Fünf Prüfstufen vor dem Öffnen eines Chat-Links
Auch ein Link in einer vertraut wirkenden Unterhaltung kann zu einer nachgeahmten Anmeldung, einem unerwarteten Download oder einer irreführenden Weiterleitung führen. Entscheiden Sie deshalb nicht allein nach Tonfall und Profilbild. Nutzen Sie eine Vertrauensleiter mit fünf Stufen: Nachrichtenkontext, sichtbares Ziel, unabhängig erreichter offizieller Einstieg, verlangte Handlung und Authentifizierungsgrenze. Auf jeder Stufe sind vier Ergebnisse möglich: fortfahren, auf einem anderen Weg prüfen, melden oder abbrechen. Kopieren Sie Passwörter, Einmalcodes, Wiederherstellungslinks, private Einladungen oder Gesprächsinhalte weder in einen öffentlichen URL-Scanner noch in eine unaufgefordert genannte Supportadresse. Ein Link kann selbst ein gültiges Zugriffstoken enthalten.
Stufe eins: Einen unerwarteten Aufgabenwechsel erkennen
Behandeln Sie eine plötzliche Aufforderung zur Anmeldung, Zahlungsänderung, Gewinnabholung, Dateiinstallation, QR-Code-Nutzung oder zum Plattformwechsel als neue Aufgabe. Das gilt auch in einem seit Langem bestehenden Chat. Die CISA-Hinweise zu Phishing nennen unerwartete Bitten, Zeitdruck sowie verdächtige Links und Anhänge als Merkmale, bei denen man innehalten und über einen vertrauenswürdigen Weg melden sollte. Prüfen Sie, ob Absender, Zeitpunkt und Anliegen zur bisherigen Unterhaltung passen. Ein vertrauter Anzeigename und ein bekanntes Bild bestätigen jedoch nicht, wer diese konkrete Nachricht verfasst hat; auch ein Konto einer bekannten Person kann ohne deren Absicht senden. Falls eine Rückfrage sinnvoll ist, verwenden Sie eine bereits gespeicherte Telefonnummer, einen bekannten zweiten Kanal oder einen selbst gefundenen offiziellen Kontakt. Nutzen Sie nicht die neuen Kontaktdaten aus derselben Nachricht, die Sie gerade prüfen.
Stufen zwei und drei: Linkziel lesen und den offiziellen Weg selbst nehmen
Lesen Sie den vollständigen Hostnamen über die Linkdetails der App, eine unterstützte Langdruck-Vorschau oder die Zielanzeige am Desktop, ohne die Seite zu laden. Achten Sie getrennt auf ausgetauschte Zeichen, lange Subdomains mit einem bekannten Markennamen, Kurzlinks, IP-Adressen, ungewöhnliche Ports, kodierte Weiterleitungsparameter und Unterschiede zwischen Linktext und tatsächlichem Ziel. HTTPS und ein Schlosssymbol beschreiben die geschützte Verbindung zu dieser Website. Sie belegen nicht, dass der Betreiber wirklich die genannte Organisation ist. Behauptet die Nachricht, von einem bekannten Dienst zu stammen, bearbeiten oder erraten Sie die verdächtige Adresse nicht. Schließen Sie den Link und öffnen Sie stattdessen die installierte offizielle App, ein vorhandenes Lesezeichen oder eine unabhängig ermittelte offizielle Startseite. Prüfen Sie dort, ob dieselbe Mitteilung oder Aufgabe vorhanden ist. Ein privater Einladungs- oder Wiederherstellungslink gehört nicht in einen öffentlichen Prüfdienst, weil sein Token Zugriff vermitteln kann.
Stufen vier und fünf: Handlung benennen und Anmeldung abgrenzen
Eine öffentliche Informationsseite ist etwas anderes als eine Seite, die Anmeldung, Einmalcode, Kontowiederherstellung, Zahlung, Download, Browserberechtigung, Profilinstallation oder eine App außerhalb des offiziellen Stores verlangt. Formulieren Sie vor dem Fortfahren in einem Satz, welche Handlung erwartet wird. Dadurch wird aus einem vagen Eindruck eine prüfbare Entscheidung. Beginnen Sie jede Authentifizierung am bekannten Einstieg des Dienstes und nicht am Link im Chat. NIST beschreibt Phishing-Resistenz als technische Bindung der Authentifizierung an einen legitimen Prüfer oder geschützten Kanal, statt nur darauf zu vertrauen, dass Menschen eine Fälschung erkennen. Gewöhnliche Passwörter und manuell übertragene Einmalausgaben besitzen diese Eigenschaft nicht. Selbst wenn Ihr Konto eine phishing-resistente Methode anbietet, dürfen Sie eine Anmeldung, die Sie nicht selbst begonnen haben, nicht genehmigen. Brechen Sie sie ab und starten Sie über die offizielle App oder Ihr Lesezeichen neu.
Produktkontrollen sollten Ziele erklären, nicht Druck erzeugen
Eine Begleit-App kann den wirksamen Hostnamen direkt neben dem Link anzeigen, Weiterleitungen kennzeichnen, externe Seiten nicht automatisch öffnen und Vorschauen begrenzen, die private URLs serverseitig abrufen würden. Sie kann Downloads deutlich von normaler Navigation unterscheiden und einen Meldeweg anbieten, der nur notwendige technische Daten erfasst. Vor dem Absenden sollte sichtbar sein, ob Zeitstempel, angezeigter Absender, Hostname, Geräteangaben oder Gesprächstext übertragen werden; wo möglich, bleibt privater Text ausgeschlossen. Die App muss nicht jeden externen Link als gefährlich bezeichnen und sollte keine Countdown-Warnung verwenden, die eine schnelle Reaktion provoziert. Für eigene Weiterleitungsfunktionen empfiehlt OWASP, sichere Ziele fest zuzuordnen oder Ziele streng zu validieren, anstatt beliebige URL-Parameter zu akzeptieren. Solche Kontrollen verringern Unklarheit, stellen aber kein Vertrauenszertifikat für ein unbekanntes Ziel aus.
Begrenzt melden und mit harmlosen Beispielen negativ testen
Wenn Sie den Link nicht geöffnet haben, nutzen Sie die aktuelle Meldefunktion der App oder den Kontakt des nachgeahmten Dienstes, den Sie unabhängig über dessen offizielle Seite erreicht haben. Halten Sie höchstens Zeitpunkt, angezeigten Absender, sichtbaren Hostnamen und Vorgangsnummer fest, ohne private Passagen zu vervielfältigen. Haben Sie die Seite geöffnet, aber nichts eingegeben, schließen Sie sie, brechen Sie Downloads ab und prüfen Sie Download- sowie Berechtigungsstatus des Browsers. Haben Sie Anmeldedaten übermittelt oder eine unerwartete Bestätigung genehmigt, öffnen Sie den echten Dienst über einen bekannten Weg und folgen Sie dessen aktuellem Kontosicherheitsprozess, einschließlich der dort vorgesehenen Sitzungs- und Zugangsdatenprüfung. Für einen Produkttest verwenden Sie nur eine öffentliche offizielle Seite ohne Token und, sofern Sie dazu berechtigt sind, eine harmlose eigene Weiterleitung. Erstellen Sie keine ähnlich aussehende Domain, verschicken Sie keine täuschenden Testnachrichten und rufen Sie keine reale Schad-URL auf. Ergänzen Sie einen Negativtest: Brechen Sie den Dialog für externe Navigation ab und kontrollieren Sie, dass weder neuer Tab noch Download oder Anmeldefenster zurückbleibt. Notieren Sie App-Version, Gerät, Linkklasse, erwartete Anzeige und beobachtetes Ergebnis.
Häufige Fragen
Beweist HTTPS, dass ein Link echt ist?
Nein. HTTPS schützt die Verbindung zur Website, bestätigt aber nicht, dass deren Betreiber die behauptete Organisation ist.
Soll ich einen verdächtigen Link in einen Online-Scanner kopieren?
Nicht, wenn er eine private Einladung, ein Kontotoken oder eine Gesprächskennung enthalten könnte. Nutzen Sie Meldefunktion und unabhängigen offiziellen Einstieg.
Was tun, wenn die Zielseite eine Anmeldung verlangt?
Brechen Sie ab und öffnen Sie den Dienst über die installierte offizielle App, ein gespeichertes Lesezeichen oder eine unabhängig geprüfte offizielle Seite.