Vorsicht Betrug: So erkenne ich Phishing-Mails

Es gibt offensichtliche Phishing-Mails. Wenn eine E-Mail eintrudelt, in der ein «Prinz» Millionen verschenken will und dafür deine Kontoangaben braucht, oder wenn dir eine Lotterie den Hauptpreis verspricht, du aber zuerst Geld überweisen sollst, dann ist klar: löschen, blockieren, fertig. Richtig? Genau.

Kniffliger wird es, wenn eine Nachricht scheinbar von deiner Bank kommt («Du musst neue Richtlinien bestätigen»), vom Paketdienst («Zustellung nicht möglich – Adresse bestätigen») oder von einem bekannten Online-Shop. Logos, Farben und Tonfall wirken oft täuschend echt. Darum gilt: Klicke nicht vorschnell auf Links, fülle keine Formulare aus und öffne keine Anhänge, wenn du nicht absolut sicher bist. Du kannst Phishing oft in wenigen Sekunden entlarven – und du kannst dir als Familie einfache Routinen angewöhnen, die im Alltag wirklich helfen. Laut Bundesamt für Cybersicherheit (BACS) werden in der Schweiz neben klassischen Phishing-Mails besonders häufig «Paket»- und «Bank»-Maschen beobachtet, zunehmend auch über SMS und QR-Codes.

So erkennst du Phishing-Mails

• Die E-Mail-Adresse: Schau dir die Absenderadresse genau an. Mit einem Rechtsklick auf den Absender kannst du die genaue Mail-Adresse sehen. Und die hat oft nicht mehr viel mit der Firma zu tun (z.B. verdrehte Buchstaben, zusätzliche Punkte/Bindestriche oder fremde Domains).
• Links: Bei Phishing-Mails führen Links zu gefälschten Websites oder lösen schädliche Downloads aus. Damit man das nicht sofort erkennt, nutzen Täter:innen Kurzlinks oder überschreiben den Linktext. Fahre (ohne zu klicken) mit der Maus über den Link – dann siehst du die tatsächliche Zieladresse.
• Sprache: Rechtschreibe- und Grammatikfehler sind ein Warnsignal, aber nicht immer. Viele Betrugsnachrichten sind heute sprachlich gut. Verlass dich deshalb nie nur auf dieses Merkmal.
• Druck und Drohungen: Wenn «umgehendes Handeln» gefordert wird («Konto wird gesperrt», «letzte Mahnung», «nur noch heute»), soll dich das stressen, damit du nicht nachdenkst. Seriöse Anbieter geben dir in der Regel Zeit und bieten sichere Kontaktwege.

Phishing, Smishing, Quishing: Die 3 häufigsten Einstiege

Viele Familien denken bei Betrug zuerst an E-Mails. In der Praxis starten Angriffe aber längst auch über SMS/Chats und QR-Codes – oft genau dort, wo du schnell handeln willst (unterwegs, an der Parkuhr, zwischen zwei Terminen). Das BACS beschreibt diese Kanäle als zentrale Einfallstore aktueller Betrugswellen in der Schweiz.

Smishing: Betrug per SMS/Chat (Paket, Bank, «Hallo Mama/Papa»)

Smishing ist Phishing über SMS oder Messenger. Typisch sind kurze Nachrichten mit Link und Zeitdruck: «Dein Paket ist unterwegs – Gebühr bezahlen», «Verdächtige Zahlung – jetzt bestätigen» oder die bekannte «Hallo Mama/Papa»-Masche, bei der Betrüger:innen sich als Kind ausgeben und dringend Geld verlangen.

Was Eltern besonders hilft: Vereinbare in der Familie ein einfaches Sicherheitswort oder eine Rückruf-Regel: Bei Geldforderungen oder «neuer Nummer» wird immer über eine bekannte Nummer zurückgerufen oder per Videoanruf geprüft. Das nimmt Druck aus der Situation und verhindert Schnellschüsse.

Quishing: Betrug über QR-Codes  bei Parkuhren, Briefpost, Fake-Payments

Beim Quishing führt ein QR-Code zu einer gefälschten Website, auf der du Zahlungsdaten, Login oder persönliche Angaben eingibst. In der Schweiz wurden wiederholt manipulierte QR-Codes an Parkuhren gemeldet: Du scannst, landest auf einer täuschend echten Zahlungsseite – und zahlst an die falsche Stelle oder gibst Kartendaten preis. Genau diese «optisch angepassten» QR-Codes vermitteln scheinbare Sicherheit, weil sie offiziell wirken. Beispiele findest du bei cybercrimepolice.ch, unter anderem zu «optisch angepassten QR-Codes» und «manipulierten QR-Codes an Schweizer Parkuhren».

Briefpost & «Behörden»-Maschen: wenn es offline wirkt, aber online stiehlt

Ein besonders tückischer Trick: Ein Brief wirkt offiziell (Logo, Absender, «Warnung», «Verifizierung», «Sicherheitsupdate»), führt aber mit QR-Code oder Link auf eine Fake-Seite. In der Schweiz wurde unter anderem eine Phishingmasche per Briefpost mit angeblicher Warnung vor Sicherheitslücken bei Hardware-Wallets (z.B. Ledger) beschrieben. Solche Fälle dokumentiert cybercrimepolice.ch – und sie zeigen: «Papier» ist kein Beweis für Echtheit.

Prüf-Shortcut: Kontaktiere Institutionen immer über die offizielle Website (Adresse selbst eintippen) oder über die Nummer auf deiner Bankkarte/den Originalunterlagen – nicht über Kontaktdaten aus dem Brief.

Mini-Training mit Kindern: 10 Minuten, die wirken

Kinder und Jugendliche wachsen mit Chats, In-Game-Käufen, QR-Codes und Schnellzahlungen auf. Das ist nicht «naiv», sondern Alltag. Umso wichtiger sind klare, stressfreie Familienregeln: nicht als Kontrolle, sondern als Schutznetz. Plane 10 Minuten ein, am besten dann, wenn gerade kein Problem passiert ist.

Übung 1: «Stop – Check – Ask» 

Übt diese drei Fragen gemeinsam – laut aussprechen hilft:

• Stop: Will mich die Nachricht stressen (Zeitdruck, Drohung, «letzte Chance»)?
• Check: Passt Absender und Kanal (SMS statt Brief, private Nummer statt Firmenkonto, komische Domain)?
• Ask: Kann ich eine erwachsene Vertrauensperson fragen oder über einen sicheren Weg rückbestätigen (Rückruf, offizielle App, Website selbst eintippen)?

Wichtig für Kinder: «Fragen ist nie peinlich.» Macht klar, dass ihr lieber einmal zu viel nachfragt als einmal zu wenig.

Übung 2: Links/QR prüfen 

Macht zusammen einen Mini-Check am Handy:

• QR-Code nicht automatisch vertrauen – besonders bei Aufklebern an Automaten.
• Webadresse anschauen: Tippfehler, zusätzliche Wörter, ungewöhnliche Endungen (z.B. .ru/.xyz), fehlendes https sind Warnsignale.
• Wenn du dich einloggen sollst: lieber selbst die bekannte Adresse eintippen oder die offizielle App öffnen.

Wenn ihr mögt, macht daraus ein Spiel: «Wer findet das Warnsignal zuerst?» – das trainiert Aufmerksamkeit ohne Angst.

Übung 3: Was tun, wenn man unsicher ist? 

Legt fest, was «unsicher» bedeutet und was dann passiert. Zum Beispiel:

• Die Person, die die Nachricht bekommen hat, macht einen Screenshot.
• Ihr besprecht kurz: löschen, blockieren, melden.
• Bei Geld- oder Login-Themen gilt: erst Rückruf/Check über offizielle Kanäle, dann handeln.

So wird aus Unsicherheit eine Routine – und genau das schützt im Alltag am besten.

Wenn du geklickt/gezahlt hast: Sofortmassnahmen

Wenn du auf eine Phishing-Nachricht hereingefallen bist, bist du nicht allein – und du kannst auch jetzt noch viel tun. Wichtig ist, schnell und strukturiert zu handeln. Du kannst dich auch jetzt noch vor Betrug, Kreditkartenmissbrauch und Datenklau schützen. 

Beweise sichern 

• Mache Screenshots der Nachricht, der Website (falls geöffnet) und der Zahlungsaufforderung.
• Notiere Datum/Uhrzeit, Absenderadresse/Nummer, betroffene Konten und was du eingegeben hast.
• Wenn eine Überweisung ausgelöst wurde: Transaktionsdaten sichern.

Passwörter/2FA nachziehen

Wenn du irgendwo ein Passwort eingegeben hast, ändere es sofort – und zwar in dieser Reihenfolge:

• Zuerst dein E-Mail-Konto: Wer Zugriff auf deine E-Mail hat, kann oft andere Passwörter zurücksetzen.
• Dann Bank/Payment und wichtige Dienste (Shopping, App-Stores, Social Media).
• Aktiviere, wo möglich, eine Zwei-Faktor-Authentifizierung (2FA). Nutze am liebsten eine Authenticator-App statt SMS, wenn der Dienst das anbietet.

Melden in der Schweiz 

• Vorfall melden: Nutze dafür das offizielle Meldeformular des Bundes: https://www.report.ncsc.admin.ch/
• Anzeige erstatten: Je nach Kanton kannst du Cybercrime auch online anzeigen, z.B. über Suisse ePolice: https://www.suisse-epolice.ch/cybercrime-case