Geklickt — was jetzt? Der Notfallplan für die ersten 24 Stunden

Erst einordnen: Was genau ist passiert?

Nicht jeder Klick ist gleich schlimm. Bevor Sie loslegen, ordnen Sie in zehn Sekunden ein, welcher der drei Fälle vorliegt — davon hängt ab, welche Schritte Sie brauchen.

Die ersten 24 Stunden im Überblick

1. Sofort · Minute 0Netz trennen, nichts weiter tunWLAN und Mobilfunkdaten aus, Seite schließen. Keine weiteren Eingaben, keine „Bestätigen“-Knöpfe, keine Rückrufe auf Nummern aus der Nachricht.
2. Minute 5Bank sperren, falls Zahlungsdaten betroffenSperr-Notruf 116 116 anrufen, dann Bank über die Nummer auf der Karte informieren. Bei eingegebener TAN oder laufender Überweisung zuerst dieser Schritt, noch vor den Passwörtern.
3. Minute 10Passwörter ändern — von einem anderen GerätBetroffenes Konto, dann E-Mail-Konto, dann alle Dienste mit demselben Passwort. Bei jedem Wechsel die Zwei-Faktor-Anmeldung einschalten.
4. Minute 30Aktive Sitzungen beenden, Weiterleitungen prüfenIn den Kontoeinstellungen „alle Geräte abmelden“. Im Mailkonto nachsehen, ob die Täter eine Weiterleitung oder Filterregel eingerichtet haben.
5. Stunde 1Gerät prüfenUpdates einspielen, vollständigen Scan starten, unbekannte Apps und Browser-Erweiterungen entfernen. Bei Fall C: im Zweifel Gerät zurücksetzen.
6. Stunde 2Beweise sichernScreenshots der Nachricht und der Seite, Mail als Datei speichern, Uhrzeiten notieren, Kontoumsätze exportieren.
7. HeuteAnzeige und MeldungOnlinewache des Bundeslandes, Nachricht an phishing@verbraucherzentrale.nrw, Anbieter informieren, dessen Name missbraucht wurde.
8. 24 Stunden und danachBeobachtenKontoumsätze, Anmelde-Benachrichtigungen, Handyrechnung, Post von unbekannten Firmen. Selbstauskunft bei Auskunfteien anfordern.

Schritt 1: Verbindung trennen

Der erste Schritt ist der einfachste und wird am häufigsten übersprungen: Nehmen Sie das Gerät vom Netz. Am Smartphone Flugmodus einschalten, am Rechner WLAN aus oder Netzwerkkabel ziehen. Falls sich beim Klick etwas installiert hat, kann es jetzt nichts mehr nachladen und nichts nach Hause senden. Schließen Sie die geöffnete Seite, ohne weitere Knöpfe zu drücken — auch nicht „Abbrechen“ oder „Später“, denn auf einer Betrugsseite kann jeder Knopf dasselbe auslösen. Rufen Sie keine Nummer zurück, die in der Nachricht stand.

Und dann: eine Minute durchatmen. Die Täter arbeiten mit Zeitdruck, weil Eile Fehler produziert. Dieselbe Eile schadet Ihnen auch jetzt. Alles Weitere erledigen Sie besser von einem zweiten, sauberen Gerät aus — dem Rechner statt dem Handy, auf dem Sie geklickt haben, oder umgekehrt.

Schritt 2: Passwörter ändern — welche zuerst

Wenn Sie Zugangsdaten eingegeben haben, besitzen die Täter sie jetzt. Die Reihenfolge, in der Sie Passwörter ändern, ist keine Geschmacksfrage: Ein Konto ist der Generalschlüssel zu allen anderen.

1. Das betroffene Konto. Der Dienst, um den es in der Nachricht ging — die Bank, der Shop, das Abo. Wenn Sie sich dort nicht mehr anmelden können, weil die Täter das Passwort schon geändert haben, nutzen Sie sofort „Passwort vergessen“ und rufen Sie parallel die Hotline an.
2. Ihr E-Mail-Konto. Auch wenn es in der Nachricht gar nicht darum ging: Wer Zugriff auf Ihr Postfach hat, kann bei jedem anderen Dienst „Passwort vergessen“ anklicken und den Link abfangen. Das BSI empfiehlt ausdrücklich, mit dem E-Mail-Konto zu beginnen, weil darüber „mitunter auch weitere Konten offen“ stehen.
3. Jeder Dienst mit demselben oder einem ähnlichen Passwort. Täter probieren erbeutete Zugangsdaten automatisiert bei hunderten anderen Diensten aus. Ein Passwort, das Sie mehrfach nutzen, ist deshalb mehrfach verloren. Warum das der Kern des Problems ist und wie ein Passwort-Manager ihn löst, erklärt der Artikel Passwort-Manager und Zwei-Faktor.

Wählen Sie dabei neue Passwörter, nicht Varianten der alten („Sommer2026!“ statt „Sommer2025!“ hilft nicht). Und tun Sie es von einem Gerät, auf dem Sie nicht geklickt haben — sonst könnte eine mitlaufende Schadsoftware das neue Passwort gleich mitschreiben.

Schritt 3: Bank und Karten sperren — 116 116

Haben Sie Kontodaten, Kartendaten, PIN oder eine TAN eingegeben, rufen Sie den Sperr-Notruf 116 116 an — aus dem deutschen Festnetz kostenlos, aus dem Mobilnetz eventuell mit Gebühren, aus dem Ausland unter +49 116 116, rund um die Uhr an jedem Tag. Dort lassen sich girocard, Kreditkarte, Online-Banking-Zugang, elektronischer Personalausweis und SIM-Karte sperren. Halten Sie IBAN oder Kontonummer und Bankleitzahl bereit; notieren Sie Datum und Uhrzeit der Sperrung. Informieren Sie anschließend Ihre Bank direkt über die Nummer auf der Karte und lassen Sie sich die letzten Umsätze durchgehen — eine noch nicht ausgeführte Überweisung kann die Bank unter Umständen stoppen.

Schritt 4: Zwei-Faktor prüfen, Sitzungen beenden, Weiterleitungen suchen

Ein neues Passwort allein wirft die Täter nicht hinaus, wenn sie bereits angemeldet sind. Deshalb gehören zu jedem Passwortwechsel drei Handgriffe in den Kontoeinstellungen:

• Alle Geräte abmelden. Fast jeder Dienst bietet unter „Sicherheit“ eine Liste aktiver Sitzungen mit einem Knopf „Überall abmelden“. Nutzen Sie ihn.
• Zwei-Faktor-Anmeldung einschalten oder prüfen. War sie aktiv, sehen Sie nach, ob die Täter ein eigenes Gerät oder eine eigene Telefonnummer hinzugefügt haben. War sie nicht aktiv, ist jetzt der Moment: Das BSI rät, Zwei-Faktor-Authentisierung anzuwenden, „sobald ein Online-Dienst dies ermöglicht“.
• Im E-Mail-Konto Weiterleitungen und Filter prüfen. Ein beliebter Trick: Die Täter richten eine stille Weiterleitung ein, damit Bestätigungsmails bei ihnen landen — und löschen sie im Posteingang. Sehen Sie unter „Regeln“, „Filter“ oder „Weiterleitung“ nach und entfernen Sie alles, was Sie nicht selbst angelegt haben.

Prüfen Sie außerdem die hinterlegten Wiederherstellungsdaten — Ersatz-Mailadresse und Telefonnummer — auf fremde Einträge.

Schritt 5: Gerät prüfen

Spielen Sie alle ausstehenden Updates für Betriebssystem, Browser und Apps ein und lassen Sie einen vollständigen Scan des Virenschutzes laufen — auf Windows genügt dafür der eingebaute Schutz, auf dem Smartphone prüfen Sie die Liste der installierten Apps auf Unbekanntes und entfernen es. Sehen Sie auch die Browser-Erweiterungen durch. Wenn Sie eine Datei aus der Nachricht geöffnet oder eine App außerhalb des Stores installiert haben (Fall C) und sich nicht sicher sind, dass der Scan alles gefunden hat, ist das Zurücksetzen auf Werkseinstellungen die verlässlichere Lösung — nach einer Sicherung Ihrer Fotos und Dokumente. Geräte, die keine Updates mehr bekommen, gehören nach so einem Vorfall nicht mehr ans Online-Banking.

Schritt 6: Beweise sichern

Für Anzeige, Bank und Versicherung brauchen Sie Belege. Sichern Sie, bevor Sie etwas löschen:

Schritt 7: Anzeige erstatten und die Nachricht melden

Anzeige bei der Polizei. Sie brauchen keine Wache aufzusuchen: Über das Portal der Onlinewachen erreichen Sie die Online-Anzeige aller 16 Bundesländer; Internetbetrug und der Missbrauch von Daten oder Kundenkonten gehören ausdrücklich zu den Delikten, die dort angezeigt werden können. Laden Sie Ihre gesicherten Screenshots gleich mit hoch. Die Anzeige brauchen Sie als Nachweis gegenüber Bank und Versicherung — und sie sorgt dafür, dass die Masche in der Statistik auftaucht: Nur rund 26 % der Betroffenen erstatten laut Bitkom Anzeige.

Meldung an das Phishing-Radar. Leiten Sie die Mail an phishing@verbraucherzentrale.nrw weiter. Die Verbraucherzentrale wertet die Meldungen aus und warnt öffentlich — 2024 gingen dort über 400.000 Nachrichten ein. Betrügerische SMS können Sie zusätzlich bei der Bundesnetzagentur als Rufnummernmissbrauch melden.

Der Anbieter, dessen Name missbraucht wurde. Viele Banken, Paketdienste und Shops haben eigene Meldeadressen für Phishing und lassen die gefälschten Seiten abschalten. Informieren Sie außerdem den Dienst, bei dem Ihr Konto betroffen ist — er kann verdächtige Aktivitäten gezielt prüfen.

Die Wochen danach: Identitätsmissbrauch beobachten

Mit erbeuteten Daten wird nicht immer sofort etwas angestellt. Zugangsdaten werden gesammelt, verkauft und Monate später genutzt; mit Ausweis- oder Adressdaten werden Verträge und Bestellungen auf fremden Namen abgeschlossen. Behalten Sie deshalb einige Wochen lang — bei eingegebenen Ausweisdaten mehrere Monate — folgende Punkte im Blick:

• Kontoumsätze und Kreditkartenabrechnung, auch auf kleine Testbuchungen von wenigen Cent.
• Anmelde-Benachrichtigungen Ihrer Dienste („Neue Anmeldung von unbekanntem Gerät“) — schalten Sie sie ein, wo es geht.
• Mobilfunkrechnung auf fremde Abos und Premiumdienste.
• Post und Mails von Firmen, mit denen Sie nichts zu tun haben — Auftragsbestätigungen, Mahnungen, Inkasso. Reagieren Sie schriftlich, widersprechen Sie und verweisen Sie auf Ihre Anzeige.
• Selbstauskunft bei Auskunfteien. Nach Art. 15 DSGVO erhalten Sie kostenlos eine Kopie der über Sie gespeicherten Daten — so entdecken Sie fremde Verträge auf Ihren Namen.
• Datenleck-Prüfung. Ob Ihre E-Mail-Adresse in bekannten Datenlecks auftaucht, zeigt der kostenlose Dienst Have I Been Pwned — mehr dazu im Artikel zu Passwort-Managern.

Und ein letzter Punkt, der oft vergessen wird: Nach einem Vorfall folgen häufig weitere Betrugsversuche — angebliche Ermittler, die „Ihr Geld zurückholen“, oder die Bank, die „zur Sicherheit“ erneut Daten braucht. Die Polizei warnt ausdrücklich vor diesen sogenannten Recovery Scams. Wer Sie anruft und Geld oder Daten will, ist nicht die Polizei und nicht Ihre Bank. Legen Sie auf und rufen Sie selbst zurück.

Häufige Fragen