So können vertrauenswürdige Inhalte vorgegaukelt werden, die alles andere als vertrauenswürdig sind. Selbst die mutmaßlich private Post, die man von seiner Bank oder einem Internet-Auktionshaus erhält, kann aus ganz anderen Quellen stammen. Der Unvorsichtige bemerkt das nicht und gibt arglos seine Zugangsdaten preis, die dann irgendwo landen – nur nicht bei der Bank oder dem Auktionshaus.
Phishing funktioniert so: Man bekommt angeblich eine E-Mail von seiner Bank. Die stimmt in Aufmachung und Design mit den regulären Mails der Geldinstitute überein. In dieser Mail wird der Nutzer aufgefordert, seine Zugangsdaten und geheimen PIN- und TAN-Nummern wegen einer angeblichen Überprüfung oder eines Server-Ausfalls zu nennen.
Entweder lassen sich solche Daten dann direkt in die Mail eintragen, oder ein Internet-Link auf die Seite der Bank ist der Mail beigefügt. Klickt man darauf, landet man auf einer authentisch wirkenden Bankseite. Doch diese Seite gehört gar nicht einer Bank. Wer jetzt seine persönlichen Zugangsdaten, Passwörter, Kreditkartennummern oder Berechtigungscodes preisgibt, ist den Betrügern aufgesessen.
Denn mit diesen Angaben kann sich der Urheber der Phishing-Attacke mit korrekten Codes Zugang zu den Konten verschaffen. Das nennt man „Identitäts-Diebstahl“ (Identity-Theft). Um Zeit zu gewinnen, ändern Identitätsräuber oft sofort die Zugangspasswörter für die erschwindelten Konten – und sperren so die rechtmäßigen Eigentümer aus.