Phishing-Beispiele: Sechs echte Fälle — und was sie verraten hat

Inhalt in Kürze

• Sechs echte Fälle, alle belegt: vier aus dem Phishing-Radar der Verbraucherzentrale vom August 2026, dazu die zwei Maschen, die Unternehmen tatsächlich Geld kosten.
• Die Betreffzeilen klingen banal — „Zahlung fehlgeschlagen!“, „Bitte erneuern Sie Ihre BestSign“, „Ihr Steuerbescheid 2025 – Erstattung bestätigt“. Genau das ist der Punkt.
• Der teuerste Fall im Mittelstand ist nicht die gefälschte Bank-Mail, sondern die Rechnung vom echten Lieferanten mit geänderter Bankverbindung.
• Phishing braucht längst keine E-Mail mehr: BSI und Verfassungsschutz warnten am 6. Februar 2026 vor Angriffen über Messenger, ganz ohne Schadsoftware.

Wer wissen will, wie eine Phishing-Mail aussieht, bekommt in Schulungen meistens Karikaturen zu sehen: verpixelte Logos, eine unpersönliche Anrede wie „Sehr geehrter Kunde“, Rechtschreib- und Grammatikfehler. Solche E-Mails gibt es noch, aber sie sind nicht das Problem. Das Problem sind die Phishing-E-Mails, die man nicht als Beispiel zeigt, weil sie unauffällig sind — die von einem scheinbar vertrauenswürdigen Absender kommen und keinen einzigen Fehler enthalten.

Deshalb hier echte Fälle mit Datum, Absender und Betreff — und jeweils das eine Detail, an dem sie aufgeflogen sind.

Vier gefälschte E-Mails aus einer einzigen Woche

Die Verbraucherzentrale NRW sammelt gemeldete Phishing-Nachrichten im Phishing-Radar und veröffentlicht sie tagesaktuell. Was dort in der Woche vom 19. bis 26. August 2026 einging:

Vier Absender, vier Branchen, eine Woche. Keine dieser Betreffzeilen wirkt auf den ersten Blick verdächtig — alle vier beschreiben Vorgänge, die es tatsächlich gibt. Genau darin liegt die Bedrohung: Die Cyberkriminellen erfinden nichts, sie kopieren.

Beispiel 1: Die Bank, die Ihren Zugang „erneuern“ will

19.08.2026, angeblich von den Volksbanken Raiffeisenbanken. Betreff: „Dringende Aktion erforderlich: Bitte aktualisieren Sie Ihre personlichen Daten“. Der Text behauptet, der Zugang zur VR-SecureGo-App laufe am 20. August ab, und bietet einen Button „Zugang jetzt erneuern“.

Was es verraten hat: Im Betreff fehlt bei „personlichen“ das Umlaut-a. Das ist der klassische Fehler — verlassen Sie sich aber nicht darauf, denn er kommt immer seltener vor. Das belastbare Merkmal ist ein anderes: Eine Bank fordert nie per E-Mail dazu auf, einen Zugang über einen Link zu erneuern. Bankgeschäfte beginnen in der App oder über ein eigenes Lesezeichen, nie über einen Link in einer Nachricht.

Dasselbe Muster in der Woche zweimal weiter: die Postbank mit „Bitte erneuern Sie Ihre BestSign“ (24 Stunden Frist) und die Easybank mit einem „Sicherheitsupdate“, das binnen 48 Stunden bestätigt werden soll. Immer eine Sicherheitsfunktion, immer eine Frist.

Beispiel 2: Das Finanzamt, das Geld zurückgeben will

21.08.2026. Betreff: „Ihr Steuerbescheid 2025 – Erstattung bestätigt“. Im Text: Die Erstattung sei bewilligt, für die Auszahlung brauche es nur noch eine Identitätsprüfung. Dafür sollen Kartendaten bestätigt werden.

Was es verraten hat: die Richtung des Geldes. Wer Ihnen etwas auszahlen will, braucht keine Kreditkartennummer — eine Erstattung geht auf ein Konto, das dem Finanzamt längst bekannt ist. Dazu kommt der Kanal: Deutsche Finanzämter kommunizieren Steuerbescheide über ELSTER oder auf Papier, nicht per E-Mail mit Link. Wer hier persönliche Daten eingibt, gibt sie an Betrüger.

Beispiel 3: Der Abo-Dienst mit der fehlgeschlagenen Zahlung

26.08.2026, angeblich von Apple. Betreff: „Zahlung fehlgeschlagen!“. Sechs Tage vorher dieselbe Masche im Namen von Spotify, davor immer wieder im Namen von PayPal und Amazon. Die Aufforderung ist jedes Mal identisch: ein Problem mit Ihrem Konto, bitte die Zahlungsinformationen aktualisieren.

Was es verraten hat: nichts am Text — sondern der Umstand, dass gar kein Abo besteht. Diese Masche funktioniert über die Menge. Von tausend Adressen, an die eine solche E-Mail gesendet wird, haben ein paar hundert tatsächlich ein Apple-Abo, und für die passt die Nachricht plötzlich zur Lebenswirklichkeit.

Im Unternehmen ist das der Grund, warum diese Mails auch dienstlich ankommen: Sie sind billig zu verschicken und treffen irgendwann jemanden, bei dem der Anlass zufällig stimmt.

Beispiel 4: Die Rechnung vom echten Lieferanten

Jetzt zu den Fällen, die im Mittelstand wirklich Geld kosten. Der teuerste ist unspektakulär: Eine Rechnung kommt von einem Lieferanten, mit dem seit Jahren gearbeitet wird. Alles stimmt — Ansprechpartner, Projektnummer, Betreffzeile, sogar der laufende Schriftwechsel darüber. Nur die Bankverbindung ist neu, mit einem freundlichen Hinweis auf den Bankwechsel.

Unsere interessanteste Datenpanne war ein Dienstleister mit nur 15 Mitarbeitern, bei dem der Geschäftsführer eine E-Mail von einem Geschäftspartner bekam. Die E-Mail kam wirklich von diesem Geschäftspartner – trotzdem war es ein Angriff.

Nils OehmichenDatenschutzberater bei frag.hugo

Was es verraten hat: In diesem Fall technisch gar nichts. Die Absenderadresse war echt, weil das Postfach des Partners vorher gehackt worden war. SPF und DKIM stimmten, der Spamfilter hatte nichts zu beanstanden, und es war weder Malware noch ein Trojaner im Spiel — nur ein Text, der log.

Aufgefallen ist es an einer organisatorischen Regel: Jede Änderung einer Bankverbindung wird über eine bekannte Telefonnummer rückbestätigt. Nicht über die Nummer aus der Signatur — über die aus dem eigenen Stammdatensatz. Dieser Anruf dauert zwei Minuten und ist der Grund, warum Rechnungsbetrug in vielen Häusern nicht funktioniert.

Wie gezielte Angriffe dieser Art vorbereitet werden, steht ausführlich im Beitrag zu Spear Phishing.

Beispiel 5: Die gefälschte Microsoft-365-Anmeldeseite

Der zweite teure Fall im Unternehmen sind Zugangsdaten. Die Mail meldet ein abgelaufenes Passwort, ein volles Postfach oder ein geteiltes Dokument. Der Link führt auf eine Anmeldeseite, die aussieht wie die echte — Logo, Layout, sogar der Firmenhintergrund, weil der öffentlich abrufbar ist.

Was es verraten hat: die Adresszeile. Die echte Anmeldung läuft über login.microsoftonline.com. Alles andere sind gefälschte Webseiten, egal wie gut sie aussehen. Wer den Mauszeiger über den Link in der E-Mail hält, statt zu klicken, sieht die URL, bevor sie im Browser steht.

Der unangenehme Teil kommt danach: Moderne Angriffsbaukästen schalten sich in Echtzeit zwischen Opfer und Microsoft. Wer seinen Code aus der Authenticator-App eingibt, gibt ihn dem Angreifer — und der ist in derselben Sekunde angemeldet. Was in so einem Fall zu tun ist, steht in Microsoft 365 gehackt: Datenpanne und MFA.

Beispiel 6: Phishing-Angriffe ganz ohne E-Mail

Am 6. Februar 2026 haben Bundesverfassungsschutz und BSI gemeinsam gewarnt: Ein wahrscheinlich staatlich gesteuerter Akteur greift über Messengerdienste an, vor allem über Signal. Ziel sind hochrangige Personen aus Politik, Militär und Diplomatie sowie investigative Journalistinnen und Journalisten.

Bemerkenswert ist die Methode. Es kommt weder Schadsoftware zum Einsatz noch eine technische Schwachstelle — die Angreifer nutzen legitime Sicherheitsfunktionen der Anwendung und kombinieren sie mit Social Engineering. Das Ziel: unbemerkter Zugriff auf Einzel- und Gruppenchats sowie auf Kontaktlisten. Das BSI hält vergleichbare Vorgehensweisen bei WhatsApp für denkbar, weil die Funktionsprinzipien ähnlich sind.

Für Unternehmen ist daran zweierlei wichtig: Erstens gibt es hier nichts zu filtern, weil nichts Schädliches übertragen wird — kein Anhang, keine Malware, kein Trojaner. Zweitens verlagert sich Phishing generell weg von der E-Mail: als SMS (Smishing), als Anruf (Vishing), als QR-Code (Quishing), der den Spamfilter umgeht, weil er als Bild ankommt, und zunehmend als Chat-Nachricht in Microsoft Teams, wo intern kaum jemand mit einem Betrugsversuch rechnet.

Die Warnsignale hinter allen sechs Phishing-Angriffen

Streicht man Absender, Branche und Kanal weg, bleibt in jedem Fall dieselbe Konstruktion übrig:

• Ein Anlass, den es geben könnte. Abgelaufener Zugang, offene Zahlung, Erstattung, Rechnung. Nie etwas Exotisches.
• Eine Frist. 24 Stunden, 48 Stunden, „umgehend“. Diese Dringlichkeit hat nie einen sachlichen Grund — sie soll die Rückfrage verhindern.
• Ein Weg, der vom üblichen abweicht. Ein Link statt der App, ein Anhang statt des Portals, eine neue Bankverbindung statt der bekannten.
• Eine Eingabe am Ende. Zugangsdaten, Kartendaten, eine Freigabe, eine Überweisung. Ohne diesen Schritt hat der Phishing-Versuch keinen Ertrag — deshalb wollen betrügerische E-Mails Sie immer dazu bringen, einen Link zu klicken und dort sensible Informationen einzugeben.

Wer seinen Beschäftigten diese vier Warnsignale beibringt statt einer Liste von Absendernamen, macht sie gegen die nächste Masche widerstandsfähig — auch gegen die, die es heute noch nicht gibt. Die Merkmale im Einzelnen stehen in Phishing-Mail erkennen; was Phishing überhaupt ist und welche Formen es annimmt, erklärt Was ist eine Phishing-Mail?.

Und weil kein Mensch dauerhaft fehlerfrei arbeitet: Der zweite Schritt ist ein Meldeweg, den man ohne Angst benutzt, und eine regelmäßige Übung, die nicht die Klickrate zum Maßstab macht, sondern die Melderate. Wie eine solche Simulation datenschutzkonform und mit dem Betriebsrat abgestimmt aufgesetzt wird, steht in Phishing-Simulation, Betriebsrat und DSGVO.

Häufige Fragen zu Phishing-Beispielen

Was sind typische Beispiele für Phishing? Eine Bank, die zur „Erneuerung“ eines Zugangs auffordert; eine Behörde, die eine Erstattung ankündigt und dafür Kartendaten will; ein Abo-Dienst mit angeblich fehlgeschlagener Zahlung; eine Rechnung mit geänderter Bankverbindung; eine gefälschte Microsoft-365-Anmeldeseite; und Phishing über Messenger statt E-Mail.

Welche Phishing-Maschen sind gerade aktuell? Das Phishing-Radar der Verbraucherzentrale meldete allein zwischen dem 19. und 26. August 2026 gefälschte Nachrichten im Namen von Volksbanken Raiffeisenbanken, Spotify, dem Finanzamt, der Postbank, der Easybank und Apple. Für Unternehmen relevanter sind Rechnungsbetrug und der Diebstahl von Microsoft-365-Zugangsdaten.

Wie sieht eine Phishing-Mail aus? Meist wie die echte Nachricht des Unternehmens, dessen Name missbraucht wird — korrektes Logo, passende Schrift, plausibler Betreff. Der Unterschied liegt im Ziel des Links und in der Aufforderung, Daten einzugeben.

Gibt es Phishing auch ohne E-Mail? Ja. BSI und Verfassungsschutz warnten am 6. Februar 2026 vor Phishing über Messengerdienste wie Signal — ohne Schadsoftware, ohne technische Schwachstelle, allein über legitime App-Funktionen und Social Engineering. Dazu kommen Smishing per SMS, Vishing per Telefon und Quishing über QR-Codes.

Woran erkennt man Phishing-Beispiele als Fälschung? Der Link führt auf eine andere Domain als die des angeblichen Absenders, es wird zur Eingabe von Zugangs- oder Kartendaten aufgefordert, und es gibt eine Frist ohne sachlichen Grund. Rechtschreibfehler sind kein verlässliches Merkmal mehr.