Sicherheit
Phishing-Schutz mit Passwortmanagern
Phishing ist nach wie vor einer der erfolgreichsten Angriffsvektoren. Passwortmanager sind dagegen ein erstaunlich wirksames Werkzeug, gerade weil sie an einer simplen Regel festhalten: die Domain muss exakt stimmen.
Was Phishing in der Praxis ist
Beim Phishing imitieren Angreifer bekannte Login-Seiten, um Zugangsdaten abzugreifen. Klassisch per E-Mail mit Link, zunehmend auch per SMS, Messenger oder gefälschte Suchanzeigen.
Ziel ist es, dass das Opfer das echte Passwort auf einer gefälschten Seite eingibt - im Idealfall sogar zusammen mit dem aktuellen 2FA-Code.
Warum Passwortmanager hier so wirksam sind
Ein Passwortmanager schlägt Logins nur dann zum Ausfüllen vor, wenn die aufgerufene Domain mit dem gespeicherten Eintrag übereinstimmt. Auf einer gefälschten Seite passiert schlicht nichts - das ist ein sehr klares Warnsignal.
Damit ersetzt der Manager das fehleranfällige menschliche Erkennen ungewöhnlicher URLs durch eine harte technische Prüfung.
Typische Risiken
- Manuelles Eintippen oder Copy-Paste von Passwörtern auf der gefälschten Seite
- Sehr ähnliche Domains (z. B. mit Sonderzeichen oder anderen Top-Level-Domains)
- Phishing-Frames innerhalb echter Seiten
- Klassische SMS- oder Telefon-Tricks, die Nutzer zur manuellen Eingabe drängen
Praktische Empfehlungen
- Auto-Fill verwenden und stutzig werden, wenn der Manager nichts vorschlägt
- Für wichtige Konten (E-Mail, Banking, Cloud) wo möglich Passkeys oder Hardware-Keys einsetzen
- Login nur über eigene Lesezeichen oder die offizielle App, nicht über Links aus E-Mails
- Verdächtige E-Mails melden und keine 2FA-Codes telefonisch oder per Chat weitergeben
Häufige Missverständnisse
- "Ich erkenne Phishing schon" - moderne Phishing-Seiten sind oft kaum vom Original zu unterscheiden
- "2FA schützt vor Phishing" - klassische TOTP-Codes können ebenfalls in Echtzeit weitergeleitet werden
- "Wenn das Passwort eingetragen wird, ist die Seite echt" - der Manager füllt nur bei exakter Domain aus, alles andere sollte stutzig machen
Kurzfazit
Ein Passwortmanager senkt das Phishing-Risiko deutlich. Vollständig phishing-resistent werden Logins erst mit Passkeys oder Hardware-Sicherheitsschlüsseln.
Häufige Fragen
Erkennt ein Passwortmanager jede Phishing-Seite?
Er erkennt sie nicht aktiv, aber er füllt nichts aus, wenn die Domain nicht passt. Genau dieses Schweigen ist das Warnsignal - es bedeutet, dass die Seite nicht die ist, die sie zu sein vorgibt.
Helfen Passkeys wirklich gegen Phishing?
Ja. Passkeys binden den Login kryptografisch an die richtige Domain. Selbst wenn ein Nutzer auf einer gefälschten Seite alles bestätigt, lässt sich der Login nicht auf den echten Dienst übertragen.
Was tun nach einem mutmaßlichen Phishing-Klick?
Sofort Passwort des betroffenen Kontos ändern, 2FA neu einrichten und prüfen, ob bereits andere Logins versucht wurden. Bei Banking- oder E-Mail-Konten zusätzlich den Anbieter informieren.