Sicherheit
Phishing erkennen: So schützen Sie Ihre Website
Phishing bei Hosting-, WordPress- und E-Mail-Logins führt oft zur gekaperten Website. Warnzeichen erkennen und wissen, was nach einem Klick zu tun ist.
- Von IT bugsolutions
- 6 Min. Lesezeit
Phishing ist eine gefälschte Nachricht, meist eine E-Mail, die Sie dazu bringt, ein Passwort preiszugeben oder Schädliches zu installieren. Für Website-Betreiber ist das ein häufiger Weg zur Übernahme der Seite. Der Angreifer muss nicht einbrechen: Er lässt Sie sich auf einer Kopie Ihrer Hosting-, WordPress- oder E-Mail-Seite anmelden. Die Zwei-Faktor-Authentifizierung erschwert das deutlich.
- Angreifer zielen auf die Logins zu Hosting, Domain, CMS und E-Mail, denn sie öffnen die ganze Website.
- Prüfen Sie die echte Absenderadresse und das Ziel eines Links, bevor Sie klicken oder etwas eintippen.
- Die Zwei-Faktor-Authentifizierung sorgt dafür, dass ein gestohlenes Passwort nicht reicht. Sicherheitsschlüssel und Passkeys schützen am besten vor Phishing.
- Haben Sie auf einer verdächtigen Seite ein Passwort eingegeben, ändern Sie es sofort auf der echten Seite, wenn möglich an einem anderen Gerät.
Warum ist Phishing für Website-Betreiber so gefährlich?
Weil es Menschen angreift und nicht Software. Sie können jedes Plugin aktuell halten und trotzdem die Website verlieren, wenn jemand Sie dazu bringt, Ihr Passwort auf der falschen Seite einzutippen.
Hinter Ihrer Website stehen eine Handvoll Logins: Ihr Domain-Registrar, der Kundenbereich Ihres Hosters, das CMS-Backend, Ihre E-Mail und vielleicht Ihr Zahlungsanbieter. Wer einen davon in die Hände bekommt, erreicht oft auch die anderen. Mit einem gestohlenen E-Mail-Passwort kann ein Angreifer zum Beispiel Passwort-Rücksetzungen für alles andere anfordern.
Stellen Sie sich eine E-Mail vor: „Ihre Hosting-Rechnung ist überfällig, Ihre Website wird heute gesperrt.“ Das Logo sieht richtig aus. Die Schaltfläche führt zu einer Seite, die wie die Anmeldung Ihres Hosters aussieht. Sie tippen Ihr Passwort ein, scheinbar passiert nichts, und Sie machen weiter. Eine Stunde später ist der Angreifer in Ihrem Hosting-Konto.
Es gibt auch gezielte Varianten. Wer Ihren Firmennamen und Ihren Hoster kennt, kann eine E-Mail schreiben, die perfekt passt: mit Ihrem Namen, Ihrer Domain, sogar einem echten Rechnungslayout. Das heißt Spear-Phishing. Für jede unerwartete Zahlungs- oder Login-Aufforderung gilt dieselbe Regel: Bestätigen Sie über einen zweiten Kanal, zum Beispiel per Anruf unter der Nummer, die auf der echten Website Ihres Hosters steht.
Wie sehen Phishing-Mails aus, die es auf Websites abgesehen haben?
Sie ahmen nach, was Sie ohnehin erwarten. Die häufigsten Themen:
- Hosting- oder Domain-Hinweise: „Zahlung fehlgeschlagen“, „Domain läuft heute ab“, „Konto gesperrt“.
- Gefälschte Rechnungen: eine Verlängerungsrechnung für eine Domain oder für einen „Eintrag in ein Branchenverzeichnis“, den Sie nie bestellt haben.
- WordPress-Meldungen: „Kritisches Sicherheitsproblem, melden Sie sich an“ oder ein gefälschtes Plugin-Update.
- Google-Nachrichten: „Ihre Website hat ein Sicherheitsproblem“ mit einem Link zu einer gefälschten Search-Console-Anmeldung.
- Geteilte Dokumente: ein Dateilink, der verlangt, dass Sie sich zuerst mit Ihrem E-Mail-Konto anmelden.
- Gefälschte E-Mail
- Gefälschte Login-Seite
- Ihr Passwort wird kopiert
- Angreifer meldet sich anals Sie
- Website verändert oder gesperrt
Woran erkenne ich Phishing?
Kein Merkmal ist für sich ein Beweis, aber mehrere zusammen sind ein starkes Signal. Achten Sie darauf, bevor Sie klicken.
| Prüfpunkt | Verdächtig | Normal |
|---|---|---|
| Absenderadresse | Auffällige Domain oder ein Doppelgänger wie hosting-support.co | Genau die Domain, die Sie kennen |
| Linkziel | Beim Darüberfahren erscheint eine andere Adresse | Führt zur echten Domain |
| Ton | Drohungen, Fristen, Panik | Ruhig und konkret |
| Anrede | Allgemein („Sehr geehrter Kunde“) | Ihr Name, Ihr Konto |
| Anhang | Unerwartete Datei oder „Makros aktivieren“ | Erwartet, von bekanntem Absender |
Melden Sie sich nie über einen Link in einer E-Mail an. Öffnen Sie einen neuen Tab, tippen Sie die Adresse selbst ein oder nutzen Sie Ihr gespeichertes Lesezeichen, und sehen Sie nach, ob dieselbe Warnung in Ihrem Konto steht. Ein echtes Problem steht dort auch.
Wie hilft die Zwei-Faktor-Authentifizierung?
Die Zwei-Faktor-Authentifizierung (2FA) verlangt bei der Anmeldung einen zweiten Nachweis, etwa einen Code aus einer App. Stiehlt jemand Ihr Passwort durch Phishing, braucht er immer noch diesen zweiten Schritt.
Nicht jede 2FA ist gleich. Codes per SMS sind besser als nichts, können aber abgefangen oder Ihnen entlockt werden. Eine Authenticator-App ist stärker. Sicherheitsschlüssel und Passkeys sind am stärksten, denn sie funktionieren nur auf der echten Website, und eine gefälschte Seite kann sie nicht verwenden. Schalten Sie 2FA zuerst für E-Mail, Ihren Domain-Registrar und Ihr Hosting ein.
Auch ein Passwortmanager hilft. Er füllt Logins nur auf der echten Adresse aus. Bleibt er auf einer Seite leer, die richtig aussieht, ist das ein Warnzeichen.
Was tun, wenn ich bereits geklickt oder ein Passwort eingegeben habe?
Das passiert auch sorgfältigen Menschen. Tempo ist jetzt wichtiger als Scham.
- Haben Sie nur geklickt: Schließen Sie die Seite, laden Sie nichts herunter und lassen Sie einen Sicherheitsscan auf Ihrem Computer laufen.
- Haben Sie ein Passwort eingegeben: Gehen Sie auf die echte Seite und ändern Sie es sofort, am besten von einem anderen Gerät. Tun Sie dasselbe bei jedem Konto mit demselben Passwort.
- Schalten Sie 2FA ein und melden Sie alle anderen Sitzungen ab, falls der Dienst das anbietet.
- Prüfen Sie Ihre E-Mail-Einstellungen. Angreifer richten oft eine Weiterleitung oder einen Filter ein, um ihre Spuren zu verbergen.
- Prüfen Sie Ihre Website. Achten Sie auf unbekannte Admin-Benutzer, geänderte Dateien und seltsame Seiten.
- Informieren Sie Ihren Hoster und Ihr Team.
Haben Sie einen Anhang geöffnet und danach Auffälliges bemerkt, kann Ihr Computer selbst infiziert sein. Trennen Sie ihn vom Netzwerk und lassen Sie ihn prüfen, bevor Sie sich damit irgendwo anmelden.
Was, wenn der Angreifer schon in Ihrer Website ist?
Gibt es Anzeichen wie Weiterleitungen, unbekannte Benutzer oder Warnungen in den Suchergebnissen, behandeln Sie es als Hack. Löschen Sie noch nichts: Sichern Sie zuerst den aktuellen Zustand, ändern Sie alle Passwörter und suchen Sie dann das Einfallstor. Unsere Anleitung Website gehackt? Die ersten 60 Minuten führt Sie durch die Schritte. Bei Erpressungssoftware gelten teils andere Schritte, die wir in Ransomware-Angriff: Was Sie zuerst tun sollten beschreiben.
Wurden dabei personenbezogene Daten abgegriffen, können Melde- und Informationspflichten bestehen. Das ist keine Rechtsberatung. Klären Sie es zeitnah mit einer Fachperson für Datenschutz oder einer Fachanwältin beziehungsweise einem Fachanwalt.
Haben Sie sich nach einem Passwortwechsel selbst aus WordPress ausgesperrt, lesen Sie unsere Anleitung zu WordPress-Login-Problemen. Bei einer bereits gehackten Seite beginnt unsere Reparatur einer gehackten Website mit einer kostenlosen Diagnose, einem Festpreis vor Arbeitsbeginn (ab 450 € netto) und einem Backup vor jeder Änderung.
Wie sorgen Sie dafür, dass Phishing weniger Erfolg hat?
- Nutzen Sie für jeden Dienst ein langes, einzigartiges Passwort aus einem Passwortmanager.
- Aktivieren Sie 2FA für E-Mail, Domain, Hosting, CMS und Zahlungen.
- Geben Sie jeder Person einen eigenen Login und entziehen Sie den Zugang, wenn jemand geht.
- Vereinbaren Sie im Team, dass niemand eine Rechnung bezahlt oder einen Login per E-Mail weitergibt, ohne ein zweites Mal nachzufragen.
- Halten Sie tägliche Backups außerhalb des Hostings bereit, damit ein schlechter Tag umkehrbar bleibt.
Phishing-Schutz ist nur eine von mehreren Sicherheitsgewohnheiten. Die übrigen finden Sie in Website-Sicherheit für kleine Unternehmen: 7 Schritte. Wenn Sie das nicht allein tragen möchten: Unsere Wartungspläne (ab 99 € netto pro Monat) enthalten Sicherheitsprüfungen, tägliche Backups außerhalb des Hostings, Erreichbarkeitsprüfungen und sichere Updates. Erst eine Frage? Melden Sie sich bei uns.
Häufige Fragen
Siehe auch