Gefälschte Anmeldeseiten erkennen: 5 sichere Wege

Das eigentliche Ziel einer Phishing‑Mail ist oft eine Anmeldeseite. Solche Seiten kopieren Logo, Farben und Texte des imitierten Dienstes eins zu eins. Auf Hinweise wie „das Design sah etwas anders aus“ ist deshalb kein Verlass mehr. Wie die Lupe auf unserer Startseite zeigt: Eine gefälschte Seite verrät sich nicht durch ihr Aussehen, sondern durch das, was dahintersteckt.

1. Der Adresszeile vertrauen, nicht dem Aussehen

Das Einzige, was eine gefälschte Seite nicht ändern kann, ist die Domain in der Adresszeile Ihres Browsers. Lesen Sie sie von rechts nach links:

• Bei mailcloud.com.secure-login-verify.top ist die echte Domain secure-login-verify.top.
• Adressen wie login-microsoftonline.co hängen ein Wort oder eine andere Endung an die echte Marke.
• Lange, kryptische Pfade sollen die echte Domain aus dem sichtbaren Bereich schieben. Tippen Sie mobil auf die Adresszeile, um die vollständige Adresse zu sehen.

2. Wissen, was das Schloss bedeutet

Jahrelang hieß es: „Schloss sehen, sicher sein.“ Heute ist dieser Rat irreführend. Das HTTPS‑Schloss bestätigt nur, dass die Verbindung zwischen Browser und Server verschlüsselt ist – nicht, wem der Server gehört oder ob er vertrauenswürdig ist. Dank kostenloser Zertifikate zeigen auch die meisten Phishing‑Seiten ein Schloss.

3. Den Passwortmanager als Frühwarnsystem nutzen

Passwortmanager füllen gespeicherte Passwörter nur auf der Domain aus, für die sie gespeichert wurden. Bleibt eine sonst automatisch ausgefüllte Anmeldemaske plötzlich leer, ist das ein starkes Alarmsignal: Sie sind sehr wahrscheinlich auf einer anderen Domain. Kopieren Sie das Passwort dann nicht von Hand hinein, sondern prüfen Sie zuerst die Adresse.

4. Anmeldeseiten über Lesezeichen öffnen, nicht über Links

Führt ein Link aus E‑Mail, SMS oder Messenger zu einer Anmeldeseite, nutzen Sie ihn nicht. Öffnen Sie Unternehmensportale, Ihre Bank und Cloud‑Dienste immer über eigene Lesezeichen oder durch Eintippen der Adresse. Wenn wirklich etwas zu tun ist, sehen Sie es nach der Anmeldung ohnehin in Ihrem Konto.

5. Nicht denken: „MFA ist an, mir passiert nichts“

Mehr‑Faktor‑Authentifizierung (MFA) macht gestohlene Passwörter weitgehend wertlos und sollte immer aktiv sein. Fortgeschrittene Phishing‑Kits nach dem Prinzip Adversary‑in‑the‑Middle (AiTM) schalten die gefälschte Seite jedoch zwischen Sie und die echte Anmeldung. Sobald Sie Passwort und SMS- oder App‑Code eingeben, leitet der Angreifer beides in Echtzeit weiter und übernimmt das entstehende Sitzungs‑Cookie.

Fragt eine Seite also unerwartet nach einem Code oder kommen Bestätigungsanfragen in Serie, bestätigen Sie nicht und melden Sie den Vorfall. Für Unternehmen ist der stärkste Schutz phishingresistente Authentifizierung wie Passkeys und FIDO2‑Sicherheitsschlüssel: Sie sind an die echte Domain gebunden und funktionieren auf einer gefälschten Seite nicht.

Wenn Sie Daten auf einer gefälschten Seite eingegeben haben

1. Sofort das Security‑Team oder die IT informieren.
2. Das Passwort auf der echten Seite ändern – auch bei allen anderen Konten mit demselben Passwort.
3. Bei Unternehmenskonten die IT bitten, aktive Sitzungen zu beenden. Bei AiTM‑Angriffen schließt ein Passwortwechsel allein eine übernommene Sitzung nicht immer.

Kurze Checkliste für Unternehmen

• MFA für Unternehmenskonten verpflichtend machen; für Administratoren und kritische Rollen auf phishingresistente Verfahren umstellen.
• Ähnliche Domains (Typosquatting) überwachen und Seiten, die Ihre Marke imitieren, früh erkennen.
• Szenarien mit gefälschten Anmeldeseiten in Phishing‑Simulationen aufnehmen und nicht nur Klicks, sondern auch Dateneingaben und die Melderate messen.

Häufige Fragen