Phishing-Mail erkennen: Die Merkmale, die 2026 noch funktionieren

Inhalt in Kürze

• Die alte Checkliste ist tot. Rechtschreibfehler, „Sehr geehrter Kunde“ und holpriges Deutsch waren die Merkmale, an denen man Phishing-Mails erkannt hat. Seit Sprachmodelle die Texte schreiben, sind sie weg.
• Was übrig bleibt, sind vier Signale, die mit dem Anliegen zu tun haben, nicht mit der Form: Datenabfrage, Zeitdruck, Link-Ziel, Umgehung des üblichen Wegs.
• Der Absender ist frei erfindbar. Der angezeigte Name beweist gar nichts, die Domain hinter dem @ dagegen fast alles.
• Erkennen allein reicht nicht. Es braucht einen Meldeweg, den Beschäftigte ohne Angst benutzen — und einen zweiten Faktor, der auch dann hält, wenn das Passwort schon weg ist.

„Achten Sie auf Rechtschreibfehler.“ Dieser Satz steht in fast jeder Datenschutzschulung, die älter als drei Jahre ist. Er war einmal richtig. Heute ist er das Gegenteil von hilfreich: Wer eine Mail für echt hält, weil sie fehlerfrei geschrieben ist, prüft genau das falsche Merkmal.

Warum die klassischen Warnzeichen bei Phishing-E-Mails nicht mehr tragen

Phishing war lange ein Übersetzungsproblem. Die Betrüger saßen im Ausland, der deutsche Text kam durch eine schlechte Maschine, und das Ergebnis las sich entsprechend. Diese Hürde gibt es nicht mehr. Ein Sprachmodell schreibt fehlerfreie Rechtschreibung und Grammatik in Sekunden — inklusive persönlicher Anrede, weil der Name aus dem Impressum oder von LinkedIn kommt. Cyberkriminelle verschicken heute täuschend echt aussehende Phishing-E-Mails, die von der Post eines vertrauenswürdigen Absenders kaum zu unterscheiden sind — mit persönlicher Anrede und in fehlerfreiem Deutsch verfasst.

Das Bundeslagebild Cybercrime 2025 des BKA weist rund 335.000 Fälle aus; der geschätzte Schaden für die deutsche Wirtschaft liegt bei 202,4 Milliarden Euro — etwa 4,5 Prozent des Bruttoinlandsprodukts. Auf der anderen Seite steht eine Zahl, die Bitkom im November 2025 veröffentlicht hat: 79 Prozent der Unternehmen schulen ihre Beschäftigten regelmäßig zu IT-Sicherheit — aber nur 24 Prozent schulen alle. Jedes fünfte Unternehmen schult überhaupt nicht.

Das BSI beschreibt Phishing-Mails und die dazugehörigen gefälschten Webseiten deshalb inzwischen als „zumeist sorgfältig nachgeahmt“. Optische Prüfung führt in die Irre.

Woran Sie Phishing-E-Mails heute erkennen

Die vier Merkmale, die verlässlich funktionieren, haben nichts mit Schrift und Layout zu tun. Sie betreffen das Anliegen:

1. Eine Datenabfrage, die es nicht geben dürfte. Zugangsdaten, PIN, TAN, Kreditkartennummer, eine „Bestätigung“ persönlicher Daten. Seriöse Unternehmen, Banken und Zahlungsdienste fordern niemanden per E-Mail auf, persönliche Daten oder sensible Daten preiszugeben — auch nicht „zur Sicherheit“. Wer Sie zur Eingabe verleiten will, ist kein Absender, dem Sie vertrauen sollten.
2. Zeitdruck ohne sachlichen Grund. „Ihr Konto wird in 24 Stunden gesperrt“, „letzte Mahnung“, „Zugang läuft heute ab“. Dringlichkeit soll das Nachdenken abkürzen — sie ist das wirksamste Werkzeug im Social Engineering und deshalb in fast jeder betrügerischen E-Mail zu finden.
3. Ein Link, dessen Ziel nicht passt. Der sichtbare Text sagt „sparkasse.de“, das Ziel führt woandershin. Das ist der Punkt, an dem sich fast jede Phishing-Mail entlarven lässt — vorausgesetzt, man schaut hin, statt zu klicken.
4. Ein Anliegen, das den üblichen Weg umgeht. Die Rechnung kommt plötzlich als privater Anhang statt über das Portal. Die Bankverbindung hat sich „kurzfristig geändert“. Die Antwort soll an eine andere Adresse gehen. Bitte um Vertraulichkeit obendrauf.

Dazu kommen zwei technische Anhaltspunkte, die im Zweifel den Ausschlag geben: Anhänge, die niemand angekündigt hat — besonders Office-Dateien mit Makros, ZIP-Archive und HTML-Dateien, über die Schadsoftware und Trojaner ins Netz kommen — und Anmeldeseiten, die aus einer E-Mail heraus aufgerufen werden. Wer eine Anmeldemaske grundsätzlich nur über ein eigenes Lesezeichen ansteuert, verliert seine Zugangsdaten auch dann nicht, wenn er auf den Link geklickt hat.

Die Absenderadresse: was Sie wirklich prüfen müssen

Der angezeigte Name ist frei wählbar. „Sparkasse Kundenservice“, „Microsoft 365“, „Buchhaltung Meier GmbH“ — das kann jeder eintragen, das ist keine Prüfung wert. Interessant ist allein die echte E-Mail-Adresse des Absenders, und dort wiederum nur ein Teil: der Domainname.

Lesen Sie den Domainnamen rückwärts vom @ aus bis zum vorletzten Punkt. Das ist der einzige Teil, den Betrüger nicht frei erfinden können — alles davor lässt sich fälschen.

• service@sparkasse.de — Domain ist sparkasse.de. Passt.
• service@sparkasse.de.sicherheit-update.com — Domain ist sicherheit-update.com. Der Sparkassen-Teil ist bloß Text davor.
• service@sparkasse-sicherheit.de — eine andere Domain, die nur ähnlich aussieht. Kann jeder registrieren.
• service@sparkasse.de, aber die Antwort geht woandershin — prüfen Sie bei ungewöhnlichen Bitten auch das Antwort-an-Feld.

Ein Klassiker sind vertauschte Zeichen, die in kleiner Schrift kaum auffallen: rn statt m, die Ziffer 1 statt l, ein großes I statt einem kleinen l. In Groteskschriften sind diese Paare praktisch identisch. Domains mit kyrillischen Buchstaben, die den lateinischen zum Verwechseln ähnlich sehen, gehören in dieselbe Familie.

Und der unangenehme Sonderfall: Wenn Cyberkriminelle vorher das Postfach eines echten Geschäftspartners gehackt haben, ist der Absender korrekt, die Domain stimmt, SPF und DKIM sind in Ordnung — und die E-Mail hängt sich sogar an einen laufenden Schriftwechsel an. Dagegen hilft keine Prüfung der Absenderadresse mehr, sondern nur der Rückruf.

Unsere interessanteste Datenpanne war ein Dienstleister mit nur 15 Mitarbeitern, bei dem der Geschäftsführer eine E-Mail von einem Geschäftspartner bekam. Die E-Mail kam wirklich von diesem Geschäftspartner – trotzdem war es ein Angriff.

Nils OehmichenDatenschutzberater bei frag.hugo

Links und Anhänge prüfen, ohne zu klicken

Das Ziel eines Links sehen Sie, bevor Sie ihn öffnen:

• Am Rechner: den Mauszeiger über den Link halten, ohne zu klicken. Unten links im Fenster erscheint die vollständige URL.
• Am Smartphone: Link lange gedrückt halten, bis sich die Vorschau öffnet. Dann abbrechen.
• In Outlook: Rechtsklick → „Link kopieren“, und in einen leeren Texteditor einfügen. Nie in die Adresszeile des Browsers.

Entscheidend ist wieder nur der Domain-Teil: alles zwischen https:// und dem ersten einzelnen Schrägstrich. Alles danach ist beliebig und sagt nichts aus. https://sicher-login.xyz/sparkasse.de/anmeldung führt auf eine gefälschte Webseite unter sicher-login.xyz.

Verkürzte URLs, bei denen kein Ziel erkennbar ist, gehören in geschäftlicher Post grundsätzlich hinterfragt. Und wenn der Link statt eines Textes als QR-Code kommt, gilt dieselbe Logik — nur dass die Prüfung ungleich schwerer fällt, weil das Ziel erst nach dem Scannen sichtbar wird.

Dieselbe Zurückhaltung gilt für Anhänge: Klicken Sie nicht auf Links und öffnen Sie keine Anhänge, die Sie nicht erwartet haben — auch dann nicht, wenn die E-Mail von einem bekannten Absender zu kommen scheint.

Verdächtige E-Mails melden statt löschen

Der häufigste Fehler kommt nach dem Erkennen: Die verdächtige E-Mail wandert in den Papierkorb, und niemand erfährt davon. Damit ist die Information weg, die der IT am meisten hilft — nämlich, dass diese Nachricht überhaupt im Haus war.

1. Nicht antworten, keine Daten eingeben. Auch nicht „mal schauen, was passiert“. Wer schon Daten eingegeben hat, sagt das sofort — nicht später. Bei Bankdaten gilt zusätzlich: Informieren Sie Ihre Bank, bevor Sie sonst etwas tun.
2. Als Phishing melden. Über den Melde-Button im Mailprogramm, sonst per Weiterleitung an die IT oder den Datenschutzbeauftragten. Die E-Mail wird dabei weitergeleitet, nicht beschrieben — die technischen Kopfzeilen sind das Wertvolle daran.
3. Erst danach löschen. Und nur, wenn die IT nichts anderes sagt.

Für Privatpost gibt es zusätzlich eine öffentliche Adresse: Die Verbraucherzentrale NRW sammelt gefälschte E-Mails unter phishing@verbraucherzentrale.nrw und wertet sie im Phishing-Radar aus. Betrugsversuche mit Bezug zum eigenen Konto gehören außerdem der Bank gemeldet — und bei Vermögensschaden der Polizei.

Ein Unternehmen, in dem jede zehnte verdächtige E-Mail gemeldet wird, erfährt von einem Phishing-Versuch, bevor jemand darauf hereinfällt. Eines, in dem geschwiegen wird, erfährt davon aus dem Datenverlust — oder im schlimmsten Fall daraus, dass ein Schadprogramm längst läuft und Beschäftigtendaten für einen Identitätsdiebstahl abgeflossen sind.

Die 30-Sekunden-Prüfung für den Arbeitsalltag

Niemand liest jede Mail forensisch. Für den Alltag reichen vier Fragen, die zusammen eine halbe Minute kosten:

1. Erwarte ich das? Bekommen Sie eine unerwartete E-Mail im Posteingang, sollten Sie grundsätzlich misstrauisch sein — eine Rechnung von einem Lieferanten, mit dem es keinen Vorgang gibt, ist verdächtig, egal wie gut sie aussieht.
2. Will jemand etwas von mir, das Geld oder Zugang bedeutet? Wenn ja: Prüfstufe hoch.
3. Wohin führt der Link wirklich? Zeiger drüber, Domain lesen.
4. Warum die Eile? Wer Sie zum schnellen Handeln drängt, will die Rückfrage verhindern. Ein echter Vorgang verträgt einen Anruf.

Bleibt danach ein ungutes Gefühl, gilt die einfachste Regel überhaupt: nicht klicken, sondern melden. Eine falsch gemeldete Mail kostet die IT zwei Minuten. Eine nicht gemeldete kostet im Schnitt deutlich mehr.

Schutz vor Phishing: Erkennen ist nur die halbe Miete

Selbst gut geschulte Menschen klicken irgendwann — nach acht Stunden, im Stress, kurz vor Feierabend. Deshalb darf die Sicherheit nicht am Erkennen hängen. Drei Dinge müssen dahinter stehen:

• Ein Meldeweg, der einen Klick kostet. Wer erst eine Mail an die IT schreiben muss, meldet nicht. Ein Melde-Button direkt in Outlook oder Gmail senkt die Hürde auf null — und liefert der IT gleichzeitig die Information, wer die Mail sonst noch bekommen hat.
• Ein zweiter Faktor, der auch ohne Passwort hält. Wenn Zugangsdaten abfließen, entscheidet die Anmeldung. SMS-Codes lassen sich abfangen und weiterreichen. Wie sich die Verfahren unterscheiden, ordnet unser Beitrag zur Multi-Faktor-Authentifizierung im Unternehmen ein.
• Übung statt Jahresschulung. Wissen, das einmal jährlich vermittelt wird, ist im Ernstfall nicht abrufbar. Kurze, wiederholte Übung wirkt — und sie sollte messen, wer eine verdächtige Mail meldet, nicht nur, wer klickt.

Der letzte Punkt wird am häufigsten falsch aufgesetzt. Wer allein die Klickrate misst, erzeugt Angst und Schweigen. Wer die Melderate in den Mittelpunkt stellt, bekommt das, was im echten Angriff zählt: Menschen, die Alarm schlagen. Wie eine solche Phishing-Simulation abläuft — von der Zustellprüfung bis zum Nachweis für den Prüfer — haben wir ausführlich beschrieben. Worauf bei der Auswahl eines Anbieters zu achten ist, steht im Vergleich der Phishing-Simulations-Tools.

Wenn es doch passiert ist

Ein Klick ist kein Weltuntergang, aber ein Wettlauf:

1. Nicht löschen. Die Mail ist Beweismittel und hilft der IT, weitere Empfänger zu finden.
2. Passwörter ändern — von einem anderen Gerät aus, nicht von dem betroffenen.
3. Aktive Sitzungen beenden. Wer nur das Passwort ändert, wirft einen Angreifer mit gültigem Sitzungs-Token nicht hinaus.
4. Melden. Intern sofort; und wenn personenbezogene Daten abgeflossen sein könnten, läuft die 72-Stunden-Frist nach Art. 33 DSGVO.

Schritt für Schritt steht das in Phishing-Mail geöffnet — was jetzt zu tun ist. Verdächtige Mails aus dem Verbraucherbereich nimmt die Verbraucherzentrale NRW über ihr Phishing-Radar entgegen.

Wird die Mail nicht an die Masse verschickt, sondern gezielt an eine einzelne Person, greifen die hier beschriebenen Merkmale nur noch teilweise — dann lohnt der Blick in unseren Beitrag zu Spear Phishing.

Häufige Fragen zum Erkennen von Phishing-Mails

Wie erkenne ich eine Phishing-Mail? Nicht mehr an Rechtschreibfehlern oder unpersönlicher Anrede. Verlässlich sind vier Signale: eine Aufforderung, Zugangs- oder Zahlungsdaten einzugeben; künstlicher Zeitdruck; ein Link, dessen Ziel nicht zur angeblichen Absender-Domain passt; und ein Anliegen, das den üblichen Weg umgeht.

Woran erkenne ich, ob die Absenderadresse gefälscht ist? Der angezeigte Name sagt nichts — er ist frei wählbar. Lesen Sie die echte Domain hinter dem @, und zwar den Teil unmittelbar vor der Endung. Bei sparkasse.de.sicherheit-update.com ist die Domain sicherheit-update.com. Achten Sie zusätzlich auf vertauschte Zeichen wie rn statt m.

Wie prüfe ich einen Link, ohne draufzuklicken? Am Rechner den Mauszeiger über den Link halten — das Ziel erscheint unten links. Am Smartphone den Link lange gedrückt halten. Entscheidend ist der Domain-Teil vor dem ersten einzelnen Schrägstrich.

Ist es gefährlich, eine Phishing-Mail nur zu öffnen? In modernen Mailprogrammen fast immer harmlos. Gefährlich wird der Klick auf einen Link, das Öffnen eines Anhangs oder die Eingabe von Daten. Ein geladenes Zählpixel verrät dem Absender allerdings, dass Ihre Adresse aktiv ist.

Was mache ich mit einer Phishing-Mail im Unternehmen? Nicht löschen, sondern melden — intern an die IT oder den Datenschutzbeauftragten, damit geprüft werden kann, wer sie sonst noch bekommen hat. Erst danach löschen.

Warum filtert der Spamfilter nicht alle Phishing-Mails weg? Filter erkennen Muster wie Massenversand und bekannte bösartige Domains. Eine einzelne, sauber geschriebene Mail an eine Person enthält keines davon — und kommt sie vom echten, übernommenen Konto eines Geschäftspartners, gibt es technisch nichts zu beanstanden.