Phishing erkennen: 7 Beispiele aus der Praxis – und die drei Fragen, die jede Mail bestehen muss

Die Phishing-Mails, vor denen in Schulungen gewarnt wird, erkennt heute jeder: schlechtes Deutsch, komische Absenderadresse, ein Prinz mit einer Erbschaft. Die Mails, über die es tatsächlich passiert, sehen anders aus. Sie kommen von echten Konten, betreffen echte Vorgänge und treffen genau die Person, die gerade in Eile ist. Sieben Beispiele, die wir so oder ähnlich aus dem Alltag kleiner Unternehmen kennen – und woran man sie trotzdem erkennt.

1. „Unsere Bankverbindung hat sich geändert“

Eine Mail vom Lieferanten, mit dem Sie seit Jahren arbeiten. Der Ton stimmt, die Signatur stimmt, sogar der Bezug auf die laufende Bestellung stimmt. Nur die Kontonummer auf der angehängten Rechnung ist neu. Was dahintersteckt: Das Postfach des Lieferanten ist gekapert, und der Angreifer hat wochenlang mitgelesen, bis eine Rechnung fällig war.

Woran Sie es erkennen: gar nicht, an der Mail. Nur an der Regel: Eine geänderte Bankverbindung wird immer telefonisch bestätigt, über die Nummer, die Sie schon hatten – nicht über die aus der Mail.

2. „Ihr Passwort läuft in 24 Stunden ab“

Angeblich von Microsoft, mit Logo, mit einem Knopf „Passwort beibehalten“. Der Link führt auf eine Anmeldeseite, die aussieht wie die echte. Wer dort Benutzername und Passwort eingibt, hat sie gerade verschenkt – und wenn danach der Zwei-Faktor-Code abgefragt wird, den auch.

Woran Sie es erkennen: Microsoft schickt keine Mails, dass Ihr Passwort abläuft. Und kein Dienst braucht Ihr Passwort per Link. Wer unsicher ist, öffnet den Browser und tippt die Adresse selbst ein, statt zu klicken.

3. „Ich bin gerade in einer Besprechung, kannst du mir kurz helfen?“

Per SMS oder WhatsApp, angeblich vom Chef, an eine Mitarbeiterin in der Buchhaltung. Es folgt die Bitte, Gutscheinkarten zu kaufen oder eine dringende Überweisung freizugeben, und die Bitte, das diskret zu behandeln. Der Name stimmt, das Foto manchmal auch. Die Nummer ist neu, „weil das Diensthandy kaputt ist“.

Woran Sie es erkennen: an der Kombination aus Eile, Geheimhaltung und einer neuen Nummer. Ein Chef, der wirklich Gutscheinkarten braucht, ruft an. Und ein Unternehmen, in dem klar ist, dass niemand allein Geld freigibt, ist gegen diese Masche immun.

4. „Ihr Paket konnte nicht zugestellt werden“

SMS oder Mail von DHL, Hermes oder der Post: eine kleine Zollgebühr sei fällig, bitte hier zahlen. Der Betrag ist klein, die Seite sieht echt aus, und irgendjemand im Büro wartet immer auf ein Paket. Ziel sind die Kreditkartendaten, und manchmal die Installation einer App, die dann alles mitliest.

Woran Sie es erkennen: Paketdienste verlangen keine Gebühren per Link, und schon gar nicht per SMS. Wer ein Paket erwartet, prüft die Sendungsnummer direkt auf der Seite des Dienstes.

5. „Bewerbung als Sachbearbeiter – Anschreiben und Lebenslauf anbei“

Sie haben eine Stelle ausgeschrieben, und es kommt eine Bewerbung mit Anhang. Der Anhang ist keine PDF, sondern eine ZIP-Datei, eine ISO-Datei oder ein Word-Dokument, das beim Öffnen fragt, ob es „Inhalte aktivieren“ darf. Wer ja sagt, hat den Trojaner selbst gestartet.

Woran Sie es erkennen: an der Dateiendung. Bewerbungen kommen als PDF. Alles andere – ZIP, ISO, Dateien, die nach dem Öffnen um Erlaubnis fragen – wird nicht geöffnet, sondern gemeldet.

6. „AW: AW: Ihr Angebot vom 14.03.“

Die gefährlichste Variante, weil sie die echte Historie mitbringt. Die Mail antwortet auf einen Austausch, den Sie vor Monaten tatsächlich mit einem Kunden hatten. Der Absender ist der echte Kunde, der Betreff auch. Nur der Text ist knapp – „anbei die besprochenen Unterlagen“ – und der Anhang oder Link ist neu. Das Postfach des Kunden ist übernommen, und der Angreifer antwortet auf alles, was er dort findet.

Woran Sie es erkennen: am Bruch zwischen Historie und Inhalt. Ein Kunde, der nach fünf Monaten Schweigen plötzlich ohne ein persönliches Wort „Unterlagen“ schickt, ist verdächtig. Anrufen. Meist ist er dankbar, weil er von der Übernahme noch nichts wusste.

7. „Bestätigen Sie, dass Sie kein Roboter sind“

Die neueste Variante, vor der das BSI seit September 2026 ausdrücklich warnt: Eine Webseite zeigt eine angebliche Sicherheitsabfrage und bittet Sie, zur Bestätigung eine Tastenkombination zu drücken und etwas einzufügen. Was Sie damit tun: einen Befehl in Windows ausführen, der Schadsoftware nachlädt. Kein Anhang, kein Download, nur drei Tastendrücke.

Woran Sie es erkennen: Keine echte Sicherheitsabfrage verlangt, dass Sie Tasten drücken oder etwas in ein Fenster einfügen. Ein Klick auf ein Kästchen, mehr nicht. Alles andere ist ein Angriff.

Was alle sieben gemeinsam haben

Sie funktionieren nicht wegen der Technik, sondern wegen des Moments: Eile, Autorität, ein echter Vorgang, ein vertrauter Name. Und sie scheitern alle am selben Verhalten: nachfragen, bevor man klickt, und zwar bei jemandem, den man über einen anderen Weg erreicht als den aus der Nachricht.

Damit das im Unternehmen passiert, braucht es weniger eine Schulung als eine Kultur: Wer nachfragt, hat recht, auch wenn es Fehlalarm war. Wer geklickt hat, sagt es sofort und bekommt Hilfe, keinen Vorwurf. In Unternehmen, in denen das gilt, richten Phishing-Mails selten Schaden an. In den anderen erfahren wir es drei Tage später. Was dann zu tun ist, steht im Ransomware-Notfallfahrplan – besser, Sie brauchen ihn nie.

Technisch lässt sich vieles abfedern: Zwei-Faktor-Anmeldung macht gestohlene Passwörter fast wertlos, ein Linkschutz im Postfach fängt die Anmeldeseiten ab, und gesperrte Weiterleitungen verhindern das wochenlange Mitlesen. Die zehn wichtigsten Einstellungen dafür haben wir in Microsoft 365: 10 Einstellungen zusammengestellt. Wenn Sie wissen wollen, wie es bei Ihnen aussieht, reicht ein Erstgespräch.

Häufige Fragen

Reicht ein guter Spamfilter nicht aus?

Er fängt den Großteil ab. Die Beispiele oben sind die, die durchkommen – weil sie von echten Konten stammen, keine klassischen Merkmale haben oder gar nicht per Mail kommen. Der Filter ist die erste Schicht. Der Mensch, der nachfragt, ist die letzte, und auf die kommt es an.

Was tun, wenn jemand geklickt und Daten eingegeben hat?

Sofort sagen, ohne Schuldgefühl. Passwort ändern, aktive Sitzungen beenden, Zwei-Faktor prüfen, Weiterleitungsregeln im Postfach kontrollieren und den IT-Dienstleister anrufen. Wer es innerhalb einer Stunde meldet, hat meist keinen Schaden. Wer es aus Scham drei Tage verschweigt, hat einen.

Sollen wir Phishing-Tests mit den Mitarbeitern machen?

Können Sie, wenn Sie es als Übung und nicht als Falle aufziehen. Wichtiger als der Test ist, was danach passiert: Wer sich meldet, bekommt Dank, nicht Vorwürfe. Sonst lernt das Team nur, nichts mehr zu melden.

Wie erkenne ich eine gefälschte Absenderadresse?

Auf dem Handy oft gar nicht, weil nur der Anzeigename zu sehen ist. Am Rechner: auf den Namen tippen oder mit der Maus darüberfahren, dann erscheint die echte Adresse. Bei allem, was Geld, Zugänge oder Eile betrifft, reicht das aber nicht – da hilft nur der Rückruf über eine Nummer, die Sie schon kannten.