Phishing-Mails erkennen: Die aktuellen Maschen der Betrüger

Kurz gesagt: Moderne Phishing-Mails sind dank KI fehlerfrei und täuschend echt. Verlassen Sie sich deshalb nicht auf Rechtschreibfehler, sondern prüfen Sie die tatsächliche Absenderadresse und das Link-Ziel. Die wichtigste Regel: Melden Sie sich nie über einen Link aus einer E-Mail oder SMS an, sondern öffnen Sie die Website oder App immer selbst.

Der alte Ratschlag "Phishing erkennt man an schlechtem Deutsch" hat ausgedient. Betrüger nutzen längst KI-Textgeneratoren und erstellen damit fehlerfreie, stilistisch überzeugende Nachrichten, auf Wunsch sogar im Tonfall der imitierten Bank oder des imitierten Online-Shops. Umso wichtiger ist es, die Merkmale zu kennen, die sich nicht so leicht fälschen lassen.

Die aktuellen Maschen im Überblick

Gefälschte Bank- und Bezahldienst-Mails

Der Dauerbrenner. Angebliche Nachrichten von Sparkasse, Volksbank, PayPal oder Amazon fordern dazu auf, das Konto zu "verifizieren", ein neues Sicherheitsverfahren zu bestätigen oder eine angeblich gesperrte Karte zu reaktivieren. Der Link führt auf eine nachgebaute Anmeldeseite, die Zugangsdaten direkt an die Betrüger weiterleitet.

Paket-Benachrichtigungen per SMS (Smishing)

"Ihr Paket konnte nicht zugestellt werden", gefolgt von einem Link zur "Neuterminierung", oft verbunden mit einer angeblichen Zollgebühr von wenigen Euro. Ziel sind die Kreditkartendaten. Diese Masche läuft verstärkt über SMS und Messenger, weil dort die Absenderprüfung schwerer fällt.

QR-Code-Phishing (Quishing)

Statt eines Links enthält die Mail oder ein Brief einen QR-Code, angeblich für eine Rechnung, ein Bußgeld oder die Anmeldung. Der Trick: QR-Codes werden von vielen Spam-Filtern nicht geprüft, und auf dem Smartphone ist die Zieladresse schwerer zu kontrollieren als am PC. Auch gefälschte QR-Codes auf Parkautomaten und E-Ladesäulen wurden bereits beobachtet.

Gefälschte Behörden-Nachrichten

Angebliche Mails vom Finanzamt bzw. ELSTER ("Ihre Steuererstattung wartet"), von der Polizei oder von Gerichtsvollziehern setzen auf Autorität und Angst. Echte Behörden fordern niemals per E-Mail-Link zur Eingabe von Kontodaten auf.

Fake-CAPTCHA: "Drücken Sie Windows + R"

Eine besonders tückische neue Masche: Eine Webseite zeigt eine scheinbar harmlose Prüfung "Ich bin kein Roboter". Statt Bilder anzuklicken, sollen Sie zur "Verifizierung" die Tastenkombination Windows + R drücken, mit Strg + V etwas einfügen und mit Enter bestätigen. Dabei führen Sie selbst einen Befehl aus, den die Seite vorher heimlich in die Zwischenablage kopiert hat, und installieren so Schadsoftware. Merke: Keine echte Sicherheitsprüfung verlangt jemals, dass Sie etwas in "Ausführen", die Eingabeaufforderung oder PowerShell einfügen.

Echtzeit-Phishing trotz Zwei-Faktor-Authentisierung

Moderne Phishing-Seiten schalten sich als unsichtbarer Zwischenschritt zwischen Opfer und echte Website. Eingegebene Zugangsdaten und sogar der Bestätigungscode werden in Echtzeit an die echte Seite weitergereicht. Die Anmeldung funktioniert scheinbar normal, während die Betrüger die Sitzung übernehmen. Auch eine aktivierte Zwei-Faktor-Authentisierung schützt deshalb nicht davor, auf einer gefälschten Seite zu landen.

Schockanrufe mit geklonter Stimme

Phishing funktioniert längst nicht mehr nur per Mail. Mit wenigen Sekunden Sprachmaterial aus sozialen Netzwerken können Betrüger heute Stimmen täuschend echt nachahmen und rufen dann etwa als angeblich verunglücktes Familienmitglied an. Woran Sie solche Anrufe erkennen, erklärt der Ratgeber geklonte Stimmen erkennen auf deepfake.de. Ein vorher vereinbartes Familien-Codewort ist ein einfacher und wirksamer Schutz.

Woran Sie Phishing zuverlässig erkennen

Da Sprache und Optik kaum noch verräterisch sind, konzentrieren Sie sich auf die technischen Merkmale:

• Absenderadresse genau prüfen: Nicht der angezeigte Name zählt, sondern die tatsächliche Adresse dahinter. "Sparkasse Kundenservice" kann von jeder beliebigen Adresse gesendet worden sein. Vorsicht bei fremden Domains oder eingeschobenen Zusätzen (etwa sparkasse-sicherheit-24.com statt sparkasse.de).
• Link-Ziel vor dem Klick kontrollieren: Am PC zeigen Sie mit der Maus auf den Link, ohne zu klicken. Die Zieladresse erscheint dann unten im Fenster. Entscheidend ist der Teil unmittelbar vor dem ersten einzelnen Schrägstrich: Dort muss die echte Domain stehen.
• Druck und Dringlichkeit: "Innerhalb von 24 Stunden", "sonst wird Ihr Konto gesperrt", "letzte Mahnung": Künstlicher Zeitdruck ist und bleibt das zuverlässigste Warnsignal. Seriöse Anbieter drohen nicht per Mail mit Sofortmaßnahmen.
• Unerwartete Anhänge: Rechnungen oder Mahnungen von Firmen, bei denen Sie nichts bestellt haben, gehören ungeöffnet in den Papierkorb. Das gilt besonders für Office-Dateien mit Makros und ZIP-Archive.
• Abfrage sensibler Daten: Kein seriöses Unternehmen fragt per E-Mail nach Passwort, PIN oder TAN. Niemals. Diese Regel kennt keine Ausnahme.

Zum Durchgehen einer verdächtigen Mail eignet sich die interaktive Phishing-Checkliste auf social-engineering.org: 15 Warnzeichen zum Abhaken, die sich auch ausdrucken lassen.

Die wichtigste Verhaltensregel

Melden Sie sich niemals über einen Link aus einer E-Mail oder SMS bei Ihrem Konto an. Wenn eine Nachricht von Ihrer Bank oder einem Shop echt sein könnte, öffnen Sie die Website selbst, über ein gespeichertes Lesezeichen oder die von Hand eingetippte Adresse, oder nutzen Sie die offizielle App. Ist dort keine entsprechende Meldung zu finden, war die Mail Phishing.

Zwei technische Helfer unterstützen zusätzlich: Ein Passwort-Manager füllt Zugangsdaten nur auf der echten Domain automatisch aus. Verweigert er die Eingabe, ist das ein deutliches Warnsignal. Und Passkeys, die immer mehr Dienste anbieten, sind an die echte Website gebunden und laufen auf Phishing-Seiten schlicht ins Leere.

Doch geklickt - was nun?

• Haben Sie Zugangsdaten eingegeben, ändern Sie das Passwort des betroffenen Kontos sofort, ebenso bei allen anderen Diensten, bei denen Sie dasselbe Passwort verwenden.
• Bei Bank- oder Kreditkartendaten: umgehend die Bank kontaktieren und Karte bzw. Zugang sperren lassen (Sperr-Notruf 116 116).
• Haben Sie auf Anweisung einer Webseite einen Befehl ausgeführt oder eine Datei geöffnet, trennen Sie den PC vom Internet und lassen Sie ihn prüfen, bevor Sie sich wieder bei wichtigen Konten anmelden.
• Beobachten Sie Ihre Konten in den folgenden Wochen auf ungewöhnliche Abbuchungen.
• Erstatten Sie Anzeige. Das geht in den meisten Bundesländern bequem über die Onlinewache der Polizei.

Im Zweifel gilt: lieber einmal zu viel nachgefragt. Verdächtige Mails können Sie gerne auch in unserem Forum posten (Screenshots ohne persönliche Daten), die Community hilft bei der Einschätzung.