Phishing-E-Mails erkennen: 12 Warnsignale

Eine Phishing-E-Mail ist eine Nachricht, die vorgibt, von einer vertrauenswürdigen Person oder Firma zu stammen, damit Sie auf einen Link klicken, eine Datei öffnen, ein Passwort preisgeben oder Geld überweisen. Die meisten erkennen Sie, wenn Sie prüfen, wer die Nachricht wirklich gesendet hat, wohin ihre Links tatsächlich führen und ob sie Sie zu einer schnellen Reaktion auf etwas drängt, womit Sie nicht gerechnet haben.

Phishing nutzt Vertrauen aus: das Logo einer Bank, den Namen einer Kollegin oder eines Kollegen, den Ton eines Paketdienstes. Die folgenden Gewohnheiten kosten nur Sekunden und funktionieren in jeder Mail-App.

Die 12 Warnsignale einer Phishing-E-Mail

1. Anzeigename und Adresse passen nicht zusammen. „PayPal Support“ lässt sich mit jeder beliebigen Adresse verknüpfen. Tippen Sie auf den Namen oder fahren Sie mit der Maus darüber, um die vollständige Adresse zu sehen. Eine Marke, die von einem kostenlosen Webmail-Konto oder einer fremden Domain schreibt, ist ein starkes Warnsignal.
2. Eine ähnlich aussehende oder getarnte Domain. Angreifer registrieren Domains, die sich nur in einem Zeichen unterscheiden (rnicrosoft.com mit „r n“ statt „m“), fügen Wörter hinzu (paypal-secure-login.com) oder verwenden den echten Namen als Subdomain (paypal.com.account-check.net, die zu account-check.net gehört). Internationalisierte Domainnamen erlauben Buchstaben aus anderen Alphabeten, die lateinischen zum Verwechseln ähnlich sehen, etwa ein kyrillisches „а“ statt „a“. Ihre zugrunde liegende Form beginnt mit xn-- (Punycode); wenn Sie dieses Präfix in einem Link oder einer Adresse sehen, mit der Sie nicht gerechnet haben, behandeln Sie sie als verdächtig.
3. Dringlichkeit, Angst oder Druck. „Ihr Konto wird in 24 Stunden geschlossen“, „offene Rechnung“, „rechtliche Schritte“. Künstliche Fristen sollen Sie davon abhalten, nachzuprüfen.
4. Links, deren Text und Ziel sich unterscheiden. Der sichtbare Text eines Links kann beliebig lauten. Das echte Ziel erscheint, wenn Sie mit der Maus darüberfahren, in der Statusleiste oder in einem Tooltip. Nennt der Text eine Website und das Ziel ist eine andere, klicken Sie nicht.
5. Unerwartete Anhänge. Seien Sie bei jeder Datei misstrauisch, die Sie nicht erwartet haben, und besonders bei HTML-Dateien (sie können eine täuschend echte, auf Ihrem eigenen Computer gespeicherte Anmeldeseite öffnen), ZIP- oder anderen Archiven, ISO- und IMG-Datenträgerabbildern, passwortgeschützten Archiven mit dem Passwort im Text der E-Mail sowie Office-Dokumenten, die Sie auffordern, „Inhalt zu aktivieren“ oder Makros zuzulassen. Archive und Datenträgerabbilder sind beliebt, weil sie den wahren Dateityp vor Mailfiltern verbergen können.
6. Aufforderung zur Eingabe von Zugangsdaten oder persönlichen Daten. Seriöse Unternehmen verlangen nicht, dass Sie Ihr Passwort, Ihre PIN, die vollständige Kartennummer oder einen Einmalcode per E-Mail oder über einen Link in einer E-Mail bestätigen.
7. Ein QR-Code, den Sie scannen sollen. Beim QR-Phishing („Quishing“) steckt der Link in einem Bild, sodass Filter ihn nicht lesen können, und Sie öffnen ihn auf Ihrem Handy, das oft schlechter geschützt ist als ein Arbeitsrechner. Seien Sie misstrauisch bei QR-Codes in E-Mails zur MFA-Einrichtung, zum Signieren von Dokumenten oder zu Kontoproblemen.
8. Eine abweichende Antwortadresse (Reply-To). Die Absenderzeile kann richtig aussehen, während Antworten woandershin gehen. Wenn Sie auf „Antworten“ drücken, prüfen Sie die Adresse, die im Feld „An“ erscheint. Eine Abweichung ist bei Rechnungsbetrug häufig.
9. Eine allgemeine Anrede oder falsche Angaben. „Sehr geehrter Kunde“, „Liebe Nutzerin, lieber Nutzer“ oder Ihre E-Mail-Adresse als Name deuten auf eine Massenkampagne hin. Ein korrekter Name beweist allerdings nichts.
10. Ein Angebot, das zu gut ist, um wahr zu sein. Unerwartete Rückerstattungen, Gewinne, Erbschaften, Krypto-Renditen oder ein Job, auf den Sie sich nie beworben haben, sind Köder. Das gilt auch für eine kleine Gebühr, die angeblich nötig ist, um eine hohe Auszahlung freizugeben.
11. Eine Änderung von Zahlungs- oder Bankdaten. Beim Business Email Compromise „aktualisiert“ ein Lieferant, eine Kollegin oder eine Führungskraft angeblich die Bankverbindung oder bittet um eine dringende Überweisung oder um Geschenkkarten. Die E-Mail kann von einem tatsächlich gekaperten Konto stammen und deshalb jede technische Prüfung bestehen.
12. MFA-Abfragen oder Codes, die Sie nicht angefordert haben. Eine Flut von Bestätigungsanfragen auf Ihrem Handy oder eine E-Mail, in der Sie einen Code vorlesen sollen, bedeutet: Möglicherweise kennt jemand schon Ihr Passwort und versucht, den zweiten Faktor zu umgehen. Lehnen Sie die Anfrage ab und ändern Sie Ihr Passwort.

Kurzübersicht: Worauf Sie achten sollten

So prüfen Sie einen Link, ohne ihn zu öffnen

1. Fahren Sie am Computer mit der Maus über den Link und warten Sie, bis die echte Adresse unten im Fenster oder in einem Tooltip erscheint.
2. Halten Sie auf dem Handy den Link gedrückt, um die Adresse zu sehen. Manche Handys zeigen eine Live-Vorschau der Seite; sicherer ist es daher, den Link zu kopieren und in eine Notizen-App einzufügen.
3. Finden Sie die registrierte Domain: Lesen Sie den Hostnamen von rechts bis zum ersten einzelnen Schrägstrich. In https://login.example.com.secure-verify.io/account lautet die Domain secure-verify.io, nicht example.com.
4. Wenn Sie den Dienst aufrufen müssen, tippen Sie die Adresse selbst ein oder nutzen Sie ein Lesezeichen oder die offizielle App statt des Links.

Unsere Phishing-E-Mail-Analyse prüft eingefügten Text oder Header auf irreführende Links, gefälschte Absender und weitere Warnsignale, ohne dass Sie etwas öffnen müssen.

So lesen Sie E-Mail-Header sicher

Jede E-Mail enthält verborgene Header, die festhalten, welche Server sie bearbeitet haben und ob sie die Authentifizierung bestanden hat. Das Ansehen ist ungefährlich, denn Sie lesen nur Text. So finden Sie sie:

• Gmail: Öffnen Sie die Nachricht, wählen Sie das Menü mit den drei Punkten und dann Original anzeigen.
• Outlook im Web und neues Outlook: Öffnen Sie die Nachricht, wählen Sie das Menü mit den drei Punkten, dann Ansicht und Nachrichtendetails anzeigen.
• Klassisches Outlook für Windows: Öffnen Sie die Nachricht, wählen Sie Datei und Eigenschaften und sehen Sie unter Internetkopfzeilen nach.
• Apple Mail: Darstellung, E-Mail, Alle Header oder Rohdaten.

Am nützlichsten ist meist die Zeile Authentication-Results, die Ihr eigener Mailanbieter hinzufügt:

Authentication-Results: mx.example.net;
  spf=pass smtp.mailfrom=bounce.example-shop.com;
  dkim=pass header.d=example-shop.com;
  dmarc=pass header.from=example-shop.com

Prüfen Sie, ob die Domains hier zu der Marke passen, die Sie erwarten. Vergleichen Sie außerdem die Adressen in From, Reply-To und Return-Path und lesen Sie die Received-Zeilen von unten nach oben, um zu sehen, wo die Nachricht ihren Anfang nahm. Wenn Sie die Header in unsere E-Mail-Header-Analyse einfügen, sehen Sie jede Station und jedes Authentifizierungsergebnis übersichtlich aufbereitet.

Was SPF, DKIM und DMARC aussagen können und was nicht

Mit diesen drei Standards kann ein empfangender Server prüfen, ob eine Nachricht tatsächlich von der Domain stammt, die sie angibt:

• SPF listet die Server auf, die für eine Domain Mails versenden dürfen, und wird gegen den Envelope-Absender (den Return-Path) geprüft.
• DKIM fügt eine kryptografische Signatur hinzu, die belegt, dass eine Domain die Verantwortung für die Nachricht übernommen hat und dass signierte Teile nicht verändert wurden.
• DMARC verlangt, dass SPF oder DKIM für eine Domain bestehen, die mit der sichtbaren Absenderadresse übereinstimmt, und teilt den Empfängern mit, was sie sonst tun sollen: nichts, in Quarantäne verschieben oder ablehnen.

Wenn eine Marke eine strenge DMARC-Richtlinie veröffentlicht, können Kriminelle genau diese Domain nicht ohne Weiteres in die Absenderzeile setzen. Deshalb nutzt Phishing so oft ähnlich aussehende Domains, Tricks mit dem Anzeigenamen oder gekaperte Konten. Eine Nachricht von paypa1-billing.com kann SPF, DKIM und DMARC für ihre eigene Domain einwandfrei bestehen. Ein Pass belegt, wer die E-Mail gesendet hat, nicht dass der Absender ehrlich ist. Ein Fail bei einer Nachricht, die angeblich von einer großen Marke stammt, ist dagegen ein starker Grund für Misstrauen.

Wenn Sie eine Domain betreiben, prüfen Sie mit unserem SPF- & DMARC-Check, ob Ihre eigenen Einträge vorhanden sind, und lesen Sie SPF, DKIM und DMARC erklärt für die Einrichtung.

Was tun bei einer verdächtigen E-Mail?

1. Klicken Sie nicht auf Links, öffnen Sie keine Anhänge, scannen Sie keine QR-Codes und antworten Sie nicht.
2. Prüfen Sie über einen separaten Kanal: Rufen Sie die Person unter einer Nummer an, die Sie bereits haben, oder melden Sie sich beim Dienst an, indem Sie dessen Adresse selbst eintippen.
3. Melden Sie die E-Mail. Nutzen Sie bei der Arbeit die Schaltfläche „Phishing melden“ oder leiten Sie sie so weiter, wie Ihre IT-Abteilung es verlangt. In Gmail und Outlook gibt es dafür die integrierte Option Phishing melden. In Großbritannien können Sie verdächtige E-Mails an das NCSC unter report@phishing.gov.uk weiterleiten; in den USA können Sie Betrug bei der FTC unter reportfraud.ftc.gov melden.

Was tun, wenn Sie bereits geklickt haben?

Entscheidend ist, was nach dem Klick passiert ist. Handeln Sie schnell:

1. Wenn Sie ein Passwort eingegeben haben, ändern Sie es sofort auf der echten Website, die Sie von Hand eintippen, und bei allen anderen Konten, die dasselbe Passwort verwenden. Melden Sie sich dann von allen anderen Sitzungen ab, was die meisten großen Dienste in ihren Sicherheitseinstellungen anbieten.
2. Aktivieren oder überprüfen Sie MFA. Entfernen Sie alle Geräte, App-Passwörter oder Authenticator-Registrierungen, die Sie nicht kennen. Passkeys und Hardware-Sicherheitsschlüssel sind gegen Phishing resistent, weil sie nur auf der echten Website funktionieren.
3. Prüfen Sie die Einstellungen Ihres Postfachs. Angreifer, die in ein E-Mail-Konto gelangen, richten oft Weiterleitungsregeln oder Filter ein, die Antworten verbergen. Suchen Sie nach Regeln, die Sie nicht erstellt haben.
4. Wenn Sie einen Anhang geöffnet oder eine Datei ausgeführt haben, trennen Sie das Gerät vom Netzwerk und wenden Sie sich an Ihre IT-Abteilung; bei einem privaten Gerät führen Sie einen vollständigen Scan mit aktueller Sicherheitssoftware durch.
5. Wenn Sie Geld oder Kartendaten übermittelt haben, rufen Sie sofort Ihre Bank oder Ihren Kartenanbieter an, und zwar unter der Nummer auf Ihrer Karte oder auf dessen offizieller Website. Je schneller Sie sind, desto größer ist die Chance, eine Zahlung noch zu stoppen.
6. Informieren Sie Personen, die als Nächste angegriffen werden könnten, etwa Kolleginnen, Kollegen oder Kontakte, falls Ihr Konto zum Versenden von Nachrichten missbraucht wurde.

Häufig gestellte Fragen

Kann man schon durch das Öffnen einer Phishing-E-Mail gehackt werden?

Bei normalen Nutzern mit aktuellen Mail-Apps reicht das bloße Öffnen einer E-Mail selten aus. Die Gefahr geht von Klicks auf Links, geöffneten Anhängen, eingegebenen Daten oder Antworten aus. Das Nachladen externer Bilder kann dem Absender bestätigen, dass Ihre Adresse aktiv ist.

Was ist der Unterschied zwischen Phishing und Spearphishing?

Phishing wird mit einem allgemeinen Köder an sehr viele Menschen gesendet. Spearphishing zielt auf eine bestimmte Person oder Organisation und verwendet echte Namen, Rollen, Projekte oder Lieferanten, um glaubwürdig zu wirken, und ist deshalb schwerer zu erkennen.

Ist eine E-Mail sicher, wenn sie SPF, DKIM und DMARC besteht?

Nein. Ein Pass zeigt nur, dass die Domain in der Absenderadresse die Nachricht autorisiert hat. Kriminelle können eigene, ähnlich aussehende Domains mit gültigen Einträgen registrieren, und auch gekaperte echte Konten bestehen die Prüfung. Beurteilen Sie immer die Domain selbst und das, was die Nachricht von Ihnen verlangt.

Wie prüfe ich, ob ein Link in einer E-Mail sicher ist?

Fahren Sie mit der Maus darüber oder kopieren Sie ihn, ohne ihn zu öffnen, ermitteln Sie die registrierte Domain, indem Sie von rechts lesen, und vergleichen Sie sie mit der echten Domain der Organisation. Im Zweifel rufen Sie die Website direkt auf, statt den Link zu nutzen.

Warum verwenden Phishing-E-Mails QR-Codes?

Ein QR-Code verbirgt den Link in einem Bild, das viele Filter nicht dekodieren, und verlagert Sie auf Ihr Handy, dem möglicherweise der Schutz eines verwalteten Arbeitsrechners fehlt und auf dem sich die vollständige Adresse schwerer prüfen lässt.