Phishing-Mails erkennen und sich vor falschen Paket-, Bank- und Behördenmails schützen

„Sehr geehrter Kunde, Ihre Sendung wird wegen unvollständiger Adressangaben im Verteilzentrum zurückgehalten. Wird die geringe Bearbeitungsgebühr nicht innerhalb von 24 Stunden bezahlt, geht Ihr Paket an den Absender zurück. Klicken Sie hier, um Ihre Adresse zu aktualisieren.“

Diese Nachricht haben Sie wahrscheinlich in irgendeiner Form auch schon bekommen. Mal als SMS, mal als E-Mail. Das Logo stimmt, der Text klingt ordentlich, und der Betrag ist klein. Genau darin liegt der Trick, denn für ein paar Euro denkt niemand zweimal nach. Die Kartendaten, die auf dieser Seite eingegeben werden, werden aber für deutlich mehr als ein paar Euro verwendet.

Phishing ist eine Betrugsmasche, bei der sich jemand als vertrauenswürdige Stelle ausgibt, um an Ihr Passwort, Ihre Kartendaten oder einen Bestätigungscode zu kommen. Unten zeigen wir Punkt für Punkt, wo Sie hinschauen sollten, um eine gefälschte Mail zu erkennen. Am Ende gibt es eine Checkliste und Hinweise, was Sie tun sollten, wenn so etwas in Ihrem temporären Postfach landet.

Die häufigsten Phishing-Maschen

Betrüger sind nicht kreativ, sondern beharrlich. Sie nutzen immer wieder dieselben paar Szenarien, weil sie funktionieren. In unseren eigenen Postfächern und in dem, was uns Nutzer erzählen, fallen diese auf:

• Zurückgehaltenes Paket. Das Beispiel von oben. Betreffzeilen wie „Adresse unvollständig“, „Zollgebühr“ oder „Zustellung fehlgeschlagen“. Wenn Sie gerade tatsächlich auf eine Bestellung warten, wirkt das gleich doppelt glaubwürdig.
• Sicherheitswarnung der Bank. „Auf Ihrem Konto wurde eine verdächtige Transaktion festgestellt, Ihre Karte wird gesperrt.“ Der Link führt zu einer exakten Kopie der Login-Seite Ihrer Bank.
• Behörden oder Steuererstattung. „Ihnen steht eine Erstattung zu“, „Sie haben ein unbezahltes Bußgeld“. Der amtliche Anstrich soll Panik oder Vorfreude auslösen.
• Konto gesperrt. Streamingdienste, soziale Netzwerke, E-Mail-Anbieter. „Ihre Zahlungsmethode wurde abgelehnt, Ihr Konto wird geschlossen.“
• Gewinnspiel und Geschenk. „Glückwunsch, Sie haben gewonnen. Zahlen Sie nur noch die Versandkosten, um Ihren Preis zu erhalten.“
• Falsche Rechnung oder Bestellung. „Ihre Bestellung über einen hohen Betrag wurde bestätigt. Wenn Sie das nicht waren, klicken Sie hier zum Stornieren.“ Die Falle ist hier die Eile beim Stornieren.

Wie prüfe ich die Absenderadresse?

Der Name, den Sie im Posteingang sehen, also der Anzeigename, kann alles sein, was der Absender möchte. Steht dort „Kundenservice Ihrer Bank“, beweist das gar nichts. Entscheidend ist die tatsächliche Adresse neben dem Namen oder die, die erscheint, wenn Sie darauf klicken.

Darauf sollten Sie achten:

• Ist die Domain nach dem @-Zeichen die echte Domain des Unternehmens? Achten Sie auf vertauschte Zeichen wie „1“ statt „l“, „0“ statt „o“ oder einen eingeschobenen Bindestrich.
• Steht der Firmenname zwar vorne in der Domain, aber am Ende etwas ganz anderes? Eine Adresse wie „bankname.sicherheit-hinweis.xyz“ gehört nicht zu dieser Bank. Ausschlaggebend ist der hintere Teil.
• Eine „offizielle“ Mitteilung von einem kostenlosen Mailanbieter ist so gut wie immer gefälscht.

Gut zu wissen ist auch, dass sich die Absenderadresse technisch fälschen lässt. Auch wenn sie korrekt aussieht, sollten Sie bei verdächtigem Inhalt also auf die anderen Merkmale achten. Eine einzelne Prüfung reicht nicht.

Warum ist Zeitdruck ein Alarmsignal?

In fast jeder Phishing-Mail tickt eine Uhr, etwa mit „innerhalb von 24 Stunden“, „letzte Mahnung“, „wenn Sie nicht sofort handeln“. Der Grund ist einfach. Wer in Eile ist, prüft nicht. Auch eine echte Bank kann Sie warnen, verweist Sie dann aber in der Regel auf ihre App oder ihren offiziellen Kanal und nicht auf einen Link in der Mail.

Wir haben dafür eine Regel, die wir auch Ihnen empfehlen. Je mehr eine Mail drängt, desto langsamer sollten Sie handeln.

Wohin führt der Link? So prüfen Sie ihn, ohne zu klicken

Am Computer fahren Sie mit der Maus über den Link, ohne zu klicken. Unten links im Browser oder im Mailprogramm erscheint dann das tatsächliche Ziel. Dass auf dem Button „Anmelden“ steht, ändert nichts daran, wohin er wirklich führt.

1. Lassen Sie den Mauszeiger über dem Link oder Button ruhen.
2. Lesen Sie die Domain der angezeigten Adresse. Dass sie mit „https://“ beginnt, heißt für sich genommen nicht, dass sie sicher ist. Auch gefälschte Seiten bekommen Zertifikate.
3. Gekürzte Links (kurze Adressen aus wenigen Zeichen) verschleiern das Ziel. Kommt so ein Link angeblich von einer offiziellen Stelle, werden Sie misstrauisch.
4. Am Handy halten Sie den Finger länger auf den Link. Die meisten Geräte zeigen dann die Adresse, bevor sie etwas öffnen.
5. Im Zweifel nutzen Sie den Link gar nicht. Tippen Sie die Adresse der Website selbst in die Adresszeile oder öffnen Sie die App.

Bei Anhängen erst nachdenken, dann öffnen

„Rechnung.pdf.exe“, „Sendungsinfo.zip“, ein Office-Dokument, das Sie bittet, Makros zu aktivieren. Öffnen Sie keinen Anhang, mit dem Sie nicht gerechnet haben, vor allem keine gepackten Dateien und keine Dokumente mit der Aufforderung „Inhalt aktivieren“. Hat ein Unternehmen Ihnen eine Rechnung geschickt, finden Sie sie auch, wenn Sie sich direkt auf dessen Website anmelden.

Checkliste für Phishing-Mails

Kommt Ihnen eine Mail verdächtig vor, gehen Sie diese Tabelle durch. Trifft mehr als eine Zeile zu, ist die Mail sehr wahrscheinlich gefälscht.

Was tun, wenn eine verdächtige Mail in meinem temporären Postfach landet?

Nachdem Sie Ihre temporäre Adresse auf einer Website verwendet haben, kann an diese Adresse eine Phishing-Mail kommen. Meist heißt das, dass die Adresse auf einer Liste gelandet ist. Die gute Nachricht ist, dass die Adresse nicht an Ihrer eigentlichen Identität hängt und in ein paar Stunden ohnehin nicht mehr in Gebrauch ist.

Bei Geçici Mail zeigen wir HTML-Mails auf sichere Weise an. Enthaltene Skripte werden entfernt, und die Mail wird in einem eigenen, vom Rest der Seite isolierten Rahmen geöffnet. Anhänge werden ohnehin nicht angezeigt. Das bloße Lesen der Mail bringt Sie also nicht in Gefahr.

Eine Grenze wollen wir aber ehrlich benennen. Wenn Sie auf einen Link in der Mail klicken, bringt Ihr Browser Sie zu dieser fremden Website. Was dort passiert, liegt nicht mehr in unserer Hand. Geben Sie auf einer gefälschten Bankseite Ihr Passwort ein, hilft es nichts, dass die Adresse temporär war. Gestohlen wird ja Ihr Passwort.

Deshalb:

• Klicken Sie keine Links in verdächtigen Mails an und füllen Sie keine Formulare aus.
• Lesen Sie die Mail und schließen Sie sie. Wenn Sie möchten, geben Sie die Adresse mit dem Button LÖSCHEN auf und holen sich eine neue.
• Sieht die Mail nach einer Warnung zu einem echten Konto aus, prüfen Sie das, indem Sie die App oder die Website des Anbieters selbst öffnen.

Die Sicherheitsseite temporärer Adressen behandeln wir im Beitrag Ist eine Wegwerf-E-Mail sicher?, den Umgang mit unerwünschten Mails im Beitrag Spam-Mails loswerden.

Ich habe geklickt und Daten eingegeben. Was jetzt?

Keine Panik, aber handeln Sie schnell. Haben Sie ein Passwort eingegeben, ändern Sie es für dieses Konto sofort, ebenso für alle anderen Konten, in denen Sie dasselbe Passwort verwenden. Haben Sie Kartendaten eingegeben, rufen Sie Ihre Bank über die offizielle Servicenummer an und lassen Sie die Karte sperren. Ist die Zwei-Faktor-Authentifizierung noch nicht aktiv, schalten Sie sie ein. Je früher Sie reagieren, desto kleiner bleibt der Schaden.

Häufige Fragen