Gefälschte E-Mail erkennen, bevor du klickst

Diese Masche heißt auch Phishing, das Wort für eine gefälschte Nachricht, die eine Bank, einen Shop, eine Behörde oder jemanden aus deinem Umfeld nachahmt, um an ein Passwort, an Daten oder an Geld zu kommen. Die E-Mail ist nur einer der Wege. Dieselbe Masche kommt per SMS und über Messenger, und das steht in was Phishing ist und wie du es erkennst.

Wer so etwas verschickt, schickt denselben Text an eine sehr lange Liste und rechnet damit, dass ein Teil der Leute tatsächlich bei der genannten Bank ist oder gerade ein Paket von diesem Shop erwartet. Deshalb kann sich eine Nachricht anfühlen, als wäre sie für dich geschrieben, obwohl sie an Tausende Adressen gleichzeitig ging.

Fang bei der vollständigen Absenderadresse an

Der Anzeigename in deinem Posteingang wird von der Person gewählt, die die Nachricht verschickt hat. Zu prüfen ist also die Adresse dahinter, vor allem der Teil hinter dem At-Zeichen. Ein bekannter Firmenname, der an einer völlig fremden Domain hängt, oder ein kostenloses Postfach, das im Namen eines Unternehmens schreibt, ist Grund genug, nicht weiterzumachen.

Die Gmail-Hilfe zu Phishing rät genau dazu: prüfen, ob E-Mail-Adresse und Absendername zusammenpassen. Trotzdem ist eine Adresse, die richtig aussieht, kein Beweis. Echte Konten werden gekapert, und die Absenderzeile lässt sich fälschen. Das BSI nennt den gefälschten Absender deshalb als eines der Merkmale und rät, die Organisation auf einem anderen Weg zu erreichen, zum Beispiel telefonisch, statt der Nachricht zu glauben.

Zeichen im Text der E-Mail

Nach dem Absender liest du, was die Nachricht von dir will. Das BSI und die Polizeiliche Kriminalprävention zeigen auf dieselbe Handvoll Zeichen:

• Druck oder eine Drohung. Ein Konto, das heute gesperrt wird, eine Gebühr, wenn du nicht innerhalb von 24 Stunden zahlst, eine letzte Mahnung vor der Kündigung. Die kurze Frist ist dafür da, dass du handelst, bevor du nachsiehst.
• Ein Gewinn, eine Rückzahlung, ein Vorteil. Eine freigegebene Erstattung, Punkte, die gleich verfallen, eine Verlosung, an der du dich nicht erinnerst teilgenommen zu haben.
• Die Bitte um Passwort, Code oder persönliche Daten. Ein Banking-Passwort, eine Kartennummer, eine Ausweis- oder Kontonummer oder der Bestätigungscode, der gerade auf deinem Handy angekommen ist, eingetippt auf einer Seite, die die E-Mail geöffnet hat.
• Eine unpersönliche Anrede. „Sehr geehrter Kunde“ statt deines Namens. Für sich allein ein schwaches Zeichen, denn eine gefälschte Nachricht kann auch deinen richtigen Namen tragen.
• Eine Buchung, die du nicht kennst. Eine Rechnung für einen Kauf, den du nie gemacht hast, geschickt, damit du zum Stornieren klickst.
• Ein QR-Code in der Nachricht. Das BSI rät ausdrücklich davon ab, QR-Codes aus unaufgefordert zugesandten E-Mails zu scannen, auch wenn sie echt wirken.

Rechtschreibfehler kommen vor, und das BSI nennt besonders seltsame Umlaute und merkwürdige Zeichenfolgen. Verlass dich aber nicht darauf als Hauptprüfung: Gefälschte Nachrichten können sauber geschrieben sein, und in einer echten Firmen-E-Mail kann ein Tippfehler stehen.

Eine gefälschte E-Mail, Zeichen für Zeichen

Die Nachricht unten haben wir selbst geschrieben, von Grund auf, um zu zeigen, wie so eine E-Mail gebaut ist. Sie benutzt keine echte Marke, und die Adressen enden auf „.example“, eine Endung, die für Beispiele reserviert ist und zu keiner Website gehört.

Was diese Mail verrät:

• Der Absender trägt den Namen des Shops, aber die Domain hinter dem At-Zeichen ist etwas anderes, ausgesucht von dem, der die Mail verschickt hat.
• Die Frist von wenigen Stunden schiebt die Entscheidung vor den Moment, in dem du die App des Shops selbst öffnen würdest.
• „Sehr geehrter Kunde“ zeigt, dass derselbe Text an eine lange Liste ging.
• Der Knopf zeigt auf eine Adresse, die dem Shop nicht gehört, auch wenn die Wörter „shop“ und „sicher“ darin vorkommen.
• Die eigentliche Bitte ist, Kartendaten auf einer Seite einzutippen, die die E-Mail geöffnet hat, statt die Bestellung im eigenen Konto nachzusehen.

Bei Daniela war der sichere Weg, die E-Mail zu schließen und die App des Shops zu öffnen. Wäre die Zahlung wirklich fehlgeschlagen, stünde die Mitteilung dort, in der Bestellübersicht.

Finde heraus, wohin der Link wirklich führt

Die Wörter auf einem Knopf müssen nicht zu der Adresse passen, die er öffnet. Am Computer zeigt dir der Mauszeiger über dem Link, ohne zu klicken, das Ziel in der Ecke des Bildschirms. Die Gmail-Hilfe empfiehlt genau diese Bewegung. Auf dem Handy zeigt langes Drücken auf den Link meist die vollständige Adresse. Wenn du Angst hast, ihn aus Versehen zu öffnen, lass den Test weg und geh direkt in die offizielle App.

Lies die ganze Domain. Zusätzliche Wörter, vertauschte Buchstaben und verkürzte Adressen verstecken alle, wo ein Link landet. In ist dieser Link sicher steht, welcher Teil einer Adresse sagt, wem die Seite gehört.

Das https am Anfang der Adresse bedeutet, dass die Verbindung zwischen deinem Gerät und der Seite verschlüsselt ist, niemand dazwischen also mitlesen kann. Über den Besitzer der Seite sagt es nichts. Das BSI weist darauf hin, dass auch gefälschte Shops inzwischen verschlüsseln, und Chrome hat das Schloss in der Adressleiste durch ein Einstellungssymbol ersetzt; angekündigt wurde das im Mai 2023 im Beitrag An Update on the Lock Icon.

Unerwartete Anhänge verdienen Vorsicht

Eine Rechnung, eine Bewerbung, eine Quittung oder ein Lieferschein, mit dem du nicht gerechnet hast, kann der ganze Vorwand sein, damit du eine Datei öffnest. Frag dich vor dem Herunterladen, ob du auf dieses Dokument wirklich gewartet hast und ob dieselbe Sache in der offiziellen App oder auf der Website des Anbieters auftaucht.

Genauso vorsichtig wirst du, wenn eine E-Mail dich bittet, in der Datei etwas zu aktivieren, ein Programm zu installieren oder jemandem Zugriff auf deinen Computer zu geben. Das BSI führt Schadprogramme als eine der Hauptmethoden auf, mit denen Zugangsdaten abgegriffen oder Dateien verschlüsselt werden. Ein echtes Unternehmen darf Anhänge schicken, aber eine Bitte, die aus dem üblichen Ablauf fällt, verdient eine Bestätigung auf einem anderen Weg.

Wie du prüfst, ohne zu antworten

• Öffne die offizielle App, die schon auf deinem Handy ist.
• Tipp die Adresse des Unternehmens selbst in den Browser.
• Such den Kauf, die Buchung oder die Mitteilung in deinem eigenen Konto.
• Wenn du mit jemandem sprechen musst, nimm die Nummer von der offiziellen Website oder von der Rückseite deiner Karte, nicht die aus der E-Mail.

Wenn die Forderung von einem Unternehmen kommt, mit dem du noch nie zu tun hattest, lohnt es sich, vor jeder Zahlung herauszufinden, wer dahintersteckt: das Impressum lesen, den Firmennamen im Register nachschlagen und den Empfängernamen im Bezahlfenster vergleichen. Wie das geht, steht in gefälschte Website erkennen.

Wie du eine gefälschte E-Mail meldest

Melden hilft deinem E-Mail-Anbieter, ähnliche Nachrichten zu filtern, für dich und für andere, und es bringt das Muster zu den Stellen, die es sammeln.

• In Gmail: die Nachricht öffnen, das Dreipunkt-Menü neben „Antworten“ anklicken und „Phishing melden“ wählen. So beschreibt es die Gmail-Hilfe; geprüft am 22. September 2026, und die Bezeichnungen können sich zwischen App-Versionen ändern.
• In anderen Programmen heißt die Funktion oft anders, etwa Junk, Spam oder Phishing melden. Sie steckt meistens im Menü der geöffneten Nachricht. Wenn du sie nicht findest, verschieb die Mail wenigstens in den Spam-Ordner.
• An die Verbraucherzentrale: Sie sammelt verdächtige E-Mails im Phishing-Radar und veröffentlicht daraus Warnungen zu Maschen, die gerade laufen. Die Adresse zum Weiterleiten steht auf der Seite des Phishing-Radars.
• Kam die Nachricht als SMS, kannst du sie bei der Bundesnetzagentur melden. Es gibt ein Beschwerdeformular für SMS und Messenger, und die Behörde kann Rufnummern abschalten und Rechnungslegung untersagen.
• Bei Betrug mit Geldverlust erstattest du Anzeige, bei einer Dienststelle oder online über die Onlinewache der Polizei deines Bundeslandes.

Danach kannst du die Nachricht löschen. Antworte nicht, auch nicht, um zu bitten, dass man dich in Ruhe lässt: Jede Antwort sagt dem Absender, dass dieses Postfach gelesen wird.

Wenn du schon geklickt hast

Klicken passiert, auch Leuten, die aufmerksam sind. Es kommt darauf an, was danach war. Wenn du die Seite nur geöffnet und nichts eingetippt hast, schließ sie, ohne Dateien herunterzuladen oder Berechtigungen zu erlauben.

1. In der ersten Stunde: ruf deine Bank an, wenn du Karten- oder Kontodaten eingegeben hast. Nutz die Nummer auf der Rückseite deiner Karte oder aus deiner Banking-App. Bitte darum, die Zahlung zu stoppen, solange sie noch nicht ausgeführt ist, die Karte zu sperren und eine neue auszustellen.
2. Ändere das Passwort jedes Kontos, in das du dich eingeloggt hast. Ändere es auf der echten Seite, nicht über einen Link aus der Seite, die du gerade verlassen hast, und überall dort, wo du dasselbe Passwort noch einmal verwendet hast. Das BSI empfiehlt dafür einen Passwortmanager, damit jedes Konto ein eigenes Passwort bekommt.
3. Schalte die Zwei-Faktor-Authentisierung ein, damit ein gestohlenes Passwort allein nicht reicht. Das BSI rät, sie überall zu nutzen, wo ein Dienst sie anbietet, und in jedem Fall davon ab, sie abzuschalten. Wenn du einen Einmalcode weitergegeben oder eine Anmeldung bestätigt hast, geh davon aus, dass jemand schon drin ist, und sieh in den Sicherheitseinstellungen nach aktiven Sitzungen und verknüpften Geräten.
4. Wenn schon Geld geflossen ist, ruf die Bank sofort an und sag, dass es Betrug war. War es eine Lastschrift, kannst du ihr bis zu acht Wochen nach der Buchung widersprechen. War es eine Überweisung, vor allem eine Echtzeitüberweisung, zählt nur die Geschwindigkeit: Ein einmal ausgeführter Überweisungsauftrag kann grundsätzlich nicht mehr widerrufen werden, wie die BaFin schreibt. Die Bank kann eine Rückholung versuchen, versprechen kann sie dir nichts.
5. Sichere die Belege. Die E-Mail, die Adresse, die der Link geöffnet hat, die Uhrzeit und jede Bestätigung. Eine Anzeige ist mit diesen Sachen deutlich brauchbarer.

Quellen, die wir geöffnet haben

Die Empfehlungen und Menüwege oben wurden am 22. September 2026 auf diesen Seiten geprüft:

• BSI: Passwortdiebstahl durch Phishing
• BSI: Methoden der Cyber-Kriminalität
• BSI: Zwei-Faktor-Authentisierung und Sichere Passwörter erstellen
• Polizeiliche Kriminalprävention: Phishing nicht ins Netz gehen
• Polizei: Onlinewachen der Polizeien in Deutschland
• Bundesnetzagentur: SMS Spam und das Beschwerdeformular
• BaFin: Wissenswertes zu Überweisungen und Lastschriften
• Gmail-Hilfe: Phishing-E-Mails vermeiden und melden
• Chromium-Blog: An Update on the Lock Icon

Die Beispielnachricht ist von uns erfunden und benutzt keine echte Marke, kein echtes Logo und keine echte Servicenummer. Dieser Artikel nennt keine Statistik und keine Zahl, und er ist keine Rechtsberatung.

Häufige Fragen zu gefälschten E-Mails