Ich habe auf dem Handy auf einen Phishing-Link geklickt: Was tun?

Kurzantwort: Haben Sie die Seite nur geöffnet, schließen Sie sie und geben Sie nichts ein; das Risiko ist gering, aber nicht null. Haben Sie ein Passwort eingegeben, ändern Sie es von einem anderen Gerät und aktivieren Sie die Bestätigung in zwei Schritten. Bei Bankdaten rufen Sie sofort Ihre Bank an. Haben Sie etwas installiert oder ein Profil bestätigt, entfernen Sie es und prüfen Sie Ihre Konten.

Sie müssen nicht in Panik geraten und auch nicht alles auf einmal klären. Die meisten, die auf einen Betrugslink tippen, landen nur auf einer gefälschten Seite. Entscheidend ist, was nach dem Tippen passiert ist. Dieser Ratgeber ordnet Sie einer von fünf Situationen zu und zeigt die Schritte in der richtigen Reihenfolge, für iPhone und für Android.

Finden Sie Ihre Situation in 30 Sekunden

Was nach dem Tippen passiert ist	Dringlichkeit (unsere grobe Einschätzung)	Zuerst tun	Danach
Ich habe die Seite nur geöffnet und nichts eingegeben	Niedrig	Seite schließen, nicht antworten	Nachricht melden, auf weitere Nachrichten achten
Ich habe ein Passwort oder einen Code eingegeben	Hoch	Passwort von einem anderen Gerät aus ändern	Bestätigung in zwei Schritten aktivieren, Anmeldeaktivität prüfen
Ich habe Karten- oder Bankdaten eingegeben	Dringend	Bank oder Kartenherausgeber anrufen	Neue Karte anfordern, Kontoauszüge im Blick behalten
Ich habe eine Datei heruntergeladen oder eine App installiert	Hoch	Nicht öffnen; deinstallieren	Nach unbekannten Apps suchen, aktualisieren, Passwörter ändern
Ich habe eine Berechtigung, ein Profil oder eine Einstellung bestätigt	Hoch	Profil oder Berechtigung entfernen	Konten und Geräte prüfen

Die Spalte „Dringlichkeit“ ist unsere eigene grobe Einordnung, keine offizielle Bewertung. Wenn Sie zwischen zwei Zeilen schwanken, folgen Sie der dringlicheren. Gehen Sie die Schritte der Reihe nach durch und hören Sie auf, wenn Sie alles in Ihrer Zeile erledigt haben.

Zuerst, in jedem Fall

1. Schließen Sie die Seite. Schließen Sie den Tab oder die App, die sie geöffnet hat. Tippen Sie keine Schaltflächen, Pop-ups oder „Bestätigen“-Aufforderungen darauf an.
2. Antworten Sie nicht auf die Nachricht, auch nicht mit „STOP“. Das BSI rät, sich bei verdächtigen SMS nicht unter Druck setzen zu lassen und die Links darin im Zweifel nicht anzuklicken.
3. Behalten Sie die Nachricht vorerst. Notieren Sie die Nummer des Absenders, denn Sie brauchen sie für die Meldung. Löschen Sie die Nachricht, nachdem Sie sie gemeldet haben.
4. Lassen Sie Ihre Konten vorerst in Ruhe, bis Sie wissen, in welcher Situation Sie sind. Folgen Sie dann Ihrer Zeile in der Tabelle.

Wenn Sie die Seite nur geöffnet haben

In der Regel passiert durch das bloße Laden einer Seite nichts Schlimmes, aber verlassen Sie sich nicht darauf. Das BSI weist darauf hin, dass Phishing-Nachrichten oft auch Schadprogramme verbreiten, und der NCSC (die britische Cybersicherheitsbehörde) ergänzt, dass Browser viele bekannte Phishing-Seiten blockieren, auf Mobilgeräten aber nicht immer.

So gehen Sie vor:

1. Prüfen Sie Ihre Downloads sowie den Home-Bildschirm oder die App-Liste. Wurde etwas heruntergeladen oder installiert? Wenn ja, lesen Sie den Abschnitt zu heruntergeladenen oder installierten Dateien.
2. Prüfen Sie, ob Ihr Handy auf dem neuesten Stand ist. Beim iPhone: Einstellungen > Allgemein > Softwareupdate. Unter Android: Einstellungen > System > Softwareupdates; bei neueren Versionen finden Sie Sicherheitsupdates unter Einstellungen > Sicherheit & Datenschutz > System & Updates. Die Menünamen unterscheiden sich je nach Hersteller.
3. Melden Sie die SMS (siehe Abschnitt zum Melden) und löschen Sie sie.
4. Rechnen Sie mit weiteren Betrugsnachrichten. Wenn eine Sie zur Eile drängt, zur Zahlung auffordert oder etwas „bestätigen“ lassen will, steckt dieselbe Masche dahinter.

Unser Ratgeber So erkennen Sie verdächtige Links, bevor Sie klicken (auf Englisch) zeigt, wie Sie die echte Adresse eines Links lesen, und So stoppen Sie Spam-Anrufe auf dem iPhone (auf Englisch) behandelt die Anrufe, die oft auf eine Betrugs-SMS folgen.

Wenn Sie ein Passwort oder einen Code eingegeben haben

Betrachten Sie dieses Passwort als öffentlich. Je schneller Sie es ändern, desto weniger Zeit haben Betrüger, es zu nutzen.

1. Ändern Sie das Passwort auf der echten Website oder in der echten App. Tippen Sie die Adresse selbst ein oder nutzen Sie die offizielle App, nicht den Link aus der Nachricht. Wenn möglich, beginnen Sie auf einem anderen Gerät. Das ist unser Rat: Falls auf Ihrem Handy etwas installiert wurde, ist ein anderes Gerät sicherer.
2. Ändern Sie es überall, wo Sie es ebenfalls verwenden. Der NCSC empfiehlt, die Passwörter aller Konten zu ändern, die dasselbe Passwort nutzen. Wo der Dienst es anbietet, ist ein Passkey eine Alternative.
3. Aktivieren Sie die Bestätigung in zwei Schritten (auch Zwei-Faktor-Authentifizierung genannt). Dann reicht ein gestohlenes Passwort allein nicht aus, um ins Konto zu kommen.
4. Prüfen Sie die Anmeldeaktivität des Kontos mit den folgenden Schritten.
5. Geben Sie niemals einen Bestätigungscode weiter. Wenn eine Nachricht oder ein Anrufer den Code verlangt, den Sie gerade erhalten haben, ist das Betrug.

Apple Account auf dem iPhone

Apple empfiehlt: Wenn Sie Ihr Passwort möglicherweise auf einer Betrugswebsite eingegeben haben, ändern Sie sofort das Passwort Ihres Apple Accounts und stellen Sie sicher, dass die Zwei-Faktor-Authentifizierung aktiviert ist.

1. Öffnen Sie Einstellungen, tippen Sie auf Ihren Namen, dann auf Anmeldung & Sicherheit und auf Passwort ändern.
2. Wenn weitere Geräte angemeldet sind, tippen Sie auf „Remove Other Devices“ („Andere Geräte entfernen“), damit sich diese Geräte erneut anmelden müssen.
3. Tippen Sie in den Einstellungen wieder auf Ihren Namen und scrollen Sie nach unten zur Geräteliste. Tippen Sie auf ein Gerät, das Sie nicht kennen, und dann auf Vom Account entfernen.

Google-Konto unter Android

1. Öffnen Sie Ihr Google-Konto, tippen Sie auf Sicherheit & Anmeldung und wählen Sie im Bereich „Kürzlich aufgetretene Vorkommnisse“ die Option Vorkommnisse prüfen. Tippen Sie bei allem, was Sie nicht kennen, auf Nein, das war ich nicht.
2. Öffnen Sie Meine Geräte und dann Geräte verwalten. Wenn Sie ein Gerät nicht kennen, wählen Sie Sie kennen ein Gerät nicht? und folgen Sie der Anleitung.
3. Ändern Sie Ihr Passwort und aktivieren Sie die Bestätigung in zwei Schritten.
4. Wenn Sie sich nicht mehr anmelden können, nutzen Sie die Google-Seite zur Kontowiederherstellung.

Bei anderen Konten, etwa E-Mail, sozialen Netzwerken oder Online-Shops, suchen Sie in den Kontoeinstellungen nach „Sicherheit“, „Anmeldeaktivität“ oder „Geräte“.

Wenn Sie Karten- oder Bankdaten eingegeben haben

1. Rufen Sie sofort Ihre Bank oder den Kartenherausgeber an. Nutzen Sie die Nummer auf der Rückseite Ihrer Karte oder in der offiziellen Banking-App, niemals eine Nummer aus der Nachricht. Lassen Sie die Karte und alle Zahlungen sperren, die Sie nicht selbst veranlasst haben. Haben Sie PIN oder TAN eingegeben, sagen Sie das der Bank ausdrücklich.
2. Wenn Sie Ihre Bank nicht erreichen: Der Sperr-Notruf 116 116 kann girocard, Kreditkarte (wenn der Herausgeber teilnimmt), Online-Banking und SIM-Karte sperren. Halten Sie Ihre IBAN (oder Kontonummer und Bankleitzahl) bereit. Der Anruf ist rund um die Uhr erreichbar und aus dem deutschen Festnetz kostenlos; aus dem Mobilfunknetz können Gebühren anfallen. Ob Ihr Institut für Online-Banking teilnimmt, sehen Sie im Anbieterverzeichnis auf sperr-notruf.de.
3. Fordern Sie eine Ersatzkarte an und prüfen Sie Ihre letzten Umsätze Zeile für Zeile auf Buchungen, die Sie nicht kennen.
4. Ändern Sie Ihr Online-Banking-Passwort von einem anderen Gerät aus und aktivieren Sie jede zusätzliche Anmeldeabsicherung, die Ihre Bank anbietet.
5. Wenn Sie Geld verloren haben, informieren Sie Ihre Bank und erstatten Sie Anzeige bei der Polizei. Die Einzelheiten finden Sie im Abschnitt zum Melden.

Wenn Sie etwas heruntergeladen oder installiert haben

Hier kann das Handy selbst betroffen sein. Gehen Sie deshalb langsam und der Reihe nach vor.

1. Öffnen Sie die Datei oder App nicht. Ist sie schon geöffnet, schließen Sie sie.
2. Trennen Sie die Verbindung, wenn Sie die App nicht sofort entfernen können. Wenn Sie WLAN und mobile Daten ausschalten, kann eine App währenddessen mit niemandem kommunizieren. Das ist ein naheliegender Schritt und keine Vorgabe der unten genannten Quellen.
3. Entfernen Sie sie mit den Schritten für Ihr Handy.
4. Aktualisieren Sie Ihr Handy und ändern Sie dann Ihre Passwörter von einem anderen Gerät aus. Beginnen Sie mit E-Mail und Bank.
5. Prüfen Sie Ihre Konten mit den Schritten aus dem Passwort-Abschnitt.

iPhone

Apple rät, Software nur aus dem App Store oder direkt vom Entwickler zu installieren, und warnt vor Apps, die Konfigurationsprofile installieren wollen, mit denen sich Ihr Gerät anschließend steuern lässt.

1. Streichen Sie nach links über Ihre letzte Home-Bildschirmseite hinaus, um die App-Mediathek zu öffnen, und tippen Sie in das Suchfeld. Sie sehen eine alphabetische Liste aller Apps.
2. Berühren und halten Sie eine App, die Sie nicht kennen, und tippen Sie auf App löschen.
3. Starten Sie das Handy neu.

Android

Googles Anleitung zum Entfernen unsicherer Software beginnt mit Google Play Protect.

1. Öffnen Sie den Play Store, tippen Sie auf das Profilsymbol, dann auf Play Protect und Einstellungen, und prüfen Sie, ob Apps mit Play Protect scannen aktiviert ist. Wenn Sie Apps von außerhalb des Play Store installiert haben, empfiehlt Google, Erkennung schädlicher Apps verbessern zu aktivieren. Starten Sie dann einen Scan.
2. Öffnen Sie Einstellungen > Apps (bei manchen Geräten Apps & Benachrichtigungen), tippen Sie auf Alle Apps ansehen und öffnen Sie jede App, die Sie nicht kennen, nicht aus dem Play Store haben oder der Sie nicht trauen. Tippen Sie auf Deinstallieren.
3. Wenn die Anzeichen unsicherer Software bleiben, kann laut Google ein Zurücksetzen des Geräts auf die Werkseinstellungen helfen, oder Sie bitten den Gerätehersteller um Hilfe. Sichern Sie vorher, was Sie brauchen.

Wurde eine Datei heruntergeladen, aber nie geöffnet, löschen Sie sie aus dem Ordner Downloads. Unter Android schalten Sie außerdem die Berechtigung „Unbekannte Apps installieren“ für die App aus, die Sie benutzt haben, wie im nächsten Abschnitt beschrieben.

Wenn Sie eine Berechtigung, ein Profil oder eine Einstellung bestätigt haben

Manche Betrugsseiten wollen gar kein Passwort. Sie bitten Sie, etwas zu bestätigen: ein Konfigurationsprofil auf dem iPhone, eine App, die weitere Apps installieren will, oder eine App, die Ihr Handy verwalten will.

iPhone: unbekannte Konfigurationsprofile suchen

Apple empfiehlt, Einstellungen > Allgemein > VPN und Geräteverwaltung zu prüfen. Werden dort keine Profile angezeigt, sind keine Geräteverwaltungsprofile installiert. Sehen Sie ein Profil, das Sie nicht selbst eingerichtet haben und das nicht von Ihrer Schule oder Ihrem Arbeitgeber stammt:

1. Tippen Sie auf das Profil, dann auf Profil löschen und folgen Sie den Anweisungen auf dem Bildschirm.
2. Starten Sie das iPhone neu.

Beim Löschen eines Profils werden auch die damit verknüpften Einstellungen, Apps und Daten gelöscht. Gehört das Gerät Ihrer Schule oder Ihrem Unternehmen, fragen Sie vorher Ihre Administratorin oder Ihren Administrator.

Android: unbekannte Apps und Apps zur Geräteverwaltung

1. Öffnen Sie Einstellungen > Apps > Spezieller App-Zugriff > Installieren unbekannter Apps. Tippen Sie auf jede App, die als erlaubt aufgeführt ist, etwa Ihren Browser oder einen Dateimanager, und schalten Sie Dieser Quelle vertrauen aus. (Diesen Pfad nennt die Google-Hilfe für Pixel; bei anderen Handys heißen die Menüs anders.)
2. Öffnen Sie Einstellungen > Sicherheit und suchen Sie unter den erweiterten Sicherheitseinstellungen nach Apps zur Geräteverwaltung. Google beschreibt das als den Ort, an dem Sie Apps aufrufen und entfernen können, mit denen sich Ihr Smartphone verwalten lässt. Entfernen Sie alle, die Sie nicht kennen.
3. Öffnen Sie Einstellungen > Apps, tippen Sie auf eine App, bei der Sie unsicher sind, und dann auf Berechtigungen, um zu sehen, was sie nutzen darf; stellen Sie alles, was sie nicht braucht, auf Ablehnen. Kennen Sie die App nicht, deinstallieren Sie sie stattdessen.
4. Prüfen Sie die Aktivität Ihres Google-Kontos wie oben beschrieben.

Phishing-Nachrichten melden

Melden ist kostenlos, dauert wenige Minuten und hilft, dass andere nicht auf dieselbe Masche hereinfallen.

Direkt auf dem Handy

• iPhone: Streichen Sie in der App „Nachrichten“ auf der Nachricht nach links, tippen Sie auf das Symbol und dann auf Spam löschen und melden. Haben Sie die Nachricht schon geöffnet, tippen Sie unten auf Spam melden und dann auf Spam löschen und melden. Laut Apple lässt sich eine Nachricht nicht mehr melden, wenn Sie darauf geantwortet haben, und je nach Anbieter und Land kann die Meldung an Ihren Mobilfunkanbieter weitergegeben werden.
• Android (Google Messages): Halten Sie die Unterhaltung gedrückt und tippen Sie auf Spam melden, oder öffnen Sie die Unterhaltung und wählen Sie Blockieren und als Spam melden.
• Gab sich die Nachricht als Apple aus? Dann bittet Apple um einen Screenshot per E-Mail an reportphishing@apple.com.

In Deutschland

• Bundesnetzagentur: Für unerwünschte oder betrügerische SMS und Messenger-Nachrichten gibt es ein Beschwerdeformular („Nicht verlangte SMS oder Nachricht über Messenger“) unter bundesnetzagentur.de. Das BSI nennt die Bundesnetzagentur für Beschwerden über Spam- oder Phishing-Nachrichten per SMS oder Messenger.
• Verbraucherzentrale, Phishing-Radar: Verdächtige E-Mails leiten Sie an phishing@verbraucherzentrale.nrw weiter. Die Verbraucherzentrale NRW wertet sie aus und warnt vor aktuellen Maschen; einzelne Antworten sind wegen der vielen Zusendungen nicht möglich. Für SMS ist diese Adresse nicht gedacht.
• Polizei: Wenn Sie Geld verloren haben oder Ihre Daten missbraucht wurden, erstatten Sie Strafanzeige bei der Onlinewache Ihres Bundeslandes oder bei der örtlichen Polizeidienststelle. Über polizei.de finden Sie die Seiten der Polizeien der Länder.
• BSI: Das Service-Center des BSI beantwortet Fragen rund um die IT-Sicherheit: 0800 274 1000 oder service-center@bsi.bund.de.
• Sperr-Notruf 116 116: nur, wenn Sie Karten, Online-Banking oder SIM-Karte sperren lassen müssen (siehe Abschnitt zu Karten- und Bankdaten). Er ist keine Meldestelle für Phishing.

Wenn Sie in Großbritannien oder den USA sind: Dort können Sie die SMS an die 7726 weiterleiten (auf der Tastatur die Buchstaben von SPAM); in Großbritannien außerdem einen Screenshot an report@phishing.gov.uk (NCSC) senden, in den USA ist die offizielle Seite reportfraud.ftc.gov. Dieser Hinweis stammt aus der englischen Originalfassung und gilt nicht für Deutschland.

Wann Sie weitere Hilfe holen sollten

Wenden Sie sich an den Hersteller Ihres Handys, Ihren Mobilfunkanbieter oder eine Vertrauensperson, wenn nach Ihrer Zeile weiterhin Pop-ups auftauchen, die Sie nicht loswerden, Apps, die Sie nicht installiert haben, oder Nachrichten, die Sie nicht gesendet haben. Ist die Nachricht auf einem Diensthandy eingegangen, informieren Sie Ihre IT-Abteilung; der NCSC rät dasselbe.

Geprüfte Quellen

Wir haben diese offiziellen Seiten am 28. Oktober 2026 gelesen. Menünamen ändern sich zwischen den Versionen. Sieht Ihr Handy anders aus, suchen Sie in den Einstellungen nach dem Namen der Einstellung.

• Apple Support (DE), Passwort für Apple Account ändern, veröffentlicht am 29. September 2026.
• Apple Support (DE), Geräte überprüfen, die bei deinem Apple Account angemeldet sind, veröffentlicht am 21. September 2026.
• Apple Support (DE), Social-Engineering-Schemata wie Phishing-Nachrichten, gefälschte Support-Anrufe und andere Betrugsversuche erkennen und vermeiden, veröffentlicht am 22. Juni 2026.
• Apple Support (DE), iPhone oder iPad aktualisieren, veröffentlicht am 23. September 2026.
• Apple Support (DE), Konfigurationsprofile überprüfen und löschen und Apps überprüfen und löschen.
• Apple Support (DE), Spam melden und Absender:innen blockieren in der App „Nachrichten“.
• Google-Konto-Hilfe, Malware oder unsichere Software entfernen (Android-Version) und Gehacktes oder manipuliertes Google-Konto schützen.
• Pixel-Hilfe, Sicherheits- und Datenschutzeinstellungen auf Pixel verwalten und Apps auf Ihr Pixel herunterladen; Android-Hilfe, App-Berechtigungen auf einem Android-Smartphone ändern; Google-Messages-Hilfe, Spam in Google Messages melden.
• BSI, Passwortdiebstahl durch Phishing.
• Bundesnetzagentur, Beschwerde einreichen; Verbraucherzentrale, Phishing-Radar: Aktuelle Warnungen; Polizei, polizei.de; Sperr-Notruf, sperr-notruf.de, FAQ und Anbieterverzeichnis.
• NCSC (Vereinigtes Königreich), Phishing scams: report a scam text message, If you’ve shared sensitive information und Phishing attacks: defending your organisation, überprüft am 13. Februar 2024; FTC (USA), ReportFraud.ftc.gov.

Links früher prüfen

Hinweis: BlueHammer Security ist unser eigenes Produkt. Es kann QR-Codes und Links scannen, eine Möglichkeit, einen Link vor dem Öffnen zu prüfen, auch wenn es nach einem Tippen nichts rückgängig machen kann. Mehr erfahren Sie auf der BlueHammer-Security-Seite (auf Englisch).