Vorsicht Betrug: So erkennst du Phishing-Mails – und was du dann tust

Es gibt offensichtliche Phishing-Mails. Wenn eine E-Mail eintrudelt, in der ein «Prinz» Millionen verschenken will und dafür deine Kontoangaben braucht, oder wenn dir eine Lotterie den Hauptpreis verspricht, du aber zuerst Geld überweisen sollst, dann ist klar: löschen, blockieren, fertig. Richtig? Genau.

Kniffliger wird es, wenn eine Nachricht scheinbar von deiner Bank kommt («Du musst neue Richtlinien bestätigen»), vom Paketdienst («Zustellung nicht möglich – Adresse bestätigen») oder von einem bekannten Online-Shop. Logos, Farben und Tonfall wirken oft täuschend echt. Darum gilt: Klicke nicht vorschnell auf Links, fülle keine Formulare aus und öffne keine Anhänge, wenn du nicht absolut sicher bist. Du kannst Phishing oft in wenigen Sekunden entlarven – und du kannst dir als Familie einfache Routinen angewöhnen, die im Alltag wirklich helfen.

Das Bundesamt für Cybersicherheit (BACS) beschreibt das Grundmuster immer gleich: Kriminelle geben sich als bekannte Firmen aus und fordern dich auf, einen Link anzuklicken oder einen QR-Code zu scannen – der führt aber nicht zur Original-Website, sondern zu einer Kopie [1]. Genau dieselbe Masche läuft auch per SMS und Messenger; das BACS führt sie unter dem Namen «Smishing» [1].

So erkennst du Phishing-Mails

• Die E-Mail-Adresse: Schau dir die Absenderadresse genau an, nicht nur den angezeigten Namen. Am Computer siehst du sie per Rechtsklick auf den Absender, am Handy, wenn du auf den Absendernamen tippst. Oft hat sie nicht mehr viel mit der Firma zu tun (z.B. verdrehte Buchstaben, zusätzliche Punkte/Bindestriche oder fremde Domains). Verlass dich aber nicht allein darauf: Absenderadressen und -nummern lassen sich leicht fälschen [1].
• Links: Bei Phishing-Mails führen Links zu gefälschten Websites oder lösen schädliche Downloads aus. Damit man das nicht sofort erkennt, nutzen Täter:innen Kurzlinks oder überschreiben den Linktext. Fahre am Computer (ohne zu klicken) mit der Maus über den Link, am Handy hältst du ihn lange gedrückt – dann siehst du die tatsächliche Zieladresse.
• Sprache: Rechtschreibe- und Grammatikfehler sind ein Warnsignal, aber nicht immer. Viele Betrugsnachrichten sind heute sprachlich gut. Verlass dich deshalb nie nur auf dieses Merkmal.
• Druck und Drohungen: Wenn «umgehendes Handeln» gefordert wird («Konto wird gesperrt», «letzte Mahnung», «nur noch heute»), soll dich das stressen, damit du nicht nachdenkst. Das BACS rät ausdrücklich zu Misstrauen, wenn dir in einer Nachricht mit Konsequenzen gedroht wird – Geldverlust, Strafanzeige, Konto- oder Kartensperrung [1]. Seriöse Anbieter geben dir in der Regel Zeit und bieten sichere Kontaktwege.

Phishing, Smishing, Quishing: So kommt der Betrug zu dir

Viele Familien denken bei Betrug zuerst an E-Mails. In der Praxis starten Angriffe aber längst auch über SMS/Chats, QR-Codes und Telefonanrufe – oft genau dort, wo du schnell handeln willst (unterwegs, an der Parkuhr, zwischen zwei Terminen). Das BACS führt Phishing, Vishing (der Betrugsanruf am Telefon) und Smishing (die Betrugs-SMS) deshalb als drei Formen derselben Masche [1].

Smishing: Betrug per SMS/Chat (Paket, Bank, «Hallo Mama/Papa»)

Smishing ist Phishing über SMS oder Messenger. Typisch sind kurze Nachrichten mit Link und Zeitdruck: «Dein Paket ist unterwegs – Gebühr bezahlen», «Verdächtige Zahlung – jetzt bestätigen» oder die bekannte «Hallo Mama/Papa»-Masche, bei der Betrüger:innen sich als Kind ausgeben und dringend Geld verlangen. Die Absendernummer ist dabei oft so gefälscht, dass die Nachricht im selben Chatverlauf landet wie die echten Nachrichten der Firma [1]. Dass inzwischen auch Stimmen täuschend echt nachgebaut werden, zeigen wir dir im Beitrag zu Deepfakes und KI-Betrug.

Was Eltern besonders hilft: Vereinbare in der Familie ein einfaches Sicherheitswort oder eine Rückruf-Regel: Bei Geldforderungen oder «neuer Nummer» wird immer über eine bekannte Nummer zurückgerufen oder per Videoanruf geprüft. Das nimmt Druck aus der Situation und verhindert Schnellschüsse.

Quishing: Betrug über QR-Codes bei Parkuhren, Briefpost, Fake-Payments

Beim Quishing führt ein QR-Code zu einer gefälschten Website, auf der du Zahlungsdaten, Login oder persönliche Angaben eingibst. Das Grundproblem: Ein QR-Code ist für Menschen nicht lesbar – du kannst vor dem Scannen nicht wissen, was dahintersteckt. Und für Betrüger:innen ist es einfach, einen gefälschten Code auszudrucken und über einen bestehenden zu kleben [2].

Genau das ist in der Schweiz passiert: Im Dezember 2024 überklebten Kriminelle in mehreren Schweizer Städten die Bezahl-QR-Codes an Parkuhren mit manipulierten Stickern. Wer scannte, landete auf einer täuschend echten Bezahlseite, die zuerst Kennzeichen und Parkdauer abfragte und danach die Kreditkartennummer [3]. Die Sticker waren optisch so gut gemacht, dass sie sich auf den ersten Blick kaum vom Original unterscheiden liessen [3].

Briefpost & «Behörden»-Maschen: wenn es offline wirkt, aber online stiehlt

Ein besonders tückischer Trick: Ein Brief wirkt offiziell (Logo, Absender, «Warnung», «Verifizierung», «Sicherheitsupdate»), führt aber mit QR-Code oder Link auf eine Fake-Seite. Im Juli 2025 verschickten Betrüger:innen in der Schweiz gefälschte Briefe im Namen des Hardware-Wallet-Herstellers Ledger: Angeblich seien Sicherheitslücken entdeckt worden, ein dringendes Update sei nötig. Wer den QR-Code im Brief scannte, sollte auf einer Fake-Website die 24 Wörter seiner Wallet-Wiederherstellungsphrase eingeben – und verlor damit den Zugriff auf sein gesamtes Guthaben [4]. Solche Fälle zeigen: «Papier» ist kein Beweis für Echtheit.

Prüf-Shortcut: Kontaktiere Institutionen immer über die offizielle Website (Adresse selbst eintippen) oder über die Nummer auf deiner Bankkarte/den Originalunterlagen – nicht über Kontaktdaten aus dem Brief.

Mini-Training mit Kindern: 10 Minuten, die wirken

Kinder und Jugendliche wachsen mit Chats, In-Game-Käufen, QR-Codes und Schnellzahlungen auf. Das ist nicht «naiv», sondern Alltag. Umso wichtiger sind klare, stressfreie Familienregeln: nicht als Kontrolle, sondern als Schutznetz. Plane 10 Minuten ein, am besten dann, wenn gerade kein Problem passiert ist.

Übung 1: «Stop – Check – Ask»

Übt diese drei Fragen gemeinsam – laut aussprechen hilft:

• Stop: Will mich die Nachricht stressen (Zeitdruck, Drohung, «letzte Chance»)?
• Check: Passt Absender und Kanal (SMS statt Brief, private Nummer statt Firmenkonto, komische Domain)?
• Ask: Kann ich eine erwachsene Vertrauensperson fragen oder über einen sicheren Weg rückbestätigen (Rückruf, offizielle App, Website selbst eintippen)?

Wichtig für Kinder: «Fragen ist nie peinlich.» Macht klar, dass ihr lieber einmal zu viel nachfragt als einmal zu wenig.

Übung 2: Links/QR prüfen

Macht zusammen einen Mini-Check am Handy:

• QR-Code nicht automatisch vertrauen – besonders bei Aufklebern an Automaten.
• Webadresse anschauen: Tippfehler, zusätzliche Wörter und ungewöhnliche Endungen (z.B. .ru/.xyz) sind Warnsignale. Entscheidend ist die Frage, ob die Adresse wirklich zum offiziellen Anbieter gehört [3].
• Achtung, häufiger Irrtum: Ein Schloss-Symbol und «https» bedeuten nur, dass die Verbindung verschlüsselt ist. Betrugsseiten haben das heute fast immer – ein Echtheitsbeweis ist es nicht.
• Wenn du dich einloggen sollst: lieber selbst die bekannte Adresse eintippen oder die offizielle App öffnen.

Wenn ihr mögt, macht daraus ein Spiel: «Wer findet das Warnsignal zuerst?» – das trainiert Aufmerksamkeit ohne Angst.

Übung 3: Was tun, wenn man unsicher ist?

Legt fest, was «unsicher» bedeutet und was dann passiert. Zum Beispiel:

• Die Person, die die Nachricht bekommen hat, macht einen Screenshot.
• Ihr besprecht kurz: löschen, blockieren, melden.
• Bei Geld- oder Login-Themen gilt: erst Rückruf/Check über offizielle Kanäle, dann handeln.

So wird aus Unsicherheit eine Routine – und genau das schützt im Alltag am besten.

Wenn du geklickt/gezahlt hast: Sofortmassnahmen

Wenn du auf eine Phishing-Nachricht hereingefallen bist, bist du nicht allein – und du kannst auch jetzt noch viel tun. Wichtig ist, schnell und in der richtigen Reihenfolge zu handeln.

Zuerst: Karte und Konto sperren lassen

Hast du Kreditkarten- oder Bankdaten eingegeben, ist das der dringendste Schritt: Wende dich umgehend an deinen Kreditkartenanbieter oder deine Bank und lass die Karte sperren. Das BACS nennt diese Massnahme ausdrücklich als Erstes, wenn Kreditkartendaten preisgegeben wurden [1]; dieselbe Empfehlung gilt nach einer gefälschten Bezahlseite [3]. Die Sperrnummer steht auf der Rückseite deiner Karte oder in den Originalunterlagen – nicht in der verdächtigen Nachricht. Wie du dein Online-Banking grundsätzlich absicherst, liest du im Beitrag Ist E-Banking wirklich sicher?.

Beweise sichern

• Mache Screenshots der Nachricht, der Website (falls geöffnet) und der Zahlungsaufforderung.
• Notiere Datum/Uhrzeit, Absenderadresse/Nummer, betroffene Konten und was du eingegeben hast.
• Wenn eine Überweisung ausgelöst wurde: Transaktionsdaten sichern.

Passwörter/2FA nachziehen

Wenn du irgendwo ein Passwort eingegeben hast, ändere es sofort – und zwar in dieser Reihenfolge:

• Zuerst dein E-Mail-Konto: Wer Zugriff auf deine E-Mail hat, kann oft andere Passwörter zurücksetzen. Das BACS empfiehlt, anschliessend alle Passwörter der Dienste zurückzusetzen, die mit diesem Konto verknüpft sind [1].
• Dann Bank/Payment und wichtige Dienste (Shopping, App-Stores, Social Media). Nutze überall ein eigenes, starkes Passwort [1].
• Filter- und Weiterleitungsregeln prüfen: Unbefugte richten im gekaperten Postfach oft eine Weiterleitung ein, damit sie automatisch eine Kopie all deiner Mails erhalten. Diesen Schritt vergessen die meisten [5].
• Aktiviere, wo möglich, eine Zwei-Faktor-Authentifizierung (2FA) – sie erhöht laut BACS die Sicherheit deiner Daten um ein Vielfaches [1]. Nutze am liebsten eine Authenticator-App statt SMS, wenn der Dienst das anbietet. Wie das mit Kindern im Haushalt praktisch funktioniert, zeigen wir dir in unserem Beitrag zu Passwörtern und 2FA in der Familie.

Melden in der Schweiz

• Vorfall melden: Nutze dafür das offizielle Meldeformular des Bundes: report.ncsc.admin.ch. Deine Meldung hilft dem BACS, Phishing-Seiten sperren zu lassen und die Bevölkerung zu warnen [1].
• Phishing-Mail oder -Link weitergeben: Wenn du keine Antwort brauchst, kannst du verdächtige Mails an reports@antiphishing.ch weiterleiten oder den Link auf antiphishing.ch eintragen – beides Angebote des BACS [1].
• Anzeige erstatten: Ist finanzieller Schaden entstanden, empfiehlt das BACS eine Strafanzeige bei der örtlichen Polizei [1]. Je nach Kanton geht das auch online, z.B. über Suisse ePolice.

Was in welcher Reihenfolge zu tun ist, wenn ein Konto bereits übernommen wurde, findest du gesammelt in unserem Cyber-Notfallplan für gehackte Accounts.

Quellen

1. Bundesamt für Cybersicherheit (BACS): Phishing, Vishing, Smishing. Stand 30.09.2022, abgerufen am 09.08.2026.
2. Bundesamt für Cybersicherheit (BACS): QR-Codes – Anwendungen und Risiken. Stand 15.05.2026, abgerufen am 09.08.2026.
3. cybercrimepolice.ch (Kantonspolizei Zürich): Manipulierte QR-Codes an Schweizer Parkuhren, 17.12.2024, abgerufen am 09.08.2026.
4. cybercrimepolice.ch (Kantonspolizei Zürich): Phishingmasche per Briefpost mit angeblicher Warnung vor Ledger-Sicherheitslücken, 09.07.2025, abgerufen am 09.08.2026.
5. Bundesamt für Cybersicherheit (BACS): Konto gehackt – was nun?. Stand 15.05.2026, abgerufen am 09.08.2026.