Phishing-Mail erkennen: Sieben Prüfschritte vor dem Klick

Eine Phishing-Mail erkennen Sie heute nicht mehr an Tippfehlern, sondern an drei technischen Merkmalen: der echten Absender-Domain hinter dem Anzeigenamen, dem tatsächlichen Ziel eines Links und einem Anlass, den Sie selbst nicht ausgelöst haben. Prüfen Sie diese drei Punkte vor jedem Klick und öffnen Sie den Dienst im Zweifel über Lesezeichen oder App, nie über die Mail.

Die klassischen Ratschläge stammen aus einer Zeit, in der Betrugsmails mit „Sehr geehrte Kunde“ begannen und aus einem Übersetzungsprogramm kamen. Das ist vorbei. Das Bundesamt für Sicherheit in der Informationstechnik schreibt in seiner Übersicht „Wie erkenne ich Phishing in E-Mails und auf Webseiten?“ ausdrücklich, dass Rechtschreibfehler kein verlässliches Merkmal mehr sind und dass „https://“ keine Entwarnung bedeutet. Sprachmodelle schreiben fehlerfreies Deutsch, und ein Verschlüsselungszertifikat bekommt jede Betrugsseite kostenlos.

Dieser Ratgeber ersetzt das Bauchgefühl durch eine Prüfreihenfolge, die Sie in unter einer Minute durchgehen können. Er zeigt, wie Sie Adressen so lesen, dass Tarnungen auffallen, was die versteckten Kopfzeilen einer Mail verraten (und was nicht), und was Sie tun, wenn Sie doch schon geklickt haben.

Warum gute Phishing-Mails kaum noch auffallen

Phishing, also das „Angeln“ nach Zugangsdaten mit einem gefälschten Köder, hat sich in zwei Richtungen weiterentwickelt. Erstens sind die Texte sprachlich sauber und optisch kaum vom Original zu unterscheiden, weil Logos, Schriftarten und Fußzeilen echter Mails einfach kopiert werden. Zweitens werden die Mails zunehmend persönlich. Fachleute sprechen dann von Spear-Phishing: Statt mit einem Schleppnetz Millionen Adressen gleich anzuschreiben, zielt der Täter wie mit einem Speer auf eine Person und nutzt dafür, was er über sie weiß.

Dieses Wissen stammt selten aus aufwendiger Recherche. Es liegt in Datenlecks vor, in denen neben E-Mail-Adressen oft Namen, Lieferanschriften und Bestellhistorien stehen. Eine Mail, die Sie mit Namen anspricht, Ihre Straße nennt und sich auf eine „Rücksendung vom 14.“ bezieht, fühlt sich deshalb echt an, obwohl jedes dieser Details aus einer kopierten Kundendatenbank stammen kann. Das ist die wichtigste Umstellung im Kopf: Persönliche Daten in einer Mail sind kein Echtheitsbeleg, sondern nur ein Beleg dafür, dass Ihre Daten im Umlauf sind.

Die sieben Prüfschritte in der richtigen Reihenfolge

Gehen Sie die Schritte von oben nach unten durch. Schon einer allein reicht, um eine Mail als verdächtig einzustufen. Die ersten drei sind technisch und damit zuverlässiger als jede Einschätzung des Tonfalls.

• 1. Die echte Absenderadresse aufdecken: Mail-Apps auf dem Handy zeigen meist nur den Anzeigenamen, etwa „Sparkasse Online“. Tippen Sie auf den Namen, dann erscheint die Adresse dahinter. Am Rechner fahren Sie mit der Maus über den Absender, ohne zu klicken. Steht dort service@sparkasse-kundenhilfe.net oder eine Adresse bei einem Freemail-Anbieter, ist die Sache erledigt. Banken, Paketdienste und Behörden schreiben von ihrer eigenen Domain.
• 2. Die Domain von rechts nach links lesen: Betrüger setzen den bekannten Markennamen gern ganz nach links, weil Menschen von links lesen. Maßgeblich ist aber, was direkt vor der Endung (.de, .com, .info) steht. Die Tabelle unten zeigt die gängigen Tarnmuster.
• 3. Das Linkziel ansehen, bevor Sie klicken: Der sichtbare Text eines Links („Jetzt bestätigen“ oder sogar eine echt aussehende Adresse) verrät nichts über das Ziel. Am Rechner zeigt die Statusleiste unten im Fenster das wahre Ziel, sobald die Maus über dem Link steht. Am Handy halten Sie den Finger auf dem Link gedrückt, bis eine Vorschau mit der Adresse erscheint, und tippen dann daneben. Gekürzte Links (etwa über einen Kurz-URL-Dienst) verbergen das Ziel bewusst, das BSI nennt sie als eigenes Warnzeichen.
• 4. Die Antwortadresse prüfen: Klicken Sie auf „Antworten“, ohne die Mail abzuschicken, und sehen Sie nach, an wen die Antwort ginge. Weicht diese Adresse vom Absender ab, etwa bei angeblichen Rechnungen oder Anfragen der Geschäftsführung, wollen die Täter Ihre Antwort in ein eigenes Postfach umleiten.
• 5. Den Anlass gegenprüfen: Haben Sie etwas bestellt, ein Paket erwartet, ein Konto bei diesem Anbieter? Eine Paketbenachrichtigung ohne Bestellung oder eine Sperrwarnung von einer Bank, bei der Sie kein Konto führen, ist Massenware. Erwarten Sie tatsächlich etwas, ist das noch kein Freispruch, denn die Täter verschicken genau deshalb Millionen Mails: Irgendwer erwartet immer ein Paket.
• 6. Druck, Frist und Drohung erkennen: „Innerhalb von 24 Stunden“, „sonst wird Ihr Konto gesperrt“, „letzte Mahnung“. Zeitdruck ist das wichtigste psychologische Werkzeug, weil er den Prüfreflex abschaltet. Seriöse Anbieter setzen Fristen per Brief oder im Kundenkonto, und sie fragen nie per Mail nach PIN, TAN oder vollständigen Kartendaten.
• 7. Den Kanal wechseln: Der zuverlässigste Schritt ist zugleich der einfachste. Schließen Sie die Mail und öffnen Sie den Dienst selbst, über die App, ein gespeichertes Lesezeichen oder die Adresse, die Sie von Hand eintippen. Liegt dort eine echte Nachricht vor, sehen Sie sie auch im Kundenkonto. Rufen Sie nie eine Telefonnummer aus der verdächtigen Mail an, sondern die von der Karte, dem Vertrag oder der offiziellen Website.

Tarnmuster in Adressen: so lesen Sie richtig

Besonders tückisch sind Fälle, in denen ein echtes Unternehmen selbst Domains nutzt, die nach Fälschung aussehen, etwa für Kampagnen oder externe Dienstleister. Wie Banken damit ihren Kunden das Erkennen erschweren, zeigt unser Beitrag zu irreführenden Domains bei Banken und Sparkassen. Die Konsequenz ist dieselbe wie bei Schritt 7: Wer den Dienst grundsätzlich selbst aufruft, muss diese Unterscheidung gar nicht treffen.

Der Profi-Check: was die Kopfzeilen einer Mail verraten

Jede Mail trägt unsichtbare Kopfzeilen (Header) mit sich, eine Art Laufzettel, auf dem jeder beteiligte Server einen Stempel hinterlässt. Darin steht auch, ob die Mail drei Echtheitsprüfungen bestanden hat. Laien müssen das nicht bei jeder Mail tun, aber bei einer Nachricht, die Sie nicht eindeutig einordnen können, liefert der Blick hinein eine harte Antwort statt eines Gefühls.

• Gmail (Browser): Mail öffnen, rechts oben auf die drei Punkte, dann „Original anzeigen“. Oben erscheinen SPF, DKIM und DMARC jeweils mit dem Ergebnis.
• Outlook: In der geöffneten Mail über die drei Punkte die Ansicht der Nachrichtendetails oder der Nachrichtenquelle wählen. Gesucht ist die Zeile „Authentication-Results“.
• Apple Mail (Mac) und Thunderbird: Bei Apple Mail über „Darstellung“, „Nachricht“, „Alle Header“. Bei Thunderbird zeigt die Tastenkombination Strg+U (am Mac Cmd+U) den Quelltext. Auch hier nach „Authentication-Results“ suchen.

Die Lesart ist deshalb zweistufig. Steht bei DMARC ein FAIL und gibt sich die Mail als großes Unternehmen aus, ist sie mit hoher Wahrscheinlichkeit gefälscht. Steht dort PASS, wissen Sie nur, dass die Domain im Absender stimmt. Jetzt kommt es auf Schritt 2 an: Ist paypal.de der Absender, ist die Mail echt. Ist es paypal-sicherheit.de, hat der Betrüger seine eigene Domain lediglich ordentlich eingerichtet.

Der Alias-Trick: Phishing am Empfänger erkennen

Alle bisherigen Schritte prüfen den Absender. Es gibt eine zweite, deutlich einfachere Seite: den Empfänger. Wer für jeden Shop, jedes Kundenkonto und jeden Newsletter eine eigene Adresse verwendet, bekommt ein eingebautes Frühwarnsystem. Jede Adresse kennt genau ein Unternehmen. Kommt eine angebliche Nachricht Ihrer Bank an die Adresse, die Sie nur beim Möbelhändler hinterlegt haben, ist die Lage ohne jede technische Prüfung klar: Entweder ist die Mail gefälscht, oder der Möbelhändler hat Ihre Daten verloren. Meist beides.

Der verbreitete Plus-Trick (name+shop@anbieter.de) hilft dabei nur begrenzt, weil viele Formulare das Pluszeichen ablehnen und Täter den Zusatz einfach abschneiden, um an die Hauptadresse zu kommen. Wirksamer sind eigenständige Alias-Adressen, die in ein eigenes Postfach laufen. Eigene Alias-Adressen für Shops und Kundenkonten anlegenEigenwerbung. Ein Hinweis zur Technik: Mit den Alias-Adressen von Datenputzer empfangen Sie Mails im eigenen Postfach oder per Weiterleitung, das Versenden von einem Alias aus ist derzeit noch nicht möglich. Für die Phishing-Erkennung genügt der Empfang.

Woher Betrüger Ihren Namen und Ihre Anschrift kennen

Die meisten Spear-Phishing-Mails speisen sich aus zwei Quellen. Die erste sind Datenlecks: Kundendatenbanken von Shops, Lieferdiensten oder Plattformen, die nach einem Angriff in Foren gehandelt werden. Dagegen hilft nach dem Vorfall nur noch Wachsamkeit und ein neues Passwort.

Die zweite Quelle ist unspektakulärer und deshalb weniger bekannt: der legale Adresshandel. Werbe- und Adressbroker wie Deutsche Post Direkt, AZ Direct oder Acxiom führen Name, Anschrift, Haushaltsmerkmale und Kaufneigungen von Millionen Menschen, um sie an Werbetreibende zu vermieten. Das geschieht zu Werbezwecken, nicht für Betrug. Jede Firma, die solche Profile vorhält, ist aber ein weiterer Ort, an dem Ihre Daten liegen, und damit eine weitere mögliche Quelle, falls dort einmal ein Leck entsteht oder ein schwarzes Schaf in der Kette Daten ohne ausreichende Prüfung weitergibt. Jede Firma, die nichts über Sie speichert, kann auch nichts verlieren.

Gegen diese zweite Quelle können Sie vorbeugend etwas tun. Nach Art. 17 DSGVO können Sie verlangen, dass Daten gelöscht werden, für deren Verarbeitung keine Rechtsgrundlage mehr besteht, was bei reinem Werbeprofiling ohne Ihre Einwilligung häufig der Fall ist. Wie das rechtlich funktioniert, erklärt unser Ratgeber zu Löschung und Werbewiderspruch nach Art. 17 und 21 DSGVO. Einzeln bei jedem Broker ist das mühsam. Löschschutz einrichten und die Anträge an die Broker gebündelt verschicken lassenEigenwerbung. Ob und wann ein Broker löscht, entscheidet er selbst. Weniger gespeicherte Profile bedeuten aber weniger Stoff für glaubwürdige Vorwände.

Schon geklickt? Was jetzt zu tun ist

Ein Klick allein ist selten der Schaden. Entscheidend ist, was danach passiert ist. Ordnen Sie sich ehrlich in eine der Zeilen ein und handeln Sie entsprechend, je früher, desto besser:

Haben Sie ein Passwort preisgegeben, lohnt sich ein Blick auf die richtige Reihenfolge, denn das E-Mail-Postfach gehört vor allen anderen Konten abgesichert. Die Schritte im Detail beschreibt unser Ratgeber was zu tun ist, wenn ein Passwort offengelegt wurde. Ein Zusatztipp für die Zukunft: Ein Passwortmanager trägt Zugangsdaten nur auf der Domain ein, für die er sie gespeichert hat. Bietet er auf einer Anmeldeseite plötzlich nichts an, ist das ein verlässlicher Hinweis auf eine gefälschte Seite, und kein Anlass, das Passwort von Hand einzutippen.

Phishing melden: wohin mit der verdächtigen Mail?

Melden kostet zwei Minuten und hilft anderen. Die Verbraucherzentrale betreibt ein Phishing-Radar, für das Sie verdächtige Mails an phishing@verbraucherzentrale.nrw weiterleiten können. Klappt das Weiterleiten nicht, speichern Sie die Mail als .eml-Datei und laden sie auf der Seite hoch (bis 2 MB). Die Einsendungen fließen anonymisiert in öffentliche Warnungen ein, eine persönliche Antwort gibt es wegen der Menge nicht.

• Nachgeahmtes Unternehmen: Viele Banken, Paketdienste und Shops nennen auf ihrer Website eine eigene Meldeadresse für Phishing. Suchen Sie sie über die offizielle Seite, nicht über die Mail.
• Ihr Mailanbieter: Markieren Sie die Nachricht als Spam oder Phishing, statt sie nur zu löschen. Das verbessert den Filter für alle Nutzer.
• Polizei: Ist Geld abgeflossen oder ein Konto übernommen worden, erstatten Sie Anzeige, in den meisten Bundesländern auch online über die Internetwache. Die Anzeige brauchen Sie oft für Bank und Versicherung.

Prüfliste: das Postfach einmal phishingfest einstellen

Die sieben Schritte helfen im Moment der Entscheidung. Die folgenden Einstellungen sorgen dafür, dass dieser Moment seltener kommt und weniger gefährlich ist. Sie nehmen sich dafür einmal eine halbe Stunde:

• Externe Bilder nicht automatisch laden: Damit verraten Sie beim Öffnen nicht, dass die Adresse gelesen wird. Wie das bei den gängigen Programmen geht, steht in unserer Anleitung E-Mail-Tracking und Zählpixel blockieren.
• Lesezeichen für alles, was Geld betrifft: Banking, PayPal, Versicherung, Behördenportale. Wer diese Seiten nur über Lesezeichen oder App aufruft, umgeht jeden gefälschten Link, egal wie gut er gemacht ist.
• Passkeys statt Passwörter, wo möglich: Ein Passkey ist an die echte Domain gebunden und funktioniert auf einer Fälschung schlicht nicht. Er ist damit der wirksamste technische Schutz gegen gefälschte Anmeldeseiten. Unsere Anleitung zum Einrichten von Passkeys zeigt die typischen Stolperstellen.
• Bei jeder neuen Anmeldung eine eigene Adresse: Künftig bekommt jeder neue Shop, jedes Probeabo und jeder Newsletter einen eigenen Alias. So wird der Empfänger-Check aus dem Alias-Abschnitt zur Gewohnheit. Alias-Postfach für neue Anmeldungen einrichtenEigenwerbung
• QR-Codes in Mails wie Links behandeln: Ein QR-Code in einer Mail umgeht die Linkvorschau am Rechner, weil Sie ihn mit dem Handy scannen. Die Masche heißt Quishing und ist in unserem Beitrag zum Betrug mit QR-Codes ausführlich beschrieben.
• Datenquellen austrocknen: Je weniger Unternehmen ein Profil mit Ihrer Anschrift und Ihren Kaufgewohnheiten führen, desto weniger Material für persönliche Vorwände kann irgendwo abfließen. Löschanträge an Werbe- und Adressbroker in Auftrag gebenEigenwerbung

Häufige Fragen zum Erkennen von Phishing-Mails