Phishing‑Mail erkennen: 7 sichere Merkmale mit Beispielen

Kurz gesagt

Prüfen Sie nicht den Anzeigenamen, sondern die echte Absenderadresse und Domain.
Zeitdruck, Angst oder Belohnungen sind die häufigsten Hebel für den unüberlegten Klick.
Fahren Sie über den Link und lesen Sie das tatsächliche Ziel; Domains von rechts nach links prüfen.
Verdächtige Mails nicht löschen, sondern melden. Eine Meldung schützt das ganze Unternehmen.

Beim Phishing gibt sich ein Angreifer als vertrauenswürdige Organisation oder Person aus, um Sie zu einem Klick, zum Öffnen eines Anhangs oder zur Preisgabe von Daten zu bewegen. Ein Großteil der Angriffe auf Unternehmen beginnt weiterhin per E‑Mail – denn der einfachste Weg an der besten Firewall vorbei ist ein einziger Klick.

Die gute Nachricht: Die meisten Phishing‑Mails tragen wiederkehrende Merkmale. Die folgenden sieben Prüfungen dauern mit etwas Übung weniger als zehn Sekunden.

1. Nicht den Namen, sondern die Adresse prüfen

Mailprogramme zeigen oft nur den Anzeigenamen: „Microsoft 365 Sicherheit“, „Personalabteilung“ oder den Namen Ihrer Chefin. Diesen Namen kann der Absender frei wählen; er beweist nichts.

Fahren Sie mit der Maus darüber oder tippen Sie ihn an und lesen Sie die tatsächliche Adresse. Kommt die angebliche Bank‑Mail von einem Freemail‑Konto oder einer fremden Domain, halten Sie inne.

2. Kleine Tricks in der Domain entlarven

Angreifer registrieren Adressen, die echten Domains täuschend ähneln. Typische Techniken:

Buchstaben‑Imitation: „rn“ sieht aus wie „m“ (rnicrosoft), „l“ wird zu „I“, „0“ zu „o“.
Zusatzwörter: firma-support.de oder firma-sicherheit.net wirken vertraut, gehören aber nicht zur Firma.
Andere Endung: .co, .help, .top oder .info statt .de oder .com.
Subdomain‑Trick: Bei firma.de.login-pruefen.top ist die echte Domain „login-pruefen.top“; „firma.de“ ist nur Dekoration.

Lesen Sie Domains immer von rechts nach links: Die beiden Teile vor dem letzten Punkt verraten, wem die Adresse wirklich gehört.

3. Bei Zeitdruck bewusst langsamer werden

„Ihr Konto wird in 24 Stunden gesperrt“, „Zahlung heute fällig“, „Paket geht zurück“ oder „Dringende Bitte der Geschäftsführung“: Solche Formulierungen sollen Sie zum Handeln ohne Nachdenken bringen. Angst, Neugier, Gier und Autoritätsgehorsam sind die ältesten Werkzeuge des Social Engineering.

Wenn eine Mail Sie hetzt, ist genau das der Grund, langsamer zu werden. Seriöse Organisationen geben Ihnen bei wichtigen Themen angemessene Fristen und melden sich auch über andere Kanäle.

4. Das echte Linkziel lesen

Linktext und Linkziel können sich unterscheiden. Fahren Sie mit der Maus über den Link (mobil: lange drücken) und lesen Sie die angezeigte Zieladresse. Wenden Sie dann die Domain‑Prüfung aus Punkt 2 an.

Gekürzte Links, QR‑Codes und Schaltflächen wie „Dokument ansehen“ verschleiern das Ziel besonders oft. Im Zweifel tippen Sie die bekannte Adresse der Organisation selbst in die Adresszeile.

5. Anhänge und Dateiendungen prüfen

Unerwartete Rechnungen, Lieferscheine, Gehaltsabrechnungen und „gescannte Dokumente“ sind klassische Köder. Besonders vorsichtig sollten Sie sein bei:

Doppelten Endungen: Rechnung.pdf.html oder Angebot.docx.exe sind nicht, was sie scheinen.
HTML‑Anhängen: Sie öffnen häufig eine gefälschte Anmeldeseite lokal im Browser.
Office‑Dateien mit Makros: „Bearbeitung aktivieren, um den Inhalt zu sehen“ ist ein Alarmsignal.
Passwortgeschützten ZIP‑Dateien: Steht das Passwort in der Mail, soll oft der Virenscan umgangen werden.

6. Ungewöhnliche Anfragen über einen zweiten Kanal bestätigen

Ein Lieferant meldet eine neue Bankverbindung, die Geschäftsführung bittet um Gutscheinkarten, die IT will Ihr Passwort „verifizieren“: Solche Anfragen können sogar aus einem echten, aber kompromittierten Konto stammen. Bestätigen Sie deshalb jede ungewöhnliche Anfrage zu Geld, Passwörtern oder sensiblen Daten über eine bekannte Telefonnummer oder persönlich – nie über die Nummer aus der Mail.

7. Warnhinweise Ihres Mailsystems ernst nehmen

Viele Unternehmensmailsysteme markieren externe Nachrichten mit „Extern“ oder kennzeichnen Mails, die Authentifizierungsprüfungen (SPF, DKIM, DMARC) nicht bestehen. Trägt eine Mail mit dem Namen Ihres Vorgesetzten den Hinweis „Extern“, ist das allein schon ein starkes Signal.

Was tun im Verdachtsfall?

Nicht klicken, keinen Anhang öffnen, nicht antworten.
Den Meldeweg Ihres Unternehmens nutzen: Schaltfläche „Phishing melden“ oder die Adresse des Security‑Teams.
Haben Sie geklickt oder Daten eingegeben, melden Sie es sofort und ändern Sie Ihr Passwort. Eine schnelle Meldung ist das wirksamste Mittel, um die Ausbreitung zu stoppen. Niemand sollte Ihnen dafür Vorwürfe machen – eine späte Meldung ist immer besser als ein verschwiegener Klick.

Für Unternehmen: Wie entsteht dieser Reflex?

Einmal lesen reicht nicht; ein Reflex entsteht durch Wiederholung. Wirksame Programme bestehen meist aus drei Teilen: kurzen, regelmäßigen Schulungen, realistischen Phishing‑Simulationen und einem einfachen Melde‑Button. Messen Sie den Erfolg nicht nur an der Klickrate, sondern an der Melderate. Weniger Klicks sind gut – mehr Meldungen bedeuten aber, dass Ihr Unternehmen einen echten Angriff früher bemerkt.

Die Phishing‑Simulationen und das Outlook‑Melde‑Add‑in in HilfeX IQ Portal sind genau dafür gebaut. Probieren Sie es selbst: Im interaktiven Beispiel auf unserer Startseite verstecken sich fünf Merkmale.

Häufige Fragen

Ich habe auf eine Phishing‑Mail geklickt. Was jetzt?

Ruhe bewahren und sofort das Security‑Team oder die IT informieren. Haben Sie ein Passwort eingegeben, ändern Sie es und stellen Sie sicher, dass die Mehr‑Faktor‑Authentifizierung aktiv ist. Je früher Sie melden, desto geringer der Schaden.

Ist schon das Öffnen einer Phishing‑Mail gefährlich?

In aktuellen Mailprogrammen kompromittiert das bloße Öffnen das Gerät in der Regel nicht. Das eigentliche Risiko entsteht durch Klicks, Anhänge, aktivierte Makros oder eingegebene Daten. Melden sollten Sie verdächtige Mails trotzdem immer.

Ist eine Mail sicher, wenn die Absenderadresse stimmt?

Nicht immer. Angreifer können echte Konten übernehmen und von dort senden. Bestätigen Sie ungewöhnliche Anfragen zu Geld, Passwörtern oder sensiblen Daten über eine bekannte Telefonnummer.

Wozu dienen Phishing‑Simulationen?

Mitarbeitende üben in sicherer Umgebung, bevor ein echter Angriff kommt. In einem gut gestalteten Programm geht es nicht um Strafe, sondern darum, den Melde‑Reflex zu stärken und Fortschritt zu messen.

Phishing‑Mails in 10 Sekunden erkennen: 7 Merkmale