Was ist eine Phishing-Mail? Definition, Ablauf und Schutz

Inhalt in Kürze

• Eine Phishing-Mail ist eine gefälschte Nachricht, die sich als vertrauenswürdiger Absender ausgibt, um Zugangsdaten, Zahlungsdaten oder eine Überweisung zu erbeuten. Angegriffen wird der Mensch, nicht die Technik.
• Der Angriff läuft immer nach demselben Muster: vertrauter Absender, plausibler Anlass, künstliche Frist, Link auf eine nachgebaute Seite, Eingabe.
• Es gibt nicht eine Sorte: Massen-Phishing, Spear Phishing, Whaling, CEO-Fraud, dazu Smishing, Vishing und Quishing außerhalb des Postfachs.
• Für Unternehmen ist Phishing nicht nur ein IT-Thema. Fließen personenbezogene Daten ab, läuft die 72-Stunden-Frist nach Art. 33 DSGVO — und zwar ab dem Moment, in dem irgendwer im Haus etwas bemerkt.

Phishing ist die häufigste Art, wie Kriminelle in Unternehmensnetze kommen. Nicht über eine Sicherheitslücke im Server, nicht über eine Firewall — sondern über eine E-Mail, die jemand für echt hält. Das ist unspektakulär, billig und funktioniert seit Jahrzehnten.

Was ist eine Phishing-Mail?

Eine Phishing-Mail ist eine gefälschte E-Mail, die sich als Nachricht eines vertrauenswürdigen Absenders ausgibt, um den Empfänger zu einer Handlung aufzufordern: Zugangsdaten auf einer nachgebauten Webseite eingeben, einen bösartigen Anhang öffnen oder Geld überweisen. Kriminelle imitieren dafür bekannte Marken — die Sparkasse, Microsoft, DHL — und fälschen Absenderadresse, Logo und Tonfall so, dass die Nachricht täuschend echt aussieht.

Der Begriff ist ein Kunstwort aus dem englischen fishing — Angeln — und dem „ph“ aus der frühen Hackersprache, das schon beim „Phreaking“ der Telefonnetze stand. Das Bild passt: Es wird ein Köder ausgeworfen und gewartet, wer anbeißt.

Technisch ist an einer Phishing-E-Mail meist nichts kaputt. Sie enthält oft keine Malware, nutzt keine Sicherheitslücke und verstößt gegen kein Protokoll. Sie ist eine ganz gewöhnliche E-Mail mit einem Text, der lügt. Deshalb greift auch kein Virenscanner: Es gibt nichts zu scannen. Phishing gehört zum Social Engineering — der Angriff auf das Vertrauen statt auf die Technik.

Dass solche E-Mails früher an schlechtem Deutsch zu erkennen waren, gilt nicht mehr. Heute sind sie in fehlerfreiem Deutsch verfasst, tragen eine persönliche Anrede und erzeugen ein Gefühl der Dringlichkeit, das den Benutzer zum schnellen Klicken bringen soll.

Das Bundeslagebild Cybercrime 2025 des BKA weist rund 335.000 Fälle aus und schätzt den Schaden für die deutsche Wirtschaft auf 202,4 Milliarden Euro — etwa 4,5 Prozent des Bruttoinlandsprodukts.

Wie ein Phishing-Angriff mit E-Mails abläuft

Egal ob Bank-Fälschung oder gezielter Angriff auf die Buchhaltung: Der Ablauf ist fast immer derselbe.

1. Vorbereitung. Die Angreifer sammeln, was öffentlich zu finden ist: Namen aus dem Impressum, Zuständigkeiten aus Stellenanzeigen, Lieferanten aus Pressemitteilungen, Urlaubszeiten aus Abwesenheitsnotizen. Für Massen-Phishing entfällt dieser Schritt — dort zählt nur die Menge.
2. Köder bauen. Eine Nachricht mit einem Anlass, den es geben könnte: abgelaufenes Passwort, offene Rechnung, geteiltes Dokument, Paketzustellung. Logo und Layout stammen aus der echten Kommunikation des nachgeahmten Absenders.
3. Versenden. Über gekaufte Adresslisten, über gehackte Postfächer oder über eine Domain, die der echten zum Verwechseln ähnlich sieht — mit vertauschten Zeichen wie rn statt m oder mit kyrillischen Buchstaben, die den lateinischen ähnlich sehen.
4. Ernten. Die URL führt auf eine Seite, die aussieht wie die Anmeldemaske des echten Dienstes. Was dort eingegeben wird, landet direkt bei den Betrügern — bei modernen Baukästen sogar in Echtzeit, sodass auch ein Einmalcode aus der Authenticator-App noch gültig ist, wenn er weitergereicht wird.
5. Verwerten. Postfach ausleiten, weitere Mitarbeiter von innen kontaktieren, Rechnungen manipulieren, Daten verkaufen oder Ransomware nachladen.

Der fünfte Schritt ist der, den viele unterschätzen. Ein erbeutetes Postfach ist selten das Ziel — es ist der Ausgangspunkt. Von dort aus wirken alle weiteren Mails echt, weil sie es technisch auch sind.

Welche Arten von Phishing-E-Mails es gibt

„Phishing“ ist ein Sammelbegriff. Für die Abwehr lohnt die Unterscheidung, weil die Gegenmaßnahmen verschieden sind:

Die letzten drei zeigen, wohin sich das Thema bewegt: weg aus dem Postfach, in Kanäle ohne Filter. Am 6. Februar 2026 warnten Bundesverfassungsschutz und BSI gemeinsam vor Phishing über Messengerdienste wie Signal — ohne Schadsoftware und ohne technische Schwachstelle, allein über legitime Funktionen der App in Kombination mit Social Engineering.

Was Kriminelle mit den erbeuteten Daten machen

Die Frage „Was wollen die überhaupt von mir?“ beantwortet sich, wenn man den Weiterverkauf mitdenkt. Erbeutete Zugangsdaten werden selten sofort ausgenutzt — sie sind Ware.

• Identitätsdiebstahl. Mit Namen, Geburtsdatum und einer Ausweiskopie lassen sich Konten eröffnen, Verträge abschließen und Waren auf fremde Rechnung bestellen. Wer persönliche Daten preisgibt, verliert nicht nur ein Passwort.
• Weiterverkauf im Darknet. Sammlungen aus E-Mail-Adresse und Passwort werden paketweise gehandelt. Weil viele dasselbe Passwort mehrfach verwenden, öffnet ein einziger Datensatz oft mehrere Dienste.
• Zugang zum Firmennetz. Ein gültiger Benutzerzugang ist der bequemste Weg hinein — bequemer als jede Sicherheitslücke. Von dort aus wird ausgekundschaftet, wer Zahlungen freigibt.
• Ransomware. Über einen bösartigen Anhang wird ein Trojaner nachgeladen, der Systeme infiziert und verschlüsselt. Das BKA zählte 2025 rund 1.000 gemeldete Ransomware-Angriffe.

Für Unternehmen ist der dritte Punkt der teuerste. Ein übernommenes Postfach wird zur Absenderadresse für die nächste Welle: Von dort aus werden Kunden und Lieferanten kontaktiert, und diese E-Mails sind technisch nicht mehr von echten zu unterscheiden.

Phishing oder Spam — wo ist der Unterschied?

Beides landet im Postfach, beides ist unerwünscht. Der Unterschied liegt in der Absicht.

Spam ist Massenwerbung: Nahrungsergänzung, Glücksspiel, dubiose Angebote. Er kostet Aufmerksamkeit und Speicherplatz, aber er will nichts von Ihnen außer einem Kauf.

Phishing ist ein Betrugsversuch. Es will Zugangsdaten, Geld oder einen Fuß in der Tür. Rechtlich ist das Betrug beziehungsweise Ausspähen von Daten; in der Wirkung kann eine einzige Phishing-Mail ein Unternehmen tagelang lahmlegen.

Praktisch heißt das: Spam kann man ignorieren. Phishing muss man melden — auch dann, wenn niemand geklickt hat, damit die IT prüfen kann, wer die Nachricht sonst noch bekommen hat.

Woran man eine Phishing-E-Mail erkennt

Die klassischen Merkmale sind weitgehend erledigt. Rechtschreibfehler, holpriges Deutsch und „Sehr geehrter Kunde“ waren die Erkennungszeichen einer Zeit, in der die Texte durch schlechte Übersetzungsmaschinen liefen. Heute schreibt ein Sprachmodell fehlerfreies Behördendeutsch mit korrekter Anrede.

Was bleibt, sind vier Signale, die das Anliegen betreffen:

• Eine Datenabfrage, die es nicht geben dürfte. Passwort, PIN, TAN, Kartennummer. Keine Bank und keine seriöse IT-Abteilung fordert per E-Mail dazu auf, solche vertraulichen Informationen preiszugeben.
• Zeitdruck ohne sachlichen Grund. „Binnen 24 Stunden“, „letzte Mahnung“, „dringend erforderlich“. Diese Dringlichkeit soll die Rückfrage verhindern.
• Ein Link, dessen Ziel nicht passt. Der sichtbare Text sagt eines, die URL dahinter etwas anderes. Mauszeiger darüber halten, ohne zu klicken.
• Ein Weg, der vom üblichen abweicht. Rechnung als privater Anhang statt über das Portal, geänderte Bankverbindung, Antwort an eine andere Adresse.

Ausführlich mit Prüfschritten für Absender und Links steht das in Phishing-Mail erkennen; echte Fälle mit Betreffzeilen und Datum finden Sie unter Phishing-Beispiele.

Was passiert, wenn ich eine verdächtige E-Mail öffne?

Diese Frage kommt in jeder Schulung, und die Antwort ist beruhigender als ihr Ruf: Das reine Öffnen ist in modernen Mailprogrammen fast immer folgenlos. Outlook, Gmail und Apple Mail führen keine Skripte aus und laden externe Inhalte standardmäßig nicht nach.

Zwei Einschränkungen gibt es. Erstens kann ein nachgeladenes Zählpixel dem Absender bestätigen, dass Ihre E-Mail-Adresse existiert und gelesen wird — danach kommt in der Regel mehr. Zweitens ist der Übergang vom Lesen zum Klicken fließend: Ein Klick auf ein Bild, das in Wahrheit ein Link ist, passiert schnell.

Gefährlich sind die drei Schritte danach:

1. Link angeklickt — kritisch erst, wenn auf der Zielseite etwas eingegeben wird. Reines Aufrufen ist bei aktuellem Browser meist unproblematisch.
2. Anhang geöffnet — hier kann Schadsoftware starten und das Gerät infiziert werden. Besonders heikel: Office-Dateien mit Makros, ZIP-Archive, in denen ein Trojaner steckt, und HTML-Anhänge, die eine Anmeldemaske im Browser öffnen.
3. Daten eingegeben — der Ernstfall. Ab hier sind die Zugangsdaten weg und die Uhr läuft.

Was in den ersten Minuten zu tun ist, steht Schritt für Schritt in Phishing-Mail geöffnet — was jetzt zu tun ist.

Unsere interessanteste Datenpanne war ein Dienstleister mit nur 15 Mitarbeitern, bei dem der Geschäftsführer eine E-Mail von einem Geschäftspartner bekam. Die E-Mail kam wirklich von diesem Geschäftspartner – trotzdem war es ein Angriff.

Nils OehmichenDatenschutzberater bei frag.hugo

Dieser Fall zeigt die Grenze jeder technischen Erkennung. War das Postfach des Partners vorher übernommen, ist die Absenderadresse echt, die Domain korrekt, SPF und DKIM in Ordnung. Übrig bleibt der Mensch, der stutzig wird — und ein Prozess, der ihn absichert.

Was Unternehmen wirklich schützt

Eine einzelne Maßnahme reicht nicht. Wirksam ist erst die Kombination aus drei Ebenen:

Technik. Ein sauber konfigurierter Mailschutz sortiert den größten Teil der betrügerischen E-Mails aus, bevor sie ankommen: SPF, DKIM und DMARC gegen gefälschte Absender in der eigenen Domain, Anhangsprüfung auf Malware, Link-Umschreibung. Das ersetzt nichts, senkt aber die Menge, mit der Menschen umgehen müssen. Was verschiedene Lösungen leisten, ordnet unser Vergleich der E-Mail-Security-Anbieter ein.

Anmeldung. Wenn Zugangsdaten abfließen, entscheidet der zweite Faktor. SMS-Codes lassen sich abfangen und in Echtzeit weiterreichen; an die Domain gebundene Verfahren funktionieren auf einer gefälschten Seite schlicht nicht. Der Unterschied zwischen den Verfahren ist erheblich — nachzulesen unter Multi-Faktor-Authentifizierung im Unternehmen.

Menschen und Prozesse. Der wirksamste Einzelposten ist banal: eine feste Regel, dass jede Änderung einer Bankverbindung und jede Zahlung über einem Schwellenwert über einen bekannten Kanal rückbestätigt wird. Dazu ein Meldeweg, der einen Klick kostet. Und Übung, die nicht einmal im Jahr stattfindet.

Wie eine Phishing-Simulation abläuft — von der Zustellprüfung bis zum Nachweis für den Prüfer — haben wir ausführlich beschrieben. Für die begleitenden Schulungen gibt es Hugo Learn mit kurzen Modulen statt Jahrespflichtveranstaltung. Und weil eine Simulation Verhaltensdaten erfasst, ist sie in mitbestimmten Betrieben zustimmungspflichtig: Wie das sauber läuft, steht in Phishing-Simulation, Betriebsrat und DSGVO.

Phishing und DSGVO: wann es meldepflichtig wird

Für Unternehmen endet das Thema nicht bei der IT. Sobald durch einen Phishing-Angriff personenbezogene Daten betroffen sein könnten, ist der Vorfall eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 33 DSGVO.

Drei Punkte, die in der Praxis regelmäßig falsch verstanden werden:

1. Die Frist beginnt bei Kenntnisnahme, nicht bei der Aufklärung. 72 Stunden ab dem Moment, in dem irgendjemand im Unternehmen den Vorfall bemerkt — nicht ab dem Moment, in dem die IT weiß, was genau passiert ist.
2. „Wir wissen noch nicht, ob Daten abgeflossen sind“ ist kein Grund zu warten. Die Meldung darf schrittweise erfolgen; unvollständig und fristgerecht ist besser als vollständig und zu spät.
3. Angemessene Schutzmaßnahmen sind ohnehin Pflicht. Art. 32 DSGVO verlangt sie unabhängig davon, ob etwas passiert ist. Regelmäßige Schulung gehört dazu.

Der Ablauf im Detail steht in Datenpanne melden: die 72-Stunden-Frist.

Wie ernst es um die Schulungspraxis steht, zeigt eine Zahl von Bitkom vom November 2025: 79 Prozent der Unternehmen schulen regelmäßig — aber nur 24 Prozent schulen alle Beschäftigten. 55 Prozent beschränken sich auf ausgewählte Positionen, und jedes fünfte Unternehmen schult überhaupt nicht. Ein Angreifer sucht sich seine Empfänger nicht nach Hierarchie aus.

Häufige Fragen zu Phishing-Mails

Was ist eine Phishing-Mail? Eine gefälschte E-Mail, die sich als Nachricht eines vertrauenswürdigen Absenders ausgibt, um Zugangsdaten, Zahlungsdaten oder eine Überweisung zu erbeuten. Angegriffen wird nicht die Technik, sondern das Vertrauen des Empfängers.

Was ist der Unterschied zwischen Phishing und Spam? Spam ist unerwünschte Massenwerbung und im Kern harmlos. Phishing ist ein Betrugsversuch mit konkretem Ziel: Zugangsdaten, Geld oder ein Einfallstor ins Firmennetz. Spam kostet Zeit, Phishing kostet Geld — und löst im Ernstfall eine Meldepflicht aus.

Was passiert, wenn ich eine Phishing-Mail öffne? Das Öffnen allein ist in modernen Mailprogrammen fast immer folgenlos. Ein nachgeladenes Zählpixel kann dem Absender aber bestätigen, dass Ihre Adresse aktiv ist. Gefährlich wird der Klick auf einen Link, das Öffnen eines Anhangs und vor allem die Eingabe von Daten.

Welche Arten von Phishing gibt es? Massen-Phishing an Tausende, Spear Phishing auf einzelne Personen zugeschnitten, Whaling gegen Führungskräfte, CEO-Fraud gegen die Buchhaltung. Außerhalb der E-Mail: Smishing per SMS, Vishing per Telefon, Quishing über QR-Codes.

Woher kommt das Wort Phishing? Es ist ein Kunstwort aus dem englischen „fishing“ für Angeln und dem „ph“ der frühen Hackerschreibweise, bekannt aus dem „Phreaking“ der Telefonnetze. Gemeint ist das Auswerfen eines Köders.

Ist eine Phishing-Mail im Unternehmen eine meldepflichtige Datenpanne? Die Mail selbst nicht. Meldepflichtig wird der Vorfall, sobald personenbezogene Daten betroffen sein könnten — etwa weil Zugangsdaten eingegeben wurden und dadurch ein Postfach mit Kunden- oder Beschäftigtendaten offenstand. Dann läuft die 72-Stunden-Frist nach Art. 33 DSGVO ab Kenntnisnahme.