E-Mails prüfen
Phishing folgt fast immer demselben Muster. Sobald Sie die Muster kennen und eine feste Routine haben, erkennen Sie die meisten Versuche in wenigen Sekunden. In diesem Modul stellen wir zuerst die Muster und die Routine vor, dann üben Sie mit echten Beispielen, darunter eines, das tatsächlich echt ist.
- check_circle Die festen Muster, die Phishing verraten
- check_circle Eine einfache Routine: nachdenken, den Absender prüfen, das Ziel prüfen
- check_circle Üben mit echten Beispielen, darunter eine echte E-Mail
Die Muster: worauf jeder Phishing-Versuch hinausläuft
Fast jede Phishing-Nachricht kombiniert eine dieser Forderungen mit einer oder mehreren Drucktaktiken. Wenn Sie dieses Muster sehen, schalten Sie in den Prüfmodus.
Der Angreifer will immer eines von zwei Dingen:
- „Gib mir etwas“: ein Passwort, einen Code, personenbezogene Daten oder eine Zahlung.
- „Klick auf etwas“: einen Link oder einen Anhang.
Und um Sie zu schnellem Handeln zu drängen, fügen sie Druck hinzu:
- Dringlichkeit: „innerhalb von 24 Stunden“, „Ihr Konto wird gesperrt“.
- Zu schön, um wahr zu sein: Sie haben etwas gewonnen, eine Rückerstattung wartet.
- Unerwartet: Sie haben diese Nachricht nicht erwartet.
- Emotion: Angst, Neugier oder Appelle an Autorität („der Chef bittet darum …“).
Wenn etwas zu schön klingt, um wahr zu sein, ist es das meistens auch. Und ein echtes Unternehmen oder eine echte Bank setzt Sie niemals unter Zeitdruck, Ihre Daten über einen Link zu bestätigen.
Die Routine: nachdenken und prüfen
Gegen diese Muster haben Sie eine einfache Gewohnheit. Führen Sie sie jedes Mal in dieser Reihenfolge aus.
- 1. Nachdenken. Halten Sie kurz inne. Habe ich diese Nachricht erwartet? Ergibt die Geschichte Sinn? Spüre ich Druck, schnell zu handeln? Druck ist selbst schon ein Signal.
- 2. Den Absender prüfen (die Herkunft). Schauen Sie nicht auf den Anzeigenamen, sondern auf die echte E-Mail-Domain. „Deutsche Bank“ sagt Ihnen nichts;
@deutsche-bank.deoder@deutsche-bank-sicherheit.netsagt Ihnen alles. - 3. Das Ziel prüfen (wohin es führt). Klicken Sie nicht sofort. Fahren Sie mit der Maus über den Link oder die Schaltfläche, oder halten Sie ihn auf dem Handy gedrückt, und lesen Sie, wohin er wirklich führt.
Gehen Sie selbst auf die offizielle Website (tippen Sie die Adresse ein oder nutzen Sie Ihr Lesezeichen) oder rufen Sie eine Nummer an, die Sie selbst heraussuchen. So umgehen Sie die Falle vollständig.
Anhänge und weitere Signale
Nicht jedes Phishing dreht sich um einen Link. Ein Anhang kann genauso gefährlich sein, und manche Signale sehen Sie schon, bevor Sie etwas anklicken.
- Ein unerwarteter Anhang. Eine „Rechnung“, ein „Scan“ oder eine „Sprachnachricht“ als ZIP-Datei, als HTML-Datei oder als Dokument, das Sie auffordert, „Inhalt aktivieren“ zu klicken: Öffnen Sie es nicht. Prüfen Sie zuerst über einen bekannten Kanal, ob der Absender Ihnen wirklich etwas geschickt hat.
- Eine allgemeine Anrede. „Sehr geehrter Kunde“ von einem Unternehmen, das Ihren Namen kennt, ist ein Grund, genauer hinzusehen.
- Rechtschreib- und Layoutfehler. Ein Signal, aber kein Beweis. Betrüger schreiben immer fehlerfreier, auch mit Hilfe von KI.
Ein einzelnes Signal beweist nichts, mehrere zusammen sind ein Grund, in den Prüfmodus zu wechseln. Den Ausschlag geben Absender und Ziel: Stimmt die Domain, und ist der Link oder Anhang das, was Sie erwartet haben?
Die nachgeahmte Domain: der Trick, den Sie kennen müssen
Der wichtigste Phishing-Trick ist eine Domain, die fast richtig aussieht. Der Anzeigename lügt, die Domain sagt die Wahrheit.
service@deutsche-bank.de service@deutsche-bank-sicherheit.net noreply@otto.de noreply@otto-zahlung.com info@fedex.com info@fedex-zustellung.com Schauen Sie auf den Teil direkt nach dem @ oder direkt vor dem ersten Schrägstrich eines Links. Dort sitzt die echte Domain. Die Frage ist nicht, ob der Anzeigename richtig aussieht, sondern ob diese echte Domain die offizielle Domain dessen ist, für den sich der Absender ausgibt. Ein Betrüger kann sowohl den Namen als auch eine nachgeahmte Domain frei wählen.
Manche Unternehmen nutzen mehrere offizielle Domains, zum Beispiel dhl.com, dhl.de und dhlexpress.de. Eine andere Domain ist also nicht automatisch gefälscht. Im Zweifel? Suchen Sie die offizielle Domain über die echte Website oder eine Suchmaschine und nutzen Sie niemals den Link aus der Nachricht.
Betrüger spielen mit Buchstaben, die sich ähneln. Die Kombination „rn“ sieht aus wie ein „m“, ein großes „I“ wie ein kleines „l“ und eine Null „0“ wie der Buchstabe „o“. So wird aus microsoft.com unbemerkt rnicrosoft.com. Lesen Sie eine verdächtige Domain deshalb Buchstabe für Buchstabe.
Eine „Sicherheitswarnung“ von der Bank
Wenden Sie die Routine an. Tippen Sie auf den Absender und auf die Schaltfläche, dann fällen Sie Ihr Urteil.
Sehr geehrter Kunde,
Wir haben eine Anmeldung von einem neuen Gerät bemerkt. Zu Ihrer Sicherheit haben wir Ihren Zugang vorübergehend eingeschränkt.
Bestätigen Sie Ihre Identität innerhalb von 24 Stunden, sonst wird Ihr Konto gesperrt.
Ist diese Nachricht Phishing oder vertrauenswürdig?
- alternate_emailDie echte Domain ist deutsche-bank-sicherheit.net, nicht deutsche-bank.de. Der Name „Deutsche Bank“ sagt Ihnen nichts.
- link_offDie Schaltfläche führt zu deutsche-bank-sicherheit.net, einer nachgeahmten Domain.
- gpp_maybeEine Bank wird Sie niemals bitten, Ihre Identität über einen Link in einer E-Mail zu „bestätigen“.
- scheduleMit einer Kontosperre „innerhalb von 24 Stunden“ zu drohen, ist reiner Zeitdruck.
Nicht alles ist Phishing
Wichtig: Nicht jede E-Mail einer bekannten Marke ist gefälscht. Wenden Sie dieselbe Routine an und achten Sie auf die guten Zeichen. Prüfen Sie den Absender und die Schaltfläche, bevor Sie urteilen.
Hallo,
Gute Nachricht! Ihre Bestellung mit der Bestellnummer 2026-4471829 ist unterwegs und kommt morgen an.
Sie können Ihr Paket über Ihr Konto verfolgen. Wir bitten Sie nicht, etwas zu bezahlen oder zu bestätigen.
Ist diese Nachricht Phishing oder vertrauenswürdig?
- check_circleDie echte Domain ist otto.de und stimmt mit dem Anzeigenamen überein.
- check_circleDie Schaltfläche führt zum echten www.otto.de.
- check_circleKein Druck, keine Aufforderung zu Daten oder Zahlung, und Sie haben es erwartet (Sie haben etwas bestellt).
- tips_and_updatesNoch im Zweifel? Dann gehen Sie über Ihr Lesezeichen selbst auf otto.de, statt die Schaltfläche anzuklicken.
Offene „Zollgebühren“
Noch eines. Erst prüfen, dann urteilen.
Sehr geehrter Empfänger,
Ihre internationale Sendung wartet auf Freigabe. Es sind 1,49 € Zollgebühren fällig.
Zahlen Sie online, um Verzögerungen zu vermeiden.
Ist diese Nachricht Phishing oder vertrauenswürdig?
- alternate_emailDie echte Domain ist fedex-zustellung.com, nicht fedex.com.
- link_offDie Schaltfläche führt zu fedex-zustellung.com, und die Adresse beginnt zudem mit http, nicht https.
- paymentsEinen kleinen, unerwarteten Betrag zu zahlen, ist ein klassisches Muster: niedrig genug, um keinen Verdacht zu erregen.
Ein „Kollege“, der nach Ihren Zugangsdaten fragt
Nicht jeder Phishing-Versuch nutzt eine Marke. Manchmal sieht die Nachricht so aus, als käme sie von einem Kollegen, oft von jemandem, mit dem Sie nicht täglich sprechen. Prüfen Sie den Absender und achten Sie besonders darauf, was verlangt wird.
Hallo,
Ich bin aus unserem CRM ausgesperrt und muss heute ein Angebot für einen wichtigen Kunden fertigstellen. Können Sie mir schnell Ihre Zugangsdaten (Benutzername und Passwort) schicken, damit ich hineinkomme?
Ich weiß, das ist ungewöhnlich, aber es ist wirklich dringend. Danke!
Thomas
Ist diese Nachricht Phishing oder vertrauenswürdig?
- alternate_emailDie echte Domain ist hoffmann-krause-de.com, eine Nachahmung des echten hoffmann-krause.de.
- passwordGeben Sie Ihre Zugangsdaten oder Ihr Passwort niemals weiter, auch nicht an einen Kollegen. Die IT kann den Zugang zurücksetzen; ein echter Kollege würde nicht danach fragen.
- scheduleDringlichkeit und eine plausible Geschichte („Angebot für einen Kunden“) setzen Sie unter Druck.
- verified_userSie kennen den Kollegen nicht gut? Prüfen Sie über einen anderen Kanal: rufen Sie ihn an oder fragen Sie die IT.
Das nehmen Sie aus Modul 2 mit
- bolt Phishing will immer „gib mir etwas“ oder „klick auf etwas“, oft mit Druck: Dringlichkeit, zu schön um wahr zu sein, unerwartet.
- bolt Die Routine: nachdenken, den Absender (Herkunft) prüfen und das Ziel (wohin es führt) prüfen.
- bolt Die echte Domain steht nach dem @ oder direkt vor dem ersten Schrägstrich eines Links. Der Anzeigename lügt.
- bolt Nicht alles ist Phishing: achten Sie auch auf die guten Zeichen und prüfen Sie, bevor Sie urteilen.
- bolt Im Zweifel: nutzen Sie niemals die Schaltflächen in der Nachricht, gehen Sie selbst auf die offizielle Seite oder rufen Sie eine bekannte Nummer an.
Modul 2 abgeschlossen 🎉
Sie kennen jetzt die Muster und die Routine und haben mit echten E-Mails geübt. In Modul 3 wenden wir dieselbe Routine auf SMS und Chat-Nachrichten an, denn sie haben ihre eigenen Fallen.
Auf dem Weg zum Übungsquiz „Phishing erkennen“
Schließen Sie alle 5 Module ab und machen Sie das kostenlose Übungsquiz. Die offizielle Prüfung mit Zertifikat finden Sie in der GDPRWise-App.