Cybersicherheit beruht auf einem einfachen technischen Prinzip: Jedes Online-Konto, jedes vernetzte Gerät und jeder Datenaustausch stellt eine potenzielle Angriffsfläche dar. Wer seine Daten online schützt, verkleinert diese Angriffsfläche systematisch durch konkrete Verhaltensweisen, für die keine besonderen IT-Kenntnisse erforderlich sind.
Phishing und gefälschte Websites: eine Bedrohung, die klassische Schutzmaßnahmen umgeht
Der im März 2026 veröffentlichte Bericht von Cybermalveillance.gouv.fr führt Phishing als die am häufigsten gemeldete Bedrohung auf. Im Vergleich zu 2024 ist die Zahl der Hilfsanfragen gestiegen. Die Angriffsszenarien gehen weit über verdächtige E-Mails hinaus.
Gefälschte Lieferbenachrichtigungen veranschaulichen diese Entwicklung. Eine SMS meldet, ein Paket sei blockiert, leitet auf eine Website weiter, die einen bekannten Paketdienst imitiert, und fordert anschließend eine Zahlung von wenigen Euro. Tatsächlich geht es darum, Bankdaten oder Zugangsdaten abzugreifen.
Eine gut gemachte betrügerische Website kann eingegebene Zugangsdaten auch in Echtzeit weiterleiten und anschließend einen Einmalcode anfordern. Selbst die Zwei-Faktor-Authentifizierung per SMS verhindert diese Art von Angriff nicht, wenn die zwischengeschaltete Website die Informationen an den echten Dienst weiterleitet. Die Beiträge zum Thema Sicherheit auf Geekfinity erläutern diese Abfangmethoden und die entsprechenden Gegenmaßnahmen.
Die wichtigste Gewohnheit: Niemals auf einen Link in einer Nachricht klicken, um einen Bankdienst, Paketdienst oder eine Behörde aufzurufen. Wer die Adresse selbst in den Browser eingibt, vermeidet das Risiko, auf eine betrügerische Kopie weitergeleitet zu werden.
Zwei-Faktor-Authentifizierung: Warum SMS nicht mehr ausreicht
Die Zwei-Faktor-Authentifizierung (oder 2FA) ergänzt das Passwort um eine weitere Prüfung. Das Prinzip ist solide, doch nicht alle Faktoren bieten denselben Schutz.
Die ANSSI empfiehlt, SMS nicht als zweiten Faktor zu verwenden. Dafür gibt es zwei technische Gründe. Erstens kann eine SMS durch einen sogenannten SIM-Swapping-Angriff abgefangen werden. Dabei verschafft sich ein Angreifer beim Mobilfunkanbieter eine Kopie der SIM-Karte. Zweitens kann, wie oben beschrieben, eine gefälschte Website den per SMS erhaltenen Code abfragen und in Echtzeit an den echten Dienst weiterleiten.
Robustere Alternativen lassen sich nach ihrem Schutzniveau ordnen:
- Authentifizierungs-Apps (wie Google Authenticator, Authy oder Microsoft Authenticator) erzeugen Codes lokal auf dem Smartphone, ohne dass diese über das Mobilfunknetz übertragen werden. Sie verhindern SIM-Swapping-Angriffe, sind aber weiterhin anfällig, wenn der Nutzer den Code auf einer gefälschten Website eingibt.
- FIDO-Sicherheitsschlüssel (physische USB-Schlüssel wie YubiKey) prüfen vor der Anmeldung automatisch die Domain der Website. Eine gefälschte Website erhält keine Daten.
- Passkeys, die in die Systeme von Apple, Google und Microsoft integriert sind, beruhen auf demselben kryptografischen Prinzip wie FIDO-Schlüssel. Sie prüfen die Domain der Website und sind phishingresistent, ohne dass zusätzliche Hardware erforderlich ist.
Die Zwei-Faktor-Authentifizierung zu aktivieren, erhöht die Sicherheit erheblich – auch per SMS. Der nächste Schritt ist der Wechsel zu einer Authentifizierungs-App oder zu Passkeys.
Passwörter und Passwortmanager: das technische Fundament
Wird dasselbe Passwort für mehrere Konten verwendet, kann ein Datenleck bei einem weniger wichtigen Dienst zum Einfallstor für E-Mail-Konto, Bankkonto oder soziale Netzwerke werden. Dieser als Credential Stuffing bezeichnete Angriff nutzt aus, dass die meisten Internetnutzer ihre Zugangsdaten mehrfach verwenden.
Die praktische Lösung ist ein Passwortmanager. Diese Software erstellt für jeden Dienst ein langes, einzigartiges Passwort, speichert es in einem verschlüsselten Tresor und füllt es bei der Anmeldung automatisch aus. Der Nutzer muss sich nur ein einziges Masterpasswort merken.
Auf diese Kriterien sollten Sie bei der Wahl eines zuverlässigen Passwortmanagers achten:
- Ende-zu-Ende-Verschlüsselung, die sicherstellt, dass selbst der Softwareanbieter die gespeicherten Passwörter nicht lesen kann
- Synchronisierung zwischen Geräten (Computer, Smartphone, Tablet), damit Sie nicht aus Bequemlichkeit wieder dasselbe Passwort für mehrere Dienste verwenden
- Kompatibilität mit Passkeys, um künftig alle Zugänge in einem einzigen Tool bündeln zu können
- Ein veröffentlichter, unabhängiger Sicherheitsaudit als Beleg für die Transparenz und Robustheit des Produkts
Gefälschter technischer Support und Telefonbetrug: ein unterschätzter Angriffsweg
Cybermalveillance.gouv.fr beschreibt gefälschten technischen Support als eigenständige Bedrohung. Das typische Szenario: Auf dem Bildschirm erscheint ein Fenster mit einer Warnmeldung, die Windows oder macOS imitiert und dazu auffordert, eine Telefonnummer anzurufen. Der Gesprächspartner gibt sich als Techniker aus und verlangt anschließend Fernzugriff auf den Computer.
Nach dem Verbindungsaufbau kann er eine Fernsteuerungssoftware installieren, Dateien abgreifen oder für eine erfundene Reparatur Geld verlangen. Kein Betriebssystemhersteller kontaktiert seine Nutzer auf diese Weise.
Was Sie bei einer solchen Meldung tun sollten: den Browser schließen (falls nötig, das Schließen über den Task-Manager erzwingen), niemals die angezeigte Nummer anrufen und einem unaufgefordert Kontakt aufnehmenden Gesprächspartner niemals Fernzugriff gewähren. Lässt sich der Browser nicht schließen, reicht in den allermeisten Fällen ein Neustart des Geräts.
Updates und Backups: zwei wichtige Routinen
Sicherheitsupdates schließen Schwachstellen, die Angreifer aktiv ausnutzen. Schon eine Verzögerung von wenigen Wochen kann ausreichen, um eine Sicherheitslücke offenzulassen. Wer auf allen Geräten (Smartphone, Computer, Tablet, vernetzte Geräte) automatische Updates aktiviert, beseitigt dieses Risiko ohne zusätzlichen Aufwand.
Backups schützen vor einem anderen Szenario: Ransomware verschlüsselt Dateien und fordert Lösegeld. Mit einem aktuellen Backup auf einem vom Netzwerk getrennten Speichermedium (externe Festplatte, USB-Stick) lassen sich die Daten wiederherstellen, ohne auf die Erpressung einzugehen. Als Faustregel gilt: Mindestens einmal im Monat ein Backup auf einem getrennten physischen Speichermedium erstellen.
Diese beiden Maßnahmen – Updates und Backups – verhindern zwar keinen Angriff. Sie begrenzen jedoch die Folgen und machen daraus ein vorübergehendes Ärgernis statt eines dauerhaften Verlusts von Daten oder Zugängen.
