Phishing-Mail erkennen: 10 Warnzeichen

Moderne Phishing-Mails müssen weder voller Rechtschreibfehler sein noch offensichtlich unseriös aussehen. Gefälschte Microsoft-Anmeldungen, Rechnungen oder Nachrichten eines vermeintlichen Vorgesetzten können sehr überzeugend wirken. Entscheidend ist deshalb weniger das Design der Mail als ihr Kontext.

1. Ungewöhnlicher Zeitdruck

„Ihr Konto wird heute gesperrt“, „Zahlung sofort erforderlich“ oder „Dokument dringend freigeben“: Zeitdruck soll dazu bringen, eine Aktion auszuführen, bevor die Nachricht geprüft wird. Dringlichkeit allein beweist noch keinen Betrug. Sie ist aber ein guter Grund, genauer hinzusehen.

2. Die vollständige Absenderadresse passt nicht

Der angezeigte Name kann beliebig gesetzt werden. Im Posteingang kann deshalb „Microsoft Support“ oder der Name eines Kollegen stehen, obwohl die tatsächliche Absenderadresse zu einer fremden Domain gehört. Bei unerwarteten Nachrichten sollte die vollständige Adresse kontrolliert werden.

3. Die Nachricht passt nicht zum normalen Ablauf

Eine Rechnung kann professionell aussehen und trotzdem verdächtig sein, wenn niemand etwas bestellt hat. Dasselbe gilt für eine angebliche Paketbenachrichtigung ohne erwartete Lieferung oder eine Freigabe eines Dokuments von jemandem, mit dem gerade gar kein Projekt läuft. Kontext schlägt Optik.

4. Ein Link führt nicht dorthin, wo der Text behauptet

Am Computer lässt sich das Linkziel häufig anzeigen, indem der Mauszeiger darüber bewegt wird, ohne zu klicken. Weicht die Domain vom erwarteten Anbieter ab, sollte die Seite nicht geöffnet werden. Auf mobilen Geräten ist das schwieriger; im Zweifel die bekannte Website lieber selbst im Browser aufrufen.

5. Die Mail verlangt plötzlich eine Anmeldung

Ein typischer Ablauf: Die E-Mail behauptet, ein Dokument oder eine Nachricht stehe bereit. Der Link führt auf eine Seite, die Microsoft 365 oder einen anderen Dienst nachahmt. Wer dort Benutzername und Passwort eingibt, kann diese Daten direkt an den Angreifer übermitteln.

Wenn ein Dienst eine Anmeldung verlangt, obwohl Sie ihn regelmäßig nutzen, lohnt sich der direkte Weg über die bekannte Website oder App.

6. Ein unerwarteter Anhang

Rechnungen, Bewerbungen, Lieferscheine und gescannte Dokumente eignen sich gut als Vorwand für gefährliche Anhänge. Eine bekannte Absenderadresse macht einen Anhang nicht automatisch sicher. Auch echte Geschäftskonten können kompromittiert werden.

7. Eine Bankverbindung ändert sich per E-Mail

Neue Kontodaten eines Lieferanten sollten nicht ausschließlich aufgrund einer E-Mail übernommen werden. Eine kurze Rückfrage über eine bereits bekannte Telefonnummer ist deutlich billiger als eine Überweisung auf ein falsches Konto. Besonders bei größeren Beträgen sollte dafür ein fester interner Ablauf existieren.

8. Der Chef verlangt etwas, das sonst nie vorkommt

Gutscheinkarten kaufen, eine dringende Überweisung durchführen oder vertrauliche Daten senden: Beim sogenannten CEO-Fraud spielen Angreifer mit Autorität und Zeitdruck. Typisch ist auch der Hinweis, dass der vermeintliche Vorgesetzte gerade in einem Termin sitzt und telefonisch nicht erreichbar sei.

Ungewöhnliche Zahlungs- oder Datenanforderungen sollten immer über einen zweiten Kommunikationsweg bestätigt werden.

9. Sprache und Gestaltung wirken untypisch

Fehlerhafte Grammatik, merkwürdige Übersetzungen und eine unpassende Anrede bleiben Warnzeichen. Darauf sollte man sich aber nicht verlassen. Phishing-Mails können sprachlich sauber sein und Logos, Signaturen oder frühere echte E-Mail-Verläufe nutzen.

10. Die Mail möchte einen normalen Prozess umgehen

„Diesmal bitte nicht über das Bestellsystem“, „nur auf diese Mail antworten“ oder „nicht bei der Buchhaltung nachfragen“: Wenn eine Nachricht etablierte Abläufe bewusst umgeht, ist Vorsicht angebracht. Gute Prozesse sind auch eine Sicherheitsmaßnahme.

Was tun bei einer verdächtigen Mail?

• Nicht auf Links klicken und keine Anhänge öffnen.
• Die vollständige Absenderadresse prüfen.
• Den Dienst direkt über die bekannte Website oder App aufrufen.
• Bei Geschäftspartnern oder Kollegen über einen bekannten Kontaktweg nachfragen.
• Die Nachricht an die zuständige IT oder verantwortliche Person weitergeben.

Was, wenn bereits geklickt wurde?

Ein Klick allein bedeutet nicht automatisch, dass ein Konto übernommen wurde. Wurden jedoch Zugangsdaten eingegeben, sollte schnell gehandelt werden. Passwort ändern, die zuständige IT informieren und andere Konten prüfen, bei denen dasselbe Passwort verwendet wurde.

Bei geschäftlichen Konten sollte zusätzlich kontrolliert werden, ob unbekannte Anmeldungen, neue Weiterleitungsregeln oder andere Änderungen vorgenommen wurden. Mehrfaktor-Authentifizierung kann viele Angriffe deutlich erschweren; welche Methoden sich dafür eignen, erklären wir im Artikel MFA: Warum ein Passwort allein nicht reicht.

Phishing ist kein reines Mitarbeiterproblem

Schulung ist wichtig, aber Menschen machen Fehler. Deshalb sollte ein Betrieb zusätzlich technische Schutzschichten einsetzen: aktuelle Systeme, Spam- und Schadsoftwarefilter, MFA, eingeschränkte Rechte und eine Datensicherung, die auch nach einem erfolgreichen Angriff noch brauchbar ist.

Einen Überblick über die wichtigsten Grundlagen finden Sie unter IT-Sicherheit für kleine Betriebe.