Ein unerwarteter Anmeldelink: zuerst den Zugangsweg prüfen

Kurzantwort: Melden Sie sich nicht über den Link in einer unerwarteten Nachricht an. Schliessen Sie die Nachricht, öffnen Sie den Dienst unabhängig über ein gespeichertes Lesezeichen, eine bekannte App oder eine schon zuvor verwendete Adresse und prüfen Sie, ob derselbe Hinweis im Konto erscheint. Die Nachricht kann echt oder irreführend sein; Wortlaut und Erscheinungsbild allein klären das nicht.

Weshalb der Zugangsweg wichtig ist

Eine Schaltfläche in einer Nachricht führt Sie über einen vom Absender gewählten Weg. Führt dieser an eine andere Stelle als den beabsichtigten Dienst, kann die Eingabe eines Passworts oder Einmalcodes den Zugang zu Ihrem Konto gefährden. Öffnen Sie den Dienst unabhängig, erhalten Sie einen getrennten Weg, die Aufforderung zu prüfen, statt der Nachricht die Wahl des Ziels zu überlassen.

Verwenden Sie ein früher gespeichertes Lesezeichen, eine vertraute, bereits installierte App oder eine Adresse, die Sie selbst eingeben können. Nutzen Sie für diese Prüfung weder einen Link noch einen QR-Code oder eine Weiterleitung aus der unerwarteten Nachricht. Können Sie Ihren üblichen Zugang nicht sicher bestimmen, halten Sie inne, statt zu raten. Suchen Sie den Hilfebereich des Dienstes über einen Weg auf, den Sie unabhängig identifizieren können.

Eine praktische Prüfreihenfolge

Prüfen Sie vor der Eingabe von Kontodaten folgende Punkte:

1. Halten Sie bei der Nachricht inne. Betätigen Sie nicht ihre Anmeldeschaltfläche, antworten Sie nicht mit Zugangsdaten und geben Sie keinen Einmalcode weiter. So überlassen Sie der Nachricht nicht die Wahl Ihres Zugangswegs.
2. Öffnen Sie den Dienst unabhängig. Verwenden Sie Ihr Lesezeichen, eine bekannte App oder eine vertraute Adresse. Prüfen Sie, ob derselbe Sitzungs- oder Anmeldehinweis im Konto erscheint. Fehlt er, ist die Nachricht allein kein Grund, ihrem Link zu folgen.
3. Prüfen Sie die Adresse. Lesen Sie Schreibweise und Domain sorgfältig, bevor Sie ein Passwort eingeben. Ein vertrauter Markenname irgendwo in einer Adresse beweist für sich allein nicht, dass es sich um die gewünschte Website handelt.
4. Prüfen Sie, ob der Passwortmanager die Website erkennt. Erkennt er genau die erwartete Website, kann das eine hilfreiche Gegenprüfung sein. Erkennt er sie nicht, stoppen Sie und prüfen Sie den Zugangsweg erneut. Das Ausbleiben der Erkennung beweist allein weder Betrug noch Sicherheit.
5. Nutzen Sie bei verbleibenden Zweifeln einen unabhängig geöffneten Hilfebereich. Rufen Sie die Hilfe über die bekannte App oder Adresse auf. Folgen Sie keiner Weiterleitung aus einer Nachricht, um das Konto zu «bestätigen».

Diese Prüfungen beantworten verschiedene Fragen: Zeigt das Konto selbst den Hinweis? Ist die Adresse der beabsichtigte Zugang? Erkennt ein Werkzeug für gespeicherte Zugangsdaten genau diese Website? Ein Logo, vertraute Formulierungen oder eine professionell gestaltete Seite ersetzen das unabhängige Öffnen des Dienstes nicht.

Fiktives Beispiel: Hinweis auf eine abgelaufene Sitzung

Nehmen wir hypothetisch an, eine Nachricht meldet eine abgelaufene Sitzung und enthält eine Anmeldeschaltfläche. Sie schliessen die Nachricht, öffnen den Dienst über ein gespeichertes Lesezeichen und finden im Konto keinen entsprechenden Hinweis. Kehren Sie dann nicht zum Nachrichtenlink zurück: Das unabhängig geöffnete Konto hat die Aufforderung nicht bestätigt. Zeigt das Konto eine Anmeldeaufforderung, fahren Sie ausschliesslich über den selbst geöffneten Zugang fort.

Dieses Beispiel beschreibt nicht, was ein bestimmter Dienst anzeigt oder wie er Sitzungen behandelt. Es veranschaulicht den nötigen Abgleich: Prüfen Sie das Konto über einen bekannten Weg, bevor Sie über den Umgang mit der Nachricht entscheiden. Ein kopiertes Logo, ein Anzeigename, eine vertraut wirkende Seite oder überzeugende Formulierungen können eine Nachahmung alltäglich erscheinen lassen. Das Aussehen klärt die Frage deshalb nicht.

Ein häufiges Missverständnis

Leicht entsteht entweder die Annahme, eine Nachricht sei sicher, weil ihre Seite vertraut aussieht, oder jede unerwartete Aufforderung müsse falsch sein. Keine dieser Schlussfolgerungen ergibt sich allein aus Aussehen oder Überraschung. Ein legitimer Hinweis lässt sich unabhängig prüfen, während eine überzeugende Nachahmung alltäglich wirken kann. Diese Unterscheidung ist wichtig, weil Zugangsdaten auf einem falschen Zugangsweg anderen die Möglichkeit geben können, sie zu verwenden.

Auch die Erkennung durch einen Passwortmanager ist eine hilfreiche Prüfung, keine Garantie und kein Grund, die Adresse zu ignorieren. Widersprechen sich die Prüfungen oder bleiben Sie unsicher, geben Sie keine Daten ein. Öffnen Sie den Dienst erneut unabhängig oder rufen Sie seine Hilfe auf diesem Weg auf, bevor Sie entscheiden.

Wenn Sie bereits Daten eingegeben haben

Haben Sie ein Passwort auf einer fragwürdigen Seite eingegeben, öffnen Sie den Dienst über einen vertrauenswürdigen Weg und ändern Sie es dort. Prüfen Sie in demselben unabhängig geöffneten Konto aktive Sitzungen und Wiederherstellungseinstellungen. Haben Sie zusätzlich einen Einmalcode eingegeben, senden Sie niemandem weitere Codes oder Passwörter, der vorgibt, das Konto zu verifizieren. Benötigen Sie Anleitung, nutzen Sie einen unabhängig geöffneten Hilfebereich. Diese Schritte betreffen bereits eingegebene Informationen, ohne dass Sie zur fragwürdigen Seite zurückkehren müssen.

Nächster Schritt: Bestimmen Sie vor dem Reagieren auf eine unerwartete Anmeldeaufforderung das Lesezeichen, die App oder die Adresse, die Sie selbst öffnen können. Können Sie keinen bekannten Zugangsweg sicher bestimmen, halten Sie inne und suchen Sie Hilfe über einen unabhängig überprüfbaren Weg. Treffen Sie Ihre Entscheidung anhand des unabhängig geöffneten Kontos, nicht danach, wie überzeugend die Nachricht wirkt.