Eine Phishing-Mail will eines: dass Sie auf einen Link klicken oder einen Anhang öffnen und dort etwas eingeben, das Ihnen gehört: ein Passwort, eine Kartennummer, eine TAN. Alles andere, das Logo, der Ton, die Dringlichkeit, dient diesem Klick. Deshalb prüft man nicht, ob die Mail echt aussieht, sondern zwei Dinge, die sich nicht fälschen lassen: die tatsächliche Absenderadresse und das tatsächliche Linkziel. Alles Weitere ist Bestätigung.
Das Wichtigste in Kürze
Keine Bank, kein Paketdienst, keine Behörde und kein Onlineshop verlangt per E-Mail, dass Sie über einen Link Zugangsdaten eingeben, eine Zahlung „bestätigen“ oder ein Konto „verifizieren“. Wer das liest, öffnet die Website des Anbieters selbst, über die App oder die getippte Adresse, und schaut dort nach. Wenn dort nichts wartet, war die Mail Phishing.
Die sieben Merkmale
- Die Absenderadresse, nicht der Absendername. Der Name im Postfach ist frei wählbar; „Sparkasse Kundenservice“ kann jeder eintragen. Entscheidend ist die Adresse dahinter, und dort steht dann sparkasse-sicherheit-2026.info oder eine Zufallsdomain. Auf dem Handy muss man den Absender antippen, um sie zu sehen.
- Das Linkziel, nicht der Linktext. Der blaue Text kann „www.dhl.de“ heißen und auf etwas ganz anderes zeigen. Am Rechner zeigt der Mauszeiger über dem Link das Ziel unten im Fenster; auf dem Handy hält man den Finger auf dem Link, ohne zu tippen, und liest die Vorschau. Die Domain ist der Teil direkt vor dem ersten Schrägstrich: dhl.de.paket-status.com ist nicht DHL, sondern paket-status.com.
- Druck. Frist von 24 Stunden, Kontosperrung, letzte Mahnung, Paket wird zurückgeschickt, Steuererstattung verfällt. Echte Anbieter setzen Fristen in Briefen und in ihren Portalen, nicht in Mails mit Countdown.
- Die Aufforderung selbst. Daten eingeben, Zahlung freigeben, App installieren, Anhang öffnen, Zollgebühr überweisen. Sobald eine Mail eine dieser Handlungen verlangt, ist die Wahrscheinlichkeit hoch, unabhängig vom Rest.
- Die Anrede. „Sehr geehrter Kunde“ statt des Namens war lange das sicherste Zeichen. Es ist schwächer geworden, weil Adressdaten aus Datenlecks den Namen enthalten; eine korrekte Anrede beweist nichts mehr.
- Sprache und Gestaltung. Rechtschreibfehler und schiefe Logos gibt es noch, aber seltener; KI-Werkzeuge liefern fehlerfreie Texte. Ein perfekter Text ist kein Echtheitsbeweis, ein schlechter aber weiterhin ein Warnsignal.
- Der Anhang. Rechnungen als ZIP, Bewerbungen als .exe, Dokumente, die „Bearbeitung aktivieren“ verlangen: Anhänge von unbekannten Absendern öffnet man nicht, und Anhänge von bekannten Absendern nur, wenn man sie erwartet.
Die Maschen, die gerade laufen
Die Vorwände wechseln mit den Jahreszeiten, die Mechanik nicht. Paketbenachrichtigungen mit Zollgebühr von wenigen Euro, weil eine kleine Summe die Kartendaten liefert. Banken, die eine „neue Sicherheits-App“ oder die „Bestätigung des Geräts“ verlangen, um TAN-Verfahren zu übernehmen. Steuererstattungen vom „Finanzamt“ mit Link, obwohl das Finanzamt nur per Bescheid und über ELSTER kommuniziert. Streamingdienste mit fehlgeschlagener Zahlung. Und die SMS-Variante, Smishing: dieselben Maschen als Kurznachricht, oft von normalen Handynummern, mit gekürzten Links. Für SMS gelten dieselben zwei Prüfungen; nur ist das Linkziel dort schwerer zu sehen, was die Masche erfolgreicher macht.
Einen Überblick über aktuell kursierende Wellen führt das Phishing-Radar der Verbraucherzentrale; wer eine verdächtige Mail hat, findet sie dort häufig schon beschrieben. Was am Telefon statt per Mail passiert, steht unter Enkeltrick, WhatsApp-Masche, Schockanruf.
Was man tut, wenn man unsicher ist
- Nicht in der Mail klicken. Den Anbieter über die App oder die selbst getippte Adresse aufrufen und dort nachsehen.
- Bei Bank und Zahlungsdiensten: nie über einen Link einloggen, immer über die App.
- Die Mail an die Missbrauchsadresse des echten Anbieters weiterleiten; große Anbieter haben eine, meist nach dem Muster phishing@ oder abuse@.
- An die Verbraucherzentrale melden, damit sie im Phishing-Radar erscheint.
- Löschen. Antworten, auch mit Beschimpfung, bestätigt nur, dass die Adresse aktiv ist.
Was man tut, wenn man geklickt hat
Reihenfolge zählt, weil der Schaden mit jeder Minute wächst.
- Nichts eingegeben? Dann ist meist nichts passiert; Browser-Verlauf und Downloads prüfen, Virenscan laufen lassen. Wurde ein Anhang geöffnet: Gerät vom Netz trennen und scannen, im Zweifel neu aufsetzen.
- Passwort eingegeben? Sofort ändern, beim betroffenen Dienst und überall, wo dasselbe Passwort in Gebrauch war. Danach Zwei-Faktor-Authentifizierung einschalten, siehe Zwei-Faktor-Authentifizierung einrichten. Wer einen Passwortmanager nutzt, sieht dort, wo das Passwort noch verwendet wurde.
- Karten- oder Bankdaten eingegeben? Karte sperren über den Sperr-Notruf 116 116 oder die Bank, Online-Banking sperren lassen, Umsätze prüfen. Abgebuchte Beträge bei der Bank reklamieren; bei nicht autorisierten Zahlungen muss die Bank erstatten, außer bei grober Fahrlässigkeit, und die Eingabe auf einer Phishing-Seite gilt nicht automatisch als grob fahrlässig.
- TAN eingegeben oder Zahlung freigegeben? Bank anrufen, Zahlung stoppen lassen, wenn sie noch nicht ausgeführt ist; danach Anzeige.
- Anzeige erstatten, bei der Online-Wache der Landespolizei oder auf der Wache. Die Anzeige ist Voraussetzung dafür, dass die Bank den Schaden erstattet, und sie hilft bei einem späteren Identitätsmissbrauch.
- Beweise sichern: die Mail als Datei speichern, Screenshots der Seite, Zeitpunkt notieren.
Was E-Mail-Anbieter tun und was nicht
Spamfilter fangen einen großen Teil ab und markieren einen Teil des Rests. Sie erkennen bekannte Absender, Massenversand und bekannte Links; sie erkennen nicht die einzeln geschriebene Mail an eine einzelne Person, die den Namen kennt und den richtigen Vorwand trifft. Eine Mail im Posteingang ist nicht deshalb echt, weil sie nicht im Spam gelandet ist. Und eine Mail im Spam ist nicht deshalb gefährlich; Newsletter landen dort täglich.
Die häufigsten Fehler
- Auf den Absendernamen vertrauen.
- Den Link anklicken, „nur um zu schauen“. Die Seite kann schon beim Öffnen Schaden anrichten, und der Klick bestätigt eine lebende Adresse.
- Nach einem Klick das Passwort nur bei einem Dienst ändern, obwohl es bei fünf im Einsatz war.
- Die Anzeige weglassen, weil der Schaden klein war. Ohne Anzeige keine Erstattung.
- Die Mail des Kindes oder der Eltern für harmlos halten. Ältere Menschen sind das Hauptziel; wer ihnen die zwei Prüfungen einmal zeigt, tut mehr als jeder Filter.
Stand: 14. September 2026. Quellen: Bundesamt für Sicherheit in der Informationstechnik (BSI), Bürger-CERT; Verbraucherzentrale, Phishing-Radar; Sperr-Notruf 116 116. Zur Haftung bei nicht autorisierten Zahlungen: §§ 675u, 675v BGB.
