Phishing-Link angeklickt? Diese Schritte solltest du unter Windows sofort durchführen

Nach dem Anklicken eines Phishing-Links hängt die richtige Reaktion davon ab, was danach passiert ist. Wurde nur eine Webseite geöffnet und sofort wieder geschlossen, ist das Risiko meist geringer als nach einer Passworteingabe, einem Download oder dem Start einer Datei. Schließe die verdächtige Seite, öffne sie nicht erneut und prüfe dann in fester Reihenfolge Browser, Windows-Sicherheit und betroffene Konten. Hast du eine Datei ausgeführt, Zugangsdaten eingegeben oder eine ungewöhnliche Anmeldung bestätigt, solltest du den PC zunächst vom Netzwerk trennen und Konten über ein anderes vertrauenswürdiges Gerät absichern.

Zuerst einordnen: Was ist nach dem Klick passiert?

Der Link allein verrät noch nicht, welche Gegenmaßnahmen erforderlich sind. Entscheidend sind die Handlungen auf der geöffneten Seite und mögliche Veränderungen am Windows-PC. Ordne den Vorfall einer der folgenden Stufen zu und arbeite anschließend den passenden Zweig ab.

• Nur geöffnet: Die Seite wurde angezeigt, aber du hast nichts eingegeben, heruntergeladen, erlaubt oder installiert. Schließe den Tab und beginne mit der Browser- und Sicherheitsprüfung.
• Daten eingegeben: Du hast ein Passwort, einen Sicherheitscode, persönliche Angaben oder Zahlungsdaten übermittelt. Das betroffene Konto beziehungsweise Zahlungsmittel muss zusätzlich geschützt werden.
• Datei heruntergeladen: Eine Datei liegt im Downloadordner, wurde aber nicht geöffnet. Lösche sie noch nicht blind, sondern lasse sie zuerst durch Windows-Sicherheit prüfen. Auf einem Firmen-PC sollte die IT entscheiden, ob die Datei als Beweismittel erhalten bleiben muss.
• Datei gestartet oder Programm installiert: Trenne den Rechner vom Netzwerk. Eine Schadsoftwareprüfung einschließlich Offlinescan hat jetzt Vorrang.
• Anmeldung oder MFA-Abfrage bestätigt: Melde unbekannte Sitzungen ab, ändere das Passwort über ein sauberes Gerät und überprüfe die hinterlegten Sicherheitsinformationen. MFA bezeichnet die Anmeldung mit einem zusätzlichen Faktor, beispielsweise einer App-Bestätigung.

Notiere bei einem geschäftlich genutzten PC die Uhrzeit, den betroffenen Browser, den Namen der Nachricht und deine ausgeführten Schritte. Beende den Kontakt zum Absender. Antworte nicht auf die Nachricht und rufe keine darin genannte Telefonnummer an.

Bei Download oder Dateistart: Netzwerkverbindung unterbrechen

Ein heruntergeladenes Dokument ist nicht automatisch aktiv. Kritischer wird die Lage, sobald eine ausführbare Datei, ein Skript, ein manipuliertes Installationsprogramm oder ein Dokument mit nachgeladenen Inhalten gestartet wurde. Trenne in diesem Fall WLAN und Netzwerkkabel, damit mögliche Schadsoftware nicht ungehindert Daten übertragen oder weitere Komponenten laden kann.

1. Klicke im Infobereich der Taskleiste auf das Netzwerksymbol und schalte WLAN aus.
2. Ziehe bei einer Kabelverbindung das Ethernet-Kabel ab.
3. Trenne keine externen Laufwerke, wenn eine zuständige IT-Abteilung zuerst den Zustand untersuchen soll. Bei einem privaten PC solltest du nicht benötigte USB-Speicher vorsorglich entfernen.
4. Fahre den Rechner nicht sofort herunter, wenn es sich um ein Firmengerät handelt. Flüchtige Spuren könnten für die Untersuchung wichtig sein. Informiere stattdessen unverzüglich die zuständige IT oder Sicherheitsstelle.

Wurde lediglich eine Webseite geöffnet und nichts weiter ausgeführt, ist eine sofortige vollständige Netztrennung normalerweise nicht zwingend. Sie ist dennoch sinnvoll, sobald sich der Browser ungewöhnlich verhält, unbekannte Downloads auftauchen, Fenster selbstständig geöffnet werden oder Windows-Sicherheit eine Bedrohung meldet.

Verdächtige Downloads und Browseränderungen prüfen

Der Browser zeigt häufig, ob der Phishing-Link eine Datei ausgeliefert oder Berechtigungen angefordert hat. Öffne die Downloadübersicht über das Browsermenü, ohne den verdächtigen Link erneut aufzurufen. Starte dort keine unbekannte Datei und bestätige keine nachträgliche Sicherheitsabfrage.

Download noch nicht geöffnet

Öffne im Datei-Explorer den Ordner Downloads. Klicke die verdächtige Datei mit der rechten Maustaste an und wähle, sofern vorhanden, die Prüfung mit Microsoft Defender. Die Bezeichnung des Menüeintrags kann je nach Windows-Version und aktiviertem Virenschutz abweichen. Bei Windows 11 kann der Eintrag hinter dem erweiterten Kontextmenü liegen.

Ein unauffälliges Scanergebnis beweist nicht mit absoluter Sicherheit, dass die Datei harmlos ist. Lösche sie nach der Prüfung, wenn sie nicht erwartet wurde und keine IT-Abteilung ihre Aufbewahrung verlangt. Leere danach den Papierkorb. Öffne die Datei keinesfalls nur, um ihren Inhalt zu überprüfen.

Benachrichtigungen, Erweiterungen und Berechtigungen

Phishing-Seiten versuchen häufig, Browserbenachrichtigungen zu erlauben. Dadurch können später täuschend echte Warnmeldungen auf dem Desktop erscheinen, obwohl Windows selbst keinen Alarm ausgelöst hat. Öffne die Website- beziehungsweise Benachrichtigungseinstellungen deines Browsers und entferne unbekannte oder gerade hinzugefügte Berechtigungen.

Kontrolliere außerdem die installierten Browsererweiterungen. Deaktiviere und entferne Erweiterungen, die du nicht selbst installiert hast oder deren Herkunft unklar ist. Prüfe Startseite und Standardsuchmaschine, wenn der Browser nach dem Vorfall auf fremde Seiten umleitet. Ein vollständiges Zurücksetzen des Browsers ist erst dann sinnvoll, wenn sich manipulierte Einstellungen nicht einzeln bereinigen lassen; gespeicherte Sitzungen und persönliche Anpassungen können dabei verloren gehen.

Windows mit Microsoft Defender untersuchen

Windows-Sicherheit bietet mehrere Scanarten. Beginne bei einem bloßen Webseitenaufruf mit einer normalen Überprüfung. Nach dem Start einer unbekannten Datei ist eine vollständige Überprüfung angemessen; bei deutlichen Auffälligkeiten folgt der Microsoft Defender-Offlinescan.

Öffne über die Windows-Suche Windows-Sicherheit und rufe den Bereich Viren- & Bedrohungsschutz auf. Prüfe zuerst, ob Schutzfunktionen aktiv sind und ob bereits ein Fund angezeigt wird. Unter den Scanoptionen stehen abhängig vom installierten Sicherheitsprodukt verschiedene Prüfarten bereit.

1. Schnellüberprüfung: Geeignet, wenn nur die Seite geöffnet wurde und keine weiteren Hinweise vorliegen. Sie untersucht besonders häufig missbrauchte Systembereiche.
2. Vollständige Überprüfung: Sinnvoll nach einem unbekannten Download, einem Dateistart oder verdächtigen Systemänderungen. Sie kann je nach Datenmenge deutlich länger dauern.
3. Microsoft Defender Antivirus-Überprüfung (offline): Geeignet, wenn sich ein Fund nicht entfernen lässt, Schadsoftware den laufenden Virenschutz stören könnte oder das Verhalten nach einer Bereinigung anhält. Windows startet für diese Prüfung neu; speichere vorher geöffnete Arbeit.

Ist ein anderes Antivirenprogramm als primärer Schutz aktiv, können Auswahl und Benennung abweichen. Verwende nicht mehrere Echtzeit-Virenscanner parallel, da sie sich gegenseitig behindern können. Führe die vollständige Prüfung mit dem aktiv zuständigen Sicherheitsprodukt aus.

Nach einem Fund zeigt Windows-Sicherheit eine empfohlene Aktion wie Quarantäne oder Entfernen an. Führe diese Aktion aus, starte Windows neu und öffne danach den Schutzverlauf. Der Fund sollte als behandelt erscheinen. Bleibt eine Bedrohung aktiv, kehrt sie nach dem Neustart zurück oder lässt sich Windows-Sicherheit nicht öffnen, nutze den PC nicht mehr für Anmeldungen und hole technische Unterstützung.

Eingegebene Passwörter von einem sauberen Gerät ändern

Wurde auf der Phishing-Seite ein Passwort eingegeben, muss es als bekannt geworden gelten. Verwende möglichst einen anderen, vertrauenswürdigen PC oder ein aktuelles Smartphone für die Kontosicherung. Eine Passwortänderung auf einem möglicherweise kompromittierten Windows-PC könnte von Schadsoftware mitgelesen werden.

1. Rufe die echte Anmeldeseite des Dienstes manuell auf oder nutze dessen offizielle App. Verwende nicht erneut den Link aus der Nachricht.
2. Ändere das betroffene Passwort in ein neues, ausschließlich dort verwendetes Passwort.
3. Wurde dasselbe oder ein ähnliches Passwort bei weiteren Diensten benutzt, ändere diese Passwörter ebenfalls. Beginne mit dem E-Mail-Konto, weil darüber oft andere Konten zurückgesetzt werden können.
4. Melde alle anderen Sitzungen und unbekannten Geräte ab. Viele Konten bieten dafür eine Übersicht über Anmeldungen oder Geräte.
5. Aktiviere Mehrfaktor-Authentifizierung, sofern sie noch nicht eingerichtet ist. Eine Authenticator-App oder ein Sicherheitsschlüssel ist gegenüber ausschließlich per SMS empfangenen Codes häufig robuster gegen bestimmte Angriffe.
6. Prüfe Wiederherstellungsadresse, Telefonnummer, Weiterleitungsregeln und verbundene Apps. Angreifer können solche Einstellungen verändern, um den Zugriff später zurückzugewinnen.

Hast du zusätzlich einen Einmalcode eingegeben oder eine unerwartete Anmeldebestätigung angenommen, genügt ein Passwortwechsel allein möglicherweise nicht. Beende alle Sitzungen, widerrufe unbekannte App-Zugriffe und kontrolliere, ob neue Anmeldeverfahren oder Sicherheitsinformationen hinterlegt wurden.

E-Mail-Konto besonders gründlich absichern

Das E-Mail-Konto ist bei vielen Phishing-Vorfällen das wichtigste Ziel, weil es Passwortzurücksetzungen und vertrauliche Nachrichten enthält. Kontrolliere neben den Anmeldungen auch Regeln, automatische Weiterleitungen, Abwesenheitsnotizen sowie den Ordner mit gesendeten und gelöschten Nachrichten.

Eine unbekannte Weiterleitungsregel kann Kopien neuer Nachrichten an eine fremde Adresse senden. Eine manipulierte Posteingangsregel kann Sicherheitswarnungen automatisch löschen oder verschieben. Entferne solche Regeln, ändere danach das Passwort und melde fremde Sitzungen ab. Prüfe bei Microsoft-Konten außerdem die letzten Kontoaktivitäten und die hinterlegten Sicherheitsinformationen über die Kontoverwaltung.

Wurden über dein Konto bereits Nachrichten verschickt, warne betroffene Kontakte über einen unabhängigen Kanal. Bitte sie, Links und Anhänge aus den fraglichen Nachrichten nicht zu öffnen. Sende dabei den schädlichen Link nicht erneut.

Zahlungsdaten und persönliche Angaben richtig behandeln

Bei eingegebenen Karten-, Bank- oder Bezahldaten zählt nicht nur die Windows-Bereinigung. Kontaktiere das Kreditinstitut oder den Zahlungsdienst über die Nummer auf der Karte, in der offiziellen App oder auf einem vorhandenen Kontoauszug. Verwende keine Kontaktdaten aus der verdächtigen Nachricht.

Teile mit, welche Daten übermittelt wurden und ob du eine Zahlung, TAN oder Freigabe bestätigt hast. Das Institut entscheidet, ob Karte, Zugang oder einzelne Funktionen gesperrt werden müssen. Kontrolliere Umsätze und vorgemerkte Buchungen. Bei einer bereits autorisierten Überweisung oder Kartenfreigabe solltest du nicht auf sichtbare Abbuchungen warten.

Wurden Ausweisbilder, Steuerdaten oder umfangreiche persönliche Angaben übermittelt, dokumentiere den Vorfall. Achte in der Folge auf unbekannte Kontoeröffnungen, Vertragsbestätigungen oder Passwortzurücksetzungen. Eine Schadsoftwareprüfung schützt zwar den PC, macht aber bereits abgesendete Daten nicht wieder geheim.

Wann der Browser-Tab allein wahrscheinlich keinen Systembefall bedeutet

Moderne Browser und Windows trennen Webseiten weitgehend vom übrigen System. Das bloße Laden einer Phishing-Seite führt daher nicht automatisch zu einer Windows-Infektion. Das größere Risiko besteht meist darin, dass Nutzer Zugangsdaten preisgeben, Berechtigungen erteilen oder eine Datei ausführen.

Eine Entwarnung ist dennoch erst nach der Prüfung sinnvoll. Achte auf unerwartete Downloads, neue Browsererweiterungen, geänderte Einstellungen und Warnungen von Windows-Sicherheit. Halte Windows, Browser und installierte Sicherheitssoftware auf dem vorgesehenen Aktualisierungsstand, weil Sicherheitslücken vor allem bei veralteter Software eine zusätzliche Angriffsfläche bieten.

Das Löschen von Browserverlauf und Cookies kann lokale Sitzungsdaten entfernen, ersetzt aber weder den Passwortwechsel noch das Abmelden fremder Sitzungen. Bei einem Firmen-PC solltest du solche Daten nicht vor Rücksprache löschen, weil sie für die Untersuchung des Vorfalls benötigt werden könnten.

Warnzeichen für eine mögliche aktive Schadsoftware

Bestimmte Beobachtungen sprechen dafür, dass mehr als eine gefälschte Webseite beteiligt sein könnte. Verwende den betroffenen Rechner bis zur Klärung nicht für Onlinebanking, geschäftliche Zugänge oder Passwortänderungen, wenn eines dieser Zeichen auftritt:

• Windows-Sicherheit wurde deaktiviert oder lässt sich nicht mehr öffnen.
• Ein Fund erscheint nach Neustart oder Entfernung erneut.
• Unbekannte Programme, Autostart-Einträge oder Browsererweiterungen tauchen auf.
• Der Browser leitet selbstständig um oder zeigt dauerhaft fremde Werbung und Warnungen.
• Dateien werden verändert, verschlüsselt oder lassen sich plötzlich nicht mehr öffnen.
• Es gibt unbekannte Anmeldungen, versendete Nachrichten oder Sicherheitsänderungen in mehreren Konten.
• Die Maus bewegt sich ohne Eingabe, Fenster öffnen sich selbstständig oder Fernzugriffssoftware wurde unerwartet installiert.

Bei einem einzelnen Warnzeichen kann auch eine andere technische Ursache vorliegen. Die Kombination aus zeitlichem Zusammenhang, unbekanntem Download und auffälligem Systemverhalten erhöht jedoch den Verdacht. Bleibt der Befund nach vollständigem Scan und Offlinescan unklar, sichere persönliche Dokumente vorsichtig, ohne Programme oder verdächtige Dateien zu übernehmen, und lasse das System fachkundig untersuchen. Eine saubere Neuinstallation kann bei bestätigtem tiefem Befall der verlässlichste Rückweg sein, sollte aber nicht ohne Datensicherung und vorhandene Wiederherstellungsdaten begonnen werden.

Auf einem Firmen-PC gelten andere Prioritäten

Bei einem verwalteten Windows-Gerät sollte die interne IT oder Sicherheitsstelle früh eingebunden werden. Melde den Vorfall auch dann, wenn du nur ein Passwort eingegeben hast und der Rechner unauffällig wirkt. Unternehmenszugänge, VPN-Verbindungen, gespeicherte Browser-Sitzungen und Cloud-Dienste können weitere Systeme betreffen.

Verändere nicht eigenmächtig Protokolle, installierte Programme oder Sicherheitseinstellungen. Lösche die verdächtige Nachricht und heruntergeladene Dateien erst nach Freigabe. Teile der IT Zeitpunkt, Absender, betroffenen Dienst, Dateinamen und deine Aktionen mit. Eine schnelle, vollständige Meldung ermöglicht das Sperren von Sitzungen, die Suche nach ähnlichen Nachrichten und die Prüfung weiterer Geräte.

Die Entscheidung für den nächsten Schritt

Wurde nur eine Seite geöffnet, reichen in der Regel das Schließen des Tabs, die Kontrolle von Downloads und Browserberechtigungen sowie eine Sicherheitsprüfung. Nach einer Passworteingabe steht die Kontosicherung über ein sauberes Gerät an erster Stelle. Nach dem Start einer unbekannten Datei solltest du den Windows-PC vom Netzwerk trennen, vollständig prüfen und bei verbleibenden Auffälligkeiten nicht weiter für sensible Aufgaben einsetzen. Bei Zahlungsdaten, Firmenzugängen oder bestätigten Anmeldungen müssen zusätzlich das zuständige Institut beziehungsweise die IT sofort eingebunden werden.