerät aus einem geheimen Startwert und der Uhrzeit, wechselt alle 30 Sekunden und wird nicht übertragen – es gibt also nichts abzufangen. Gängige Apps sind Aegis oder 2FAS (quelloffen), Microsoft Authenticator oder die Funktion im Passwort-Manager.

Am stärksten sind Hardware-Sicherheitsschlüssel nach FIDO2, etwa als USB- oder NFC-Stick. Sie prüfen zusätzlich die Domain und verweigern die Freigabe auf einer gefälschten Seite – damit sind sie die einzige Variante, die auch echtes Phishing zuverlässig abwehrt.

Und noch eine Bequemlichkeitsvariante: Push-Bestätigungen („Warst du das? Ja/Nein"). Praktisch, aber anfällig für Ermüdung – wer im Halbschlaf auf „Ja" tippt, hat den Schutz aufgehoben. Bestätige nur, wenn du selbst gerade einen Login gestartet hast.

Tipp: SMS ist besser als nichts, App ist deutlich besser, Sicherheitsschlüssel ist am besten — und der einzige echte Phishing-Schutz.

Wiederherstellungscodes — der Teil, den alle vergessen

Bei der Einrichtung zeigt dir fast jeder Dienst eine Liste von Ersatzcodes. Genau diese Liste entscheidet später darüber, ob ein verlorenes Handy ein Ärgernis oder eine Katastrophe ist. Sie wegzuklicken ist der häufigste Fehler in diesem ganzen Kapitel.

Speichere die Codes an einem Ort, der unabhängig vom zweiten Faktor ist – ausgedruckt in einem Ordner, im Passwort-Manager (wenn der selbst anders geschützt ist) oder in einem Bankschließfach für die wichtigsten Konten. Nicht als Screenshot auf demselben Handy, das den zweiten Faktor erzeugt.

Zweite Absicherung: Richte den zweiten Faktor auf zwei Geräten ein, oder nutze eine Authenticator-App mit verschlüsseltem Backup. Viele Apps können ihre Einträge exportieren – das ist keine Sicherheitslücke, sondern Vorsorge, solange der Export selbst geschützt ist.

Und wenn du einen Hardware-Schlüssel nutzt: Kauf zwei. Einer am Schlüsselbund, einer in der Schublade, beide registriert. Genau so machen es Leute, die auf Sicherheitsschlüssel angewiesen sind – ein einzelner Schlüssel ist ein Klumpenrisiko.

Tipp: Wiederherstellungscodes bei der Einrichtung sofort sichern — getrennt vom Gerät, das den zweiten Faktor erzeugt.

🗝️ Passkeys

Anmelden ohne Passwort

Was ein Passkey ist

Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar. Bei der Einrichtung erzeugt dein Gerät zwei zusammengehörige Schlüssel: Der öffentliche geht an den Dienst, der private bleibt auf deinem Gerät und verlässt es nie. Beim Anmelden beweist dein Gerät den Besitz des privaten Schlüssels, ohne ihn preiszugeben.

Daraus folgen zwei große Vorteile. Erstens: Es gibt kein Geheimnis mehr, das der Dienst speichern könnte – ein Datenleck bei ihm gibt nichts her, was woanders nützt. Zweitens: Du kannst nichts verraten, was du nicht hast. Auf einer Phishing-Seite gibt es schlicht nichts einzutippen.

Das ist der entscheidende Unterschied zu allem Bisherigen. Passwörter und auch TOTP-Codes kann man abtippen und weiterreichen – ein Passkey ist an die Domain gebunden und funktioniert auf `paypal-sicherheit.com` einfach nicht. Damit fällt der häufigste Angriffsweg dieses ganzen Kurses weg.

Technisch steckt dahinter FIDO2 mit dem Browser-Standard WebAuthn, entwickelt von der FIDO Alliance zusammen mit den großen Plattform- und Browser-Herstellern. Du merkst davon nichts – für dich sieht es aus wie „Anmelden mit Fingerabdruck".

Tipp: Ein Passkey lässt sich nicht abtippen und nicht weitergeben. Auf einer gefälschten Domain funktioniert er nicht.

Wie sich das im Alltag anfühlt

Beim Anlegen fragt der Dienst, ob du einen Passkey einrichten willst. Du bestätigst mit Fingerabdruck, Gesicht oder Geräte-PIN – das ist die Freigabe für den privaten Schlüssel, keine Übertragung deiner Biometrie. Fingerabdruck und Gesichtsdaten verlassen dein Gerät nicht.

Beim Anmelden tippst du keinen Benutzernamen und kein Passwort mehr, sondern bestätigst einmal. Auf demselben Gerät dauert das eine Sekunde. Auf einem fremden Gerät gibt es meist einen QR-Code, den du mit deinem Handy scannst – die Freigabe passiert dann dort.

Passkeys werden über dein Ökosystem oder deinen Passwort-Manager synchronisiert: Apple über iCloud-Schlüsselbund, Google über den Passwortmanager, dazu Bitwarden und 1Password. Damit sind sie auf allen deinen Geräten verfügbar und überleben auch ein verlorenes Handy.

Der Stand 2026 ist gemischt: Große Anbieter – Google, Apple, Microsoft, Amazon, PayPal und viele mehr – unterstützen Passkeys, kleinere oft noch nicht. Deshalb ersetzen Passkeys Passwörter derzeit nicht, sondern ergänzen sie. Der Passwort-Manager bleibt.

Tipp: Dein Fingerabdruck verlässt das Gerät nie — er gibt nur den lokal gespeicherten Schlüssel frei.

Wann du sie nutzen solltest

Kurz: überall, wo sie angeboten werden. Es gibt kaum einen Grund, es nicht zu tun – Passkeys sind gleichzeitig bequemer und sicherer, was selten zusammenfällt. Beginne mit den Konten, die am meisten schützen: Mail, Cloud-Speicher, Zahlungsdienste.

Lass das Passwort dabei zunächst bestehen, solange der Dienst es als Alternative behält. Das ist bewusst so – wenn der Passkey einmal nicht verfügbar ist, brauchst du einen Weg zurück. Manche Dienste erlauben, das Passwort später ganz zu entfernen; das ist ein sinnvoller zweiter Schritt, sobald du zwei Geräte mit Passkey hast.

Achte auf die Wiederherstellung, wie bei 2FA: Ein Passkey, der nur auf einem Gerät liegt und nirgends synchronisiert wird, ist ein Klumpenrisiko. Entweder Synchronisierung aktivieren oder einen zweiten Passkey auf einem zweiten Gerät bzw. Sicherheitsschlüssel registrieren.

Und für die Zukunft: Die Richtung ist eindeutig. Passwörter werden noch Jahre bleiben, aber jedes Konto, das du heute auf Passkey umstellst, ist eines weniger, das über eine gefälschte Anmeldeseite angreifbar ist. Das ist ein besseres Sicherheitsgeschäft als jede zusätzliche Software.

Tipp: Passkey einrichten, wo angeboten — aber immer einen zweiten Weg (Gerät oder Sicherheitsschlüssel) registrieren.

💧 Datenlecks

Wenn deine Daten anderswo verloren gehen

Was bei einem Leck passiert

Ein Datenleck ist selten dein Fehler. Ein Dienst, bei dem du irgendwann ein Konto angelegt hast, verliert seine Nutzerdatenbank – durch einen Angriff, eine falsch konfigurierte Datenbank oder einen Fehler eines Dienstleisters. Die Daten tauchen danach in Sammlungen auf, die weitergereicht und gehandelt werden.

Was genau abfließt, ist unterschiedlich. Im günstigen Fall nur Mailadressen. Im ungünstigen Fall Passwörter, Adressen, Geburtsdaten, Telefonnummern, Bestellhistorien. Passwörter sind bei sorgfältigen Anbietern nicht im Klartext gespeichert, sondern als Hash – aber schwache Verfahren und schwache Passwörter lassen sich offline zurückrechnen.

Die Folgen für dich sind zweierlei. Erstens Credential Stuffing aus Modul 12: Die Kombination aus Mailadresse und Passwort wird bei anderen Diensten durchprobiert. Zweitens besseres Phishing: Wer deine Adresse, deine letzte Bestellung und deinen Namen kennt, schreibt eine erheblich überzeugendere Mail.

Deshalb ist die Reaktion auf ein Leck keine Panik, sondern eine kurze Liste: Passwort dieses Dienstes ändern, überall dort ändern, wo du es ebenfalls benutzt hast, und für das Konto Zwei-Faktor einschalten, falls noch nicht geschehen.

Tipp: Nach einem Leck: Passwort dort ändern — und überall sonst, wo du dasselbe benutzt hast.

Nachsehen, ob es dich getroffen hat

Es gibt Dienste, die bekannte Lecks sammeln und durchsuchbar machen. Der bekannteste ist „Have I Been Pwned" – dort gibst du deine Mailadresse ein und siehst, in welchen bekannten Lecks sie auftaucht. Betrieben wird er seit Jahren von einem Sicherheitsforscher und ist in der Branche etabliert.

Naheliegende Frage: Ist es klug, seine Mailadresse irgendwo einzugeben? Für die Adressabfrage gilt – die Adresse ist ohnehin bekannt, sonst wäre sie nicht in einem Leck. Der Dienst speichert keine Suchanfragen zu Werbezwecken und verkauft keine Adressen.

Für Passwörter gibt es ein besseres Verfahren, und das ist technisch elegant: Beim Passwort-Check verlässt nie das Passwort dein Gerät, sondern nur die ersten fünf Zeichen seines Hashwerts. Der Dienst schickt alle Treffer zu diesem Präfix zurück – meist einige hundert – und dein Gerät vergleicht lokal. Der Betreiber erfährt dabei nicht, welches Passwort du geprüft hast. Das Prinzip heißt k-Anonymität.

Praktisch musst du das gar nicht selbst tun: Passwort-Manager und Browser prüfen deine gespeicherten Passwörter im Hintergrund nach genau diesem Verfahren und melden Treffer. Das ist der bequemste Weg – und der Grund, warum ein Manager auch hier gewinnt.

Tipp: Beim Passwort-Check verlässt nur ein Hash-Präfix dein Gerät, nie das Passwort selbst (k-Anonymität).

Die Mails, die auf Lecks folgen

Nach einem Leck kommen zwei Sorten Mail. Erstens die echte Benachrichtigung des betroffenen Dienstes – meist nüchtern, mit Beschreibung, was abgeflossen ist, und der Aufforderung, das Passwort zu ändern. Ändere es, aber über die selbst aufgerufene Seite, nicht über den Link.

Zweitens die Erpressungsmail. Sie behauptet, dein Gerät sei gehackt, es gebe Aufnahmen über deine Kamera, und fordert Zahlung in Kryptowährung. Als „Beweis" nennt sie ein Passwort von dir – das stammt schlicht aus einem alten Leck. Diese Mails gehen millionenfach raus, es gibt keine Aufnahmen und keinen Zugriff.

Richtige Reaktion darauf: nicht zahlen, nicht antworten, löschen. Und wenn das genannte Passwort noch irgendwo in Benutzung ist: sofort ändern. Das ist die einzige echte Information, die in so einer Mail steckt.

Drittens, seltener und gefährlicher: eine Mail, die exakt auf eine echte Bestellung Bezug nimmt, weil die Bestelldaten mit im Leck waren. Hier hilft nur die Regel aus Modul 2 – jeden Vorgang über den selbst gewählten Weg prüfen, nie über den Kanal der Nachricht.

Tipp: Erpressungsmail mit „deinem" Passwort? Das kommt aus einem alten Leck. Nicht zahlen — Passwort ändern.

🎭 Social Engineering

Die Muster hinter der Masche

Sechs Hebel, die immer funktionieren

Social Engineering nutzt keine technische Lücke, sondern menschliche Grundmuster. Sechs davon tauchen immer wieder auf. Autorität: Wer wie Polizei, Bank, Chef oder Behörde auftritt, wird seltener hinterfragt. Dringlichkeit: Zeitdruck verhindert Nachdenken.

Knappheit: „Nur noch heute", „nur drei Plätze" – dasselbe Prinzip in freundlicher Verpackung. Sympathie: Wer nett ist, gemeinsame Bekannte erwähnt oder Interesse zeigt, bekommt eher ein Ja. Gegenseitigkeit: Wer erst etwas gibt – einen Gefallen, eine Information –, erzeugt das Gefühl einer Schuld.

Und der sechste, der in der Praxis am meisten anrichtet: Hilfsbereitschaft. Die meisten Menschen wollen helfen, besonders im Beruf. Genau darauf zielt der Anruf der „neuen Kollegin aus der IT", die dringend Zugang braucht, weil sonst etwas Wichtiges scheitert.

Wichtig zu verstehen: Diese Hebel sind nicht Schwäche, sondern normale soziale Kompetenz. Man kann sie nicht abschalten und sollte es auch nicht. Was hilft, ist sie zu kennen – dann fällt auf, wenn jemand gleich an drei davon gleichzeitig zieht.

Tipp: Ziehen in einer Nachricht mehrere Hebel gleichzeitig — Autorität plus Dringlichkeit plus Geheimhaltung —, ist das das Muster.

Die Maschen im Alltag

Der Support-Anruf: Jemand meldet sich als Mitarbeiter eines großen Software-Herstellers, dein Rechner sende Fehlermeldungen, man müsse aus der Ferne draufschauen. Echte Hersteller rufen nicht unaufgefordert an. Fernwartungssoftware auf Zuruf zu installieren ist der Punkt, an dem der Schaden beginnt.

Der Schockanruf: Ein angeblicher Angehöriger in Not, ein Unfall, dringend Geld. Neu daran ist, dass Stimmen sich nachbilden lassen – die vertraute Stimme am Telefon ist kein Beweis mehr. Der Gegenzug ist banal und wirksam: auflegen und die Person selbst unter der bekannten Nummer zurückrufen.

Der falsche Chef im Messenger: „Bin in einem Termin, brauche kurz einen Gefallen", danach Gutscheinkarten oder eine Überweisung. Erkennungszeichen sind der Kanalwechsel (privat statt dienstlich), die Bitte um Geheimhaltung und die ungewöhnliche Zahlungsform.

Und die Variante, die auch Vorsichtige erwischt: der Rückruf, den du selbst startest – aber unter einer Nummer, die aus der verdächtigen Nachricht stammt. Die Nummer gehört zum Angriff. Nur eine Nummer, die du selbst gefunden hast, ist unabhängig.

Tipp: Eine vertraute Stimme ist kein Beweis mehr. Auflegen und selbst unter der bekannten Nummer zurückrufen.

Das Codewort und andere Familienregeln

Gegen Schockanrufe hilft eine Vereinbarung, die nichts kostet: ein Codewort in der Familie. Wer in Not ist und Geld braucht, nennt es. Wer es nicht kennt, ist nicht die Person, für die er sich ausgibt. Kinder, Eltern und Großeltern einmal darauf einschwören – zehn Minuten am Küchentisch.

Zweite Regel: Über Geld wird nie im selben Gespräch entschieden. Egal wer anruft und wie dringend es klingt – zurückrufen, mit jemandem sprechen, eine Nacht darüber schlafen. Kein legitimes Anliegen zerbricht daran.

Dritte Regel: Niemand aus einer echten Organisation fragt nach Passwörtern, PINs oder TANs, und niemand bittet um Gutscheinkarten. Diese beiden Sätze reichen aus, um einen großen Teil aller Fälle zu erkennen – auch für Menschen, die sich mit Technik nicht beschäftigen wollen.

Vierte Regel, für den Beruf: Es ist erlaubt, Nein zu sagen und nachzufragen. Wer beim „Chef" per Messenger zurückfragt oder eine Bitte über den Dienstweg bestätigen lässt, tut genau das Richtige. Eine Firma, in der das schlecht ankommt, hat ein Kulturproblem – und ein Sicherheitsproblem gleich mit.

Tipp: Ein Familien-Codewort für Notfälle kostet zehn Minuten und entwertet den ganzen Schockanruf-Trick.

Was du über dich preisgibst

Gezielte Angriffe brauchen Material, und das liefern wir meist selbst. Öffentliche Profile verraten Arbeitgeber, Position, Kollegen, Urlaubszeiten und Interessen. Ein Foto vom neuen Arbeitsplatz zeigt manchmal Bildschirminhalte, Namensschilder oder Zugangskarten mit.

Das heißt nicht, dass du dich zurückziehen musst. Es heißt, dass ein paar Kategorien besser nicht öffentlich stehen: Geburtsdatum in voller Form, Wohnadresse, Telefonnummer, Antworten auf typische Sicherheitsfragen – Mädchenname der Mutter, erstes Haustier, Grundschule.

Sicherheitsfragen sind ohnehin ein schwaches Verfahren, weil ihre Antworten oft öffentlich sind oder erraten werden können. Wenn ein Dienst sie erzwingt: Antworte mit einer erfundenen Zeichenfolge und speichere sie im Passwort-Manager. Es gibt keine Pflicht, dort die Wahrheit zu sagen.

Und beruflich: Abwesenheitsnotizen verraten oft mehr als nötig – wer vertritt, wie lange man weg ist, manchmal Durchwahlen. Für Angreifer ist das eine Landkarte. Ein Satz mit Rückkehrdatum und einer allgemeinen Kontaktadresse reicht völlig.

Tipp: Sicherheitsfragen mit erfundenen Antworten beantworten und im Passwort-Manager speichern. Die Wahrheit steht oft im Netz.

🧹 Browser-Hygiene

Erweiterungen, Cookies, Einstellungen

Erweiterungen sind das größte Risiko

Eine Browser-Erweiterung läuft mit weitreichenden Rechten: Viele dürfen alle Seiten lesen und verändern, die du besuchst – auch die deiner Bank. Das ist kein Missbrauch, sondern die Berechtigung, der du bei der Installation zugestimmt hast.

Daraus ergibt sich ein Risiko, das viele übersehen: Erweiterungen werden verkauft. Ein nützliches, jahrelang harmloses Werkzeug wechselt den Besitzer, und mit dem nächsten automatischen Update kommt eine andere Funktion – Datensammlung, eingeschmuggelte Werbung, im schlimmsten Fall das Mitlesen von Eingaben.

Die Konsequenz ist unbequem, aber wirksam: so wenige Erweiterungen wie möglich. Für jede einzelne die Frage stellen, ob sie den Zugriff auf alle Seiten wirklich wert ist. Ein Passwort-Manager: ja. Ein Werbeblocker mit gutem Ruf: meist ja. Zehn kleine Helfer, die man einmal ausprobiert hat: nein.

Räum einmal auf: In den Browser-Einstellungen unter „Erweiterungen" alles deinstallieren, was du nicht bewusst benutzt. Bei den verbleibenden prüfen, ob sich die Berechtigung auf bestimmte Seiten einschränken lässt – viele Browser bieten „nur bei Klick" statt „auf allen Seiten".

Tipp: Erweiterungen werden verkauft — mit dem Käufer kommt oft eine neue Funktion. Weniger installieren, regelmäßig ausmisten.

Cookies und Tracking realistisch betrachtet

Cookies sind kleine Textmarken, die eine Seite in deinem Browser hinterlegt. Die meisten sind harmlos und nötig – sie halten dich eingeloggt und merken sich den Warenkorb. Sicherheitsrelevant sind sie vor allem als Sitzungsmarke: Wer ein solches Cookie stiehlt, ist eingeloggt, ohne dein Passwort zu kennen.

Das ist übrigens der Grund, warum „Abmelden" auf fremden Geräten wichtiger ist als das Schließen des Fensters. Abmelden macht die Sitzungsmarke serverseitig ungültig; das Fenster zu schließen nicht unbedingt.

Beim Tracking geht es weniger um Sicherheit als um Profile: Drittanbieter-Cookies und andere Verfahren verfolgen dich über Seiten hinweg. Alle großen Browser blockieren Drittanbieter-Cookies inzwischen weitgehend; ein Werbeblocker mit gutem Ruf reduziert zusätzlich die Angriffsfläche, weil ein erheblicher Teil von Schadwerbung über Anzeigennetzwerke ausgeliefert wird.

Die Einstellung „Do Not Track" kannst du dir sparen – sie war eine Bitte ohne Verpflichtung und wird von den meisten Seiten ignoriert; einige Browser haben sie entfernt. Wirksam sind Blockieren und Löschen, nicht Bitten.

Tipp: Auf fremden Geräten abmelden, nicht nur das Fenster schließen. Nur Abmelden macht die Sitzung wirklich ungültig.

Der Browser als Sicherheitswerkzeug

Der wichtigste Punkt zuerst: Halte den Browser aktuell. Er ist das Programm, das täglich fremden Code aus dem Internet ausführt – kein anderes Update ist so wirksam. Alle gängigen Browser aktualisieren sich selbst; du musst sie nur gelegentlich schließen, damit das Update greift.

Zweitens: Nutze den eingebauten Schutz vor betrügerischen Seiten. Chrome, Firefox, Edge und Safari haben so etwas, es ist standardmäßig an, und es basiert auf laufend aktualisierten Listen. Wer es abschaltet, verliert eine der wenigen Automatiken, die zuverlässig funktionieren.

Drittens: Trenne Kontexte, wenn es einfach geht. Ein zweites Profil oder ein separater Browser nur für Bank und Behördenkram – ohne Erweiterungen, ohne offene Sitzungen – kostet wenig und begrenzt viel. Für Kinder am selben Gerät ist ein eigenes Profil ohnehin sinnvoll.

Und viertens: Speichere Zahlungsdaten nicht überall. Jeder Shop, der deine Kartendaten hält, ist ein weiterer möglicher Leck-Kandidat. Wo es geht, lieber bei jedem Kauf eingeben oder einen Bezahldienst nutzen, der die Kartennummer gar nicht erst weitergibt.

Tipp: Ein zweites Browser-Profil nur für Bank und Behörden — ohne Erweiterungen, ohne andere Sitzungen.

📶 Öffentliches WLAN und VPN

Wann es wirklich nötig ist

Warum offenes WLAN weniger gefährlich ist als früher

Vor zehn Jahren war offenes WLAN ein echtes Problem: Vieles lief unverschlüsselt, und wer im selben Netz saß, konnte mitlesen. Heute ist praktisch der gesamte Web-Verkehr verschlüsselt – der Inhalt deiner Verbindung ist für Mitlauscher nicht sichtbar.

Was ein Beobachter im selben Netz noch sehen kann, sind Metadaten: mit welchen Servern du sprichst, ungefähr wann und wie viel. Also „diese Person nutzt gerade die Postbank-App", nicht „hier ist ihr Passwort". Unangenehm, aber kein Bankkonto-Risiko.

Das echte Restrisiko in offenen Netzen ist ein anderes: gefälschte Zugangspunkte mit vertraut klingenden Namen und die daran gekoppelten Anmeldeseiten. Wer sich mit einem Netz verbindet, das jemand anderes betreibt, dessen Netzverkehr wird von diesem jemand geleitet – und der kann auf gefälschte Seiten umlenken.

Deshalb bleibt die wichtigste Regel unverändert und ist eine alte Bekannte: Auf Warnungen achten. Eine Zertifikatswarnung im Café ist ein anderes Kaliber als zu Hause – dort ist sie ein Grund, das Netz zu verlassen, nicht eine Unannehmlichkeit zum Wegklicken.

Tipp: Zertifikatswarnung im offenen WLAN: Netz verlassen. Zu Hause ist sie meist harmlos, hier nicht.

Was ein VPN leistet — und was nicht

Ein VPN verlagert den Ausgangspunkt deines Verkehrs: Statt über das WLAN des Cafés läuft alles verschlüsselt zum VPN-Anbieter und von dort ins Internet. Für den Café-Betreiber wird damit unsichtbar, welche Seiten du besuchst – für den VPN-Anbieter dafür sichtbar.

Genau das ist der Punkt, den die Werbung verschweigt: Ein VPN beseitigt kein Vertrauen, es verschiebt es. Die Frage lautet nicht „VPN ja oder nein", sondern „wem vertraue ich mehr – dem Netzbetreiber vor Ort oder diesem Anbieter". Bei kostenlosen VPN-Diensten ist die Antwort selten günstig, denn irgendwer bezahlt sie.

Was ein VPN nicht tut: Es schützt nicht vor Phishing, nicht vor Schadsoftware, nicht vor schwachen Passwörtern, und es macht dich nicht anonym. Die Werbeversprechen der Branche gehen an dem vorbei, was Privatleuten tatsächlich passiert.

Sinnvoll ist ein VPN in drei Fällen: in Netzen, denen du wirklich nicht traust; wenn du nicht möchtest, dass der Netzbetreiber deine Ziele sieht; und für den Zugriff auf ein Firmennetz – dort ist es ohnehin vorgegeben. Für den Alltag zu Hause bringt es sicherheitstechnisch nichts.

Tipp: Ein VPN beseitigt kein Vertrauen, es verschiebt es — vom Netzbetreiber zum VPN-Anbieter.

Praktische Regeln unterwegs

Erstens: Schalte die automatische Verbindung zu offenen Netzen ab. Sonst hängt dein Handy an jedem Netz mit vertrautem Namen – und ein Name lässt sich beliebig setzen. Diese Einstellung findest du unter WLAN-Optionen als „automatisch verbinden" oder „bekannte Netze".

Zweitens: Für kurze, sensible Dinge unterwegs ist die Mobilfunkverbindung meist die einfachere Antwort. Sie ist verschlüsselt, sie gehört einem Anbieter mit Vertragspflichten, und sie kostet dich nur etwas Datenvolumen. Banking im Zug: lieber über Mobilfunk als über das Zug-WLAN.

Drittens: Portale, die beim Verbinden nach persönlichen Daten fragen – Mailadresse, Zimmernummer, Geburtsdatum –, verdienen Zurückhaltung. Mail geht, Zugangsdaten zu anderen Diensten niemals.

Und viertens für zu Hause: Das eigene WLAN gehört mit WPA2 oder besser WPA3 verschlüsselt, das Router-Passwort gehört geändert, und die Fernwartung von außen gehört aus, wenn du sie nicht brauchst. Das ist eine Einmal-Aufgabe von zwanzig Minuten und wirkt jahrelang.

Tipp: Sensibles unterwegs lieber über Mobilfunk als über fremdes WLAN — verschlüsselt und ohne fremden Netzbetreiber.

🔄 Updates

Die langweiligste wirksame Maßnahme

Warum „später erinnern" teuer ist

Ein Sicherheitsupdate schließt eine bekannte Lücke. Bekannt heißt: Sie ist veröffentlicht, sie ist beschrieben, und automatisierte Werkzeuge suchen das Internet nach Geräten ab, die sie noch haben. Das Zeitfenster zwischen Veröffentlichung und Massenausnutzung ist oft kurz.

Das dreht die übliche Wahrnehmung um. Ein Update fühlt sich an wie eine Störung – etwas funktioniert vielleicht anders, es dauert, es kommt ungelegen. Tatsächlich ist der Moment nach der Veröffentlichung der gefährlichste: Ab da wissen alle Bescheid, außer deinem Gerät.

Deshalb ist die Reihenfolge klar. Zuerst das, was mit dem Internet spricht: Browser, Betriebssystem, Mailprogramm, Router. Danach alles andere. Ein veralteter Bildbetrachter ist ein kleineres Problem als ein veralteter Browser.

Und der Router wird fast immer vergessen. Er läuft jahrelang unbeachtet in der Ecke, ist ständig erreichbar und bekommt oft nur manuell Updates. Einmal im Quartal in die Router-Oberfläche schauen ist eine der wirksamsten Fünf-Minuten-Aufgaben überhaupt.

Tipp: Vergiss den Router nicht. Er ist ständig online, jahrelang unbeachtet, und aktualisiert sich oft nicht selbst.

Automatisch aktualisieren lassen

Die beste Update-Strategie ist die, die ohne dich funktioniert. Schalte automatische Updates überall ein, wo es geht: Betriebssystem, Browser, Handy-Apps. Die Sorge, ein Update könnte etwas kaputtmachen, ist bei privaten Geräten deutlich kleiner als das Risiko, veraltet zu bleiben.

Bei Handys hilft es, den nächtlichen Zeitraum zu erlauben – dann passiert es beim Laden und stört nicht. Bei Rechnern reicht es meist, das Gerät gelegentlich neu zu starten; viele Updates werden erst dann wirksam. Wer seinen Laptop wochenlang nur zuklappt, sammelt unwirksame Updates an.

Achte auf das Ende des Supports. Ein Betriebssystem oder Handy, das keine Sicherheitsupdates mehr bekommt, wird mit jeder neuen Lücke unsicherer – und niemand schließt sie noch. Bei Handys ist die Update-Zusage inzwischen ein sinnvolles Kaufkriterium.

Ein Sonderfall sind smarte Geräte: Kameras, Steckdosen, Fernseher, Saugroboter. Viele bekommen nie ein Update. Solche Geräte gehören, wenn möglich, in ein getrenntes Gäste-WLAN – dann kommen sie im Fall der Fälle nicht an deine Rechner.

Tipp: Automatische Updates überall an — und den Rechner gelegentlich neu starten, sonst bleiben sie unwirksam.

Woher Updates kommen dürfen

Updates kommen aus genau zwei Quellen: aus der Update-Funktion des Programms selbst oder aus dem offiziellen Store deines Systems. Sonst nirgendwoher. Kein Update kommt über eine Webseite, die dir mitteilt, dein Player sei veraltet.

Genau diese gefälschte Update-Aufforderung ist eine der ältesten und erfolgreichsten Maschen überhaupt – oft als Browser- oder Flash-Update getarnt, heute gern als „Sicherheitsupdate erforderlich". Wer darauf klickt, installiert die Schadsoftware eigenhändig.

Dieselbe Vorsicht gilt für Software aus Suchergebnissen. Wer einen Programmnamen sucht, landet leicht bei einer bezahlten Anzeige mit einer nachgebauten Downloadseite. Bei Programmen immer die Herstellerseite ansteuern – oder gleich den Store nutzen.

Und ein Punkt für Firmen und Familien: Wenn dich jemand telefonisch zu einem Update drängt, ist das nie echt. Kein Hersteller ruft an, weil dein Rechner ein Update braucht – siehe Modul 18.

Tipp: Updates kommen nur aus dem Programm selbst oder dem offiziellen Store. Nie über eine Webseite, nie nach einem Anruf.

💾 Backups

Die 3-2-1-Regel

Warum Backup zur Sicherheit gehört

Backups gelten als Datensicherung, nicht als Sicherheitsthema. Das ist ein Irrtum. Gegen die unangenehmste Angriffsart überhaupt – Verschlüsselungstrojaner, die deine Dateien unlesbar machen und Lösegeld fordern – ist ein Backup die einzige zuverlässige Antwort.

Mit einer aktuellen Sicherung ist so ein Angriff ein ärgerlicher Nachmittag. Ohne sind Fotos, Dokumente und Steuerunterlagen weg. Der Unterschied zwischen diesen beiden Ausgängen ist eine externe Festplatte für unter hundert Franken.

Und Backups helfen gegen viel häufigere Ereignisse: Festplatte defekt, Handy im Wasser, Laptop gestohlen, Datei versehentlich gelöscht. Die Wahrscheinlichkeit, dass dir eines davon passiert, ist über zehn Jahre gesehen ziemlich hoch.

Die ehrliche Frage lautet deshalb nicht „brauche ich ein Backup", sondern „welche Dateien würde ich vermissen, wenn dieses Gerät morgen weg wäre". Genau die gehören gesichert – meist sind es Fotos, Dokumente und ein paar Sachen, an die man erst beim Nachdenken denkt.

Tipp: Frag dich: Was würde ich vermissen, wenn dieses Gerät morgen weg wäre? Genau das gehört gesichert.

Die 3-2-1-Regel

Die etablierte Faustregel lautet 3-2-1: drei Kopien deiner Daten, auf zwei verschiedenen Medien, davon eine außer Haus. Sie klingt aufwendig und ist im Alltag erstaunlich einfach zu erfüllen.

Drei Kopien: das Original auf dem Gerät plus zwei Sicherungen. Zwei Medien: zum Beispiel eine externe Festplatte und ein Cloud-Speicher – nicht zwei Ordner auf derselben Platte. Eine außer Haus: der Cloud-Speicher erfüllt das automatisch, sonst eine zweite Platte bei Eltern, Freunden oder im Büro.

Warum außer Haus? Wegen der Ereignisse, die alles am selben Ort gleichzeitig treffen: Wohnungsbrand, Wasserschaden, Einbruch. Eine Sicherung im Schrank neben dem Rechner schützt gegen Festplattendefekt, aber nicht gegen den Schlüsselszenario-Fall.

Für die meisten Privatpersonen sieht die praktische Umsetzung so aus: Automatische Sicherung in einen Cloud-Speicher für Fotos und Dokumente, dazu einmal im Monat eine vollständige Sicherung auf eine externe Platte, die sonst nicht angeschlossen ist. Das erfüllt 3-2-1 mit etwa zehn Minuten Aufwand pro Monat.

Tipp: Drei Kopien, zwei Medien, eine außer Haus. Zwei Ordner auf derselben Platte sind eine Kopie, nicht zwei.

Der Trojaner-Fall: offline und versioniert

Ein Verschlüsselungstrojaner verschlüsselt alles, woran er herankommt – und dazu gehört die dauerhaft angeschlossene Sicherungsplatte und der synchronisierte Cloud-Ordner. Eine Sicherung, die immer verbunden ist, ist deshalb nur eine halbe Sicherung.

Daraus folgen zwei Anforderungen. Erstens: mindestens eine Kopie, die im Normalbetrieb nicht angeschlossen ist – die Platte kommt nach dem Sichern wieder in die Schublade. Zweitens: Versionierung. Gute Cloud-Dienste behalten frühere Fassungen und gelöschte Dateien für einige Wochen; damit lässt sich auch dann zurückgehen, wenn die Verschlüsselung bereits synchronisiert wurde.

Prüfe bei deinem Cloud-Anbieter einmal nach, wie lange er alte Versionen aufbewahrt und wie man sie wiederherstellt. Diese eine Information ist im Ernstfall Gold wert – und man findet sie ungern erst dann.

Und das Wichtigste, was fast niemand tut: Teste die Wiederherstellung. Hol einmal eine Datei aus dem Backup zurück und schau, ob sie sich öffnen lässt. Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung, kein Backup.

Tipp: Teste einmal die Wiederherstellung. Eine nie zurückgespielte Sicherung ist eine Vermutung, kein Backup.

Was oft vergessen wird

Das Handy. Für viele Menschen liegen dort die wichtigsten Daten – Fotos, Nachrichten, Notizen – und die Sicherung ist entweder nie eingerichtet oder seit dem Speicherplatz-Hinweis vor zwei Jahren stumm. Ein Blick in die Backup-Einstellungen und gegebenenfalls ein paar Franken für mehr Speicher lösen das dauerhaft.

Chat-Verläufe brauchen oft eine eigene Sicherung: Messenger speichern ihre Daten teils außerhalb des normalen Geräte-Backups und haben eine separate Einstellung. Wer Familienfotos vor allem im Chat hat, sollte dort nachsehen.

Zugangsdaten und Zwei-Faktor: Der Passwort-Tresor gehört ins Backup, ebenso die Wiederherstellungscodes aus Modul 15 – und zwar so, dass sie nicht am selben Ort liegen wie das Gerät, das den zweiten Faktor erzeugt.

Und Papier: Ausweis-Kopien, Versicherungspolicen, Verträge. Ein Ordner mit Scans in der Cloud kostet einen Nachmittag und hilft in genau den Momenten, in denen es sonst besonders unangenehm wird.

Tipp: Chat-Verläufe haben oft eine eigene Backup-Einstellung — das normale Handy-Backup erfasst sie nicht immer.

🚑 Wenn es passiert ist

Die ersten Stunden richtig nutzen

Reihenfolge: isolieren, ändern, melden

Wenn du merkst, dass etwas passiert ist – du hast Zugangsdaten eingegeben, einen Anhang geöffnet, eine Zahlung ausgelöst –, entscheidet die Reihenfolge über den Schaden. Sie lautet: isolieren, ändern, melden. In dieser Folge, nicht anders.

Isolieren heißt: Gerät vom Netz trennen, wenn der Verdacht auf Schadsoftware besteht – WLAN aus, Kabel raus. Nicht ausschalten, wenn du später Hilfe holen willst, denn dabei gehen Spuren verloren; vom Netz nehmen reicht, um die Ausbreitung zu stoppen.

Ändern heißt: Passwörter zurücksetzen, und zwar von einem anderen, sauberen Gerät aus. Zuerst das E-Mail-Konto, dann alles, wo dasselbe Passwort lag, dann Bank und Zahlungsdienste. Wenn möglich zusätzlich alle aktiven Sitzungen beenden – die Funktion heißt meist „von allen Geräten abmelden".

Melden heißt: Bank oder Zahlungsdienst anrufen, wenn Geld im Spiel ist; Arbeitgeber informieren, wenn es ein Firmengerät oder ein Firmenkonto betrifft. Beides sofort, nicht am nächsten Tag – bei Zahlungen zählen Stunden.

Tipp: Isolieren, ändern, melden — in dieser Reihenfolge. Und Passwörter immer von einem sauberen Gerät aus ändern.

Die häufigsten Fälle konkret

Du hast Zugangsdaten auf einer gefälschten Seite eingegeben: Sofort das Passwort dieses Dienstes ändern, überall dort, wo es ebenfalls im Einsatz war, ebenfalls. Zwei-Faktor aktivieren, falls noch nicht geschehen. Aktive Sitzungen beenden. Danach im Konto nachsehen, ob sich Adressen, Telefonnummern oder Wiederherstellungsadressen geändert haben – das ist der erste Schritt eines Angreifers.

Du hast eine Zahlung ausgelöst: Bank anrufen und Rückholung erfragen. Bei Überweisungen ist das ein Wettlauf mit der Zeit, aber es gelingt öfter als gedacht. Bei Kartenzahlungen die Karte sperren lassen. Anzeige erstatten – für die Versicherung und weil viele Fälle nur so überhaupt sichtbar werden.

Du hast einen Anhang geöffnet: Gerät vom Netz nehmen, von einem anderen Gerät aus die wichtigsten Passwörter ändern, dann einen vollständigen Virenscan laufen lassen. Bei begründetem Verdacht auf echten Befall ist die saubere Lösung die Neuinstallation aus einem Backup – halbe Reinigungen hinterlassen oft Reste.

Dein Konto wird bereits missbraucht – Mails, die du nicht geschrieben hast, Bestellungen, die du nicht gemacht hast: Passwort ändern, alle Sitzungen beenden, Wiederherstellungsadressen prüfen, Weiterleitungsregeln im Postfach kontrollieren. Angelegte Weiterleitungen sind ein häufiger und leicht zu übersehender Nachschlüssel.

Tipp: Nach einem Konto-Vorfall die Postfach-Weiterleitungen prüfen — eine angelegte Regel ist ein bleibender Nachschlüssel.

Wo du Hilfe bekommst — und was du dokumentierst

Bei Betrug mit finanziellem Schaden: Anzeige bei der Polizei, in der Schweiz und in Deutschland auch online möglich. Die Bank ist der schnellste Hebel bei Zahlungen, die Polizei der richtige Weg für alles Weitere.

Bei Firmengeräten oder Firmenkonten: sofort die IT oder die vorgesetzte Person informieren – auch und gerade, wenn es peinlich ist. Ein früh gemeldeter Fehler ist ein Vorfall, ein spät gemeldeter ist ein Schaden. Firmen, die das anders handhaben, produzieren Vertuschung statt Sicherheit.

Dokumentiere, solange es frisch ist: Screenshots der Nachricht, Uhrzeit, was genau du angeklickt und eingegeben hast, welche Beträge betroffen sind. Das brauchst du für Bank, Versicherung und Anzeige – und du erinnerst dich in zwei Tagen schlechter, als du denkst.

Und danach: Erzähl es weiter. Der einzige echte Vorteil, den Angreifer haben, ist die Scham der Betroffenen. Wer im Freundeskreis oder in der Familie sagt „mir ist das passiert, so lief es", schützt damit mehrere Leute auf einmal. Es trifft kluge Menschen an schlechten Tagen – das ist keine Charakterfrage.

Tipp: Erzähl es weiter. Der größte Vorteil der Angreifer ist die Scham der Betroffenen — es trifft kluge Leute an schlechten Tagen.

👨‍👩‍👧 Schutz für die Familie

Kinder und Ältere mitdenken

Kinder: Regeln statt Verbote

Verbote funktionieren im Netz schlecht, weil Kinder Wege finden und dann nicht mehr fragen. Besser ist ein kleiner Satz von Regeln, den Kinder verstehen und begründen können – und die Zusage, dass sie sich melden dürfen, ohne Ärger zu bekommen.

Vier Regeln reichen für den Anfang. Erstens: Keine echten Daten weitergeben – Name, Adresse, Schule, Telefonnummer –, egal wer fragt. Zweitens: Nichts installieren ohne Rückfrage. Drittens: Keine Treffen mit Leuten aus dem Netz ohne Erwachsene. Viertens, die wichtigste: Wenn etwas komisch ist, sag Bescheid – auch wenn du selbst etwas falsch gemacht hast.

Diese vierte Regel entscheidet alles. Kinder, die Ärger befürchten, verschweigen genau die Vorfälle, bei denen Hilfe nötig wäre – von Erpressung mit Bildern bis zu Kontaktversuchen. Wer einmal ruhig reagiert hat, erfährt beim nächsten Mal wieder davon.

Technisch: eigenes Benutzerkonto oder Browser-Profil, altersgerechte Einstellungen im App-Store, keine hinterlegten Zahlungsdaten auf Kindergeräten. Das verhindert die häufigsten unangenehmen Überraschungen, ganz ohne Überwachung.

Tipp: Die wichtigste Kinderregel: „Sag Bescheid, auch wenn du etwas falsch gemacht hast — es gibt keinen Ärger."

Ältere Angehörige: die eigentliche Zielgruppe

Bei Senioren geht es selten um Technikkompetenz und fast immer um Vertrauen und Höflichkeit. Wer gelernt hat, dass man Anrufe freundlich zu Ende führt und Amtspersonen nicht widerspricht, ist genau deshalb anfällig – nicht wegen mangelnder Intelligenz.

Entlastende Sätze helfen mehr als Erklärungen. Zum Beispiel: „Du darfst jederzeit auflegen, das ist nicht unhöflich." Oder: „Wenn jemand Geld will, ruf immer erst mich an – egal wie dringend es klingt." Diese Erlaubnis, unhöflich sein zu dürfen, ist oft der wirksamste Schutz überhaupt.

Dazu drei konkrete Vereinbarungen: das Familien-Codewort aus Modul 18, eine feste Ansprechperson für alles Digitale, und die Regel, dass nie jemand am Telefon zu Fernwartung, Überweisung oder Gutscheinkarten überredet werden darf.

Und hilf beim Einrichten statt beim Erklären. Passwort-Manager gemeinsam aufsetzen, Zwei-Faktor gemeinsam aktivieren, automatische Updates einschalten, Notfallzugang hinterlegen. Einmal zusammen gemacht ist mehr wert als drei Erklärungen am Telefon.

Tipp: „Du darfst jederzeit auflegen, das ist nicht unhöflich." Dieser eine Satz schützt Ältere mehr als jede Erklärung.

Der Familien-Sicherheitscheck

Setz dich einmal im Jahr eine Stunde mit der Familie zusammen und geht eine kurze Liste durch. Erstens: Hat jeder einen Passwort-Manager, und liegen die wichtigen Konten drin? Zweitens: Ist bei Mail und Bank Zwei-Faktor aktiv? Drittens: Laufen automatische Updates auf allen Geräten?

Viertens: Existiert ein Backup für Handys und Rechner, und wurde es einmal getestet? Fünftens: Kennt jeder das Codewort? Sechstens: Weiß jeder, wen er anruft, wenn etwas passiert ist – und dass es dafür keinen Ärger gibt?

Ergänze zwei Dinge, an die niemand gern denkt: einen Notfallzugang, damit im Ernstfall jemand an die wichtigsten Konten kommt, und eine Liste der laufenden Abos und Konten. Beides erspart Angehörigen in einer ohnehin schweren Situation viel Mühe.

Und zum Schluss der ehrlichste Rat dieses Kurses: Perfektion ist nicht das Ziel. Wer Passwort-Manager, Zwei-Faktor bei Mail und Bank, automatische Updates und ein getestetes Backup hat, liegt weit über dem Durchschnitt – und genau darum geht es. Sicherheit ist kein Zustand, sondern eine Handvoll Gewohnheiten, die man einmal einrichtet.

Tipp: Einmal im Jahr eine Stunde Familien-Check: Manager, 2FA, Updates, Backup, Codewort, Ansprechperson.

Deine nächsten drei Schritte

Dieser Kurs hatte 24 Module, aber die Umsetzung braucht keine 24 Vorsätze. Fang mit drei Dingen an, in dieser Reihenfolge – sie decken den größten Teil des realen Risikos ab.

Erstens: Passwort-Manager einrichten und dort mit dem E-Mail-Konto beginnen. Ein langes, einmaliges Passwort nach der Satzmethode. Das ist der Schritt mit der größten Wirkung, weil die Mail alle anderen Konten aufsperrt.

Zweitens: Zwei-Faktor für Mail, Passwort-Manager und Bank – mit einer Authenticator-App statt SMS. Wiederherstellungscodes dabei sofort sichern, getrennt vom Handy.

Drittens: Backup einrichten und einmal testen. Danach kannst du die restlichen Module in Ruhe umsetzen: Passkeys, wo angeboten, Erweiterungen ausmisten, Familiengespräch führen. Aber die ersten drei Schritte sind die, die im Ernstfall zählen.

Tipp: Drei Schritte, in dieser Reihenfolge: Passwort-Manager mit E-Mail, dann 2FA per App, dann getestetes Backup.