Phishing-Mails erkennen: die 7 Warnsignale

Es ist Dienstagmorgen, die Buchhaltung arbeitet die Mails ab. Dazwischen eine „Rechnung“ von einem bekannten Lieferanten — PDF im Anhang, freundlicher Text, alles wie immer. Ein Klick, und im Hintergrund beginnt ein Verschlüsselungstrojaner, sich durchs Netzwerk zu arbeiten. Zwei Stunden später steht der Betrieb still.

So oder so ähnlich fängt der überwiegende Teil aller erfolgreichen Cyberangriffe an — nicht mit einem genialen Hacker, sondern mit einer E-Mail und einem unbedachten Klick. Die gute Nachricht: Die meisten Phishing-Mails verraten sich, wenn man weiß, worauf man schaut. Genau das gehen wir hier durch — in Klartext, ohne Technik-Kauderwelsch.

Was Phishing überhaupt ist

Phishing heißt: Jemand gibt sich per E-Mail (oder SMS, Anruf, Chat) als vertrauenswürdig aus — Ihre Bank, Microsoft, ein Lieferant, der Paketdienst, sogar Ihr eigener Chef —, um Sie zu einer von zwei Sachen zu bewegen:

1. auf einen Link zu klicken oder einen Anhang zu öffnen (und sich Schadsoftware einzufangen oder auf einer gefälschten Seite Ihre Zugangsdaten einzugeben), oder
2. direkt etwas herauszugeben — ein Passwort, eine Überweisung, eine Gutscheinkarte.

Das Wort kommt von „fishing“: Es wird ein Köder ausgeworfen, in der Hoffnung, dass jemand anbeißt. Und es wird in Massen ausgeworfen.

Warum gerade der Mittelstand im Visier ist

Viele Inhaber denken: „Wer interessiert sich schon für meinen 12-Mann-Betrieb?“ Genau das ist der Denkfehler. Angreifer suchen sich nicht gezielt einzelne Firmen aus — sie schicken ihre Mails automatisiert an Hunderttausende Adressen gleichzeitig. Der Mittelstand ist dabei das lohnendste Ziel: groß genug, dass Geld zu holen ist, aber oft ohne eigene IT-Abteilung, ohne Sicherheitsschulungen und ohne die dicken Schutzwälle der Konzerne.

Dazu kommt: In kleinen Betrieben kennt jeder jeden, man vertraut sich, es geht schnell. Genau dieses Vertrauen nutzen die Maschen aus.

Die 7 Warnsignale, an denen Sie Phishing erkennen

Sie müssen kein IT-Profi sein. In den allermeisten Fällen reicht es, kurz innezuhalten und diese sieben Dinge zu prüfen.

1. Der Absender stimmt nicht ganz. Die Adresse sieht fast echt aus, ist es aber nicht: service@micr0soft.com (mit Null statt o), info@paypa1.de, oder ein wildfremder Anbieter, der angeblich für Ihre Bank schreibt. Schauen Sie immer auf die echte Absenderadresse, nicht nur auf den angezeigten Namen — den kann jeder frei eintragen.

2. Die Anrede ist unpersönlich oder falsch. „Sehr geehrter Kunde“, „Lieber Nutzer“, gar keine Anrede — oder ein Name, der nicht zu Ihnen passt. Ihre Bank und Ihre echten Geschäftspartner kennen Ihren Namen.

3. Es wird Druck gemacht. „Ihr Konto wird in 24 Stunden gesperrt“, „letzte Mahnung“, „sofort handeln, sonst …“. Dringlichkeit und Drohung sollen Sie zum schnellen, unüberlegten Klick treiben. Seriöse Absender setzen Sie nicht unter Zeitdruck.

4. Der Link führt woanders hin. Fahren Sie mit der Maus über einen Link (ohne zu klicken) — unten im Browser oder Mailprogramm wird die echte Zieladresse angezeigt. Steht dort etwas ganz anderes als erwartet, Finger weg. Auf dem Handy: Link lange gedrückt halten, dann erscheint die Adresse.

5. Sprache und Aufmachung wirken schief. Rechtschreibfehler, holpriges Deutsch, verpixeltes Logo, seltsame Formatierung. Profis werden zwar besser (auch dank KI), aber viele Phishing-Mails entlarven sich noch immer durch ihre schlechte Machart.

6. Sie sollen Daten oder Geld herausgeben. Niemand Seriöses fragt per E-Mail nach Ihrem Passwort, Ihrer PIN oder einer TAN. Und keine echte Rechnung verlangt die Zahlung in Gutscheinkarten. Solche Aufforderungen sind ein eindeutiges Stoppschild.

7. Es passt nicht zum Kontext. Eine Rechnung für etwas, das Sie nie bestellt haben. Ein Paket, das niemand erwartet. Eine Eil-Überweisung „vom Chef“, obwohl der nebenan im Büro sitzt. Wenn Ihr Bauchgefühl sagt „das ergibt keinen Sinn“ — hören Sie darauf.

Die Faustregel: Ein einziges dieser Signale genügt, um misstrauisch zu werden. Zwei oder mehr — und es ist mit hoher Wahrscheinlichkeit Phishing.

Die Maschen, die wir am häufigsten sehen

• Die Chef-Masche (CEO-Fraud): Eine Mail, scheinbar vom Geschäftsführer, bittet die Buchhaltung um eine dringende, vertrauliche Überweisung. „Bin in einem Termin, ruf nicht an, überweis bitte schnell.“ Hier geht es um echtes Geld — oft fünfstellig.
• Die geänderte Bankverbindung: Ein bekannter Lieferant schickt angeblich eine neue IBAN für künftige Zahlungen. In Wahrheit landet das Geld beim Betrüger.
• Der Microsoft-/365-Login: „Ihr Passwort läuft ab“ oder „ungewöhnliche Anmeldung“ — mit Link auf eine täuschend echte Login-Seite, die Ihre Zugangsdaten abgreift.
• Der Paketdienst: „Ihre Sendung konnte nicht zugestellt werden, bitte Gebühr bestätigen.“ Gern auch per SMS (dann heißt es Smishing).

Was tun, wenn Sie doch geklickt haben?

Erstens: kein Drama, aber schnell handeln. Panik hilft niemandem, Zögern aber auch nicht.

1. Gerät vom Netz trennen — WLAN aus, Netzwerkkabel ziehen. Das stoppt eine Ausbreitung.
2. Nichts weiter anklicken, keine weiteren Eingaben machen.
3. Passwörter ändern — aber von einem anderen, sauberen Gerät aus. Zuerst E-Mail und alles, was dasselbe Passwort nutzt.
4. Sagen Sie Bescheid — Ihrer IT-Betreuung (oder uns). Je früher, desto besser.
5. Bei einer Überweisung sofort die Bank anrufen — manchmal lässt sich eine Zahlung noch zurückholen.
6. Vorfall kurz dokumentieren (Screenshot, Uhrzeit) und die Mail nicht löschen — das hilft bei der Aufklärung.

Wichtig: Niemand sollte sich schämen, einen Fehler zu melden. Eine schnell gemeldete Panne ist harmlos — eine verschwiegene wird teuer.

So schützen Sie Ihren Betrieb dauerhaft

Gegen Phishing hilft kein einzelnes Wundermittel, sondern ein paar solide Bausteine:

• Zwei-Faktor-Anmeldung (2FA) überall, wo es geht. Selbst wenn ein Passwort geklaut wird, kommt der Angreifer ohne den zweiten Faktor nicht rein. Das ist der wirksamste Einzelschritt überhaupt.
• Mitarbeitende sensibilisieren. Ihre Leute sind nicht die Schwachstelle — sie sind die beste Firewall, wenn sie wissen, worauf sie achten müssen. Ein kurzer Termin pro Jahr reicht oft schon.
• Klare Regel für Geld und Daten: Überweisungen und geänderte Bankverbindungen werden immer per Rückruf oder im Vier-Augen-Prinzip bestätigt — niemals allein auf eine Mail hin.
• Technische Absicherung: ein guter Spam- und Mailfilter, aktuelle Updates, und ein geprüftes Backup für den Fall der Fälle.

Das meiste davon ist keine große Investition — es ist eine Frage von Einrichtung und Routine.

Im Zweifel: kurz nachfragen kostet nichts

Die ehrlichste Faustregel zum Schluss: Wenn eine E-Mail Sie zu etwas drängt — klicken, zahlen, Daten eingeben — und Sie auch nur ein bisschen unsicher sind, fragen Sie nach. Rufen Sie den angeblichen Absender unter der Ihnen bekannten Nummer an (nicht der aus der Mail). Fragen Sie eine Kollegin. Oder fragen Sie uns.

Lieber einmal zu viel nachgefragt als einmal zu wenig. Genau diese eine Minute Misstrauen ist es, die im Ernstfall den ganzen Betrieb rettet.

Wenn Sie Ihre IT-Sicherheit einmal in Ruhe durchleuchten lassen wollen — vom 2FA bis zum Backup —, melden Sie sich. Das Erstgespräch ist kostenlos, und wir reden Klartext.