Phishing-Mails erkennen: 8 Warnsignale und was im Ernstfall zu tun ist

Die Zeiten, in denen sich betrügerische E-Mails an holprigem Deutsch erkennen ließen, sind vorbei. Heute sind Anrede, Layout und Tonfall stimmig, das Logo sitzt an der richtigen Stelle und der Text nimmt Bezug auf ein Thema, das tatsächlich gerade aktuell ist. Erkennbar bleiben solche Nachrichten trotzdem – nur an anderen Stellen als früher.

Die acht Warnsignale

1. Die tatsächliche Absenderadresse

Der angezeigte Name ist frei wählbar und deshalb wertlos. Entscheidend ist die Adresse dahinter. Achten Sie besonders auf vertauschte Zeichen und angehängte Domains: rechnung@lieferant-gmbh.de gegenüber rechnung@lieferant-gmbh.de.abrechnung-portal.com. Der eigentliche Domainname steht immer direkt vor dem letzten Punkt.

2. Das Ziel eines Links, nicht sein Text

Fahren Sie mit der Maus über den Link, ohne zu klicken – am Handy hilft langes Drücken. Unten im Fenster erscheint das echte Ziel. Weicht es vom Linktext ab, ist die Sache erledigt. Verkürzte Adressen und Weiterleitungen über unbekannte Zwischenstationen sind in geschäftlicher Kommunikation ohnehin unüblich.

3. Zeitdruck und Konsequenzen

„Ihr Konto wird in 24 Stunden gesperrt“, „letzte Mahnung vor Inkasso“, „bitte noch heute freigeben“: Druck ist das zentrale Werkzeug, weil er das Nachdenken abkürzt. Seriöse Absender setzen keine Fristen von wenigen Stunden für Kontoangelegenheiten.

4. Eine Anmeldeseite, die aus dem Nichts auftaucht

Der häufigste Ablauf: ein Link führt auf eine perfekt nachgebaute Anmeldeseite. Grundregel – Zugangsdaten niemals über einen Link aus einer E-Mail eingeben. Rufen Sie den Dienst über Ihr Lesezeichen oder die manuell eingetippte Adresse auf. Sind Sie dort bereits angemeldet und sehen keinerlei Hinweis auf ein Problem, war die Nachricht gefälscht.

5. Ungewöhnliche Anhänge

Kritisch sind ausführbare Dateien, Skripte und Office-Dokumente, die zur Aktivierung von Makros auffordern. Ebenso passwortgeschützte Archive, deren Kennwort im Mailtext steht – der einzige Zweck dieser Konstruktion ist es, die Prüfung durch den Mailfilter zu verhindern.

6. Ein Anliegen, das nicht zur Rolle passt

Die Geschäftsführung, die per Mail um eine dringende Überweisung bittet. Die Personalabteilung, die nach Zugangsdaten fragt. Ein Lieferant, der kurzfristig neue Bankverbindungen mitteilt. Solche Bitten werden grundsätzlich über einen zweiten Kanal bestätigt – Rückruf unter der bekannten Nummer, nicht unter der aus der Signatur.

7. Der Bruch in einem laufenden Verlauf

Die unangenehmste Variante: Die Antwort kommt aus einem echten, übernommenen Postfach eines Geschäftspartners und hängt an einem realen Verlauf. Hier greift kein optisches Merkmal. Auffällig bleiben ein plötzlicher Themenwechsel, eine unerwartete Zahlungsaufforderung oder ein Anhang, der zum Gespräch nicht passt.

8. Die Rückadresse für Antworten

Prüfen Sie, wohin eine Antwort ginge. Weicht das Antwortziel vom Absender ab, ist das ein starkes Signal – besonders bei Nachrichten, die zu einer Rückmeldung auffordern.

Es ist passiert – was jetzt?

Ein Klick ist kein Weltuntergang, aber die nächsten Minuten entscheiden über den Aufwand. Diese Reihenfolge hat sich bewährt:

1. Netzwerkverbindung trennen, wenn ein Anhang ausgeführt wurde. Bei reiner Passworteingabe ist das nicht nötig.
2. Passwort ändern – vom Gerät aus, dessen Sauberkeit außer Frage steht. Wurde dasselbe Passwort anderswo verwendet, dort ebenfalls.
3. Aktive Sitzungen beenden. Ein Passwortwechsel allein wirft Angreifer nicht heraus, solange deren Anmeldung gültig bleibt. In Microsoft 365 heißt die Funktion „Sitzung widerrufen“.
4. Weiterleitungsregeln prüfen. Der erste Schritt nach einer Postfachübernahme ist fast immer eine unauffällige Regel, die Kopien nach außen schickt oder eingehende Nachrichten in einen selten geöffneten Ordner verschiebt.
5. Anmeldeprotokolle ansehen. Anmeldungen aus unerwarteten Ländern oder zu ungewöhnlichen Zeiten zeigen, ob der Zugang tatsächlich genutzt wurde.
6. Intern melden. Andere Postfächer haben dieselbe Nachricht erhalten. Eine kurze Warnung an alle verhindert Folgeklicks.

Sind personenbezogene Daten abgeflossen, greifen zusätzlich die Meldepflichten der DSGVO. Diese Frist ist knapp bemessen – klären Sie früh, wer die Bewertung vornimmt.

Was organisatorisch hilft

• Zweiter Faktor überall. Ein abgefangenes Passwort allein reicht dann nicht mehr aus. Das ist die einzelne Maßnahme mit dem größten Effekt – siehe IT-Sicherheit im Mittelstand.
• Eine klare Anlaufstelle. Alle müssen wissen, wem sie eine verdächtige Mail weiterleiten. Ohne Adresse passiert nichts.
• Kein Ärger nach einer Meldung. Wer Sanktionen fürchtet, meldet nicht. Damit geht genau die Zeit verloren, die den Schaden begrenzt.
• Feste Regel für Bankdaten. Änderungen an Kontoverbindungen werden ausnahmslos telefonisch unter der bekannten Nummer bestätigt.
• Technische Absenderprüfung. Korrekt eingerichtete SPF-, DKIM- und DMARC-Einträge verhindern, dass Dritte im Namen Ihrer eigenen Domain schreiben. Wie das zusammen mit den übrigen Grundeinstellungen aussieht, steht in Microsoft 365 sicher einrichten.

Fazit

Phishing ist kein technisches, sondern ein Vertrauensproblem – und wird deshalb nie vollständig durch Filter gelöst. Was hilft, ist eine Handvoll fester Gewohnheiten: Adresse prüfen, Linkziel prüfen, bei Geldfragen zurückrufen, im Zweifel fragen.

Bei der Einrichtung der technischen Seite – Mailfilter, Absenderprüfung, Protokollauswertung – unterstützen wir im Rahmen der Cloud- und Microsoft-365-Betreuung und der laufenden IT-Betreuung.