Eine scheinbar harmlose E-Mail von der Bank, dem Paketdienst oder einem Bezahldienst kann in wenigen Minuten zum finanziellen Problem werden. Ich zeige, woran sich Phishing-Mails erkennen lassen, wie Sie Absender und Links sicher prüfen, was nach einem Fehlklick zu tun ist und welche Rechte bei nicht autorisierten Zahlungen bestehen.
Mit diesen Prüfungen erkennen Sie verdächtige Nachrichten schneller
- Zeitdruck und Drohungen sind typische Warnzeichen, besonders bei angeblichen Kontosperrungen.
- Absenderadresse und Linkziel müssen unabhängig vom sichtbaren Namen geprüft werden.
- PIN, TAN und Passwörter gehören nicht in ein E-Mail-Formular.
- Bei einem Fehlklick zählt schnelles Handeln: Zugang sperren, Passwörter ändern und Bank informieren.
- Eine persönliche Anrede oder ein bekanntes Logo ist kein Echtheitsbeweis.
Wie erkenne ich Phishing-Mails an typischen Warnzeichen?
Phishing bedeutet, dass Kriminelle über gefälschte Nachrichten an Zugangsdaten, Zahlungsinformationen oder persönliche Daten gelangen wollen. Die E-Mail wirkt oft wie eine echte Mitteilung von einer Bank, einem Online-Shop, einem Paketdienst oder einem Streaming-Anbieter. Entscheidend ist deshalb nicht der erste Eindruck, sondern die Kombination mehrerer Auffälligkeiten.
Ich prüfe zunächst, ob die Nachricht mich zu einer sofortigen Handlung drängen soll. Formulierungen wie „Ihr Konto wird heute deaktiviert“, „letzte Zahlungsaufforderung“ oder „bestätigen Sie Ihre Identität innerhalb von 24 Stunden“ sollen die kurze Denkpause verhindern, in der ein Betrug auffallen könnte.
- Unpersönliche Anrede: „Sehr geehrter Kunde“ oder „Hallo Nutzer“ ist verdächtig, aber kein alleiniger Beweis.
- Ungewöhnlicher Anlass: Eine Bank verlangt plötzlich eine neue Identitätsprüfung per E-Mail.
- Sprachliche Fehler: Grammatik, Zeichensetzung oder seltsame Übersetzungen können auf einen Betrugsversuch hindeuten.
- Forderung nach geheimen Daten: PIN, TAN, Passwort oder vollständige Kartendaten sollen eingegeben werden.
- Unerwartete Anhänge: ZIP-Dateien, HTML-Dateien oder Office-Dokumente sind besonders riskant.
Fehlerfreies Deutsch macht eine Nachricht allerdings nicht automatisch sicher. Das BSI weist darauf hin, dass Phishing inzwischen oft professionell formuliert und mit personalisierten Informationen angereichert wird. Auch mein Name, ein vertrautes Logo oder eine scheinbar passende Bestellnummer können aus Datenlecks oder gehackten Kundenkonten stammen.
Absenderadresse und Links richtig kontrollieren
Der angezeigte Absendername lässt sich leicht fälschen. Ich klicke deshalb nicht auf den Namen, sondern lasse mir die vollständige Adresse anzeigen. Aus „Meine Bank“ kann beispielsweise service@kunden-pruefung24.net werden, obwohl im sichtbaren Namen der echte Anbieter steht.
Besonders verdächtig sind Schreibfehler in der Domain, zusätzliche Wörter und ungewöhnliche Länderkennungen. Eine Adresse wie kundenservice@bank-beispiel.com ist nicht automatisch echt, wenn die Bank tatsächlich eine andere offizielle Domain verwendet. Bei international tätigen Unternehmen muss die Domain nicht deutsch sein, sie sollte aber zur bekannten Internetadresse des Unternehmens passen.
Das Linkziel prüfe ich, ohne es zu öffnen. Am Computer genügt meist das Überfahren mit dem Mauszeiger, auf dem Smartphone sollte der Link lange berührt werden, ohne den Browser zu öffnen. Verkürzte Links, kryptische Zeichenfolgen und Domains mit optisch ähnlichen Buchstaben sind klare Gründe, die Nachricht zu schließen.
Die sicherste Gegenprobe führt nicht über die E-Mail. Ich öffne die offizielle App oder gebe die bekannte Internetadresse selbst in den Browser ein. Eine Bank oder ein Paketdienst kann über einen anderen, selbst gefundenen Kontaktweg bestätigen, ob tatsächlich eine Nachricht versendet wurde. Die Telefonnummer oder der Link aus der verdächtigen E-Mail sind dafür ungeeignet.
Diese Phishing-Muster begegnen Verbrauchern besonders häufig
Angebliche Bank- und Zahlungsdienstnachrichten
Sehr verbreitet sind Warnungen vor einer Kontosperrung, einer fehlenden Sicherheitsprüfung oder einer angeblich verdächtigen Überweisung. Das Ziel ist fast immer eine gefälschte Login-Seite, auf der das Opfer Benutzername, Passwort und anschließend eine TAN eingibt. Eine Bank fordert ihre Kunden nicht per E-Mail dazu auf, PIN oder TAN über einen zugesandten Link preiszugeben.
Paketdienste und Zollforderungen
Eine Nachricht über ein nicht zustellbares Paket wirkt besonders glaubwürdig, wenn gerade eine Bestellung erwartet wird. Häufig wird eine kleine Nachzahlung von beispielsweise 1,99 oder 2,99 Euro verlangt. Die geringe Summe soll harmlos wirken, während die dahinterliegende Seite Kartendaten abfragt oder ein Konto übernimmt.
Rückerstattungen und Gewinnversprechen
Auch angebliche Steuererstattungen, Energieboni oder Rückzahlungen werden als Lockmittel eingesetzt. Eine Aussicht auf Geld ist psychologisch genauso wirksam wie eine Drohung. Ich werde misstrauisch, sobald eine unerwartete Auszahlung an eine Identitätsbestätigung per Link oder eine vorherige „Bearbeitungsgebühr“ geknüpft wird.
Lesen Sie auch: Temu-Zoll in Deutschland - wer zahlt und welche Kosten anfallen?
Gefälschte Rechnungen und Bewerbungsanhänge
Eine Rechnung als PDF ist nicht automatisch sicher. Auch PDFs können Links enthalten, während ZIP-Dateien, ausführbare Dateien und Office-Dokumente mit Makros besonders gefährlich sein können. Bei einer unerwarteten Rechnung prüfe ich den angeblichen Vertragspartner über die offiziellen Kontaktdaten und öffne den Anhang erst, wenn der Vorgang eindeutig nachvollziehbar ist.
Was tun nach einem Klick oder einer Dateneingabe?
Wenn ich nur eine verdächtige Mail geöffnet, aber keinen Link angeklickt und keinen Anhang geöffnet habe, lösche ich sie und melde sie als Spam. Ich antworte nicht und nutze auch keinen Abmeldelink. So bestätige ich nicht, dass meine Adresse aktiv genutzt wird.
Nach einem Klick auf einen Link aktualisiere ich Betriebssystem, Browser und Virenschutz und starte eine vollständige Prüfung. Wurde eine Datei geöffnet oder heruntergeladen, nutze ich das Gerät bis zur Klärung möglichst nicht für Online-Banking. Bei Unsicherheit ist eine Fachperson für IT-Sicherheit sinnvoll, weil ein Virenscan keine absolute Garantie für ein sauberes System liefert.
Habe ich ein Passwort eingegeben, ändere ich es sofort über die echte Website und zwar von einem vertrauenswürdigen Gerät aus. Dasselbe Passwort muss überall ersetzt werden, wo ich es wiederverwendet habe. Danach beende ich alle aktiven Sitzungen, aktiviere die Zwei-Faktor-Authentifizierung und kontrolliere die hinterlegte E-Mail-Adresse sowie mögliche Weiterleitungsregeln.
Bei Bank-, Karten- oder Bezahldaten informiere ich unverzüglich das betreffende Institut und lasse Karten oder Online-Banking sperren. Wenn bereits Geld überwiesen wurde, bitte ich sofort um einen Rückruf oder eine Rückholung der Zahlung, sichere E-Mail, Browserdaten und Kontoauszüge und erstatte Anzeige bei der Polizei. Die Verbraucherzentrale empfiehlt außerdem, verdächtige Nachrichten an ihr Phishing-Radar weiterzuleiten und den missbrauchten Anbieter zu informieren.
Welche rechtlichen Folgen ein Phishing-Schaden haben kann
Bei einer nicht autorisierten Zahlung muss der Zahlungsdienstleister den Betrag nach § 675u BGB grundsätzlich unverzüglich erstatten und das Konto zurücksetzen. Das betrifft Fälle, in denen der Kontoinhaber die Zahlung nicht selbst freigegeben hat. Den Vorfall sollte ich trotzdem sofort melden und nicht erst abwarten, ob die Bank den Schaden entdeckt.
Anders kann die Lage sein, wenn ich eine Zahlung selbst mit einer TAN bestätige, obwohl ich durch eine gefälschte Website getäuscht wurde. Ob die Zahlung rechtlich als autorisiert gilt und wer den Schaden trägt, hängt vom genauen Ablauf, den Sicherheitswarnungen und meinem Verhalten ab. Eine Erstattung ist deshalb nicht automatisch garantiert, aber die Bank darf eine Ablehnung nicht allein mit dem Hinweis begründen, dass eine Authentifizierung stattgefunden hat.
Bei grober Fahrlässigkeit oder vorsätzlichem Verhalten kann die Haftung des Kunden erweitert sein. Ob das tatsächlich vorliegt, ist eine Einzelfallfrage. Ich lasse mir eine Ablehnung daher schriftlich begründen und wende mich bei größeren Beträgen an eine Verbraucherberatung oder einen auf Bankrecht spezialisierten Rechtsanwalt.
Wichtig ist außerdem die Dokumentation. Ich notiere Uhrzeit, Absender, angeklickte Seiten, eingegebene Daten und die Gespräche mit der Bank. Diese Informationen helfen bei der Aufklärung und verhindern, dass aus einem kurzen Schreckmoment ein kaum nachvollziehbarer Streitfall wird.
Ein Prüfritual, das im Alltag wirklich funktioniert
Ich behandle jede unerwartete Nachricht mit einem kurzen Drei-Fragen-Check. Erstens frage ich mich, ob ich diese Kontaktaufnahme erwartet habe. Zweitens prüfe ich, ob die Mail Druck aufbaut oder geheime Daten verlangt. Drittens kontrolliere ich Absender und Zieladresse unabhängig vom sichtbaren Namen.
Bleibt auch nur eine Frage offen, führe ich die Handlung nicht über die E-Mail aus. Ich öffne die App, rufe die bekannte Website selbst auf oder kontaktiere den Anbieter über eine Rechnung, eine Vertragsunterlage oder eine offizielle Telefonnummer. Diese zusätzliche Minute ist im Alltag meist der wirksamste Schutz vor einem Fehlklick.
Technische Schutzmaßnahmen helfen zusätzlich, ersetzen aber keine Prüfung. Spamfilter, automatische Updates, ein Passwortmanager und eine Zwei-Faktor-Anmeldung senken das Risiko deutlich. Sie können jedoch nicht verhindern, dass eine täuschend echte Nachricht im Posteingang landet oder jemand eine legitime Kommunikation missbraucht.
Der wichtigste Schutz beginnt vor dem ersten Klick
Phishing-Mails sind nicht immer an schlechtem Deutsch oder einem offensichtlichen Tippfehler zu erkennen. Entscheidend ist das Gesamtbild aus unerwartetem Anlass, Zeitdruck, Datenforderung, Linkziel und Absenderadresse.
Mein praktischer Rat lautet deshalb, jede Nachricht mit finanziellen oder sicherheitsrelevanten Folgen außerhalb der E-Mail zu überprüfen. Wer keine PIN, TAN oder Passwörter über zugesandte Links eingibt und im Ernstfall sofort Bank, Anbieter und gegebenenfalls Polizei informiert, begrenzt den möglichen Schaden erheblich.
