Phishing erkennen: 7 Warnzeichen in jeder verdächtigen E-Mail
Die Zeiten, in denen Phishing-Mails an holprigem Deutsch und Fantasie-Logos zu erkennen waren, sind vorbei. Moderne Betrugsmails sind sprachlich einwandfrei, tragen das echte Logo Ihrer Bank oder Ihres Paketdienstes und kommen oft zu einem plausiblen Anlass – kurz nach einer Bestellung, zum Jahreswechsel, zur Steuererklärung. Trotzdem gibt es Prüfpunkte, die zuverlässig funktionieren, weil sie an Stellen ansetzen, die Betrüger nicht fälschen können.
1. Die echte Absenderadresse – nicht der Anzeigename
Der angezeigte Name ist frei wählbar; jeder kann sich „Sparkasse Kundenservice“ nennen. Entscheidend ist die Adresse dahinter. Tippen oder klicken Sie auf den Absendernamen, um sie einzublenden. „service@sparkasse.de“ ist plausibel – „sparkasse-sicherheit@mail-verify24.com“ ist es nicht. Achten Sie auf den Teil direkt vor dem letzten Punkt: Bei „sparkasse.de.kundencheck.net“ ist die echte Domain „kundencheck.net“, nicht die Sparkasse.
2. Link-Ziele vor dem Klick prüfen
Fahren Sie am PC mit der Maus über einen Link, ohne zu klicken – unten links im Fenster erscheint das echte Ziel. Am Smartphone halten Sie den Link lange gedrückt, bis eine Vorschau erscheint. Steht dort etwas anderes als die erwartete Domain, ist der Fall klar. Auch hier gilt die Regel mit dem letzten Punkt: „paypal.com-login.xyz“ führt zu „com-login.xyz“.
3. Künstlicher Zeitdruck
„Ihr Konto wird in 24 Stunden gesperrt.“ „Letzte Mahnung vor Vollstreckung.“ Druck ist das wichtigste Werkzeug der Angreifer, denn wer in Panik ist, prüft nicht. Seriöse Unternehmen setzen Fristen von Wochen, nicht Stunden – und sperren kein Konto, weil Sie eine E-Mail nicht sofort beantworten. Je dringlicher der Ton, desto misstrauischer sollten Sie sein.
4. Unpersönliche oder falsche Anrede
Ihre Bank kennt Ihren Namen. „Sehr geehrter Kunde“, „Lieber Nutzer“ oder eine Anrede mit Ihrer E-Mail-Adresse statt Ihres Namens ist ein starkes Warnzeichen. Vorsicht: Bei gezielten Angriffen auf Firmen stimmt die Anrede oft – dann müssen die anderen Prüfpunkte greifen.
5. Abfrage von Daten, die niemand per E-Mail braucht
Keine Bank, kein Zahlungsdienst und keine Behörde fragt per E-Mail nach PIN, Passwort, TAN oder Kreditkartennummer. Niemals, unter keinem Vorwand. Jede Mail, die solche Daten anfordert oder auf ein Formular dafür verlinkt, ist Betrug – diese eine Regel hat keine Ausnahme.
6. Unerwartete Anhänge
Rechnungen von Firmen, bei denen Sie nichts bestellt haben. Bewerbungen, obwohl keine Stelle ausgeschrieben ist. ZIP-Dateien, Office-Dokumente mit Makro-Aufforderung („Bearbeitung aktivieren“) oder angebliche PDF-Dateien, die auf „.exe“ enden. Öffnen Sie keinen Anhang, den Sie nicht erwartet haben – fragen Sie im Zweifel beim Absender über einen anderen Kanal nach, etwa telefonisch.
7. Der Kontext stimmt nicht
Das Paket-Benachrichtigungs-Szenario funktioniert nur, wenn Sie ein Paket erwarten. Die „Rechnung“ Ihres Stromanbieters kommt sonst immer im Kundenportal, nie als Anhang? Ihr Chef bittet Sie sonst nie per Mail um den Kauf von Gutscheinkarten? Genau dieses Bauchgefühl – „das ist untypisch“ – ist eines der zuverlässigsten Warnsysteme. Nehmen Sie es ernst.
Was tun im Verdachtsfall?
Klicken Sie nichts an und beantworten Sie die Mail nicht. Wenn die Mail vorgibt, von Ihrer Bank oder einem Dienst zu stammen, bei dem Sie Kunde sind: Öffnen Sie die Webseite selbst im Browser (Lesezeichen oder Adresse eintippen) oder nutzen Sie die App – steht dort keine entsprechende Meldung, war die Mail Betrug. Verschieben Sie die Mail in den Spam-Ordner. Im Firmenumfeld: Melden Sie den Vorfall Ihrer IT-Betreuung, auch wenn Sie nicht geklickt haben – oft sind Kollegen dieselbe Mail bekommen.
Und wenn es doch passiert ist?
Schnelligkeit zählt. Haben Sie ein Passwort eingegeben: sofort ändern, und zwar überall, wo Sie dasselbe Passwort verwenden. Bankdaten eingegeben: Bank anrufen, Karte sperren lassen (Sperr-Notruf 116 116). Einen Anhang geöffnet: Rechner vom Netzwerk trennen und IT-Hilfe holen, bevor Sie weiterarbeiten. Peinlich ist das nicht – es passiert auch Profis. Gefährlich wird es nur, wenn es verschwiegen wird.
Der beste Schutz: der zweite Faktor
Selbst das beste Auge übersieht mal etwas. Deshalb gehört zu jedem wichtigen Konto die Zwei-Faktor-Anmeldung: Dann ist ein erbeutetes Passwort für den Angreifer wertlos, weil ihm der zweite Schlüssel fehlt. Wenn Sie Ihre Firmen-Postfächer absichern oder Ihre Mitarbeiter schulen möchten – sprechen Sie uns an, wir unterstützen Betriebe in der Region Reutlingen–Tübingen.