Eine Phishing-Mail erkennst du an einer Kombination typischer Signale: künstlicher Zeitdruck, eine unpersönliche Anrede, die Aufforderung Passwörter oder TANs einzugeben, eine gefälschte Absenderadresse und Links, die nicht zur echten Domain führen. Fahre mit der Maus über jeden Link, ohne zu klicken, und prüfe die tatsächliche Absenderadresse. Im Zweifel gilt: nichts anklicken, sondern den Anbieter über seine offizielle Website kontaktieren.
Phishing (von „password fishing“, also dem Abfischen von Passwörtern) ist die häufigste Methode, mit der Kriminelle an Zugangsdaten und Geld kommen. Eine einzelne Mail wirkt heute oft sauber gemacht. Verdächtig wird sie erst im Zusammenspiel mehrerer Merkmale – die folgenden sieben sind die zuverlässigsten.
Die 7 Warnzeichen einer Phishing-Mail
1. Künstlicher Zeitdruck und Drohungen
„Ihr Konto wird in 24 Stunden gesperrt“ oder „Aktualisieren Sie Ihre Daten sofort, sonst gehen sie verloren“: Druck ist das Kernwerkzeug jeder Phishing-Mail. Seriöse Banken, Zahlungsdienste oder Behörden setzen dir keine 24-Stunden-Frist per E-Mail. Das Ziel ist, dass du aus Angst klickst, bevor du nachdenkst.
2. Unpersönliche oder falsche Anrede
„Sehr geehrter Kunde“, „Lieber Nutzer“ oder gar keine Anrede sind ein klassisches Signal – dein echter Anbieter kennt deinen Namen. Vorsicht aber: Die Anrede mit Namen ist 2026 kein Beweis für Echtheit mehr, weil Angreifer Namen aus Datenlecks und sozialen Netzwerken übernehmen.
3. Aufforderung, sensible Daten einzugeben
Banken und Geldinstitute fragen niemals per E-Mail oder Telefon nach PIN, TAN, Passwort oder vollständiger Kreditkartennummer. Auch das Finanzamt verschickt keine solchen Anforderungen per Mail. Sobald eine Nachricht dich auffordert, bekannte Daten „zur Bestätigung“ erneut einzugeben, ist das ein deutliches Alarmsignal.
4. Gefälschte Absenderadresse
Der angezeigte Name wirkt seriös („PayPal Service“), die echte Adresse dahinter aber nicht. In den meisten Mail-Programmen reicht es, mit der Maus über den Absender zu fahren – ohne zu klicken –, um die wahre Adresse einzublenden. Achte auf vertauschte Buchstaben oder fremde Domains wie [email protected] statt @paypal.de.
5. Verdächtige Links
Fahre mit dem Mauszeiger über jeden Link (am Smartphone: lang gedrückt halten), ohne ihn zu öffnen. Unten im Fenster oder in der Vorschau erscheint das echte Ziel. Stutzig machen sollten dich ungewöhnliche Zeichenfolgen wie www.135x-bank.de, gekürzte URLs (bit.ly & Co.) oder Domains, die nur ähnlich klingen. Wichtig: Das Schloss-Symbol und „https://“ sind 2026 kein Echtheitsbeweis mehr – auch Betrugsseiten haben heute SSL-Zertifikate.
6. Unerwartete Dateianhänge
Ein Anhang, den du nicht angefordert hast, gehört nicht geöffnet. Besonders riskant sind ZIP-Archive, HTML-Dateien und Office-Dokumente (Word/Excel), die beim Öffnen nach „Bearbeitung aktivieren“ oder „Makros aktivieren“ fragen – darüber wird Schadsoftware nachgeladen.
7. Sprachliche Auffälligkeiten – mit Einschränkung
Holpriges Deutsch, kyrillische Buchstaben mitten im Wort oder eine Mail auf Englisch von einem deutschen Anbieter sind verdächtig. Aber: Plumpe Rechtschreibfehler sind kein verlässliches Merkmal mehr. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass Kriminelle heute professioneller arbeiten und KI-Texte oft fehlerfrei und personalisiert sind. Eine sprachlich saubere Mail ist also kein Echtheitsbeweis.
Anzeige
So prüfst du eine verdächtige Mail in 30 Sekunden
- Absender einblenden lassen (über den Namen fahren) und die echte Adresse mit der erwarteten Domain vergleichen.
- Über jeden Link fahren und das Linkziel lesen – führt es zur offiziellen Domain?
- Keine Anhänge öffnen, die du nicht erwartet hast.
- Im Zweifel die Seite des Anbieters selbst im Browser eintippen (nicht den Link aus der Mail) und dort einloggen.
- Bei Banken/Behörden direkt über die offizielle Telefonnummer oder das gewohnte Portal nachfragen.
Wie du dich dauerhaft schützt
- Zwei-Faktor-Authentifizierung (2FA) aktivieren: Selbst wenn dein Passwort abgefischt wird, kommen Angreifer ohne den zweiten Faktor (App-Code, Hardware-Schlüssel) nicht ins Konto. Das ist der wirksamste Einzelschutz.
- Für jeden Dienst ein eigenes Passwort – am besten über einen Passwort-Manager. So bleibt ein einzelnes geknacktes Passwort folgenlos für andere Konten.
- Betriebssystem, Browser und Virenschutz aktuell halten: Updates schließen die Lücken, über die Anhänge Schaden anrichten.
- Nie über E-Mail-Links einloggen: Rufe Banking, Shops und Behördenportale immer über ein eigenes Lesezeichen oder die getippte Adresse auf.
- Phishing melden: Verdächtige Mails kannst du an den betroffenen Anbieter und an das Phishing-Radar der Verbraucherzentrale weiterleiten, statt sie nur zu löschen.
Schon geklickt? Das ist jetzt zu tun
Panik hilft nicht, schnelles Handeln schon. Je nachdem, wie weit du gegangen bist:
- Nur auf den Link geklickt, nichts eingegeben: Schließe die Seite, aktualisiere deinen Virenschutz und lass den Rechner vollständig durchsuchen. Spiele ausstehende Updates für System und Browser ein.
- Daten eingegeben (Passwort, TAN, Kartennummer): Ändere sofort das betroffene Passwort und alle Konten, die dasselbe nutzen. Kontaktiere deine Bank über die offizielle Hotline und lass Karten/Konto sperren – der zentrale Sperr-Notruf ist die 116 116. Erstatte Anzeige bei der Polizei und behalte deine Kontoauszüge im Blick.
- Anhang geöffnet: Trenne den Rechner vom Netzwerk, nutze ihn nicht weiter und prüfe ihn mit einem aktuellen Virenscanner – im Ernstfall hilft nur eine Neuinstallation des Systems.
Warum Phishing überhaupt funktioniert
Phishing greift nicht die Technik an, sondern den Menschen – das nennt man Social Engineering. Die Masche spielt mit Emotionen: Angst vor Kontosperrung, Neugier auf ein angebliches Paket, Gier auf eine Rückerstattung. Wer das Muster kennt, ist deutlich schwerer zu täuschen. Genau deshalb lohnt es sich, bei jeder unerwarteten Mail kurz innezuhalten, statt reflexhaft zu klicken. 2026 verschärfen KI-generierte Texte und personalisierte Angriffe (Spear-Phishing) die Lage zusätzlich – die Erkennungsmerkmale verschieben sich von „schlechter Sprache“ hin zu „prüfe Absender, Link und Plausibilität“.
Häufige Fragen
Woran erkenne ich eine Phishing-Mail am schnellsten?
Am verlässlichsten an der Kombination aus Zeitdruck, der Aufforderung Passwörter oder TANs einzugeben und einer Absenderadresse oder einem Link, der nicht zur echten Domain des Anbieters passt. Fahre dazu mit der Maus über Absender und Links, ohne zu klicken.
Sind Rechtschreibfehler noch ein sicheres Phishing-Merkmal?
Nein. Das BSI weist darauf hin, dass Angreifer 2026 oft fehlerfreie, KI-generierte und personalisierte Mails verschicken. Eine sprachlich saubere Nachricht ist kein Echtheitsbeweis – prüfe stattdessen immer Absender, Link und Plausibilität.
Bedeutet das Schloss-Symbol bzw. https, dass eine Seite echt ist?
Nein. Auch Betrugsseiten besitzen heute gültige SSL-Zertifikate und zeigen das Schloss sowie https an. Die Verschlüsselung sagt nur, dass die Verbindung gesichert ist, nicht wer dahintersteht.
Was tun, wenn ich auf einen Phishing-Link geklickt und Daten eingegeben habe?
Ändere sofort das betroffene Passwort und alle Konten mit demselben Passwort, kontaktiere deine Bank über die offizielle Hotline und lass Karten sperren (Sperr-Notruf 116 116). Erstatte Anzeige und überwache deine Kontoauszüge.
Was ist der wirksamste Schutz vor Phishing?
Die Zwei-Faktor-Authentifizierung. Selbst wenn dein Passwort abgefischt wird, fehlt Angreifern der zweite Faktor wie ein App-Code oder Hardware-Schlüssel, sodass sie nicht ins Konto kommen.
