Phishing-Mail erkennen: woran du Betrug wirklich siehst

Da liegt sie also im Postfach, die Mail von der Sparkasse, der Post oder deinem Mailanbieter, und irgendetwas daran fühlt sich falsch an. Vielleicht die Frist bis heute Abend, vielleicht einfach der Zeitpunkt. Eine Phishing-Mail erkennen heißt in diesem Moment vor allem eines: nicht klicken, bevor du zwei, drei Dinge nachgesehen hast, die sich nicht fälschen lassen oder deren Fälschung sich nachweisen lässt. Das dauert keine Minute, auch wenn du es zum ersten Mal machst.

Der Rest dieses Textes erklärt, welche Dinge das sind und warum die alten Faustregeln mit den Rechtschreibfehlern kaum noch taugen. Außerdem geht es darum, was du tust, wenn der Klick schon passiert ist, und wo du eine solche Mail meldest, damit sie beim Nächsten weniger Schaden anrichtet.

Phishing-Mail erkennen: erst prüfen, dann klicken

Eine Phishing-Mail will dich zu einer Handlung bringen, und meistens sollst du auf einen Link klicken und auf der Seite dahinter ein Passwort, eine TAN oder Kartendaten eingeben. Manchmal sollst du einen Anhang öffnen, manchmal Geld überweisen. Alles andere an der Mail, das Logo, der Tonfall, die Fußzeile mit Impressum, dient nur diesem einen Zweck.

Daraus folgt die wichtigste Regel. Du musst den Text gar nicht bewerten, du musst nur prüfen, wohin die Handlung führt. Eine Mail kann in perfektem Deutsch geschrieben sein und trotzdem gefälscht. Der Link darin aber muss irgendwo hinführen, und dieses Ziel gehört den Betrügern, nicht der Bank.

Die echte Absenderadresse, nicht der Name

Was dein Mailprogramm fett als Absender anzeigt, ist meistens nur ein Name. “Sparkasse” oder “DHL Kundenservice” kann jeder in dieses Feld schreiben, das kostet nichts und wird von keinem Server geprüft. Die eigentliche Adresse steht dahinter, oft erst nach einem Klick auf den Namen oder in der Detailansicht. Am Handy musst du dafür meistens auf den Absender tippen.

Dort siehst du dann zum Beispiel etwas wie [email protected] oder eine Adresse bei einem Freemail-Anbieter. Beides gehört nicht der Sparkasse. Warum technisch gut gefälschte Adressen trotzdem ankommen und welche Rolle Verfahren wie SPF, DKIM und DMARC dabei spielen, haben wir im Artikel über Spoofing und gefälschte Absender ausführlich erklärt. Für den schnellen Check genügt eine Frage: Endet die Adresse exakt auf die Domain, die du von diesem Unternehmen kennst?

Wohin der Link wirklich führt

Das ist die stärkste Prüfung von allen. Am Computer fährst du mit dem Mauszeiger über den Link oder den Button, ohne zu klicken. Unten im Fenster oder in einem kleinen Kästchen erscheint dann die Adresse, auf die er zeigt. Am Handy drückst du lange auf den Link, bis ein Menü mit der Zieladresse aufgeht, und tippst dann daneben.

Lies die Adresse von rechts nach links bis zum ersten einzelnen Schrägstrich. Entscheidend ist der Teil direkt vor der Endung, also bei https://login.sparkasse.de.konto-check.com/ die Domain konto-check.com. Alles davor ist Dekoration und darf beliebig lauten. Das BSI beschreibt in seinem Lagebericht 2025 genau diese Tricks als gängig: Tippfehler-Domains nach dem Muster facebok.com statt facebook.com und Adressen, in die einfach ein Markenname eingebaut wird.

Ein Detail aus demselben Bericht zeigt, warum Warnlisten allein nicht reichen. Die durchschnittliche Lebensdauer einer bösartigen Webseite lag im Berichtszeitraum bei rund 1,77 Stunden. Bis eine Adresse auf einer Sperrliste steht, ist die Kampagne oft schon weitergezogen.

Druck, Frist, Drohung

Fast jede Phishing-Mail setzt dich unter Zeitdruck. Das Konto werde eingeschränkt oder das Paket zurückgeschickt, und zwar bald. Der Druck hat einen Zweck: Wer in Eile ist, prüft nichts.

Wie das im Alltag aussieht, zeigt das Phishing-Radar der Verbraucherzentrale NRW, das täglich neue Beispiele veröffentlicht. Am 22. September 2026 verlangte eine angebliche Sparkassen-Mail, das pushTAN-Verfahren noch am selben Tag über den Button “Jetzt pushTAN freigeben” zu aktualisieren. Am Tag darauf ging es bei der N26 um ein vermeintliches “DSP2-Update” samt eingeschränktem Konto. Wieder zwei Tage später versprach eine Mail im Namen der AOK eine Rückerstattung von 478,90 Euro, freizugeben bis zum 7. Oktober.

Die Absender wechseln, das Muster bleibt. Mal wird gedroht, mal gelockt, und immer gibt es eine Frist.

Anhänge und Formulare

Rechnungen als ZIP-Datei, Office-Dokumente, die dich bitten, “Inhalte zu aktivieren”, HTML-Dateien, die sich im Browser als Login-Seite öffnen: Das sind klassische Wege, Schadsoftware oder ein Anmeldeformular an Filtern vorbeizuschmuggeln. Eine unerwartete Mail mit Anhang ist deshalb verdächtig, auch wenn der Absender bekannt aussieht. Banken schicken dir ohnehin keine Formulare per Mail, in die du Zugangsdaten eintragen sollst.

Eine Variante lässt den Link ganz weg und steckt stattdessen einen QR-Code in die Mail oder in das angehängte PDF. Den scannst du mit dem Handy, und damit landet die Seite auf einem Gerät, auf dem die Adresse schlechter zu lesen ist. Diese Masche heißt Quishing, und sie funktioniert auf Briefen und Parkautomaten genauso wie in Mails.

Die Anrede ist ein schwaches Signal

“Sehr geehrter Kunde” statt deines Namens wirkt verdächtig und ist es oft auch. Nur hilft das Merkmal in beide Richtungen wenig. Viele echte Newsletter verzichten auf die persönliche Anrede. Und Betrüger kennen deinen Namen häufig längst, weil er zusammen mit deiner Mailadresse aus irgendeinem Datenleck stammt, das irgendwann im Netz gelandet ist.

Eine korrekte Anrede mit Vor- und Nachnamen ist also kein Echtheitsbeweis. Sie zeigt nur, dass jemand deine Daten hat.

Warum Rechtschreibfehler nicht mehr reichen

Jahrelang lautete der erste Tipp: Achte auf schlechtes Deutsch. Er stammt aus einer Zeit, in der Phishing-Mails maschinell und holprig übersetzt waren, mit fehlenden Umlauten und seltsamen Satzstellungen. Solche Mails gibt es noch, aber wer nach Fehlern sucht, bekommt heute ein falsches Gefühl von Sicherheit, sobald keine da sind.

Den deutlichsten Beleg liefert eine Studie von Fred Heiding, Bruce Schneier und Arun Vishwanath, Ende November 2024 veröffentlicht. Die Forscher schickten 101 Testpersonen verschiedene Phishing-Mails. Gewöhnliche Massen-Phishing-Mails brachten es auf eine Klickrate von 12 Prozent. Mails, die ein Sprachmodell vollautomatisch geschrieben hatte, inklusive Recherche über die jeweilige Person, kamen auf 54 Prozent. Genauso hoch lag die Quote bei Mails, die menschliche Fachleute von Hand verfasst hatten.

Die Zahl ist klein, die Aussage ist es nicht. Ein Programm schreibt inzwischen so überzeugend wie ein Profi, fehlerfrei und auf die Person zugeschnitten, und zwar für einen Bruchteil der Kosten. Selbst die Verbraucherzentralen, deren Merkmalsliste immer noch mit Grammatikfehlern beginnt, schränken dort ein: Manche Phishing-Mails seien sehr gut gemacht, das Deutsch fehlerfrei, und trotzdem nicht echt.

Wie gut die einzelnen Merkmale taugen

Nicht jedes Warnzeichen ist gleich viel wert. Manche entscheiden die Frage praktisch allein, andere sind nur Indizien, die erst zusammen etwas bedeuten.

Wenn du nach dieser Prüfung immer noch unsicher bist, hilft ein anderer Weg: Schließ die Mail und öffne die App oder die Seite des Anbieters selbst, über dein Lesezeichen oder die getippte Adresse. Gibt es wirklich ein Problem mit deinem Konto, steht es dort. Das BSI rät genau dazu, und im Zweifel zu einem Anruf beim Anbieter über eine Nummer, die nicht aus der Mail stammt.

Wenn es nicht um ein Passwort geht, sondern um Geld

Die Phishing-Mail an Privatleute will meist Zugangsdaten. In Firmen gibt es eine Variante, die ganz ohne Link auskommt und deutlich mehr Geld einbringt. Im Englischen heißt sie Business Email Compromise, hierzulande oft CEO-Fraud. Jemand gibt sich per Mail als Chef, Lieferant oder Geschäftspartner aus und bittet um eine Überweisung, meist eilig und vertraulich.

Im August 2016 machte der Nürnberger Kabelhersteller Leoni öffentlich, dass er auf diese Weise rund 40 Millionen Euro verloren hatte. Nach damaligen Berichten hatte der Finanzchef des rumänischen Werks das Geld überwiesen, nachdem Mails eingetroffen waren, die scheinbar aus der Zentrale in Nürnberg stammten. Die IT-Systeme waren nach Angaben des Unternehmens nicht betroffen. Es brauchte keinen Einbruch, eine glaubwürdige Mail genügte.

Wie groß das Problem insgesamt ist, zeigt der aktuelle Jahresbericht des Internet Crime Complaint Center beim FBI. Für 2025 verzeichnete die Behörde 24.768 Beschwerden zu dieser Masche und Schäden von rund 3,05 Milliarden Dollar, nach Anlagebetrug die zweitgrößte Summe im ganzen Bericht. Phishing im engeren Sinn war mit 191.561 Beschwerden die mit Abstand häufigste Deliktart. Die Zahlen gelten für die USA, doch die Masche ist dieselbe.

Die Abwehr ist unspektakulär und wirkt trotzdem. Eine Zahlungsanweisung per Mail wird über einen zweiten Kanal bestätigt, per Rückruf unter einer bekannten Nummer. Und eine geänderte Bankverbindung eines Lieferanten gilt erst, wenn jemand beim Lieferanten angerufen hat.

Selbst Fachleute liegen daneben

Wie leicht eine Einschätzung kippt, zeigt der wohl bekannteste Phishing-Fall überhaupt. Am 19. März 2016 bekam John Podesta, Wahlkampfchef von Hillary Clinton, eine Mail an sein privates Gmail-Konto. Absender war scheinbar Google, die Adresse lautete [email protected]. Jemand in der Ukraine habe sein Passwort benutzt, hieß es, er solle es sofort ändern. Der Button führte über einen Kurzlink von bit.ly.

Podesta war misstrauisch und tat eigentlich das Richtige. Sein Stabschef gab die Mail an die IT des Wahlkampfteams weiter. Von dort kam die Antwort, die Mail sei “legitimate”, er solle sein Passwort ändern und die Zwei-Faktor-Anmeldung einschalten. Die IT schickte sogar einen echten Link zu Google mit. Benutzt wurde am Ende offenbar trotzdem der aus der Mail.

Der zuständige Mitarbeiter sagte später der New York Times, er habe “illegitimate” schreiben wollen und sich vertippt. Zwei fehlende Buchstaben, und ab Oktober 2016 veröffentlichte WikiLeaks mehr als 20.000 Seiten aus seinem Postfach. Die Lehre daraus betrifft weniger Podesta als das Verfahren. Wer bei einer verdächtigen Passwort-Mail den Link aus der Mail gar nicht erst benutzt, sondern die Seite selbst aufruft, ist gegen solche Missverständnisse immun.

Du hast schon geklickt: was jetzt zu tun ist

Erst mal durchatmen, denn ein Klick allein ist in den meisten Fällen noch kein Schaden. Entscheidend ist, was danach passiert ist.

Hast du die Seite nur geöffnet und nichts eingegeben, schließ sie, mehr ist meistens nicht nötig. Aktuelle Browser und Betriebssysteme sind gegen das bloße Aufrufen einer Seite gut geschützt, solange du keine Datei heruntergeladen und geöffnet hast. Das Öffnen der Mail selbst schadet ebenfalls nicht, kann dem Absender aber verraten, dass deine Adresse aktiv ist, sobald Bilder nachgeladen werden. Was so ein Bild beim Öffnen genau meldet, steht im Artikel über Tracking-Pixel.

Wurde ein Passwort eingegeben, änderst du es sofort. Und zwar über die echte App oder die selbst getippte Adresse, nicht über irgendeinen Link. Benutzt du dasselbe Passwort noch anderswo, änderst du es dort ebenfalls, denn Betrüger probieren erbeutete Zugangsdaten automatisch bei anderen Diensten aus. Dann schaltest du die Zwei-Faktor-Anmeldung ein, falls sie noch nicht aktiv ist. Noch besser ist ein Passkey, wo der Dienst ihn anbietet: Den kann man auf einer gefälschten Seite gar nicht eingeben. Beim Mailkonto lohnt ein Blick in die Einstellungen: Weiterleitungen und Filter, die du nicht angelegt hast, sind ein typisches Zeichen dafür, dass jemand drin war.

Bei Bankdaten, Kreditkarte oder TAN rufst du deine Bank an, über die Nummer auf der Rückseite deiner Karte oder auf der offiziellen Webseite. Über den Sperr-Notruf 116 116 kannst du Karten rund um die Uhr sperren lassen, bei vielen Banken auch den Online-Zugang. Danach kontrollierst du deine Umsätze der nächsten Wochen genau.

Nach dem Öffnen eines Anhangs trennst du das Gerät vom Netz und prüfst es gründlich, bevor du wieder Passwörter darauf eintippst. Woran du erkennst, ob ein Gerät tatsächlich kompromittiert ist, steht im Beitrag Wurde ich gehackt?.

Ist Geld abgeflossen, erstattest du Anzeige bei der Polizei, in den meisten Bundesländern geht das auch über die Onlinewache. Die Mail löschst du in diesem Fall nicht. Sie ist ein Beweismittel, darauf weist auch die Verbraucherzentrale ausdrücklich hin.

Phishing-Mail melden: wohin damit

Eine Phishing-Mail, die du einfach löschst, landet morgen beim Nächsten. Mit einer Meldung hilfst du, die Kampagne schneller zu stoppen, und es kostet dich eine Weiterleitung.

Die zentrale Adresse in Deutschland ist das Phishing-Radar der Verbraucherzentrale NRW unter [email protected]. Die Verbraucherzentrale bittet darum, die Mail direkt weiterzuleiten und nicht als Anhang. Aus den Einsendungen entstehen die täglichen Warnungen auf ihrer Webseite, die auch die anderen Verbraucherzentralen übernehmen.

Leite die Mail außerdem an das Unternehmen weiter, dessen Name missbraucht wurde. Viele Banken, Paketdienste und Shops haben dafür eine eigene Adresse, meist im Kontakt- oder Sicherheitsbereich ihrer Webseite. So erfährt die Firma, dass gerade in ihrem Namen gefischt wird.

In deinem Mailprogramm gibt es in der Regel einen Knopf, mit dem du eine Nachricht als Phishing oder Spam meldest. Das trainiert die Filter deines Anbieters und schützt andere Kunden desselben Dienstes. Das BSI nimmt Meldungen zu neuartigen Maschen über sein Service-Center entgegen, im Schadensfall verweist es an die Polizei und an die eigene Bank.

Betrugsversuche per SMS laufen in Deutschland über einen anderen Weg, nämlich über die Bundesnetzagentur. Die Einzelheiten stehen in unserem Artikel über Smishing und SMS-Betrug. Auf Verkaufsplattformen kommt der gefälschte Link oft von einem angeblichen Käufer. Wie diese Masche abläuft, zeigt unser Artikel über Kleinanzeigen-Betrug.

Was bleibt

Das BSI stellt in seinem jüngsten Lagebericht fest, dass Angriffe per Mail gegenüber anderen Kanälen wie Messengern und sozialen Netzwerken spürbar zurückgehen. Verschwunden ist die Phishing-Mail deshalb nicht, sie ist nur besser geworden. Das Aussehen einer Mail verrät immer weniger. Was bleibt, sind die Spuren, die sich nicht so leicht fälschen lassen: die Domain hinter dem Link, die Adresse hinter dem Namen und die Frage, ob das Anliegen auch in der echten App auftaucht.

Die Prüfung dauert kürzer als das Lesen dieses Absatzes. Wer sie sich angewöhnt, braucht keine Liste mit zwanzig Warnzeichen mehr.

Häufige Fragen

Woran erkenne ich eine Phishing-Mail am sichersten?

Am verlässlichsten sind zwei Prüfungen, die nichts mit dem Text zu tun haben. Schau dir die vollständige Absenderadresse hinter dem angezeigten Namen an, und prüf das echte Ziel jedes Links, bevor du klickst. Am Computer zeigt der Mauszeiger über dem Link die Adresse unten im Fenster, am Handy hilft langes Drücken. Führt der Link auf eine Domain, die nicht exakt zum angeblichen Absender gehört, ist die Sache entschieden. Sprache, Logo und Anrede sind dagegen leicht zu fälschen.

Was mache ich, wenn ich auf den Link in einer Phishing-Mail geklickt habe?

Nur geklickt, nichts eingegeben: Seite schließen, meist ist dann noch nichts passiert. Hast du ein Passwort eingetippt, änderst du es sofort über die echte Seite oder App des Dienstes, dazu überall dort, wo du dasselbe Passwort benutzt, und schaltest die Zwei-Faktor-Anmeldung ein. Bei Bankdaten rufst du deine Bank über die Nummer auf deiner Karte an und lässt Konto oder Karte sperren. Die Mail löschst du in diesem Fall nicht, denn sie ist ein Beweismittel, falls du Anzeige erstattest.

Wo kann ich eine Phishing-Mail melden?

Die Verbraucherzentrale NRW sammelt Phishing-Mails für ihr Phishing-Radar unter [email protected], am besten direkt weitergeleitet und nicht als Anhang. Zusätzlich lohnt sich eine Weiterleitung an das Unternehmen, dessen Name missbraucht wurde, viele haben dafür eine eigene Adresse. In deinem Mailprogramm markierst du die Nachricht außerdem als Phishing oder Spam. Ist Geld abgeflossen, gehört der Fall zur Polizei, das geht in den meisten Bundesländern auch über eine Online-Wache.

Sind Rechtschreibfehler noch ein Zeichen für Phishing?

Wenn eine Mail voller Fehler steckt, ist das weiterhin ein Warnzeichen. Umgekehrt beweist fehlerfreies Deutsch heute gar nichts mehr. Sprachmodelle schreiben saubere, höfliche Texte in jeder Sprache, und in einer Studie aus dem Jahr 2024 klickten Testpersonen auf vollautomatisch erzeugte Phishing-Mails genauso oft wie auf solche von menschlichen Fachleuten. Wer nur nach Tippfehlern sucht, sucht nach dem Phishing von gestern.

Kann ich mir durch das bloße Öffnen einer Phishing-Mail etwas einfangen?

Das bloße Öffnen und Lesen ist in aktuellen Mailprogrammen in aller Regel harmlos. Gefährlich wird es beim Klick auf einen Link, beim Öffnen eines Anhangs und bei jeder Eingabe von Daten. Etwas verrät das Öffnen allerdings doch: Nachgeladene Bilder können dem Absender melden, dass deine Adresse aktiv ist. Viele Programme laden externe Inhalte deshalb erst auf Nachfrage, und diese Einstellung solltest du so lassen.