Phishing erkennen: 9 Merkmale gefälschter E-Mails
Phishing erkennen heißt heute, auf das Muster zu achten statt auf Tippfehler: ein Absender, der nicht zur Adresse passt, künstlicher Zeitdruck und ein Link, der zu einer Anmeldung führt. Wer die neun Merkmale kennt und im Zweifel über einen zweiten Weg nachfragt, fängt die meisten Versuche ab.
Kurz gesagt
- Fehlerfreies Deutsch und ein echtes Logo beweisen nichts mehr. Entscheidend sind Absender, Anlass und das, was die Nachricht verlangt.
- Drei Fragen helfen bei jeder Nachricht: Wer schreibt wirklich, was wird verlangt, und war das zu erwarten?
- Im Zweifel wird über einen zweiten Weg geprüft, etwa mit einem Anruf unter der bekannten Nummer.
- Nach einem falschen Klick zählt Tempo: Passwort ändern, Sitzungen beenden und sofort Bescheid geben.
Warum Tippfehler kein verlässliches Zeichen mehr sind
Früher verrieten sich gefälschte Mails durch holpriges Deutsch und ein verpixeltes Logo, doch darauf ist kein Verlass mehr. Texte entstehen heute mit KI-Werkzeugen fehlerfrei und im passenden Ton, Logos und Signaturen werden aus echten Mails kopiert. Die Namen von Geschäftsführung und Buchhaltung stehen auf der Website.
Geblieben ist das Muster. Jede Phishing-Mail will, dass jemand etwas tut, und zwar schnell: klicken, anmelden, öffnen oder überweisen. Die neun Merkmale setzen deshalb bei drei Fragen an: wer wirklich schreibt, was die Nachricht verlangt und ob das zu dem passt, was im Betrieb gerade läuft.
Merkmal 1 bis 3: Wer schreibt hier wirklich?
1. Name und Adresse passen nicht zusammen. Angezeigt wird der Name der Hausbank oder des Chefs, dahinter steht eine völlig fremde Adresse. Viele Mailprogramme zeigen zunächst nur den Namen. Ein Klick oder Tipp darauf blendet die Adresse ein.
2. Die Domain ist nur fast richtig. Ein vertauschter Buchstabe, ein „rn“ statt eines „m“, eine andere Endung oder ein Zusatz wie „-service“. Auf den ersten Blick stimmt alles, auf den zweiten nicht.
3. Die Antwort geht woandershin. Die Mail scheint vom bekannten Lieferanten zu kommen, doch wer auf Antworten klickt, sieht im Empfängerfeld plötzlich eine andere Adresse. Das ist ein deutliches Warnsignal.
Merkmal 4 bis 6: Was verlangt die Nachricht?
4. Zeitdruck oder Drohung. Das Konto wird heute gesperrt, das Postfach ist voll, die Rechnung geht sonst ans Inkasso. Druck soll verhindern, dass jemand nachdenkt oder nachfragt. Seriöse Absender setzen keine Fristen von wenigen Stunden.
5. Aufforderung zur Anmeldung. Ein Link führt zu einer Seite, die nach Benutzername, Passwort oder dem Code der Zwei-Faktor-Anmeldung fragt. Kein seriöser Anbieter verlangt per E-Mail, Zugangsdaten zu bestätigen.
6. Geld, Gutscheine oder eine neue Bankverbindung. Der angebliche Chef braucht dringend eine Überweisung und ist gerade nicht erreichbar, oder der Lieferant meldet ein neues Konto. Beides sind bekannte Maschen, häufig verbunden mit der Bitte um Vertraulichkeit.
Merkmal 7 bis 9: Links, Anhänge und der fehlende Anlass
7. Der Link führt woandershin als angezeigt. Am Rechner zeigt der Mauszeiger über dem Link das echte Ziel, am Handy ein langer Druck. Entscheidend ist der Teil unmittelbar vor dem ersten einzelnen Schrägstrich, denn dort steht die eigentliche Domain. Passt sie nicht zum angeblichen Absender, ist die Seite fremd. Dasselbe gilt für QR-Codes, denn auch sie sind nur Links.
8. Ein Anhang, den niemand erwartet hat. Eine Rechnung als ZIP-Datei, ein Dokument, das Makros aktivieren möchte, oder eine HTML-Datei, die eine Anmeldeseite öffnet. Auch ein harmlos wirkendes PDF kann nur dazu da sein, auf einen Link zu führen.
9. Der Anlass fehlt. Ein Paket, das niemand bestellt hat, eine Bank, bei der kein Konto besteht, oder ein geteiltes Dokument von jemandem, mit dem nie gearbeitet wurde. Auch die Antwort auf eine Frage, die nie gestellt wurde, gehört dazu.
Fünf typische Fälle aus dem Posteingang
| Was ankommt | Woran es zu erkennen ist | Richtige Reaktion |
|---|---|---|
| Postfach fast voll, Speicher jetzt bestätigen | Zeitdruck und ein Link zu einer Anmeldeseite | Nicht klicken, den Speicherstand direkt im Mailprogramm ansehen |
| Die Geschäftsführung bittet per Mail um eine eilige Überweisung | Geldforderung, Druck, fremde Antwortadresse | Anrufen, unter der Nummer aus dem eigenen Telefonbuch |
| Ein Lieferant nennt eine neue Bankverbindung | Fehlender Anlass, oft eine leicht veränderte Domain | Beim bekannten Ansprechpartner telefonisch bestätigen lassen |
| Der Paketdienst verlangt eine Zollgebühr über einen Link | Kein erwartetes Paket, Aufforderung zur Zahlung | Die Sendung über die Website des Paketdienstes selbst prüfen |
| Jemand hat ein Dokument geteilt, zum Öffnen bitte anmelden | Unbekannter Absender, Anmeldeseite hinter dem Link | Nicht anmelden, beim angeblichen Absender nachfragen |
Im Zweifel: drei Schritte
- Nichts anklicken, nichts öffnen, nicht antworten. Die Nachricht bleibt einfach liegen.
- Über einen zweiten Weg prüfen. Die Telefonnummer aus den eigenen Unterlagen wählen oder die Adresse des Anbieters von Hand in den Browser tippen. Nie die Kontaktdaten aus der verdächtigen Mail verwenden.
- Im Betrieb melden. Eine feste Person erfährt davon und warnt die anderen. Oft haben mehrere dieselbe Nachricht bekommen.
Zwei Minuten für einen Rückruf sind immer drin. Wer nachfragt, macht nichts falsch, auch wenn die Mail echt war.
Nach einem falschen Klick zählt Tempo
Es passiert auch aufmerksamen Leuten, meist in Eile zwischen zwei Terminen. Wichtig ist, was in den Minuten danach geschieht:
- Passwort ändern. Sofort und von einem anderen Gerät aus, falls Zugangsdaten eingegeben wurden.
- Alle Sitzungen abmelden. Sonst bleibt ein Angreifer trotz neuem Passwort angemeldet.
- Postfach prüfen. Angreifer richten gern Weiterleitungen und Regeln ein, die Nachrichten unbemerkt umleiten oder löschen.
- Rechner vom Netz trennen. Wurde ein Anhang geöffnet: Netzwerkkabel ziehen, WLAN aus, nicht weiterarbeiten und die IT anrufen.
- Bank und Team informieren. Bei Zahlungsdaten zählt jede Stunde. Sind Kundendaten betroffen, gehört auch der Datenschutzbeauftragte früh dazu.
Das alles funktioniert nur, wenn ein Klick sofort gemeldet wird. Wer Ärger fürchtet, schweigt, und der Angreifer gewinnt Zeit.
Technik, die dem Team den Rücken freihält
Aufmerksamkeit allein reicht nicht. Gute Einstellungen sorgen dafür, dass viele gefälschte Mails gar nicht erst ankommen und ein erbeutetes Passwort wenig nützt:
- Filter gegen Spam, gefälschte Absender und gefährliche Anhänge sind aktiv und richtig eingestellt.
- Nachrichten von außen tragen einen sichtbaren Hinweis, damit ein gefälschter Chef auffällt.
- Die eigene Domain ist so eingerichtet, dass Fremde nicht in ihrem Namen senden können.
- Alle Konten sind mit einem zweiten Faktor geschützt.
- Für Zahlungen und geänderte Bankverbindungen gilt eine feste Regel: Rückruf und Freigabe durch eine zweite Person.
Die ersten drei Punkte gehören zur Einrichtung von Postfächern und Domain. Schutzfunktionen und Anmelderegeln werden in Microsoft 365 zentral gesetzt. Dass nach einem Austritt keine offenen Konten zurückbleiben, regelt die Benutzerverwaltung.
