Anti-Phishing-Code: ein nützliches Signal, das Ihre Links nicht prüft

Wenn Sie crypto.com, Binance oder einen ähnlichen Dienst nutzen, wurden Sie wahrscheinlich schon dazu angehalten, einen „Anti-Phishing-Code" festzulegen. Das ist eine gute Gewohnheit, und dieser Artikel ist kein Plädoyer dagegen. Es geht darum, was der Code leistet und was nicht, denn genau in der Lücke dazwischen tappen Menschen weiterhin in die Falle.

Was ein Anti-Phishing-Code ist

Ein Anti-Phishing-Code ist ein Wort oder eine Phrase, die Sie wählen und Ihrem Konto zuordnen. Der Dienst fügt ihn dann in jede echte E-Mail ein, die er Ihnen sendet, sodass Sie etwas Konkretes haben, worauf Sie achten können. Bei crypto.com können Sie einen für die App und die Exchange festlegen (die sich einen einzigen synchronisierten Code teilen) und einen separaten, unabhängigen für die NFT-Plattform. Binance fügt Ihren Code in seine offiziellen E-Mails und, nach eigenen Angaben, in seine SMS-Nachrichten ein. Das Muster ist überall gleich: Selbstbedienung, einer pro Konto, angezeigt innerhalb der E-Mail.

Kraken geht einen anderen und stärkeren Weg: Es kann die E-Mails, die es Ihnen sendet, per PGP signieren (seine automatisierten Nachrichten können eine PGP-Signatur tragen). Das ist echte Kryptografie statt einer Erkennungsphrase, und es ist der nützliche Vergleichspunkt für alles Folgende.

Was er gut kann

Gegen die klassische Marken-Imitations-E-Mail („Ihr Konto ist gesperrt, bestätigen Sie jetzt") ist der Code eine schnelle Prüfung auf einen Blick. Eine echte Nachricht trägt die Phrase, die Sie und der Dienst zu erwarten vereinbart haben; eine gefälschte in der Regel nicht. Ein fehlender oder falscher Code ist ein sofortiges Warnsignal, noch bevor Sie ein Wort des Textes gelesen haben. Für eine Maßnahme, die Sie einmal einrichten und nie wieder anfassen, ist das ein echter Nutzen, und es lohnt sich, ihn einzurichten.

Der blinde Fleck: Er sagt nichts über Links

Folgendes kann der Code Ihnen nicht sagen: wohin ein Link führt. Über die URLs in der Nachricht sagt er überhaupt nichts aus.

Es lohnt sich, bei dieser Grenze präzise zu sein. Der Code spricht zur Frage „Stammt dies von der Marke?" Könnte Sie also je eine E-Mail erreichen, die den erwarteten Code trägt und dennoch auf einen täuschend ähnlichen Host verlinkt? Nicht dadurch, dass ein Angreifer eine echte E-Mail während der Übertragung umschreibt; so funktioniert das alles nicht. Aber authentifizierte, vertrauenswürdige Versandinfrastruktur kann bösartige Links ausliefern und tut es auch. Der SendGrid-Vorfall vom Januar 2026 (den ich im unten verlinkten Richtlinien-Artikel behandelt habe) zeigte, wie Angreifer link-basiertes Phishing über eine vertrauenswürdige Plattform ausspielten, deren Post die Authentifizierung bestand. Dieser Vorfall beweist nicht, dass jemand eine Börsen-E-Mail mit korrektem Code gefälscht hätte. Er macht aber das eng umrissene Gedankenspiel konkret: Ein kompromittiertes Versandsystem eines Dienstes oder ein Angreifer, der Ihren Code schlicht aus einer früheren echten E-Mail kopiert hat, könnte Ihnen im Prinzip eine Nachricht vorlegen, die den richtigen Code und den falschen Link trägt.

Lässt man dieses Gedankenspiel aber beiseite, bleibt der alltägliche Punkt bestehen. Die meisten Phishing-Angriffe brauchen Ihren Code überhaupt nicht. Sie brauchen, dass Sie keinen festgelegt haben oder ihn im Moment nicht prüfen, und sie brauchen einen Link, der wie Ihre Börse aussieht, es aber nicht ist.

Ein Signal, kein Geheimnis

Häufig wird der Anti-Phishing-Code als „gemeinsames Geheimnis" bezeichnet, und informell wird die Funktion genau so verkauft: als Geheimnis zwischen Ihnen und dem Dienst. Technisch hält das nicht stand. Ein Wert, der im Klartext in jede echte E-Mail gedruckt wird, ist kein Geheimnis mehr, sobald auch nur eine dieser E-Mails gesehen wurde. Treffender ist er als statisches, inhaberähnliches Erkennungs-Token zu beschreiben: Wer eine einzige echte Nachricht liest (eine weitergeleitete Quittung, ein Screenshot, ein kompromittiertes Postfach, ein kompromittierter Marketing-Dienstleister), hat nun Ihren Code.

Das prägt seine Grenzen:

• Er kann selbst abgephisht werden. Eine gefälschte Seite „Bestätigen Sie Ihren Anti-Phishing-Code" greift genau das Token ab, das künftige Phishing-Post für Sie legitim aussehen ließe.
• Er hängt davon ab, dass Sie jedes Mal prüfen. Genau diese Gewohnheit soll durch erzeugte Dringlichkeit gebrochen werden.
• Er hilft nur, wenn Sie ihn zuerst einrichten, und die meisten Menschen tun das nie.
• Er vervielfacht sich über Anbieter hinweg. Jeder Anbieter pflegt seinen eigenen Code, und manche pflegen mehr als einen: crypto.com verwendet einen einzigen Code für App und Exchange, aber einen separaten, unabhängigen für NFT. Damit das Signal aussagekräftig bleibt, sollten Sie für jeden unabhängigen Code eine andere Phrase wählen, denn eine Phrase wiederzuverwenden bedeutet, dass eine einzige durchgesickerte E-Mail sie alle schwächt. So bleibt Ihnen eine wachsende Menge statischer Phrasen, die Sie sich über jeden Anbieter hinweg merken müssen, was zur Wiederverwendung verleiten oder das Vergessen erleichtern kann, und ein Signal, das Sie nicht pflegen, hört klammheimlich auf, eines zu sein.
• Er ist kanalbeschränkt: E-Mail, bei Binance zusätzlich SMS, aber nichts für Telefonanrufe, Chat-Apps oder Push-Benachrichtigungen.
• Er bietet keine kryptografische Garantie. Anders als DKIM (eine kryptografische Signatur pro Nachricht über einer Versanddomain), DMARC (eine Richtlinie, die prüft, ob SPF und DKIM mit der sichtbaren Von-Domain übereinstimmen) oder BIMI (ein DMARC-gesteuerter Markenlogo-Indikator) beweist der Code mathematisch nichts. Und keiner dieser drei bürgt für den Inhalt einer Nachricht oder dafür, wohin ihre Links führen.

Zwei Fragen, zwei Ebenen

Sicheres E-Mail-Lesen läuft letztlich auf zwei getrennte Fragen hinaus:

1. Sieht diese Nachricht echt aus? Der Anti-Phishing-Code spricht dazu nur schwach. DKIM und DMARC fügen echte Belege der Domain-Authentifizierung hinzu (eine signierte Versanddomain und eine auf Übereinstimmung geprüfte Von-Domain), aber nur, wenn Ihr Mail-System das Ergebnis tatsächlich prüft und anzeigt, und selbst dann bezeugen sie die Domain, nicht den Inhalt oder die Absicht der Nachricht.
2. Was ist die unmittelbare Zieladresse dieses Links? Nichts von alledem beantwortet das.

Bei dieser zweiten Frage werden Links geklickt und Zugangsdaten verloren, und es ist genau die, für deren Beantwortung ein Anti-Phishing-Code nie gebaut wurde. Die beiden Maßnahmen ergänzen einander, sie ersetzen sich nicht: Der Code gibt Ihnen einen Hinweis auf den Absender, und ein Werkzeug, das Links aufdeckt, zeigt Ihnen die Zieladresse. Noch besser: Ein solches Werkzeug funktioniert gerade dann, wenn der Code Sie im Stich lässt, nämlich bei einer Nachricht, die den richtigen Code trägt, aber irgendwohin Falsches führt.

Den Link sehen, bevor Sie klicken

Reveal URLs ist die praktische Antwort auf diese zweite Frage. Es ist kostenlos und quelloffen (AGPL). Für jeden Link zeigt es die tatsächliche unmittelbare Zieladresse (die echte URL) direkt über dem Link an und färbt sie in dem Moment rot, in dem der Host dieser Zieladresse nicht zu einem im sichtbaren Linktext genannten Host passt. Kein Überfahren mit der Maus und kein langes Drücken: Die Abweichung ist standardmäßig sichtbar. Es zeigt die unmittelbare URL und folgt keinen Weiterleitungen zu einer endgültigen Zielseite, und es überprüft weder Absender noch Authentifizierung; das ist Aufgabe der anderen Ebene.

Es ist ab sofort für Chrome, Edge, Firefox, Thunderbird und Outlook verfügbar, wobei die mobile Outlook-Version und das Gmail-Add-on noch folgen und Safari bald verfügbar ist.

Ein Anti-Phishing-Code lohnt sich: Er ist kostenlos, und ein fehlender ist eine nützliche Warnung. Verlangen Sie von ihm nur keine Aufgabe, die er nicht leisten kann. Er sagt Ihnen, dass eine E-Mail echt aussieht; er zeigt Ihnen nie, wohin ein Link führt. Um die unmittelbare Zieladresse jedes Links zu sehen, lesen Sie Reveal URLs: Phishing-Links erkennen, bevor Sie klicken, und für das umfassendere Argument, dass E-Mail-Programme immer die URL anzeigen sollten, lesen Sie E-Mail-Link-Phishing: Warum Ihre Mail-App immer die URL anzeigen sollte.