Die Mail ist nur ein Kanal. Es gibt vier weitere — und bei allen hilft derselbe Handgriff: Sie antworten nie auf dem Weg, auf dem die Bitte gekommen ist.
Das Telefon. Jemand ruft an, nennt einen Namen aus Ihrem Haus, klingt freundlich und kompetent und braucht nur eine kleine Auskunft. Am Telefon wirkt das stärker als in einer Mail, weil ein Mensch direkt anspricht und wartet — eine Mail kann man liegen lassen, ein Schweigen im Telefon ist unangenehm. Das Gegenmittel ist höflich: „Ich rufe zurück." Und zwar über die Nummer, die Sie selbst kennen oder selbst gesucht haben — nicht die, die der Anrufer genannt hat.
Die Kurznachricht. Ein Paket, das nicht zugestellt werden konnte; eine Sendung, die Zoll kostet; ein Konto, das bestätigt werden muss. Die Falle ist hier die Kleinheit: Auf einem Telefon sieht man die Adresse hinter dem Link schlechter, der Platz ist knapp, und man liest sie meistens unterwegs.
Der QR-Code. Ein Muster auf Papier, das man nicht lesen kann — auf einem Aushang, einem Aufkleber über einem echten Code, einem Brief, der amtlich aussieht. Das Telefon zeigt vor dem Öffnen die Adresse an: lesen wie einen Link. Und bei Codes, die über etwas anderes geklebt sind: gar nicht.
Nachrichtendienste und Netzwerke. Hier kommt die Nachricht von einem Bekannten — weil dessen Zugang übernommen wurde. Der Absender ist echt, die Nachricht nicht. Dagegen hilft nur der zweite Kanal: Bittet ein Bekannter schriftlich um Geld oder einen Zugang, rufen Sie ihn an. In dem Moment bricht der ganze Angriff zusammen.
Führt ein Angriff über einen dieser Kanäle zum unbefugten Zugang, ist das eine Verletzung des Schutzes personenbezogener Daten nach Art. 4 Nr. 12 und löst die Meldepflicht des Verantwortlichen nach Art. 33 aus. Rahmen für Art. 32 und 33: Art. 83 Abs. 4 lit. a DSGVO, bis zu 10 Millionen Euro oder 2 Prozent.
Im Video: Dieser Lernblock dauert 2:04 und ist Teil des Kurses Phishing und Social Engineering erkennen. Das erste Kapitel können Sie kostenlos ansehen.
Stand: 26.10.2026