Phishing funktioniert nicht durch technische Raffinesse, sondern durch Routine. Die Nachricht sieht aus wie etwas, das du ohnehin erwartest, und drängt dich zu einer schnellen Handlung. Wer die wiederkehrenden Muster kennt, erkennt fast alles davon in wenigen Sekunden.
1. Zeitdruck
„Ihr Konto wird in 24 Stunden gesperrt." „Ihre Domain läuft ab." „Letzte Mahnung." Kein seriöser Anbieter kündigt eine folgenschwere Sperre per E-Mail mit Frist von einem Tag an. Zeitdruck soll genau eines verhindern: dass du nachdenkst.
2. Der Absender stimmt fast
Betrüger registrieren Domains, die dem Original ähneln: ein zusätzlicher Bindestrich, ein vertauschter Buchstabe, eine andere Endung. Auf dem Handy siehst du oft nur den Anzeigenamen, nicht die Adresse dahinter – tippe darauf, um sie einzublenden.
3. Der Link führt woanders hin
Der sichtbare Linktext ist frei wählbar und hat mit dem Ziel nichts zu tun. Fahre mit der Maus darüber, ohne zu klicken; unten links zeigt der Browser das tatsächliche Ziel. Auf dem Handy: Link antippen und halten.
Achte auf den Teil unmittelbar vor dem ersten einzelnen Schrägstrich – das ist die eigentliche Domain. Bei https://bank.de.sicherheit-update.example/login lautet sie sicherheit-update.example, nicht bank.de.
4. Unpersönliche oder zu persönliche Ansprache
„Sehr geehrter Kunde" bei einem Anbieter, der deinen Namen kennt, ist auffällig. Umgekehrt gilt aber auch: Dass eine Nachricht deinen Namen enthält, beweist nichts. Namen stehen in denselben Datenlecks wie Adressen.
5. Eine Handlung, die per E-Mail nichts zu suchen hat
Zugangsdaten eingeben, Zahlungsdaten bestätigen, eine Überweisung ändern, einen Code weitergeben. Keine Bank, kein Zahlungsdienst und keine Behörde fragt so etwas per E-Mail ab.
6. Anhänge, die es nicht bräuchte
Eine Rechnung, die als Anhang kommt, obwohl du beim Anbieter ein Kundenkonto hast. Ein Lieferschein zu einer Bestellung, die du nicht kennst. Besonders heikel: Office-Dateien mit Makros und Archive, die eine ausführbare Datei verstecken.
7. Sprache und Gestaltung stimmen nicht ganz
Grobe Fehler werden seltener, seit Texte maschinell übersetzt werden. Auffällig bleiben Kleinigkeiten: ein veraltetes Logo, falsche Anrede-Konventionen, eine Mischung aus förmlicher und lockerer Ansprache, ein Impressum, das nicht passt.
8. Der Nachrichtenkopf widerspricht dem Inhalt
Das ist das einzige Merkmal, das sich nachprüfen lässt statt nur einzuschätzen. Im Kopf der Nachricht steht, welcher Server sie eingeliefert hat und ob die Prüfungen der Absenderdomain bestanden wurden. Steht dort spf=fail oder dmarc=fail, während der Absender eine große Marke behauptet, ist der Fall klar. Wie du den Kopf liest, steht in einem eigenen Beitrag.
Ein Muster, das wir selbst gesehen haben
In unseren Postfächern gingen an einem einzigen Nachmittag 180 gleichlautende Nachrichten ein: identischer Betreff, identische Absenderdomain, je eine pro Adresse. Der Inhalt behauptete, eine Domain laufe ab und müsse sofort verlängert werden. Alle drei Merkmale auf einmal – Zeitdruck, erfundener Verwaltungsvorgang, Massenversand nach Liste. Die Auswertung dazu haben wir in einem eigenen Beitrag aufgeschrieben.
Was tun, wenn du geklickt hast?
- Nichts eingegeben? Dann ist meist nichts passiert. Seite schließen.
- Zugangsdaten eingegeben? Sofort das Passwort ändern – beim betroffenen Dienst und überall dort, wo du dasselbe verwendet hast. Danach Zwei-Faktor-Anmeldung einschalten.
- Zahlungsdaten eingegeben? Bank oder Kartenanbieter anrufen und die Karte sperren lassen. Nicht per E-Mail, sondern telefonisch über die Nummer auf der Karte.
- Anhang geöffnet? Gerät vom Netz nehmen und prüfen lassen.
Und in jedem Fall: nicht schämen. Diese Nachrichten sind darauf ausgelegt, in einem unaufmerksamen Moment zu funktionieren. Genau deshalb werden sie zu Millionen verschickt.