„Ihre Microsoft-365-Lizenz läuft heute ab. Bitte bestätigen Sie Ihre Zugangsdaten, um Datenverlust zu vermeiden.“ Die Mail sieht aus wie immer, das Logo stimmt, die Sprache ist fehlerfrei. Ein Klick, eine Anmeldung, und die Zugangsdaten sind weg.
Phishing ist nach wie vor einer der häufigsten Einstiege für Cyberangriffe auf Unternehmen. Die Verbraucherzentrale NRW hat laut Bundesregierung allein im Jahr 2025 rund 382.000 Phishing-Mails in Deutschland erfasst, und das sind nur die gemeldeten. Gleichzeitig werden die Mails dank künstlicher Intelligenz immer überzeugender. Rechtschreibfehler und holprige Formulierungen, früher das sicherste Erkennungszeichen, gibt es kaum noch.
In diesem Beitrag erfahren Sie, an welchen Merkmalen Sie Phishing-Mails trotzdem erkennen, wie typische Beispiele im Unternehmensalltag aussehen, wie Sie Absender und Links prüfen und was zu tun ist, wenn Sie unsicher sind oder bereits geklickt haben. Einen Überblick über Phishing als Angriffsmethode und die Schutzstrategie im Unternehmen gibt unser Beitrag Was ist Phishing?.
Was ist eine Phishing-Mail?
Eine Phishing-Mail ist eine gefälschte E-Mail, mit der Kriminelle an Zugangsdaten, Zahlungen oder Zugriff auf Ihre Systeme gelangen wollen. Sie gibt sich als vertrauenswürdiger Absender aus, etwa als Bank, Paketdienst, Microsoft, Lieferant, Kunde oder sogar als eigene Geschäftsführung. Das Ziel ist immer, dass Sie etwas tun: auf einen Link klicken, einen Anhang öffnen, Daten eingeben oder eine Überweisung freigeben.
Zwölf Merkmale, an denen Sie Phishing-Mails erkennen
Das BSI betont, dass es kein einzelnes sicheres Merkmal gibt. Je mehr der folgenden Warnsignale zutreffen, desto wahrscheinlicher ist eine Fälschung.
1. Zeitdruck und Drohungen
„Ihr Konto wird in 24 Stunden gesperrt.“ „Letzte Mahnung vor Inkasso.“ Angreifer wollen, dass Sie handeln, bevor Sie nachdenken. Echte Geschäftspartner setzen selten so kurze Fristen per E-Mail.
2. Aufforderung, Zugangsdaten oder Zahlungsdaten einzugeben
Banken, Microsoft oder Ihre IT-Abteilung fordern Sie nicht per E-Mail auf, Passwörter, PINs oder TANs auf einer verlinkten Seite einzugeben. Laut BSI würden Banken und Webshops das nie tun.
3. Unerwarteter Anlass
Eine Rechnung für eine Bestellung, die Sie nicht aufgegeben haben. Eine Paketbenachrichtigung, obwohl Sie nichts erwarten. Ein „geteiltes Dokument“ von jemandem, mit dem Sie gerade nicht zusammenarbeiten. Passt der Anlass nicht zu Ihrem Alltag, ist Vorsicht geboten.
4. Absender passt nicht
Der angezeigte Name lautet „Microsoft Support“, die tatsächliche Adresse aber endet auf eine fremde Domain. Oder die Domain sieht fast richtig aus, etwa mit vertauschten Buchstaben, einer zusätzlichen Zahl oder einer anderen Endung. Achtung: Auch korrekt aussehende Absender können gefälscht sein.
5. Link führt woanders hin
Fahren Sie mit der Maus über einen Link, ohne zu klicken. Unten im Fenster oder in einem Hinweis erscheint die tatsächliche Zieladresse. Stimmt sie nicht mit dem angeblichen Absender überein oder enthält sie zusätzliche Zeichen, ist das ein starkes Warnsignal. Auf dem Smartphone lange auf den Link tippen, um die Adresse zu sehen.
6. Unerwartete Anhänge
Besonders gefährlich sind Office-Dokumente mit Makros, ZIP-Archive, HTML-Dateien und ungewöhnliche Dateiformate. Laut BSI sollten Sie solche Anhänge in unerwarteten E-Mails keinesfalls öffnen.
7. Unpersönliche oder falsche Anrede
„Sehr geehrter Kunde“ statt Ihres Namens kann ein Hinweis sein. Umgekehrt beweist eine korrekte Anrede nichts. Gezielte Phishing-Mails nutzen Namen, Funktionen und sogar aktuelle Projekte, die Angreifer vorher recherchiert haben.
8. Ungewöhnliche Bitte eines bekannten Absenders
Die Geschäftsführerin bittet per E-Mail um eine dringende, vertrauliche Überweisung. Ein Lieferant teilt mit, dass sich seine Bankverbindung geändert hat. Die IT bittet, ein neues Programm zu installieren. Solche Bitten sind typisch für CEO-Fraud und Rechnungsbetrug, auch wenn die Mail aus einem echten, aber gekaperten Postfach kommt.
9. Aufforderung zu Geheimhaltung
„Bitte sprechen Sie mit niemandem darüber, es handelt sich um eine vertrauliche Transaktion.“ Wer Sie bittet, Kolleginnen und Kollegen nicht einzubeziehen, will verhindern, dass jemand den Betrug bemerkt.
10. QR-Codes statt Links
Immer häufiger enthalten Phishing-Mails QR-Codes, die mit dem Smartphone gescannt werden sollen. So umgehen Angreifer Linkprüfungen im E-Mail-Programm und verlagern die Anmeldung auf ein privates Gerät ohne Schutz.
11. Anmeldeseite mit kleinen Abweichungen
Führt ein Link doch auf eine Anmeldeseite, lohnt der Blick in die Adresszeile: stimmt die Domain exakt? Echte Anmeldungen bei Microsoft 365 laufen über die bekannten Microsoft-Adressen, nicht über eine fremde Domain mit „microsoft“ im Namen.
12. Sprache und Gestaltung
Rechtschreibfehler, falsche Umlaute oder holprige Übersetzungen können Hinweise sein, sind aber laut BSI nur noch selten eindeutig. Mit KI-generierten Texten sind viele Phishing-Mails heute sprachlich einwandfrei.
Typische Phishing-Mails im Unternehmensalltag
| Typ | Beispiel | Woran Sie es erkennen |
|---|---|---|
| Gefälschte Anmeldung | „Ihr Postfach ist voll, bitte melden Sie sich an, um Nachrichten nicht zu verlieren.“ | Link führt auf fremde Domain, unerwarteter Anlass |
| Geteiltes Dokument | „Max Mustermann hat ein Dokument mit Ihnen geteilt“ mit Link zu einer Anmeldeseite | Absender unbekannt oder ohne aktuellen Bezug, Anmeldeseite außerhalb der echten Plattform |
| Rechnung oder Mahnung | Rechnung als ZIP-Archiv oder Office-Datei mit Makros | unerwartete Rechnung, gefährliches Dateiformat |
| Paketbenachrichtigung | „Zustellung fehlgeschlagen, bitte Gebühr bezahlen“ | keine Lieferung erwartet, Zahlungsaufforderung |
| CEO-Fraud | „Ich brauche heute noch eine vertrauliche Überweisung, bitte niemandem sagen.“ | Dringlichkeit, Geheimhaltung, ungewöhnlicher Weg |
| Geänderte Bankverbindung | „Bitte überweisen Sie ab sofort auf unser neues Konto.“ | Änderung per E-Mail, oft kurz vor einer großen Zahlung |
| Bewerbung | Bewerbungsschreiben mit Anhang als Archiv oder Office-Datei | ungewöhnliches Dateiformat, keine ausgeschriebene Stelle |
| IT-Support | „Bitte installieren Sie dieses Sicherheitsupdate“ mit Link oder Anhang | IT verteilt Updates normalerweise zentral |
Gefälschte Absender und Links: So sehen die Tricks aus
Angreifer arbeiten mit kleinen Abweichungen, die beim schnellen Lesen kaum auffallen. Die folgenden Beispiele verwenden eine fiktive Firma namens Musterbank mit der echten Domain musterbank.de:
| Trick | Beispiel | Was auffallen sollte |
|---|---|---|
| Buchstabendreher | musterbnak.de | Buchstaben vertauscht |
| Zusätzliches Wort | musterbank-sicherheit.de | eigene, fremde Domain, nicht musterbank.de |
| Andere Endung | musterbank.com oder musterbank.co | falsche Länderendung |
| Ähnliche Zeichen | rnusterbank.de mit „rn“ statt „m“ | sieht auf den ersten Blick gleich aus |
| Echte Domain als Unterordner | anmeldung.example.net/musterbank.de/login | die eigentliche Domain steht vor dem ersten Schrägstrich |
| Echte Domain als Subdomain | musterbank.de.login-service.example | maßgeblich ist das Ende vor dem ersten Schrägstrich, hier login-service.example |
| Angezeigter Name | „Musterbank Kundenservice“ mit Adresse service@example.net | nur der Name ist echt, die Adresse nicht |
Die wichtigste Regel beim Prüfen einer Adresse: Entscheidend ist die Domain direkt vor der Endung und vor dem ersten Schrägstrich. Alles davor und dahinter kann der Angreifer frei wählen.
Phishing aus echten Postfächern
Eine besonders tückische Variante: Angreifer übernehmen das Postfach eines echten Geschäftspartners und antworten in einem laufenden E-Mail-Verlauf. Absender, Signatur und der bisherige Austausch sind echt. Plötzlich kommt eine neue Rechnung mit geänderter Bankverbindung oder ein Link zu einem „aktualisierten Dokument“.
Woran Sie solche Mails trotzdem erkennen können:
- Die Nachricht passt inhaltlich nicht ganz zum bisherigen Verlauf oder kommt zu einem ungewöhnlichen Zeitpunkt.
- Es geht plötzlich um Geld, eine Kontoänderung oder eine Anmeldung.
- Die Antwortadresse unterscheidet sich von der Absenderadresse.
- Ton und Formulierungen weichen leicht vom gewohnten Stil ab.
Gegen diese Variante hilft vor allem eine feste Regel: Änderungen von Bankverbindungen werden nie allein per E-Mail akzeptiert, sondern immer über eine bekannte Telefonnummer bestätigt.
Phishing auf dem Smartphone erkennen
Auf dem Smartphone ist das Erkennen schwieriger: Der kleine Bildschirm zeigt oft nur den Absendernamen, Links lassen sich nicht per Mausbewegung prüfen, und viele Menschen lesen E-Mails nebenbei. Hilfreich sind diese Gewohnheiten:
- Auf den Absendernamen tippen, um die vollständige Adresse anzuzeigen.
- Links lange gedrückt halten, um die Zieladresse zu sehen, statt sie direkt zu öffnen.
- Anmeldungen bei wichtigen Diensten nie über Links in E-Mails, sondern über die App oder ein gespeichertes Lesezeichen.
- Verdächtige E-Mails lieber später am Rechner prüfen.
- QR-Codes aus E-Mails grundsätzlich nicht scannen.
Für Fortgeschrittene: Was der E-Mail-Header verrät
Jede E-Mail enthält im sogenannten Header technische Informationen, die im E-Mail-Programm meist über „Quelltext anzeigen“ oder „Nachrichtendetails“ sichtbar werden. Für die IT oder interessierte Mitarbeitende sind vor allem drei Angaben aufschlussreich:
- Return-Path und Reply-To: Weichen sie von der Absenderadresse ab, landet eine Antwort beim Angreifer.
- Authentifizierungsergebnisse: Hinweise auf SPF, DKIM und DMARC zeigen, ob die Mail tatsächlich von einem berechtigten Server der angeblichen Domain stammt. Ein „fail“ ist ein deutliches Warnsignal.
- Received-Zeilen: Sie zeigen, über welche Server die Mail gelaufen ist. Server in ungewöhnlichen Ländern oder bei unbekannten Anbietern sind verdächtig.
Für den Alltag ist das nicht nötig. Es hilft aber, Meldungen schneller einzuordnen.
So prüfen Sie eine verdächtige E-Mail in drei Minuten
- Absenderadresse anzeigen lassen, nicht nur den Namen. Passt die Domain exakt zum angeblichen Absender?
- Mit der Maus über Links fahren, nicht klicken. Wohin führt der Link tatsächlich?
- Anhänge nicht öffnen, solange der Absender nicht zweifelsfrei echt ist.
- Anlass prüfen: Erwarte ich diese E-Mail? Passt sie zu einem laufenden Vorgang?
- Über einen zweiten Kanal nachfragen: bei Kolleginnen, Lieferanten oder der Bank über eine bekannte Telefonnummer, niemals über die Kontaktdaten in der verdächtigen Mail.
Im Zweifel gilt: Lieber einmal zu viel nachfragen als einmal zu oft klicken.
Warum Phishing-Mails immer schwerer zu erkennen sind
Mit KI erstellen Angreifer in Sekunden fehlerfreie, gut formulierte E-Mails in jeder Sprache, angepasst an Branche, Funktion und aktuelle Themen. Informationen aus Unternehmenswebsites, Stellenanzeigen und sozialen Netzwerken machen die Mails persönlicher. Zusätzlich kommen Phishing-Mails immer häufiger aus echten, aber übernommenen Postfächern von Geschäftspartnern. Dann stimmen Absender, Signatur und sogar der bisherige Gesprächsverlauf.
Deshalb reicht es nicht, nur auf die Merkmale zu achten. Unternehmen brauchen zusätzlich technische Schutzmaßnahmen, die auch dann greifen, wenn jemand auf eine perfekte Fälschung hereinfällt. Mehr dazu im Beitrag KI in der Cybersicherheit.
Phishing jenseits der E-Mail
Die gleichen Tricks funktionieren auch über andere Kanäle:
- Smishing: Phishing per SMS, etwa angebliche Paketbenachrichtigungen.
- Vishing: Anrufe, bei denen sich jemand als Bank, IT-Support oder Geschäftsführung ausgibt, inzwischen auch mit KI-nachgeahmten Stimmen.
- Quishing: QR-Codes in E-Mails, Briefen oder auf Aushängen, die auf gefälschte Seiten führen.
- Messenger und Kollaborationstools: Nachrichten über Teams, Slack oder Messenger, die einen vertrauten Absender vortäuschen.
Die Erkennungsregeln sind dieselben: Zeitdruck, ungewöhnliche Bitten, Aufforderungen zur Eingabe von Zugangsdaten und Abweichungen bei Absender oder Adresse.
Was tun bei Verdacht?
- Nicht klicken, nicht antworten, keine Anhänge öffnen.
- Melden: an die IT oder die festgelegte Stelle im Unternehmen, idealerweise über einen Melde-Button im E-Mail-Programm oder durch Weiterleiten als Anlage. Viele Unternehmen sammeln diese Meldungen, um andere Postfächer zu bereinigen.
- Nicht einfach löschen: Eine gemeldete Mail hilft, dieselbe Kampagne bei Kolleginnen und Kollegen zu stoppen.
- Bei Zahlungsaufforderungen: über eine bekannte Telefonnummer beim angeblichen Absender nachfragen.
Was tun, wenn Sie bereits geklickt haben?
Kein Grund zur Panik, aber Grund zur Eile. Je schneller reagiert wird, desto geringer der Schaden:
| Was ist passiert? | Was jetzt zu tun ist |
|---|---|
| Link geklickt, aber nichts eingegeben | IT informieren, Gerät nicht weiter nutzen, bis es geprüft ist |
| Zugangsdaten eingegeben | sofort Passwort über den bekannten, echten Weg ändern, IT informieren, aktive Sitzungen beenden lassen |
| Anhang geöffnet | Gerät vom Netz trennen, nicht ausschalten, IT oder Notfallhotline sofort informieren |
| Überweisung ausgelöst | sofort die eigene Bank kontaktieren, um die Zahlung möglicherweise zu stoppen, Anzeige bei der Polizei |
Wichtig für die Unternehmenskultur: Wer einen Fehler meldet, darf nicht bestraft werden. Mitarbeitende, die aus Angst schweigen, verschaffen Angreifern wertvolle Zeit. Bei einem größeren Vorfall finden Sie die nächsten Schritte auf unserer Seite Gehackt, was tun?. Mehr dazu im Beitrag IT-Notfallhilfe für Unternehmen.
Wie Unternehmen sich zusätzlich schützen
Die Erkennung durch Mitarbeitende ist wichtig, aber nicht ausreichend. Diese technischen und organisatorischen Maßnahmen fangen ab, was durchrutscht:
- Multi-Faktor-Authentifizierung, idealerweise phishingresistent mit FIDO2 oder Passkeys, damit gestohlene Passwörter allein nicht reichen. Mehr dazu im Beitrag Was ist Multi-Faktor-Authentifizierung?.
- E-Mail-Filter mit Prüfung von Links und Anhängen und korrekt konfigurierten Absenderprüfungen für die eigene Domain (SPF, DKIM, DMARC), damit Angreifer Ihre Domain nicht so leicht fälschen können.
- Makros und gefährliche Dateitypen zentral blockieren.
- Endgeräteschutz, der verdächtiges Verhalten erkennt, falls doch ein Anhang geöffnet wird.
- Rückrufregel und Vier-Augen-Prinzip bei Zahlungen und geänderten Bankdaten.
- Ein einfacher Meldeweg für verdächtige E-Mails.
- Regelmäßige Schulungen und Phishing-Simulationen, die zeigen, worauf es ankommt, ohne Mitarbeitende bloßzustellen. Mehr dazu auf unserer Seite zum Awareness-Training.
Phishing-Simulationen: Erkennung trainieren
Simulierte Phishing-Mails, die unter realistischen Bedingungen verschickt werden, zeigen, wie gut die Erkennung im Unternehmen funktioniert und wo Nachholbedarf besteht. Damit sie wirken, sollten sie:
- vorab mit Betriebsrat und Datenschutz abgestimmt sein,
- realistische, aber nicht unfaire Szenarien verwenden,
- direkt nach einem Klick einen kurzen Lernhinweis zeigen,
- auswerten, wie viele Mitarbeitende die Mail gemeldet haben, nicht nur, wie viele geklickt haben,
- regelmäßig wiederholt werden, mit wechselnden Themen.
Ziel ist nicht, eine Klickrate von null zu erreichen, sondern dass verdächtige Mails schnell gemeldet werden.
Checkliste: Phishing-Mails erkennen
- Werde ich unter Zeitdruck gesetzt oder bedroht?
- Soll ich Zugangsdaten, Zahlungsdaten oder Codes eingeben?
- Erwarte ich diese E-Mail überhaupt?
- Stimmt die Absenderadresse exakt, nicht nur der angezeigte Name?
- Führt der Link dorthin, wo er angeblich hinführt?
- Enthält die Mail einen unerwarteten Anhang oder einen QR-Code?
- Werde ich gebeten, etwas geheim zu halten oder ungewöhnlich schnell zu zahlen?
- Weicht die Bitte vom üblichen Ablauf ab?
Ist auch nur eine Antwort auffällig: nicht klicken, nachfragen, melden.
Fazit: Merkmale kennen, Technik nutzen, im Zweifel melden
Phishing-Mails sind heute oft so gut gemacht, dass sie auf den ersten Blick nicht auffallen. Die wichtigsten Warnsignale bleiben aber gleich: Zeitdruck, ungewöhnliche Bitten, Abweichungen bei Absender und Link und die Aufforderung, Daten einzugeben oder Geld zu überweisen. Wer diese Merkmale kennt, über einen zweiten Kanal nachfragt und verdächtige Mails meldet, stoppt die meisten Angriffe. Technische Maßnahmen wie phishingresistente Multi-Faktor-Authentifizierung und gute E-Mail-Filter fangen ab, was trotzdem durchrutscht.
Sie möchten Ihr Team für Phishing sensibilisieren? Wir bieten praxisnahe Awareness-Trainings und Phishing-Simulationen für Unternehmen. Jetzt kostenlose Erstberatung buchen.
