Phishing-Mail erkennen: 5 Merkmale in 10 Sekunden (mit Checkliste fürs Team)

Eine Phishing-Mail erkennen Sie an fünf Stellen: an der Absender-Adresse (nicht am Namen), an der unpersönlichen Anrede, am Zeitdruck, an einem Link, dessen Ziel nicht zur Firma passt, und an der Bitte um Passwort, PIN oder TAN. Trifft auch nur eines davon zu, klicken Sie nichts an und fragen auf einem Weg nach, den Sie selbst kennen. Rechtschreibfehler sind dagegen kein verlässliches Warnsignal mehr.

Unten finden Sie die fünf Merkmale im Detail, eine Beispiel-Mail, eine Checkliste für Ihr Team und was Sie tun, wenn jemand schon geklickt hat. Die Kurzfassung gibt es als Video in 60 Sekunden.

Woran erkenne ich eine Phishing-Mail in 10 Sekunden?

Gehen Sie die Mail von oben nach unten durch. Für jeden Punkt reicht ein kurzer Blick:

1. Absender-Adresse: Der angezeigte Name lässt sich frei wählen, die Adresse dahinter nicht so leicht. Klicken oder tippen Sie auf den Namen und lesen Sie die Adresse Buchstabe für Buchstabe. Beliebte Tricks: rn statt m, eine Null statt einem O oder ein angehängtes Wort wie -sicherheit oder -service.
2. Anrede: „Sehr geehrter Kunde“ oder „Hallo Nutzer“ ist verdächtig, wenn der Absender Sie eigentlich kennt. Ihre Bank, Ihr Hoster und Ihr eigener IT-Support kennen Ihren Namen.
3. Zeitdruck: „Ihr Konto wird in 24 Stunden gesperrt“, „letzte Mahnung“, „sofort bestätigen“. Druck soll verhindern, dass Sie nachdenken oder nachfragen.
4. Link: Fahren Sie mit dem Mauszeiger über den Link oder Button, ohne zu klicken. Unten im Fenster oder in einem kleinen Feld erscheint das echte Ziel. Passt die Domain nicht genau zur Firma, ist die Sache erledigt.
5. Daten: Passwort, PIN, TAN oder Kartendaten per Mail oder über einen Link aus der Mail? Seriöse Banken, Shops und Dienste fragen so nicht. Laut BSI würden Banken und Webshops das nie tun.

Meine Faustregel: Eine Mail, die Druck macht und einen Klick will, ist verdächtig, bis Sie das Gegenteil auf einem anderen Weg bestätigt haben.

Wie sieht eine typische Phishing-Mail aus?

Das Beispiel aus dem Video ist frei erfunden, folgt aber genau dem Muster, das im Büroalltag am häufigsten auftaucht: die angebliche Mail der eigenen IT.

• Von: IT-Support <it-support@rnuster-gmbh.at>. Die echte Firma heißt muster-gmbh.at. Aus „m“ wurde „rn“, das fällt in vielen Schriften kaum auf.
• Betreff: Ihr Postfach wird gesperrt.
• Text: „Sehr geehrter Nutzer, Ihr Postfach wird in 24 Stunden gesperrt. Bestätigen Sie jetzt Ihr Konto.“
• Button: „Jetzt bestätigen“. Das Ziel lautet rnuster-login.co/verify, also wieder die falsche Domain.
• Formular: ein Feld für Ihr Passwort, „zur Bestätigung“.

Alle fünf Merkmale in einer einzigen Mail. In echten Fällen sind es oft nur zwei oder drei. Das reicht.

Sind Rechtschreibfehler noch ein Warnsignal?

Nur noch bedingt. Mit KI-Sprachmodellen schreiben Betrüger inzwischen fehlerfreies Deutsch, teils mit Ihrem Namen in der Anrede. Die Verbraucherzentrale rät deshalb ausdrücklich, sich nicht allein auf Rechtschreibfehler zu verlassen. Holprige Sätze sind weiterhin ein Hinweis. Eine saubere Mail ist aber kein Beweis für Echtheit. Verlassen Sie sich auf Adresse, Link und Datenabfrage. Die lassen sich nicht wegformulieren.

Warum ist Phishing auch für kleine Firmen gefährlich?

Weil am Ende fast immer ein Mensch die Tür öffnet. Laut Verizon Data Breach Investigations Report 2025 war bei 60 Prozent der untersuchten Datenlecks ein Mensch beteiligt, etwa durch einen Klick, einen Fehler oder ein weitergegebenes Passwort. Ein einziges gestohlenes Mail-Passwort genügt: Wer Ihr Postfach hat, kann Passwörter anderer Dienste zurücksetzen, Rechnungen umleiten und in Ihrem Namen an Kunden schreiben.

Besonders teuer wird es, wenn dasselbe Passwort noch an anderen Stellen verwendet wird. Warum ein eigenes, langes Passwort pro Dienst so viel bringt, steht in meinem Beitrag zum Passwort-Generator.

Was tun, wenn jemand schon geklickt hat?

Ruhig bleiben und zügig handeln. Je nachdem, wie weit es ging:

1. Nur geklickt, nichts eingegeben: Seite schließen, Mail melden (siehe unten), Gerät im Auge behalten. Meist ist nichts passiert.
2. Passwort eingegeben: Das Passwort sofort ändern, und zwar über die Adresse, die Sie selbst eintippen, nicht über die Mail. Danach überall ändern, wo dasselbe Passwort im Einsatz war. Ein neues, sicheres Passwort erzeugen Sie in Sekunden mit dem kostenlosen Passwort-Generator.
3. Zwei-Faktor-Anmeldung einschalten: Dann reicht ein gestohlenes Passwort allein nicht mehr.
4. Bank- oder Kartendaten eingegeben: Sofort die Bank anrufen, Zugang und Karte sperren lassen und die nächsten Abbuchungen prüfen.
5. Anhang geöffnet: Gerät vom Netzwerk trennen und Ihren IT-Dienstleister informieren. Gut, wenn dann eine aktuelle Sicherung existiert. Wie die aussehen sollte, steht in meinem Beitrag zum Backup.
6. Geld ist weg: Anzeige bei der Polizei erstatten. Mail, Screenshots und Kontoauszüge aufheben.

Wichtig für Teams: Wer sich meldet, macht alles richtig. Niemand sollte Angst haben, einen Klick zuzugeben. Jede Stunde früher spart Schaden.

Wo melde ich Phishing-Mails?

• Österreich: über das Meldeformular der Watchlist Internet.
• Deutschland: an das Phishing-Radar der Verbraucherzentrale. Dort steht auch, wie Sie die Mail weiterleiten.
• Im Mailprogramm: als Phishing oder Junk markieren. Das trainiert den Filter.
• Bei der betroffenen Firma: Viele Banken und Dienste haben eine eigene Meldeadresse. Die finden Sie auf deren Website, nicht in der Mail.

Danach löschen. Antworten Sie nicht und klicken Sie auch nicht auf „Abmelden“. Beides bestätigt nur, dass Ihre Adresse aktiv ist.

Wie schule ich mein Team in zehn Minuten?

Keine Präsentation, keine Angstmacherei. Zeigen Sie das Video, gehen Sie die Checkliste gemeinsam durch und legen Sie zwei Dinge fest: an wen verdächtige Mails gehen und wie man im Zweifel nachfragt, etwa per Anruf unter der bekannten Nummer.

Checkliste zum Ausdrucken:

• ☐ Stimmt die Absender-Adresse Buchstabe für Buchstabe?
• ☐ Werde ich mit meinem Namen angesprochen?
• ☐ Kommt die Mail ohne Frist und ohne Drohung aus?
• ☐ Führt der Link (Mauszeiger drauf) auf die echte Domain?
• ☐ Will die Mail weder Passwort, PIN, TAN noch Kartendaten?

Einmal „nein“ heißt: nicht klicken, sondern melden und auf bekanntem Weg nachfragen.

Häufige Fragen

Ist es gefährlich, eine Phishing-Mail nur zu öffnen?

In aktuellen Mailprogrammen in der Regel nicht. Gefährlich wird es beim Klick auf Links, beim Öffnen von Anhängen und bei der Eingabe von Daten. Lassen Sie das automatische Nachladen externer Bilder ausgeschaltet. Dann erfährt der Absender auch nicht, dass Sie die Mail geöffnet haben.

Welche Anhänge sind besonders verdächtig?

Unerwartete Dateien vom Typ .zip, .exe oder .js sowie Office-Dateien, die Sie auffordern, „Inhalte zu aktivieren“. Eine angebliche Rechnung als ZIP-Archiv öffnen Sie besser gar nicht.

Wie prüfe ich einen Link am Handy?

Am Handy gibt es keinen Mauszeiger, und das Antippen öffnet den Link sofort. Prüfen Sie verdächtige Mails deshalb lieber am Computer. Oder öffnen Sie die App oder Website des Anbieters direkt und schauen Sie dort nach, ob wirklich etwas zu tun ist.

Filtert mein Spamfilter Phishing nicht automatisch?

Einen großen Teil, aber nicht alles. Gezielte Mails mit sauberem Text und neuer Domain rutschen regelmäßig durch. Deshalb braucht es den kurzen Blick von Ihnen.

Gilt das auch für SMS und WhatsApp?

Ja. Die Merkmale sind dieselben: unbekannte Nummer oder Absender, Druck, ein Link und am Ende die Frage nach Daten. Angebliche Paketdienste und Behörden sind dort besonders häufig.

Wenn Sie Unterstützung brauchen

Ein Konto wurde übernommen, Ihre Website verhält sich seltsam oder Sie möchten Zugänge und Sicherungen einmal sauber aufstellen? Schreiben Sie mir über das Kontaktformular. Was ich sonst für Websites tue, sehen Sie unter Leistungen. Weitere kostenlose Werkzeuge finden Sie auf der Tools-Seite.