Wie Du Betrugsmaschen erkennst und Dich schützt: Phishing, Ping-Anrufe, ID-Spoofing & Co.

Eine vertraut wirkende Rufnummer oder eine dringende Nachricht mit Link: Betrugsversuche sind perfide und wirken oft täuschend echt. Ping-Anrufe, Call-ID-Spoofing, Phishing und andere Maschen zielen darauf ab, Deine persönlichen Daten zu stehlen und Dir Geld aus der Tasche zu ziehen. Wir zeigen Dir, wie Du Betrug erkennst und Dich dagegen schützt.

Betrugsmaschen, auch Scams genannt, sind inzwischen oft professionell gemacht und sprachlich fehlerfrei. Verlass Dich deshalb nicht auf einzelne Warnsignale wie Rechtschreibfehler. Erfahre hier, welche Methoden die Täter:innen nutzen, um ihre Opfer hinters Licht zu führen, und wie Du am besten dagegen vorgehen kannst.

Das Wichtigste zu den Betrugsmaschen in Kürze

• Betrugsmaschen erkennst Du vor allem am Zeitdruck – nicht an Rechtschreibfehlern.
• Prüf jede Aufforderung über einen zweiten, unabhängigen Weg.
• Gib am Telefon, per Nachricht oder im Chat niemals PIN, TAN oder Verifizierungscodes weiter.
• Ist es schon passiert, zählt schnelles Handeln: Konto sperren, Passwörter ändern, Anzeige erstatten.

>>> Handy-Vertrag bei Vodafone finden

Grundregel gegen Betrugsmaschen: Erst stoppen, dann prüfen

Ob Anruf, E-Mail, SMS oder Messenger-Nachricht: Zeitdruck gehört zu den wichtigsten Werkzeugen der Täter:innen. Unterbrich deshalb den Kontakt, sobald Dir etwas ungewöhnlich vorkommt.

Prüf die Behauptung anschließend über einen unabhängigen Weg. Ruf bekannte Nummern an, öffne Apps selbst und sprich mit Freund:innen oder Familie. So behältst Du die Kontrolle, bevor ungewollt Geld oder Daten abhandenkommen.

Phishing: So versuchen Kriminelle, Deine Daten zu stehlen

Phishing kommt aus dem Englischen „fishing“, was übersetzt „angeln“ heißt. Es handelt sich dabei um den Oberbegriff für verschiedene Betrugsversuche. Kriminelle wollen dabei sensible Daten oder Geld erbeuten. Meist kommt der Köder als Nachricht mit Link, Anhang oder Telefonnummer, manchmal auch als Anruf.

Beim Phishing geben sich Kriminelle häufig als bekannte Unternehmen, Banken, Paketdienste oder Behörden aus. Je nachdem, über welchen Weg sie Dich kontaktieren, unterscheidet man verschiedene Formen.

Diese Arten von Phishing gibt es

• Klassisches Phishing: E-Mails mit Links oder Anhängen sollen Dich auf gefälschte Seiten locken oder Schadsoftware einschleusen.
• Smishing: SMS oder Messenger-Nachrichten führen Dich über Links oder Telefonnummern zu betrügerischen Angeboten.
• Quishing: QR-Codes leiten Dich auf gefälschte Websites weiter, auf denen Daten abgefragt werden.
• Vishing: Bei Anrufen versuchen Kriminelle, vertrauliche Informationen direkt von Dir zu erfragen.
• Phishing-Website: Gefälschte Internetseiten imitieren bekannte Anbieter und sollen Dich zur Eingabe von Zugangsdaten oder Zahlungsinformationen bringen.

So erkennst Du Phishing-Nachrichten

Du hast eine dubiose Nachricht erhalten? An diesen Merkmalen erkennst Du einen Phishing-Versuch:

• Die Nachricht fordert sofortiges Handeln, indem Dir beispielsweise mit einer Kontosperre oder ähnlichen Konsequenzen gedroht wird.
• Du sollst unerwartet Geld bezahlen.
• Du sollst PIN, TAN oder Passwort eingeben oder bestätigen.
• Absenderadresse oder Link-Domain passen nicht zum angeblichen Anbieter.
• Die Nachricht enthält einen unerwarteten Anhang.
• Die Nachricht passt nicht zu Deinen Aktivitäten, etwa zu einer Bestellung oder einem Vertrag.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass Rechtschreibfehler und unpersönliche Anreden nicht mehr als zuverlässige Erkennungsmerkmale dienen. Viele Fälschungen seien inzwischen professionell gestaltet. Auch eine sprachlich fehlerfreie Nachricht kann daher Phishing sein.

So prüfst Du verdächtige Links, Nummern und QR-Codes

Klick nicht auf den enthaltenen Link. Öffne stattdessen die offizielle App oder besuche die Website der Firma oder Bank über die Suche im Web-Browser. Prüf dort, ob wirklich eine Nachricht, Rechnung oder Sicherheitswarnung vorliegt.

Nutz auch keine Telefonnummer aus der verdächtigen Nachricht. Such die Kontaktdaten zum Unternehmen selbst heraus oder verwende eine gespeicherte Nummer. Dasselbe gilt für QR-Codes auf unerwarteten Briefen, Rechnungen oder E-Mails. Sie führen häufig auf gefälschte Websites und wenn Du sie scannst, kann das im Betrugsfall Folgen für Deine Datensicherheit haben.

Phishing: Schon geklickt? Das tust Du jetzt

Hast Du Daten preisgegeben, etwa auf einer gefälschten Website, als Antwort auf eine E-Mail oder SMS oder am Telefon, solltest Du schnell reagieren. Welche Schritte nötig sind, hängt davon ab, was Du verraten hast.

1. Sichere den betroffenen Zugang. Bei einem Onlineshop, Streamingdienst oder E-Mail-Konto änderst Du sofort das Passwort. Öffne dafür die App oder tippe die Adresse selbst ein. Hast Du Bank- oder Kartendaten eingegeben, lass Zugang und Karten über den Sperr-Notruf 116 116 sperren.
2. Informier den Anbieter oder Deine Bank. Bei der Bank lassen sich Kontobewegungen laut BSI unter Umständen noch rückgängig machen.
3. Sichere Deine übrigen Konten ab. Nutzt Du dasselbe Passwort mehrfach, tausch es überall und aktivier die Zwei-Faktor-Authentifizierung. Ist ein Schaden entstanden, erstatte Anzeige.

Schutz vor Phishing: Initiative „Phishen Impossible“ klärt auf

Gegen Online-Betrug wie Phishing gibt es inzwischen auch geballte Hilfe: Die Initiative „Machen wir Phishen Impossible“ bündelt kostenlos Erkennungshilfen, aktuelle Warnungen und einen interaktiven Test auf einer Website. Getragen wird sie von der deutschen Bundesbank, weiteren Banken, Organisationen und Vodafone.

Mehr dazu liest Du in unserem Artikel: So hilft Dir die Initiative „Machen wir Phishen Impossible“ bei digitaler Sicherheit

Ping-Anruf: Das sind klare Anzeichen

Unter Ping-Calls versteht man eine Betrugsmasche, bei der Dich meist Nummern aus dem Ausland kurz anklingeln. Oft hält die Verbindung nur wenige Sekunden, sodass Du gar keine Chance hast, zu reagieren. Ziel ist, dass Du neugierig wirst und zurückrufst. Wenn Du das tust, musst Du Dich auf eine hohe Telefonrechnung gefasst machen. Oft werden auch Bandansagen abgespielt, die Dich dazu bringen sollen, lange in der Leitung zu bleiben.

Die Vorwahl +49 ist bei Ping-Machenschaften eher selten. Die meisten Anrufe haben eine Vorwahl aus dem Ausland, die wiederum einer Vorwahl aus einem deutschen Ort ähnlich ist. So lässt sich laut der Bundesnetzagentur Madagaskar (+261) leicht mit Koblenz (0261) verwechseln. Die serbische Vorwahl +381 ähnelt der Rostocker mit 0381.

Preisansage: Diese Regel schützt Dich beim Rückruf

Solltest Du auf einen Ping-Anruf reinfallen und die Nummer zurückrufen, besteht noch eine Chance auf Rettung, bevor der Anruf kostenpflichtig wird. Die Bundesnetzagentur hat im Februar 2024 erneut eine Preisansagepflicht angeordnet. Bei 56 internationalen Vorwahlen müssen Mobilfunkanbieter eine kostenlose Ansage abspielen.

Die Ansage informiert Dich vor Beginn der kostenpflichtigen Verbindung über den Preis des folgenden Telefonats. Du kannst den Rückruf dann noch kostenfrei beenden. Die Regelung schützt allerdings nur bei den festgelegten Vorwahlen. Ein Rückruf bei einer unbekannten Auslandsnummer bleibt deshalb grundsätzlich riskant.

Hier findest Du eine Übersicht über betroffene Länder: Preisansagepflicht im Mobilfunk

Zunächst war die Regelung bis zum 1. März 2024 befristet, wurde aber noch einmal bis zum 1. März 2027 verlängert.

Verhalte Dich bei einem Ping-Anruf am besten so

Leider kann jede:r mal betroffen sein. Die gute Nachricht ist, dass Du Dich selbst und andere schützen kannst, wenn Du Dich richtig verhältst. Und zwar so:

• Ruf nicht zurück, wenn Du die Nummer nicht kennst.
• Dokumentier die Rufnummer – zum Beispiel mit einem Screenshot.
• Setz solche Rufnummern auf die Sperrliste Deines Smartphones.
• Melde die Rufnummer der Bundesnetzagentur unter diesem Beschwerdeformular.
• Sperr auf Deinem Smartphone Rufnummernbereiche, wenn Du sie nicht brauchst – zum Beispiel für ausgehende Auslandsgespräche und kostenpflichtige Mehrwertrufnummern

Vodafone darf Rufnummern nur auf Anordnung der Bundesnetzagentur sperren. Ein aktueller Spam-Warner ergänzt das weiter: Erkennt das Vodafone-Netz eine als verdächtig abgespeicherte Nummer, erscheint auf dem Display der Hinweis „Vorsicht: Betrug möglich!“.

Hier erfährst Du mehr zu Vodafones Spam-Warner: Fazit nach 12 Monaten Spam-Schutzschild

Ping-Anruf: Schon zurückgerufen? Das solltest Du jetzt tun

Hast Du zurückgerufen? Dann leg zuerst auf. Je kürzer die Verbindung, desto geringer bleiben die Kosten.

Prüf dazu Deine nächste Mobilfunk-Rechnung genau und beanstande auffällige Positionen. Meld die Rufnummer danach der Bundesnetzagentur über das Beschwerdeformular. Bei strafrechtlich relevanten Fällen erstatte zusätzlich Anzeige bei der Polizei.

Call-ID-Spoofing: Wenn die Nummer nicht echt ist

Genauso heimtückisch wie Phishing und Ping-Anrufe ist das sogenannte Call-ID-Spoofing. Dabei manipulieren Kriminelle die übermittelte Rufnummer, die auf Deinem Display angezeigt wird. Die eingeblendete Nummer kann real existieren. Es kann sich um eine bekannte Rufnummer, Hotline oder sogar die Nummer einer Behörde handeln, obwohl sich in Wahrheit Betrüger:innen dahinter verbergen. Möglich sind außerdem frei erfundene und nicht vergebene Nummern.

Das Ziel von Call-ID-Spoofing ist, durch seriös wirkende Rufnummern Vertrauen zu erzeugen. Dieser Scam-Versuch wird manchmal mit automatisierten Bandansagen kombiniert. Häufig wird im Gespräch Handlungsdruck aufgebaut. Betrüger:innen wollen Dich dazu bringen, persönliche Daten, Passwörter, TANs oder Zahlungsinformationen preiszugeben.

Welche Schutzregeln gelten für manipulierte Rufnummern?

Seit Dezember 2022 müssen Telefonanbieter in Deutschland zusätzliche technische Schutzmaßnahmen gegen Call-ID-Spoofing umsetzen. Kommt ein Anruf aus einem ausländischen Netz, darf grundsätzlich keine deutsche Rufnummer als Absender angezeigt werden. Die Nummer wird stattdessen unterdrückt. Eine Ausnahme gilt für deutsche Mobilfunknummern beim internationalen Roaming.

Bestimmte Nummern dürfen außerdem gar nicht als Absender erscheinen. Dazu gehören die Notrufnummern 110 und 112 und teure Sonderrufnummern. Solche Anrufe müssen abgebrochen werden und sollten Dich deshalb gar nicht mehr erreichen.

So schützt Du Dich vor Betrug durch Fake-Anrufe:

• Gib am Telefon keine vertraulichen Daten raus.
• Bestätige keine Anmeldung oder Überweisung auf Zuruf.
• Drücke bei verdächtigen Bandansagen keine Taste.
• Beende das Gespräch bei Zeitdruck oder Drohungen.
• Dokumentiere und blockiere die angezeigte Rufnummer.
• Melde manipulierte Rufnummern über das passende Beschwerdeformular der Bundesnetzagentur.

Die Bundesnetzagentur weist darauf hin, dass eine Nummer auf Deinem Display erschienen sein muss, um sie über das Formular zu melden. Bei Fake-Anrufen mit strafrechtlichem Hintergrund empfiehlt die Behörde zusätzlich eine schnelle Meldung an die Polizei.

Call-ID-Spoofing: Daten am Telefon verraten? Das tust Du jetzt

Hast Du am Telefon Daten preisgegeben, zählt jede Minute. Welche Schritte nötig sind, hängt davon ab, was Du verraten hast.

1. Sichere den betroffenen Zugang: Bei Bank- oder Kartendaten lässt Du Konten und Karten über den Sperr-Notruf 116 116 sperren. Hast Du ein Passwort oder einen Bestätigungscode genannt, ändere sofort das Passwort des betroffenen Kontos.
2. Informier Deine Bank oder den Anbieter: Hast Du eine Überweisung freigegeben oder eine TAN genannt, bitte Deine Bank sofort um eine Rückholung. Manche Zahlungen lassen sich noch stoppen. Bei anderen Konten wendest Du Dich an den Kundenservice des Anbieters.
3. Erstatte Anzeige: Die Bundesnetzagentur empfiehlt das bei Fake-Anrufen mit strafrechtlichem Hintergrund ausdrücklich. Meld die angezeigte Nummer zusätzlich über ihr Beschwerdeformular.

Betrug per WhatsApp und anderen Messengern: So laufen die Maschen ab

Messenger-Nachrichten wirken persönlich. Genau dieses Vertrauen nutzen Kriminelle aus. Zwei Maschen solltest Du kennen.

Familienmasche: Wenn „Dein Kind“ von einer neuen Nummer schreibt

Häufig beginnt der Kontakt mit einer SMS oder Messenger-Nachricht von einer unbekannten Nummer. Die Person gibt sich beispielsweise als Dein Kind oder ein anderes Familienmitglied aus. Das alte Smartphone sei verloren oder kaputt, deshalb schreibe sie von einer neuen Nummer. Kurz darauf braucht sie dringend Geld, etwa für eine Rechnung, eine Mahnung oder eine wichtige Anschaffung.

So schützt Du Dich vor der Familienmasche

• Überweis kein Geld, nur weil Dich jemand per Chat darum bittet.
• Ruf die angebliche Person unter ihrer bisherigen Nummer an. Alternativ kannst Du im Chat eine Frage stellen, die nur die echte Person beantworten kann.
• Blockier und melde die Nummer.

Familienmasche: Schon überwiesen? Das tust Du jetzt

Hast Du Geld überwiesen, zählt jede Minute.

1. Ruf Deine Bank an: Bitte sofort um eine Rückholung der Zahlung. Manche Überweisungen lassen sich noch stoppen.
2. Sicher Beweise: Mach Screenshots vom Chatverlauf und notier Dir die Nummer.
3. Erstatte Anzeige: Die Verbraucherzentrale empfiehlt, den Vorfall inklusive Beweismittel zusätzlich der Polizei zu melden.

Ghost Pairing: Wenn Bekannte plötzlich Links schicken

Ghost Pairing ist eine Phishing-Form, die speziell auf Messenger zielt. Anders als bei der Familienmasche geht es zunächst nicht um Dein Geld, sondern um Zugriff auf Dein Konto. Die Nachricht kommt deshalb meist nicht von einer fremden Nummer, sondern von jemandem, den Du kennst.

Dahinter steckt ein bereits gekapertes Konto. Über den Chat schicken Dir die Kriminellen einen Link, oft zu einer Abstimmung. Dort sollst Du Deine Rufnummer eintragen. Kurz darauf fragen sie einen achtstelligen Kopplungscode ab.

Gibst Du ihn weiter, hängen sie ihr Gerät an Dein Konto. Dafür missbrauchen sie „Verknüpfte Geräte“, die offizielle Funktion, mit der Du Deinen Messenger auf mehreren Geräten nutzt. Ab diesem Moment lesen sie Deine Chats mit.

Dein Messenger läuft dabei ganz normal weiter. Genau deshalb bleibt die Übernahme oft tagelang unbemerkt. In der Zwischenzeit schreiben die Täter:innen Deine Kontakte an und die Masche wandert wie ein Schneeballsystem von Konto zu Konto weiter.

So schützt Du Dich vor Ghost Pairing

• Teil niemals Verifizierungs- oder Kopplungscodes Deines Messengers.
• Scann keine QR-Codes aus unbekannten Quellen, um Geräte zu koppeln.
• Frag über einen anderen Weg nach, wenn Bekannte plötzlich Links schicken oder Dich bitten, Deine Nummer zu bestätigen.
• Aktivier die Zwei-Faktor-Authentifizierung, bei WhatsApp heißt sie Verifizierung in zwei Schritten.
• Prüf regelmäßig, welche Geräte mit Deinem Konto verbunden sind, bei WhatsApp etwa unter „Verknüpfte Geräte“.

Ghost Pairing: Konto gekapert? Das tust Du jetzt

Hat jemand Zugriff auf Dein Konto, solltest Du schnell reagieren.

1. Trenn fremde Geräte: Kannst Du WhatsApp noch nutzen, trenn unter „Verknüpfte Geräte“ alle Einträge, die Du nicht kennst. Auf Android findest Du die Liste über die drei Punkte oben rechts, auf dem iPhone über die Einstellungen. Hast Du keinen Zugriff mehr, meld Dich mit Deiner Nummer neu an. Laut WhatsApp wird die fremde Person dann automatisch abgemeldet. Hat sie vorher eine PIN gesetzt, musst Du sieben Tage warten.
2. Warn sofort Deine Kontakte: Wer Dein Konto nutzt, kann sich in Chats und Gruppen für Dich ausgeben und als Nächstes Deine Kontakte anschreiben. Informier sie deshalb direkt.
3. Sichere Dein Konto ab und erstatte Anzeige: Aktivier die Zwei-Faktor-Authentifizierung, damit sich niemand erneut Zugang verschaffen kann, und wende Dich an die Polizei.

Du willst den Vodafone-Kundenservice per Messenger erreichen? Dann kontaktier uns so über WhatsApp.

---