Verdächtige Links erkennen und prüfen: So schützen Sie sich vor Phishing

Die Überprüfung eines verdächtigen Links ist unerlässlich, bevor Sie darauf klicken. Ein schädlicher URL kann auf eine gefälschte Bankseite, ein Login-Formular eines beliebten Dienstes, eine Webseite mit infizierter Datei oder eine Seite führen, die versucht, persönliche Daten zu stehlen.

Die Gefahr besteht darin, dass moderne betrügerische Webseiten oft täuschend echt aussehen. Sie kopieren das Design bekannter Unternehmen, nutzen HTTPS und Domains, die sich vom Original oft nur durch einen Buchstaben unterscheiden. Daher reicht es nicht, einen Link nur anhand des Aussehens einer Nachricht oder Webseite zu beurteilen.

Sie können einen verdächtigen Link prüfen, ohne ihn zu öffnen: Analysieren Sie zuerst die URL selbst und nutzen Sie dann bei Bedarf spezielle Dienste, um auf Phishing und Schadsoftware zu testen. Dieser Ansatz ist besonders sinnvoll bei Links aus E-Mails, Messengern, SMS, Kommentaren oder unbekannten QR-Codes.

Woran erkennt man einen verdächtigen Link?

Schauen Sie nicht auf den Text der Schaltfläche oder Nachricht, sondern auf die tatsächliche Adresse. Die Aufschrift "Zur Bankseite" kann eine ganz andere URL verbergen.

Am Computer sehen Sie die wahre Adresse meist, wenn Sie mit der Maus über den Link fahren, ohne zu klicken - der URL erscheint unten im Browserfenster. Auf dem Smartphone halten Sie den Link gedrückt, bis ein Menü mit der Adresse oder einer Kopierfunktion erscheint.

Domaine und Webseitenadresse prüfen

Der wichtigste Teil eines Links ist der Domainname. Er zeigt, auf welcher Seite Sie nach dem Klick tatsächlich landen.

Beispiel: Wenn die offizielle Adresse lautet:

example.com

dann können Adressen wie:

• example-security.com
• examp1e.com
• example.login-check.net

anderen Besitzern gehören.

Achten Sie besonders auf die Domain direkt vor der Domainendung (.com, .de, .net usw.). Bei der Adresse:

bank.example-login.com

ist example-login.com die Hauptdomain, "bank" ist nur ein Subdomain. Der Name eines bekannten Unternehmens am Anfang des Links bedeutet nicht, dass die Seite zu diesem Unternehmen gehört.

Betrüger verwenden auch ähnliche Zeichen: Das lateinische "o", die Ziffer "0", die Buchstaben "l" und "I" sehen in manchen Schriftarten fast gleich aus. Dadurch kann ein gefälschter Link auf den ersten Blick echt wirken.

Auch sehr lange Links mit vielen zufälligen Zeichen sollten misstrauisch machen - wobei allein die Länge noch kein Beweis für Schadhaftigkeit ist. Viele legitime Dienste nutzen lange URLs mit Tracking-Parametern und technischen Daten.

Vorsicht bei verkürzten und maskierten Links

URL-Shortener machen aus langen Adressen kurze Links. Das ist praktisch, verbirgt aber die Ziel-Domain.

Statt einer verständlichen Adresse sieht man etwa:

short.example/Ab12Cd

Man kann nicht sofort erkennen, wohin dieser Link führt. Der Shortener kann seriös sein, doch die Zielseite nicht.

Solche Links sollten besonders geprüft werden, vor allem wenn sie von Unbekannten stammen, in unerwarteten Nachrichten auftauchen oder mit Aufforderungen zum schnellen Login, zur Zahlungsbestätigung oder zum Datei-Download einhergehen.

Manche Links tarnen sich auch einfacher: Der Nachrichtentext zeigt eine Adresse, der tatsächliche Link führt aber woanders hin. Prüfen Sie immer den echten URL, den Ihr Browser öffnen würde.

Typische Merkmale von Phishing-Links

Phishing-Nachrichten erzeugen meist Dringlichkeit, damit Sie keine Zeit haben, den Link zu prüfen.

Typische Formulierungen sind: "Ihr Konto wird gesperrt", "Zahlung muss sofort bestätigt werden", "Paket kann nicht zugestellt werden", "Passwort wurde angeblich gestohlen" oder "Sie haben einen Bonus erhalten".

Klicken Sie, landen Sie auf einer Seite, die aussieht wie das Original. Dort werden Login, Passwort, Kartennummer, Bestätigungscode oder andere vertrauliche Infos verlangt. Diese Daten landen bei Kriminellen.

Solche Nachrichten können auch von bekannten Kontakten kommen. Das Konto des Absenders könnte gehackt worden sein und wird nun zum Versenden schädlicher Links genutzt.

Ausführlichere Hinweise zu typischen Phishing-Strategien finden Sie im Beitrag Phishing erkennen und sich effektiv schützen.

Wie prüft man einen Link, ohne ihn zu öffnen?

Wenn eine Adresse Zweifel aufkommen lässt, öffnen Sie die Seite nicht. Viel lässt sich schon anhand der URL überprüfen: Domain prüfen, verkürzte Links entschlüsseln und die Adresse über Spezialdienste analysieren.

Manuelle Überprüfung der Adresse

Kopieren Sie den Link zunächst, ohne ihn zu öffnen (am Computer per Rechtsklick "Linkadresse kopieren", am Smartphone durch langes Drücken). Untersuchen Sie dann die URL genau: Suchen Sie die Hauptdomain und vergleichen Sie diese mit der offiziellen Adresse des Dienstes. Geht der Link angeblich zu Google, einer Bank, einem Marktplatz oder sozialen Netzwerk, öffnen Sie diese Seite besser über ein Lesezeichen oder geben Sie die Adresse manuell im Browser ein.

Achten Sie auf zusätzliche Wörter und Zeichen im Domainnamen. Zum Beispiel:

• account.example.com
• example.account-check.com

Das sind unterschiedliche Seiten. Im ersten Fall ist example.com die Domain, im zweiten account-check.com.

Wörter wie login, secure, verification, payment oder der Name einer bekannten Firma in der URL sind kein Garant für Seriosität - jeder kann sie in seinen Domainnamen aufnehmen.

Auch die Erweiterung der Adresse ist relevant. Alles nach "?" oder "#" enthält oft Seitenparameter und ist meist kein Anzeichen für Gefahr. Entscheidend ist die richtige Bestimmung der Hauptdomain.

Wie erkennt man das Ziel eines verkürzten Links?

Verkürzte URLs verschleiern das echte Ziel, daher ist die Sicherheitsbewertung schwieriger. Das gilt für Shortener-Dienste und Weiterleitungssysteme, die zunächst eine Zwischenadresse öffnen.

Kopieren Sie den Link und prüfen Sie ihn mit einem Dienst, der die Weiterleitungskette oder die Endadresse anzeigen kann. Überprüfen Sie nach der Entschlüsselung erneut den Domainnamen - nach denselben Regeln wie bei normalen Links.

Beachten Sie: Auch das Endziel kann mehrere Weiterleitungen enthalten. Dass ein Link von einem bekannten URL-Shortener stammt, heißt nicht, dass die Zielseite sicher ist.

Warum ein HTTPS-Schloss keine Garantie für Sicherheit ist

Das Schloss-Symbol und eine Adresse, die mit https:// beginnt, werden oft als Vertrauensbeweis gesehen. In Wirklichkeit bedeutet HTTPS nur, dass die Verbindung zwischen Browser und Server verschlüsselt ist.

Auch Phishing-Seiten nutzen HTTPS und haben gültige TLS-Zertifikate. Die Daten werden dann zwar verschlüsselt übertragen, aber eben an den Server des Angreifers.

HTTPS ist ein Muss für moderne Webseiten, aber kein Beweis für deren Legitimität. Prüfen Sie immer noch die Domain, den Absender und den Inhalt der Seite, auf die Sie geleitet werden sollen.

Wie Sie Links auf Viren und Phishing mit Online-Tools prüfen

Selbst wenn eine URL harmlos wirkt, können Sie sie zur Sicherheit durch Reputationsdienste prüfen lassen. Diese gleichen die Adresse mit Datenbanken bekannter Phishing-, Malware- und kompromittierter Seiten ab und helfen, Risiken zu erkennen - ohne die Seite zu besuchen.

Das ist besonders ratsam, wenn ein Link von Unbekannten kommt, zu einer Login-Seite führt oder einen Datei-Download anbietet.

VirusTotal

Eines der bekanntesten Tools zur Link-Prüfung ist VirusTotal. Sie können dort eine URL einfügen und erhalten Ergebnisse verschiedener Sicherheitssysteme.

Der Dienst zeigt, ob mehrere Schutzmechanismen den Link als schädlich, verdächtig oder sicher einstufen. Markieren mehrere Systeme den Link als "phishing", "malware" oder "malicious", ist Vorsicht geboten.

Fehlende Warnungen sind jedoch keine hundertprozentige Sicherheit. Neue Betrugs-Domains können erst vor kurzem erstellt und noch nicht in den Datenbanken gelistet sein.

Sehen Sie das VirusTotal-Ergebnis als zusätzlichen Hinweis. Auch wenn keine Gefahr erkannt wurde, sollten Sie bei verdächtiger Domain oder Aufforderungen zur Passwort- oder Karteneingabe vorsichtig sein.

Google Safe Browsing

Auch Google Safe Browsing ist ein System zur Bewertung von Webseitenreputation. Es erkennt Seiten, die mit Phishing, Malware oder anderen gefährlichen Aktionen verbunden sind.

Solche Datenbanken nutzt auch Ihr Browser - daher sehen Sie manchmal eine rote Warnung vor einer gefährlichen oder betrügerischen Seite.

Ist eine Adresse bereits als schädlich bekannt, hilft diese Überprüfung, das Problem zu erkennen, bevor Sie die Seite besuchen.

Aber: Die Datenbanken werden laufend aktualisiert, doch zwischen dem Erstellen einer neuen Betrugsseite und ihrer Erfassung kann Zeit vergehen.

Warum Sie sich nicht auf einen einzigen Dienst verlassen sollten

Weder VirusTotal noch Safe Browsing oder ein Antivirenprogramm kennen alle schädlichen Seiten im Internet. Kriminelle erstellen ständig neue Domains, ändern Seitenadressen und nutzen gehackte, ehemals saubere Webseiten.

Manche Phishing-Seiten existieren nur wenige Stunden. Nach einer Sperrung wird die Kopie einfach auf eine neue Adresse verschoben.

Daher besteht eine zuverlässige Linkprüfung aus mehreren Schritten: Erst URL bewerten, dann mit Schutzdiensten prüfen und überlegen, ob der Link zur Situation passt.

Beispiel: Wenn eine angebliche Bank-Nachricht Sie auffordert, einen Link anzuklicken und Ihre Karte zu bestätigen, ist es sicherer, den erhaltenen Link gar nicht zu nutzen. Öffnen Sie stattdessen die offizielle App oder geben Sie die Website-Adresse selbst ein.

So sind Sie auch dann geschützt, wenn der schädliche Link noch nicht in einer Datenbank registriert ist.

Was tun, wenn Sie einen verdächtigen Link bereits geöffnet haben?

Allein das Öffnen eines verdächtigen Links bedeutet nicht automatisch eine Infektion oder Datenklau. Was als Nächstes zu tun ist, hängt davon ab, was nach dem Öffnen passiert ist: Wurde nur die Seite geladen, haben Sie Daten eingegeben oder eine Datei heruntergeladen?

Wenn Sie nur die Seite geöffnet haben

Wenn die Seite verdächtig aussieht, klicken Sie auf keine Schaltflächen, erlauben Sie keine Benachrichtigungen, laden Sie keine Dateien herunter und geben Sie keine Daten ein. Schließen Sie den Tab und löschen Sie ggf. den Download-Verlauf des Browsers.

Prüfen Sie, ob neue Erweiterungen, Apps oder Installationsanfragen aufgetaucht sind. Seien Sie besonders wachsam bei Seiten, die Benachrichtigungen, angebliche "Browser-Updates" oder den Download unbekannter Dateien fordern.

Wenn Sie Login oder Passwort eingegeben haben

Haben Sie auf einer verdächtigen Seite Anmeldedaten eingegeben, ändern Sie Ihr Passwort sofort über die offizielle Website oder App des Dienstes.

Verwenden Sie dasselbe Passwort auch anderswo, sollten Sie es auch dort ändern. Die Nutzung eines Passworts für mehrere Accounts erhöht das Risiko deutlich.

Beenden Sie zusätzlich alle aktiven Sitzungen in Ihrem Account und aktivieren Sie, falls noch nicht geschehen, die Zwei-Faktor-Authentifizierung.

Wenn Sie Kartendaten oder einen Bestätigungscode eingegeben haben, kontaktieren Sie umgehend Ihre Bank über die offizielle Nummer oder App.

Wenn Sie eine Datei heruntergeladen haben

Starten Sie eine heruntergeladene Datei nicht, auch wenn ihr Name harmlos wirkt. Schadsoftware wird oft als Dokument, Archiv, Installer oder Update getarnt.

Prüfen Sie die Datei mit dem integrierten Antivirus oder einem anderen Schutzprogramm. Wenn die Quelle unbekannt ist oder Zweifel bestehen, löschen Sie die Datei besser, ohne sie zu öffnen.

Falls Sie die Datei bereits ausgeführt haben und danach ungewöhnliche Fenster, neue Programme, hohe Systemauslastung oder Browseränderungen bemerken, führen Sie einen vollständigen Virenscan durch.

Umfassende Tipps zum Schutz von Accounts, Geräten und persönlichen Daten finden Sie im Artikel Cybersecurity für Einsteiger: Die wichtigsten Tipps 2025.

Wie Sie künftig sicher mit unbekannten Links umgehen

Der beste Schutz vor schädlichen Links ist die Gewohnheit, nicht automatisch zu klicken. Selbst vertrautes Logo, Absendername oder glaubwürdiger Nachrichtentext garantieren keine Sicherheit.

Wenn eine Nachricht Sie unerwartet zum Login, zur Zahlungsbestätigung, Passwortwiederherstellung oder zum Download auffordert, öffnen Sie den Dienst besser selbst: Für Banken die offizielle App, für Shops ein Lesezeichen oder die manuell eingegebene Adresse.

Prüfen Sie vor der Passworteingabe immer die Domain der Seite - besonders nach Klicks aus E-Mails, SMS oder Messengern. Gefälschte Login-Formulare können das Design originalgetreu nachbauen, daher ist das Aussehen kein Beweis für Echtheit.

Ein Passwort-Manager kann zusätzlich schützen: Er schlägt gespeicherte Zugangsdaten nur für die hinterlegte Domain vor. Fehlt die automatische Eingabe, prüfen Sie die Adresse erneut.

Deaktivieren Sie Browserwarnungen und integrierte Schutzfunktionen gegen gefährliche Seiten nicht. Sie ersetzen keine manuelle Prüfung, können aber vor bekannten Phishing- und Malware-Seiten warnen.

Seien Sie besonders vorsichtig bei Links aus gehackten Konten. Nachrichten können von Freunden, Kollegen oder Verwandten kommen und trotzdem eine schädliche URL enthalten. Fragt Sie jemand überraschend und ohne Erklärung nach ungewöhnlichen Aktionen, klären Sie das über einen anderen Kommunikationsweg ab.

Eine einfache Regel: Je mehr eine Nachricht drängt, Angst macht oder Vorteile verspricht, desto genauer sollten Sie den Link prüfen. Wenige Sekunden zum Überprüfen der Domain sind sicherer als die Folgen eines Passwortdiebstahls oder einer Infektion auszubügeln.

FAQ

1. Kann ich einen Link prüfen, ohne ihn zu öffnen?

   Ja. Sie können den Link kopieren und zunächst manuell analysieren: Domain, verdächtige Zeichen und das eigentliche Ziel prüfen. Zusätzlich können Sie die URL in Prüfdienste wie VirusTotal oder Google Safe Browsing eingeben, um die Reputation zu prüfen.

2. Woran erkenne ich, dass ein Link auf eine Phishing-Seite führt?

   Oft deuten eine geänderte, aber ähnlich aussehende Domain, unerwartete Aufforderungen zur Passworteingabe oder Angabe von Bankdaten und Nachrichten mit dringenden Forderungen auf Phishing hin. Besonders verdächtig ist es, wenn sofortige Bestätigungen von Account, Zahlung oder Zugang gefordert werden.

3. Garantiert VirusTotal, dass ein Link sicher ist?

   Nein. Wenn VirusTotal keine Bedrohungen findet, bedeutet das nur, dass zum Zeitpunkt der Analyse keine bekannten Gefahren erkannt wurden. Neue Phishing-Seiten sind möglicherweise noch nicht erfasst, daher sollte das Ergebnis immer mit einer eigenen Prüfung der Domain kombiniert werden.

4. Was tun, wenn ich versehentlich einen verdächtigen Link geöffnet habe?

   Wenn Sie die Seite nur geöffnet, aber keine Daten eingegeben oder Dateien heruntergeladen haben, schließen Sie sie einfach und interagieren Sie nicht weiter. Haben Sie ein Passwort eingegeben, ändern Sie es auf der offiziellen Seite des Dienstes. Bei unbekannten Downloads oder Programmstarts führen Sie einen Virenscan durch.

Fazit

Verdächtige Links sollten immer vor dem Klicken geprüft werden. Das Grundprinzip: Prüfen Sie die echte URL, die Hauptdomain, den Kontext der Nachricht und nutzen Sie bei Zweifel Tools wie VirusTotal oder andere Reputationsdienste.

Weder HTTPS noch das Fehlen von Antivirus-Warnungen garantieren absolute Sicherheit. Neue Phishing-Seiten sind oft noch nicht in Schutzdatenbanken erfasst - daher ist die Kombination aus automatischen Tools und manueller Prüfung entscheidend.

Wenn ein Link angeblich zu einer Bank, sozialen Plattform, einem Onlineshop oder einem wichtigen Dienst führt, ist es am sichersten, ihn gar nicht zu verwenden. Öffnen Sie stattdessen die offizielle App oder geben Sie die bekannte Adresse manuell ein. So vermeiden Sie die meisten Betrugsmaschen mit gefälschten Seiten und gestohlenen Zugangsdaten.