Phishing-Mails erkennen: die wichtigsten Warnzeichen

Dein Paket hängt im Zoll fest, dein Bankkonto wird gesperrt, dein Chef braucht dringend Gutscheinkarten: Phishing-Mails erzählen immer eine Geschichte, die dich zu einem schnellen Klick bewegen soll. Die gute Nachricht ist, dass fast jede dieser Mails Spuren hinterlässt. Wer weiß, wo er hinschauen muss, erkennt die meisten Fälschungen in wenigen Sekunden.

Warum Phishing so gut funktioniert

Phishing zielt nicht auf deinen Computer, sondern auf dich. Die Mails nutzen drei bewährte Hebel: Zeitdruck („innerhalb von 24 Stunden“), Autorität (Bank, Finanzamt, Vorgesetzte) und Neugier („Sie haben eine Sprachnachricht erhalten“). Wer unter Druck steht, prüft weniger. Genau deshalb lohnt es sich, bei jeder Mail, die eine sofortige Handlung verlangt, kurz innezuhalten.

Seit Texte mit KI geschrieben werden, sind holprige Übersetzungen und Tippfehler kein verlässliches Merkmal mehr. Achte deshalb auf die Dinge, die sich schwer fälschen lassen.

Warnzeichen 1: der Absender

Dein Mailprogramm zeigt meist nur den Anzeigenamen, etwa „Sparkasse Kundenservice“. Den kann jeder frei wählen. Entscheidend ist die Adresse dahinter. Tippe oder klicke auf den Namen, um sie zu sehen.

Typische Tricks:

• Fremde Domain: [email protected] hat mit deiner Bank nichts zu tun.
• Ähnliche Schreibweise: paypa1.example statt paypal.example, rn statt m, zusätzliche Bindestriche.
• Kostenlose Postfächer: Ein Unternehmen schreibt dir nicht von einer Gmail- oder GMX-Adresse.
• Abweichende Antwortadresse: Steht im Header ein Reply-To mit einer ganz anderen Adresse, landet deine Antwort beim Betrüger.

Warnzeichen 2: Druck und Drohung

Echte Unternehmen kündigen Sperrungen nicht mit einer Frist von wenigen Stunden an, und kein Finanzamt verlangt Zahlungen per Link. Formulierungen wie „letzte Mahnung“, „Ihr Konto wurde eingeschränkt“ oder „bestätigen Sie sofort“ sind ein Signal, langsamer zu werden, nicht schneller.

Besonders tückisch ist der sogenannte CEO-Betrug: Eine Mail, scheinbar von der Geschäftsführung, bittet um eine eilige, vertrauliche Überweisung. Hier hilft nur eines: über einen zweiten Weg nachfragen, etwa per Telefon unter der bekannten Nummer.

Warnzeichen 3: Links, die woanders hinführen

Der sichtbare Linktext kann alles behaupten. Wohin ein Link wirklich führt, siehst du, wenn du mit der Maus darüberfährst, ohne zu klicken. Auf dem Handy hältst du den Link lange gedrückt.

Lies die Domain dabei von rechts nach links. Bei https://example.com.konto-pruefung.net/login gehört die Seite zu konto-pruefung.net, nicht zu example.com. Alles links davon ist nur eine Subdomain, die sich der Betreiber frei ausdenken kann.

Vorsicht auch bei Kurzlinks und QR-Codes in Mails: Sie verbergen das Ziel. Im Zweifel öffnest du die Seite des Unternehmens selbst, indem du die Adresse eintippst oder ein Lesezeichen nutzt.

Warnzeichen 4: Anhänge

Unerwartete Rechnungen, Lieferscheine oder „gescannte Dokumente“ sind ein Klassiker. Gefährlich sind vor allem:

• HTML-Dateien, die im Browser eine nachgebaute Anmeldeseite öffnen
• Archive wie .zip, .rar oder .iso, die Schadsoftware enthalten
• Office-Dokumente, die dich bitten, „Inhalte zu aktivieren“ oder Makros zuzulassen

Öffne einen Anhang nur, wenn du ihn erwartet hast und der Absender stimmt.

Warnzeichen 5: was eine echte Firma nie verlangt

Seriöse Anbieter fragen dich per E-Mail nie nach deinem Passwort, deiner PIN, einer TAN oder einem Bestätigungscode, den du gerade per SMS bekommen hast. Wer einen solchen Code verlangt, will sich in dein Konto einloggen.

Den Header prüfen

Der Header einer Mail verrät, über welche Server sie gelaufen ist und ob sie die Prüfungen SPF, DKIM und DMARC bestanden hat. Steht dort dmarc=fail für eine Domain, die sich als deine Bank ausgibt, ist der Fall klar. Wie du den Header findest und liest, erklärt unser Ratgeber E-Mail-Header lesen.

Eine Einschränkung ist wichtig: Ein bestandenes SPF oder DKIM beweist nur, dass die Mail wirklich von der angegebenen Domain kommt. Ein Betrüger kann für seine eigene Domain konto-pruefung.net ebenfalls alles korrekt einrichten. Die Prüfungen sagen dir also, wer geschrieben hat, nicht, ob du diesem Absender trauen kannst.

Wenn du schon geklickt hast

Passiert ist passiert, jetzt zählt Tempo:

1. Passwort ändern, und zwar direkt auf der echten Seite des Dienstes, nicht über den Link. Hast du dasselbe Passwort woanders genutzt, ändere es dort ebenfalls.
2. Zwei-Faktor-Anmeldung einschalten, falls noch nicht geschehen.
3. Bank informieren, wenn du Zahlungsdaten eingegeben hast. Nutze die Nummer auf deiner Karte oder der offiziellen Webseite.
4. Gerät prüfen, wenn du einen Anhang geöffnet hast, etwa mit einem aktuellen Virenscanner.
5. Kontobewegungen im Blick behalten und verdächtige Anmeldungen in den Sicherheitseinstellungen deiner Konten beenden.

Phishing melden

Die meisten Mailprogramme haben eine Schaltfläche „Als Phishing melden“. Damit trainierst du den Filter und warnst andere Nutzer. Viele Unternehmen nehmen gefälschte Mails in ihrem Namen auch über eine eigene Meldeadresse entgegen, die du auf ihrer Webseite findest. In Deutschland sammelt außerdem die Verbraucherzentrale aktuelle Fälle in ihrem Phishing-Radar.

Vorbeugen mit getrennten Adressen

Je weniger Stellen deine Hauptadresse kennen, desto seltener landet Phishing dort. Wenn du für Gewinnspiele, Downloads und Foren eine Wegwerf-Adresse nutzt, kennen Betrüger deine echte Adresse oft gar nicht erst. Und eine angebliche Mail deiner Bank an eine Adresse, die du nur für ein Forum verwendet hast, entlarvt sich von selbst.

Prüfe den Header einer verdächtigen Mail mit der Header-Analyse – kostenlos und ohne Anmeldung.