Gefälschte Anmeldeseite erkennen – auch mit HTTPS

Das Wichtigste zum Mitnehmen

• Prüfen Sie die Adresse im Browser, nicht eine auf der Webseite abgebildete Adresse.
• HTTPS schützt die Verbindung zu einem Hostnamen; es bürgt nicht für den Betreiber der Website.
• Fehlendes automatisches Ausfüllen ist ein Anlass zur Prüfung, kein Beweis für eine Fälschung.
• Nutzen Sie bei Unsicherheit ein bekanntes Portal und melden Sie bereits eingegebene Daten.

Warum HTTPS eine Anmeldeseite nicht vertrauenswürdig macht

HTTPS verschlüsselt die Verbindung und authentifiziert den Server für den aufgerufenen Hostnamen. Auch eine betrügerische Website kann ein Zertifikat für ihren eigenen Hostnamen erhalten. Das schützt die Verbindung zur betrügerischen Seite; es macht die Website jedoch nicht zu Ihrem Arbeitgeber, Ihrer Bank oder Ihrem Identitätsanbieter.

In seiner Erklärung zur Neugestaltung des Schloss-Symbols vom Mai 2023 berichtete das Chromium-Team, dass im Rahmen seiner Untersuchung aus dem Jahr 2021 nur 11 % der Teilnehmenden die genaue Bedeutung des Symbols richtig verstanden. Dieser Befund bezieht sich auf jene Studienteilnehmenden und eine ältere Benutzeroberfläche, nicht auf die heutige Belegschaft oder CyberPlay-Nutzende. Die praktische Lehre bleibt: Prüfen Sie das Ziel und die Aufgabe, anstatt ein Verbindungssymbol als Vertrauensbeweis zu behandeln.

Quellen dieses Abschnitts: Ein Update zum Schloss-Symbol

Lesen Sie den Hostnamen und halten Sie die vollständige Adresse sichtbar

In https://login.northstar.example/session lautet der Hostname login.northstar.example. Der Teil /session ist ein von der Website gewählter Pfad. Im fiktiven Hostnamen northstar.example.secure-access.example stehen die vertrauten Begriffe links unterhalb von secure-access.example. Ihr Vorhandensein macht das Ziel nicht zu einem Teil von Northstar.

Vermitteln Sie nicht „die letzten beiden Wörter nehmen“ als allgemeingültige Regel. Public Suffixes können mehr als ein Label enthalten, wie etwa co.uk, und manche Hosting-Plattformen haben gesonderte Registrierungsgrenzen. Die Public Suffix List beschreibt diese Unterschiede. Ein vertrauenswürdiges Prüfwerkzeug kann helfen, die relevante Grenze zu erkennen; Beschäftigte können jedoch jederzeit das freigegebene Portal wählen, anstatt zu versuchen, unter Zeitdruck eine unvertraute Adresse aufzulösen.

Bild vergrößern · Screenshot aus dem Spiel · Englische Oberfläche

1. Registrierbare Domain prüfen

   Lesen Sie die registrierbare Domain sorgfältig; vertraute Begriffe an anderer Stelle einer Adresse belegen nicht ihren Eigentümer.

2. Bekanntes Portal nutzen

   Rufen Sie den Dienst über ein bekanntes Portal auf und beachten Sie den Kontext Ihres freigegebenen Passwort-Managers.

Quellen dieses Abschnitts: Mehr über die Public Suffix List erfahren

Nutzen Sie dieses Arbeitsblatt zum Lesen von Adressen

Nehmen Sie an, das freigegebene Portal der Organisation laute portal.northstar.example und ihr freigegebener Anmeldedienst login.northstar.example. Jede unten stehende Adresse ist ein reserviertes Beispiel, kein reales Ziel. Lesen Sie den Hostnamen laut vor und trennen Sie den vertrauten Markennamen von der Domain, die ihn enthält.

Diese Beispiele vermeiden bewusst, Vertrauen allein anhand des Erscheinungsbilds zu beurteilen. Ein plausibler Pfad oder ein passender Markenname ist keine Authentifizierung. Für das freigegebene Beispiel gilt: Die Aufgabe muss auch eine sein, die Sie tatsächlich durchführen wollten. Eine unerwartete Aufforderung zur Zugriffsfreigabe erfordert auch dann eine Überprüfung, wenn ein echter Identitätsanbieter beteiligt ist.

Das Verhalten des Passwortmanagers als nützliches Signal werten

Wenn Ihr freigegebener Passwortmanager eine Arbeitsanmeldung normalerweise automatisch ausfüllt und nun inaktiv bleibt, halten Sie inne. Die gespeicherten Anmeldedaten passen möglicherweise nicht zur aktuellen Seite. Es gibt auch andere Erklärungen: Der Tresor ist gesperrt, die Erweiterung nicht verfügbar, das Formular wurde geändert oder eine legitime neue Anmeldedomain wird eingeführt. Das Ausbleiben des Ausfüllens allein belegt keinen Betrug.

Lösen Sie die Ungewissheit nicht dadurch, dass Sie ein Passwort in die fragliche Seite kopieren oder deren Adresse zum gespeicherten Eintrag hinzufügen. Öffnen Sie das freigegebene Portal, prüfen Sie, ob der Manager dort funktioniert, und fragen Sie Ihren Service Desk nach einem neuen Ziel. NIST SP 800-63B-4 verlangt von Diensten, die diesen Leitlinien folgen, Passwortmanager und Autofill zu unterstützen; das stützt deren Einsatz, ist aber kein Versprechen, dass jeder Manager jeden Phishing-Versuch erkennt.

Bild vergrößern

Quellen dieses Abschnitts: SP 800-63B-4: Authentifikatoren, einschließlich Unterstützung für Passwortmanager

Browser-Bedienelemente von einem auf der Seite gezeichneten Fenster unterscheiden

Eine Webseite kann Elemente darstellen, die wie ein separates Anmeldefenster wirken – einschließlich eigener Adressleiste, Zertifikatssymbol und Schließen-Schaltfläche. Diese Pixel sind Teil der Seite. Liest man die innerhalb dieser Nachbildung abgebildete „Adresse“, erfährt man nur, was die erstellende Person dort anzeigen wollte.

Nutzen Sie die tatsächlichen Bedienelemente des Browsers, um zu prüfen, wo Sie sich befinden. Blenden Sie auf kleinen Bildschirmen die echte Adressleiste ein, bevor Sie Daten eingeben. Macht ein Popup oder eine eingebettete Ansicht die Bestimmung des Ziels schwierig, schließen Sie diesen Vorgang und kehren Sie über die bekannte App oder das Portal zurück. Verlassen Sie sich nicht darauf, ob ein nachgebildetes Fenster verschiebbar, professionell gestaltet oder mit einem Screenshot aus einer Schulung identisch wirkt.

Legitime Anmelde-Weiterleitungen berücksichtigen

Organisationen nutzen für Single Sign-On oft einen separaten Identitätsanbieter. Ein Wechsel weg von der Hauptwebsite des Unternehmens ist daher nicht automatisch verdächtig. Die entscheidende Prüfung lautet: Gehört das Ziel zum freigegebenen Anmeldeprozess und haben Sie diesen Vorgang selbst angestoßen? Bitten Sie die IT, den erwarteten Pfad zu dokumentieren, damit Beschäftigte nicht gezwungen sind, eine wachsende Liste von Domains auswendig zu lernen.

Bei einem bekannten Portal zu beginnen, ist eine sicherere Rückfalloption als das Folgen einer unsicheren Nachricht, autorisiert aber nicht jede nachfolgende Handlung. Prüfen Sie das Konto, die Anwendung und die angeforderten Berechtigungen. Werden Sie telefonisch aufgefordert, sich anzumelden oder den Zugriff für einen Vorgang freizugeben, den Sie nicht initiiert haben, verifizieren Sie diese Aufforderung über den regulären Supportweg. Adressprüfungen und Kontextprüfungen greifen ineinander.

Falls Sie bereits ein Passwort eingegeben oder den Zugriff freigegeben haben

Brechen Sie die Nutzung des fraglichen Ablaufs ab und melden Sie den Vorfall unverzüglich über den festgelegten Sicherheitskanal Ihres Arbeitsplatzes. Geben Sie an, was Sie eingegeben oder freigegeben haben, den Zeitpunkt, den betroffenen Dienst und ob Sie zusätzlich etwas heruntergeladen oder ausgeführt haben. Wenn Sie die ursprüngliche Nachricht oder Adresse sicher aufbewahren können, ohne die Seite erneut zu öffnen, übermitteln Sie diese über den freigegebenen Meldeweg.

Nutzen Sie den echten Dienst und die Anweisungen Ihrer Organisation zur Wiederherstellung von Zugangsdaten. Informieren Sie die zuständigen Stellen, falls das Passwort an anderer Stelle wiederverwendet wurde oder falls Sie einen Einmalcode eingegeben oder eine MFA-Anfrage bestätigt haben. Für Kontositzungen oder Anwendungsberechtigungen können gesonderte Maßnahmen erforderlich sein; das Ändern eines Passworts garantiert nicht ausnahmslos, dass jeder Zugriff beendet ist. Kehren Sie nicht auf die verdächtige Seite zurück, um zu prüfen, ob Ihr Passwort noch funktioniert.

Mit Find the Fake Login üben

Find the Fake Login bietet fiktive Anmeldesituationen mit Domain-Prüfung, Passwortmanager-Checks, Zertifikatsinformationen und einer Option zum Öffnen des offiziellen Portals. Nutzen Sie die Beispiele zu Subdomains und automatischem Ausfüllen, um zu erklären, was die einzelnen Signale aussagen. Beziehen Sie eine legitime Anmeldung ein, damit die Übung nicht belohnt, pauschal jede Seite abzulehnen.

Einige Szenarien bilden Browser-Bedienelemente innerhalb des Spiels nach, das selbst eine Simulation ist. Wenden Sie die obige Unterscheidung echter Browser an, wenn Sie das Gelernte auf den Arbeitsplatz übertragen. Das Abschlusskriterium ist ein sicherer Weg samt Begründung, nicht bloß das Anklicken der richtigen Einstufung. Geben Sie in einer Schulungsübung niemals ein echtes Arbeitsplatz-Passwort ein und fordern Sie Lernende nicht dazu auf, ein solches zu teilen.

Die sichere Entscheidung in einem neuen Anmeldebeispiel treffen

Nehmen Sie für diese Übung an, dass portal.northstar.example der freigegebene Ausgangspunkt ist und der Service Desk den regulären Anmeldeweg veröffentlicht hat. Lesen Sie das gesamte Szenario, bevor Sie eine Auswahl treffen. Ziel ist es, die legitime Arbeitsaufgabe beizubehalten und gleichzeitig das unerwartete Ziel aufzuklären.

Eine Routine für Anmeldungen auf Deutsch aufbauen

Dieser Leitfaden, die CyberPlay-Benutzeroberfläche und Find the Fake Login sind auf Deutsch verfügbar. Üben Sie die Entscheidungen zu Domains, Autofill und dem offiziellen Portal, und wiederholen Sie das Adress-Arbeitsblatt anschließend mit einer anderen fiktiven Marke. Die Abbildungen aus dem Spiel zeigen die englische Benutzeroberfläche und stellen keinen realen Angriff auf Kundschaft dar.

Sorgen Sie am Arbeitsplatz dafür, dass das freigegebene Portal und der Meldeweg leicht auffindbar bleiben. Bitten Sie Lernende zu zeigen, wo die tatsächliche Browseradresse auf ihrem gewohnten Gerät erscheint, ohne sich auf einer Testseite anzumelden. Gehen Sie unvertraute Beispiele später nochmals durch und hören Sie sich die Begründungen an. Ein absolviertes Spiel oder ein wiedererkanntes Logo ist kein Beweis dafür, dass künftig jede Phishing-Seite erkannt wird.

Prüfungen gefälschter Logins auf Deutsch üben

Nutzen Sie Find the Fake Login, um das Ziel zu prüfen, Autofill zu deuten und das offizielle Portal zu wählen. Begründen Sie die Entscheidung ohne echte Anmeldedaten.

Quellen und weiterführende Informationen

1. Ein Update zum Schloss-Symbol — Chromium-Team, 2023. Abgerufen am 2026-09-13
2. Mehr über die Public Suffix List erfahren — Projekt Public Suffix List. Abgerufen am 2026-09-13
3. SP 800-63B-4: Authentifikatoren, einschließlich Unterstützung für Passwortmanager — NIST. Abgerufen am 2026-09-13

Weitere Artikel entdecken

• Phishing-Mail-Beispiele für Schulungen: prüfen, verifizieren und melden

  Nutzen Sie fiktive Phishing-Mail-Beispiele für HR, Rechnungen, Lieferungen und Logins sowie legitime Kontrollfälle – inklusive sicherer Entscheidung und Nachbesprechung.

  DE · 8 Min. Lesezeit
• QR-Code-Phishing-Schulung: erst das Ziel prüfen, dann handeln

  Schulen Sie Mitarbeitende im Umgang mit QR-Code-Phishing: Zielprüfung, unabhängige Verifikation und realistische Übungen zu Parkplatz, Aushang und Anmeldung.

  DE · 9 Min. Lesezeit
• Phishing-Training mit Spielen: verdächtige Nachrichten richtig prüfen

  Phishing-Training mit Spielen: verdächtige Nachrichten prüfen, sichere Rückfragen und Meldungen üben und Entscheidungen mit konkreten Beispielen nachbesprechen.

  DE · 8 Min. Lesezeit
• ClickFix und gefälschte CAPTCHAs: erkennen und richtig reagieren

  Ein gefälschtes CAPTCHA verlangt das Ausführen eines Befehls? Lernen Sie die ClickFix-Warnsignale, Meldungen vor oder nach der Ausführung und üben Sie auf Deutsch.

  DE · 9 Min. Lesezeit
• Social-Engineering-Übungen: Identitätstäuschung und Zahlungsfreigaben trainieren

  Social-Engineering-Übungen für Mitarbeitende: Identitätstäuschung, Zahlungsänderungen und Rückrufe mit fiktiven Szenarien und konkreten Nachbesprechungen trainieren.

  DE · 8 Min. Lesezeit
• KI-Security-Awareness-Schulung: sichere Entscheidungen zu Werkzeugen und Daten

  Praxisnahe KI-Security-Awareness-Schulung für Mitarbeitende: freigegebene Werkzeuge, sensible Eingaben, Prüfschritte, Berechtigungen und Entscheidungskarten.

  DE · 8 Min. Lesezeit