Phishing-Mail-Anhang geöffnet: Was tun?

• Stufe 1 – nur heruntergeladen: Die Datei liegt im Download-Ordner, wurde aber nicht geöffnet. Öffne sie nicht nachträglich, notiere Namen und Herkunft und prüfe den behaupteten Vorgang unabhängig.
• Stufe 2 – PDF oder Bild geöffnet: Schließe die Anzeige. Solche Formate sind nicht automatisch harmlos; Betriebssystem, Browser und Anzeigeprogramm sollten aktuell sein. Ohne weitere Auffälligkeit sind drastische Maßnahmen aber nicht automatisch nötig.
• Stufe 3 – Office-Datei in geschützter Ansicht: Schließe die Datei und aktiviere weder Bearbeitung noch Inhalte. Die geschützte Ansicht reduziert laut Microsoft Risiken, ist aber keine Sicherheitsgarantie.
• Stufe 4 – Bearbeitung, Makros oder aktive Inhalte erlaubt: Beende die Anwendung, trenne das Gerät vorsichtshalber vom Netzwerk und nutze es nicht für Logins oder Zahlungen, bis eine fachkundige Prüfung erfolgt ist.
• Stufe 5 – Archiv entpackt oder ausführbare Datei gestartet: Archiv nur entpackt? Keine enthaltene Datei ausführen. Ausführbare Datei gestartet? Gerät als möglicherweise betroffen behandeln, Netzwerkverbindung trennen und qualifizierte technische Hilfe holen.
• Stufe 6 – Login-, Karten- oder Bankdaten eingegeben: Ändere Zugangsdaten von einem anderen vertrauenswürdigen Gerät, beende Sitzungen und kontaktiere bei Zahlungsdaten unverzüglich Bank oder Zahlungsdienst.
• Stufe 7 – ungewöhnliches Geräteverhalten: Unerklärliche Prozesse, Sperrbildschirme, neue Programme, Sicherheitswarnungen oder fremde Anmeldungen erhöhen die Dringlichkeit. Gerät isolieren, Belege sichern und professionelle Incident-Hilfe nutzen.

Das BSI nennt ausführbare Formate und Skripte wie EXE, BAT, COM oder VBS sowie Archive wie ZIP als besonders kritisch und warnt vor der Aufforderung, Makros zu aktivieren. Eine Office-Datei, die lediglich in Microsofts geschützter Ansicht erschien, ist deshalb anders zu behandeln als dieselbe Datei nach „Bearbeitung aktivieren“. Auch bei PDF und Bild gibt es keine pauschale Garantie; aktuelle Software und das Fehlen weiterer Handlungen senken lediglich das typische Risiko.

Manche Anhänge zeigen nach dem Öffnen nur einen Link, ein QR-Bild oder ein falsches Loginformular. Dann besteht neben dem Dateirisiko ein Phishing-Pfad. Hast du dort Daten eingegeben, gilt die Kontosicherungsstufe unabhängig davon, ob auf dem Gerät Schadsoftware nachgewiesen wurde.

Microsoft: Geschützte Ansicht verstehen

• Schreibe zuerst auf, was wirklich geschah: Download, Öffnen, Entpacken, Makrofreigabe, Programmstart, Dateneingabe oder Zahlung. Vermutungen helfen weniger als eine saubere Zeitleiste.
• Schließe Datei und zugehörige Fenster. Bei Makrofreigabe, Programmstart oder Geräteauffälligkeiten trennst du WLAN und Kabelverbindung, ohne Belege vorschnell zu löschen.
• Prüfe den behaupteten Anlass über einen selbst geöffneten offiziellen Kanal. Antworte nicht auf die Mail und nutze weder Link noch Rufnummer aus ihr.
• Ändere betroffene Zugangsdaten von einem anderen, vertrauenswürdigen und aktuellen Gerät. Beende aktive Sitzungen und aktiviere, wo möglich, einen zweiten Faktor.
• Bei Karten-, Bank- oder TAN-Daten kontaktierst du Bank oder Zahlungsdienst sofort über die offizielle App oder selbst recherchierte Kontaktdaten und beobachtest Kontobewegungen.
• Hole bei hoher Risikostufe fachkundige Hilfe. Teile der Fachperson Dateiname, Zeitachse und beobachtete Symptome mit, aber verteile den verdächtigen Anhang nicht unnötig weiter.

• Den Anhang erneut öffnen, um zu prüfen, ob wirklich etwas passiert
• Die Datei bei KaufWächter, in einem beliebigen Chat oder bei einem unbekannten Online-Scanner hochladen
• Auf dem möglicherweise betroffenen Gerät weitere Bankgeschäfte, Passwortwechsel oder vertrauliche Kommunikation durchführen
• Warnmeldungen wegklicken, Makros nachträglich aktivieren oder Sicherheitssoftware deaktivieren
• Ein grünes Scanergebnis als Beweis verstehen, dass Gerät und Konten vollständig sicher sind
• Das Gerät sofort zurücksetzen, bevor Zeitleiste, wichtige Belege, Kontosicherung und fachkundige Vorgehensweise geklärt sind

• vollständige Mail mit Kopfzeilen, sichtbarer Absender- und Antwortadresse sowie Datum und Uhrzeit
• Dateiname und Endung, ungefähre Dateigröße und Downloadzeit – ohne den Anhang erneut auszuführen
• genaue Bedienhandlungen: geöffnet, Bearbeitung aktiviert, Makro erlaubt, Archiv entpackt oder Programm gestartet
• Screenshots von Warnungen und ungewöhnlichem Verhalten sowie Zeitpunkte fremder Kontoaktivitäten
• eingegebene Datenarten und betroffene Dienste, aber keine Passwörter, TANs oder vollständigen Kartennummern in ungesicherte Meldungen

• Schadprogramme – Risiken und Schutzmaßnahmen

  Bundesamt für Sicherheit in der Informationstechnik

  Ordnet ausführbare Dateien, Archive und Makro-Aufforderungen als besondere Risiken ein.

• Was ist die geschützte Ansicht?

  Microsoft Support

  Beschreibt die eingeschränkte Office-Ansicht und die Folgen von „Bearbeitung aktivieren“.

• Phishing-Mails erkennen und richtig reagieren

  Verbraucherzentrale

  Hinweise zu kompromittierten Zugangsdaten, Zahlungsdaten und möglicher Schadsoftware.

• Erste Hilfe bei einem schweren IT-Sicherheitsvorfall

  Bundesamt für Sicherheit in der Informationstechnik

  Für hohe Verdachtslagen: Systeme isolieren und kompromittierte Zugänge absichern.

Ich habe einen Phishing-Anhang nur heruntergeladen – ist das gefährlich?

Ein Download ohne Öffnen ist eine niedrigere Risikostufe als das Ausführen. Öffne die Datei nicht nachträglich, dokumentiere Herkunft und Dateiname und lösche nichts überstürzt, wenn eine Fachprüfung nötig sein könnte. Eine allgemeine Null-Risiko-Garantie ist daraus nicht möglich.

Was tun, wenn ich ein PDF oder Bild geöffnet habe?

Schließe die Datei, öffne sie nicht erneut und prüfe, ob du danach einen Link, ein Formular oder eine Berechtigung benutzt hast. Halte System und Anzeigeprogramm aktuell. Ohne weitere Handlung ist die Lage meist anders als nach Makro- oder Programmstart, aber nicht pauschal beweisbar sicher.

Ist eine Office-Datei in geschützter Ansicht sicher?

Die geschützte Ansicht soll Risiken reduzieren, garantiert aber keine vollständige Sicherheit. Schließe ein unerwartetes Dokument und aktiviere weder Bearbeitung noch Inhalte. Hast du die Schutzansicht verlassen oder Makros erlaubt, folge der höheren Stufe.

Ich habe Makros aktiviert oder eine EXE gestartet – was jetzt?

Beende die Anwendung, trenne das Gerät vom Netzwerk und verwende es nicht weiter für sensible Tätigkeiten. Dokumentiere die Zeit und hole qualifizierte technische Hilfe. Sichere betroffene Konten von einem anderen vertrauenswürdigen Gerät.

Reicht ein Virenscan zur Entwarnung?

Nein. Ein Scan kann helfen, beweist aber nicht, dass Gerät, Konten und Daten vollständig unbeeinträchtigt sind. Die Prüfung muss zu Dateityp, ausgeführten Handlungen und Symptomen passen.

Soll ich den verdächtigen Anhang bei KaufWächter hochladen?

Nein. Lade keinen verdächtigen Anhang hoch. Verwende ausschließlich den Mailtext oder einen geschwärzten Screenshot und beschreibe, was du geöffnet oder bestätigt hast. Für Datei- oder Geräteanalyse brauchst du eine geeignete fachkundige Stelle.

Was tun, wenn ich nach dem Öffnen Login- oder Bankdaten eingegeben habe?

Ändere betroffene Passwörter von einem anderen vertrauenswürdigen Gerät, beende aktive Sitzungen und prüfe wiederverwendete Passwörter. Bei Bank-, Karten- oder TAN-Daten kontaktierst du Bank oder Zahlungsdienst sofort über einen eigenständig geöffneten offiziellen Kanal.