Phishing-Mails erkennen: Woran Sie Fälschungen 2026 noch entlarven

Früher war Phishing leicht zu erkennen. Krummes Deutsch, wirre Anrede, ein verpixeltes Logo. Wer aufpasste, war sicher.

Diese Zeit ist vorbei. KI schreibt Betrugs-Mails heute in fehlerfreiem Deutsch, mit korrekter Anrede, sauberem Layout und einer Signatur, die aussieht wie die Ihrer echten Bank. Der alte Rat »Achten Sie auf Rechtschreibfehler« ist damit wertlos geworden. Nicht überholt. Wertlos.

Dahinter steckt keine einzelne Gestalt im Kapuzenpulli, sondern eine arbeitsteilige Industrie: Die einen bauen Betrugs-Baukästen, die anderen verschicken Millionen Mails, die dritten kassieren. Ihr Betrieb ist für diese Leute kein Ziel mit Namen. Er ist eine Zeile in einer Adressliste.

Heißt das, Sie sind chancenlos? Nein. Es heißt nur, dass Sie 2026 an anderen Stellen hinschauen müssen als 2015.

Warum »auf Rechtschreibfehler achten« nicht mehr reicht

Sprachmodelle formulieren inzwischen besser als mancher Muttersprachler. Logos, Schriftarten, Fußzeilen: alles kopierbar. Sogar der Tonfall eines konkreten Absenders lässt sich nachahmen, wenn genug Material öffentlich herumliegt. Eine Website und ein paar Social-Media-Beiträge reichen dafür aus.

Schwerer zu fälschen sind die technischen Spuren: die echte Domain hinter der Absenderadresse, das echte Ziel hinter dem Link, ein legitimer Grund für künstlichen Zeitdruck. Schwerer heißt aber nicht unmöglich. Wo eine Absender-Domain schlecht abgesichert ist, weil SPF und DMARC fehlen (die technischen Prüfregeln, mit denen ein Mailserver gefälschte Absender abweist), lässt sich sogar die Adresse manipulieren. Sauber eingerichtet drehen genau diese Regeln der Masche den Hahn ab und machen das Fälschen richtig aufwendig. Der Text einer Mail beweist heute gar nichts mehr. Was dahinter liegt, verrät mehr. Genau dort schauen Sie ab jetzt hin.

Fünf Maschen, die in kleinen Betrieben täglich ankommen

Die Varianten wechseln wöchentlich, das BSI (Bundesamt für Sicherheit in der Informationstechnik) warnt laufend vor neuen Wellen. Die Grundmuster dahinter bleiben aber erstaunlich stabil.

1. Die Bank-Mail

»Ihr Online-Banking wurde aus Sicherheitsgründen eingeschränkt. Bestätigen Sie Ihre Daten innerhalb von 24 Stunden.« Der Link führt auf eine Kopie der Bank-Website, die Zugangsdaten und TAN abgreift. Merken Sie sich eine Faustregel, kein Naturgesetz, aber im Alltag verlässlich: Ihre Bank schickt Ihnen keinen Login-Link per Mail. Wer nach dieser Regel handelt, klickt in dieser Masche gar nicht erst.

2. Der Paketdienst

»Ihre Sendung konnte nicht zugestellt werden. Bitte begleichen Sie eine offene Zollgebühr von wenigen Euro.« Die Mini-Summe ist der Trick. Es geht nicht um die paar Euro, es geht um Ihre Kreditkartendaten auf der gefälschten Bezahlseite. Die Masche zieht, weil in jedem Betrieb ständig irgendein Paket unterwegs ist.

3. Die Chef-Masche (CEO-Fraud)

Die Buchhaltung bekommt eine Mail, scheinbar vom Inhaber: »Ich sitze im Termin, überweisen Sie bitte dringend diesen Betrag. Vertraulich behandeln, ich erkläre es später.« Das funktioniert, weil ungern jemand beim Chef nachhakt. Deshalb braucht Ihr Betrieb eine feste Regel: Zahlungsanweisungen per Mail werden immer über einen zweiten Weg bestätigt. Ohne Ausnahme. Gerade beim Chef. Inzwischen kommt dieselbe Masche auch als Anruf mit geklonter Stimme – wie Sie Deepfake-CEO-Fraud im kleinen Betrieb stoppen, habe ich gesondert aufgeschrieben.

4. Die Bewerbung

Ihr Betrieb sucht Personal, eine Bewerbung kommt herein, im Anhang »Bewerbungsunterlagen.zip« oder ein Link zum angeblichen Portfolio. Dahinter steckt Schadsoftware, gern ein Verschlüsselungstrojaner. Besonders perfide: Anhänge öffnen gehört bei Bewerbungen zum Job. Legen Sie fest, dass Sie Unterlagen nur als PDF annehmen, und schreiben Sie das in jede Stellenanzeige.

5. Die Rechnung

Eine angeblich offene Rechnung im Anhang. Oder die subtilere Variante: Ein echter Lieferant teilt scheinbar mit, seine Bankverbindung habe sich geändert. Das ist die teuerste Masche von allen, denn das Geld fließt unbemerkt auf ein fremdes Konto, bis der echte Lieferant mahnt. Neue Kontodaten bestätigen Sie deshalb telefonisch. Unter der Nummer aus Ihren Unterlagen, nicht unter der aus der Mail.

Vier Prüfpunkte, die weiter funktionieren

Die echte Absenderadresse. Der Anzeigename einer Mail ist frei wählbar. Dort kann »Sparkasse Kundenservice« stehen, während die Mail von einer Wegwerfadresse kommt. Entscheidend ist die Domain hinter dem @. Klicken oder tippen Sie auf den Absendernamen, dann zeigt Ihr Mailprogramm die vollständige Adresse. »service@ihre-bank-kundenportal24.com« ist nicht Ihre Bank.

Das echte Linkziel. Am Rechner fahren Sie mit der Maus über den Link, ohne zu klicken. Unten im Browserfenster erscheint das tatsächliche Ziel. Am Handy halten Sie den Link gedrückt, statt zu tippen, und lesen die Vorschau. Steht dort eine andere Domain als erwartet, ist der Fall erledigt.

Druck und Dringlichkeit. »Sofort«, »innerhalb von 24 Stunden«, »andernfalls wird Ihr Konto gesperrt«. Künstlicher Zeitdruck ist das stabilste Erkennungszeichen überhaupt, denn er steckt in fast jeder Betrugs-Mail. Seriöse Absender setzen Fristen in Wochen. Wer Sie hetzt, will verhindern, dass Sie nachdenken.

Der Rückweg über einen zweiten Kanal. Im Zweifel lassen Sie die Mail liegen und rufen den angeblichen Absender an. Unter der Nummer von der offiziellen Website oder aus Ihren Verträgen, niemals unter der aus der Mail. Das kostet zwei Minuten und entlarvt praktisch jede Fälschung.

Die 10-Sekunden-Checkliste vor jedem Klick

Ausdrucken, neben den Bildschirm hängen, dem Team zeigen:

• Erwarte ich diese Mail? Unerwartet plus Handlungsaufforderung ist die klassische Kombination.
• Stimmt die Domain hinter dem @? Anzeigename ignorieren, vollständige Absenderadresse anzeigen lassen.
• Wohin führt der Link wirklich? Mauszeiger darüber oder Finger darauf halten, Vorschau lesen.
• Setzt mich jemand unter Zeitdruck? Dann erst recht langsam machen.
• Geht es um Geld, Zugangsdaten oder Anhänge? Dann Rückbestätigung über einen zweiten Kanal, vor jeder Aktion.

Bleibt bei einem Punkt ein »weiß nicht« übrig: nicht klicken, nachfragen. Eine Mail, die zwei Stunden unbeantwortet liegt, hat noch keinen Betrieb ruiniert. Ein falscher Klick schon.

Doch geklickt? Dann zählt Tempo, nicht Scham

Das passiert auch vorsichtigen Menschen. Entscheidend sind die ersten Stunden: Gerät vom Netz trennen, betroffene Passwörter von einem anderen Gerät aus ändern, bei Zahlungsdaten sofort die Bank anrufen. Und intern Bescheid geben, ohne Schuldzuweisung. Ein Betrieb, in dem Mitarbeiter einen falschen Klick aus Angst verschweigen, schenkt den Angreifern einen Vorsprung von Tagen.

Was im Ernstfall Schritt für Schritt zu tun ist, steht ausführlich unter Was tun nach einem Hackerangriff. Lesen Sie den Text, bevor Sie ihn brauchen.

Was Sie sich sparen können, und was nicht

Rund um Phishing lebt eine ganze Verkaufsbranche davon, Ihnen teure Schutz-Abos anzudrehen; wie wenig ein kleiner Betrieb davon wirklich braucht, spricht dort niemand aus. Für einen Betrieb mit zwei oder drei Postfächern brauchen Sie kein Security-Abo mit dreistelligem Monatspreis und keine Plattform, die »KI-gestützte Bedrohungserkennung« verspricht. Es reichen: die Checkliste oben, ein aktueller Browser, Zwei-Faktor-Anmeldung für E-Mail-Konto und Banking und ein Mail-Anbieter mit ordentlichem Spamfilter.

Anders sieht es aus, wenn viele Menschen viele Mails öffnen. Ab einer Handvoll Arbeitsplätzen lohnt sich technische Härtung: geschützte Mail-Zugänge, geprüfte Absender-Domains, feste Zahlungsregeln im Team. Was davon zu Ihrem Betrieb passt, kläre ich im Rahmen der Netzwerk- und IT-Sicherheit.

Eine Grenze gehört ebenfalls auf den Tisch: Hundertprozentigen Schutz verkauft Ihnen niemand, der ehrlich ist. Auch der beste Filter lässt irgendwann eine Mail durch. Der wichtigste Baustein bleibt der Mensch, der vor dem Klick zehn Sekunden nachdenkt.

Stellen Sie sich den Morgen vor, an dem die nächste »Ihr Konto wird gesperrt«-Mail hereinkommt und im Team niemand mehr zuckt. Einer liest die Domain hinter dem @, ein anderer hält kurz den Mauszeiger über den Link, dann wandert die Mail kommentarlos in den Papierkorb. Kein Anruf bei der Bank, kein verschwiegener Fehlklick, kein mulmiges Gefühl bis zum Feierabend. So weit lässt sich ein Betrieb bringen, und der Abstand dahin ist kleiner, als er sich gerade anfühlt.

Ob Ihr Team eine gut gemachte Fälschung heute wirklich stoppt, bevor jemand auf den Link klickt, zeigt sich nicht im Bauchgefühl. Das sehen wir uns gemeinsam an, an echten Beispielen aus Ihrem Postfach. Das erste Gespräch dazu kostet Sie nichts.