Die meisten erfolgreichen Angriffe auf Unternehmen fangen nicht mit einer Sicherheitslücke an, sondern mit einer E-Mail, die jemand für echt gehalten hat. Deswegen ist die Erkennung solcher Mails ein zentraler Bestandteil jeder Sicherheitsstrategie. Dabei hilft es, dass auch der Mensch selbst die einzelnen Merkmale einer Phishing-Mail erkennen kann, wenn die vorgelagerten IT-Systeme mal versagen. Für die Fälle, in denen das nicht ausreicht, haben wir ein eigenes Tool entwickelt, welches bei der zuverlässigen Erkennung hilft.
Phishing kurz erklärt
Phishing ist eine Nachricht, die vorgibt, von jemandem zu stammen, dem Sie vertrauen. Die Nachricht soll Sie zu einer Handlung bewegen: Zugangsdaten eingeben, einen Anhang öffnen, Geld überweisen, ein Gerät freigeben.
Über welchen Kanal das läuft, spielt erstmal keine Rolle. E-Mail ist dabei natürlich der bekannteste Weg. Andere Angriffsmethoden funktionieren aber genauso gut: per SMS, über Messenger, am Telefon, per QR-Code oder über eine Einladung aus einem echten Cloud-Dienst.
Technisch ist an alldem wenig bemerkenswert. Eine Phishing-Mail nutzt selbst keine Sicherheitslücke aus oder umgeht keine Barrieren. Sie bittet höflich und jemand sagt ja. Der Absender will am Ende eines von fünf Dingen: eine Zahlung, Zugangsdaten, einen ausgeführten Anhang, eine bestätigte Anmeldeanfrage oder schlicht Vertrauen für den nächsten Schritt.
Der Moment, in dem die Mail gelesen wird
Für Phishing gibt es eine bequeme Erklärung: Wer darauf hereinfällt, hat nicht aufgepasst. Diese Erklärung führt aber in die Irre. Denn sie erklärt nicht, warum auch immer wieder geschulte Anwender auf Phishing-Mails hereinfallen.
Der Grund liegt eher darin, in welchem Zustand solche Nachrichten gelesen werden. Zwischen zwei Terminen, auf dem Handy, als vierzigste Mail an einem Vormittag. In diesem Moment prüft niemand Absenderadressen. In diesem Moment wird sortiert: wichtig, unwichtig, später.
Angreifer bauen ihre Nachrichten für genau diesen Moment. Vier Hebel tauchen dabei immer wieder auf.
Autorität. Die Nachricht kommt scheinbar von der Geschäftsführung, der Bank, einer Behörde oder einem großen Anbieter. Rückfragen fühlen sich unpassend an.
Zeitdruck. Eine Frist, eine drohende Sperrung, eine Zahlung, die heute noch raus muss. Wer unter Druck steht, prüft weniger.
Angst. Besonders wirksam ist die Behauptung, es sei bereits etwas passiert. Eine Mail, die meldet, ein unbekanntes Gerät habe sich in Ihrem Konto angemeldet, erzeugt sofort den Wunsch, das zu klären. Genau dieser Wunsch führt auf die gefälschte Anmeldeseite.
Hilfsbereitschaft. Der Kollege, der dringend eine Datei braucht. Der Kunde, der um eine schnelle Auskunft bittet. Menschen, die ihre Arbeit gut machen wollen, sind hier im Nachteil.
Wie nah solche Nachrichten am Original liegen, zeigt eine gefälschte PayPal-Mail aus unserem eigenen Postfach. Sie warnte vor einer Anmeldung von einem unbekannten Gerät und drängte zum Klick auf einen Button. Weiter unten stand, aus dem Original mitkopiert, der Hinweis, man solle sich im Zweifel direkt über die offizielle Seite anmelden statt Links aus E-Mails zu folgen. Die Angreifer hatten den besten Ratschlag zum Erkennen ihres eigenen Angriffs mitgeliefert, weil sie die ganze Vorlage übernommen hatten.
Ein Geschäft mit Arbeitsteilung
Die Vorstellung vom Einzeltäter im Kapuzenpulli hält sich hartnäckig. Was allerdings dahintersteckt, ähnelt eher einer Branche mit Zulieferern: Eine Gruppe verschickt Phishing-Wellen und verkauft die gesammelten Zugangsdaten weiter, eine andere kauft die Zugänge und entscheidet, ob sich Verschlüsselung, Datendiebstahl oder eine manipulierte Überweisung mehr lohnt. Wer Ihre Mail geschrieben hat, weiß oft gar nicht, was in Ihrem Unternehmen passiert ist.
Dazu kommt ein Markt für Werkzeuge. Fertige Baukästen mit nachgebauten Anmeldeseiten gibt es im Abo, mit Support und Anleitungen. Für „Tycoon2FA“ zum Beispiel 120 US-Dollar für zehn Tage Zugang und 350 US-Dollar für einen Monat. Technische Kenntnisse braucht man dafür kaum.
Der häufigste Einwand kleinerer Unternehmen lautet, bei ihnen gebe es nichts zu holen. Dahinter steckt die Annahme, Angreifer würden sich ihre Ziele aussuchen. Am Anfang tun sie das nicht. Die erste Welle läuft automatisiert, Millionen Adressen, keine Vorauswahl. Erst wenn jemand reagiert, schaut sich ein Mensch an, was er da vor sich hat. Die Auswahl passiert nach dem ersten Klick.
Das BSI beobachtet denselben Effekt und beziffert ihn: Der Lagebericht 2025 sieht den Trend weg von großen, aufwendigen Angriffen und hin zu vielen kleinen, einfach durchzuführenden. Rund 80 Prozent der angezeigten Angriffe, etwa mit Ransomware, richteten sich gegen kleine und mittlere Unternehmen.
Die Formen: Streuung, Zuschnitt und Kanal
Nach Zielrichtung
Massen-Phishing. Millionen gleichlautender Nachrichten an gekaufte oder geleakte Adresslisten. Der Aufhänger trifft auf viele Menschen zufällig zu: ein Paket, eine Kontosperrung, eine Rechnung. Der Angreifer rechnet nicht damit, dass die Mail zu Ihnen passt, sondern dass sie zu genügend Empfängern passt.
Spear-Phishing. Zugeschnitten auf eine Person oder eine kleine Gruppe. Der Angreifer investiert vorher: Website, Impressum, LinkedIn, Pressemitteilungen, Stellenanzeigen. Diese Vorarbeit kostete früher Tage und ist heute mit KI-Sprachmodellen in Minuten erledigt, weshalb sich der Zuschnitt auch bei kleinen Zielen lohnt.
CEO-Fraud. Eine Variante des Spear-Phishings, gerichtet an die Buchhaltung. Im Absenderfeld steht die Chefin, im Text eine vertrauliche und eilige Zahlung, dazu die ausdrückliche Bitte, den normalen Weg abzukürzen. Genau diese Bitte ist das Erkennungsmerkmal.
Nach Kanal
Wie weit das Feld reicht, zeigt der Verizon Data Breach Investigations Report 2026: Bei 41 Prozent der Datenverletzungen mit Social Engineering war noch ein anderer Kanal als die E-Mail beteiligt.
Smishing ist dieselbe Masche per SMS oder Messenger. Auf dem Handydisplay fehlt der Platz, in dem sich eine Absenderadresse oder ein Linkziel prüfen ließe.
Vishing ist der Anruf vom angeblichen Support, von der Bank oder von der eigenen IT. Am Telefon fällt jede Prüfmöglichkeit weg, die eine Mail noch bietet. Stimmen lassen sich inzwischen aus öffentlich verfügbarem Material nachbilden, in einer Videokonferenz gilt dasselbe für das Bild. Eine vertraute Stimme ist kein Echtheitsnachweis mehr.
Der Anruf beim Helpdesk dreht die Richtung. Angerufen wird nicht Ihr Mitarbeiter, sondern Ihre IT oder Ihr Dienstleister. Der Anrufer gibt sich als Kollege aus, schildert ein verlorenes Handy und bittet um ein neues Passwort oder einen neuen zweiten Faktor. Wird beides eingerichtet, hat der Angreifer Zugriff, ohne einzubrechen.
Quishing versteckt den Link in einem QR-Code, auf einem Aushang, einem Aufkleber über einem echten Code oder in einem Anhang. Das Ziel ist vor dem Scannen nicht lesbar, und gescannt wird meist mit dem privaten Handy, das kein Firmenfilter schützt. Diese QR-Codes verstecken sich oft in PDF-Anhängen in Mails. Ein Security-Filter der IT, der auf verdächtige Links in Mails prüft, findet diesen QR-Code (und den damit verbundenen Link) erstmal nicht.
Dazu kommen Köder in Kommentaren und Direktnachrichten sozialer Netzwerke, meist im Namen eines Kundendienstes.
Merkmale, die heute nichts mehr aussagen
Die bekannten Erkennungshilfen aus früheren Schulungen taugen heute nicht mehr. Rechtschreibfehler, eine unpersönliche Anrede, ein fehlendes oder verpixeltes Logo: Alle drei stammen aus einer Zeit, in der gutes Deutsch teuer war. Heute ist es kostenlos. Wer weiter darauf schult, erzeugt falsche Sicherheit, weil eine fehlerfreie und persönlich adressierte Mail dann für echt gehalten wird.
Die Tricks, die das Auge nicht prüfen kann
Ein Teil der Merkmale, an denen sich eine Fälschung erkennen ließe, ist selbst mitgefälscht.
Homoglyphen. Das kyrillische а sieht in fast jeder Schrift aus wie das lateinische a. Dasselbe gilt für е, о, р, с und х. Eine Adresse mit einem einzigen dieser Zeichen ist technisch eine völlig andere Domain als das Original, für das Auge dieselbe. In paypal.com lassen sich zwei Buchstaben austauschen, die technische Schreibweise lautet dann xn--pypal-4ve.com. Diese Form mit dem Vorsatz xn-- heißt Punycode, und jeder Browser entscheidet nach eigenen Regeln, welche der beiden Formen er in der Adresszeile anzeigt. Dieselbe Adresse kann bei zwei Kollegen unterschiedlich aussehen.
Typosquatting und der fehlende Bindestrich. Registrierte Tippfehlervarianten bekannter Marken, gekauft in der Erwartung, dass sich jemand vertippt oder die Abweichung überliest. Die kleinste denkbare Abweichung ist ein weggelassener Bindestrich: Aus digital-ww-sieg.de wird digitalwwsieg.de.
Wie gut das wirkt, hat ein von uns durchgeführter autorisierter Awareness-Test gezeigt. Wir haben eine Mail an die 56 angemeldeten Teilnehmer einer lokalen IT-Veranstaltung versendet. Der Link darin zeigte auf digitalwwsieg.de statt auf die echte Adresse. Die Teilnehmer sollten erneut Name und Mail-Adresse eingeben „aus Gründen der DSGVO“. 40 Empfänger klickten, 35 schickten das Formular ab, im Median 25 Sekunden nach dem ersten Klick. Eine einzige Person fragte nach, ob die Mail echt sei. Das Publikum war digitalaffin. Der Median der Klickraten in Phishing-Simulationen liegt bei 1,4 Prozent, hier klickten 71 Prozent. Den Unterschied macht nicht die Machart der Mail, sondern ihr Zuschnitt.
Subdomain-Täuschung und der Anzeigename. paypal.com.sicherheit-pruefung.xyz enthält den echten Markennamen und ist trotzdem fremd. Auf dem Handy schneidet die Adresszeile lange Adressen ab: Sichtbar bleibt der Anfang mit dem Markennamen, das Ende fällt weg. Ähnlich der Anzeigename einer Mail, frei wählbarer Text ohne jede Prüfung. Dort lässt sich auch eine vollständige Mail-Adresse eintragen, die dann wie die Absenderadresse aussieht, und auf dem Handy sehen Sie standardmäßig nur diesen Namen.
Weiterleitungsketten und versteckter Text. Der Link zeigt auf einen Kurz-URL- oder Tracking-Dienst, der weiterleitet, teils über mehrere Stationen. Sichtbar ist nur die erste Adresse, und die gehört einem seriösen Anbieter. Das Ziel lässt sich außerdem nach dem Versand ändern. Dazu kommen weiße Schrift auf weißem Grund, Zeichen ohne Breite mitten in einem Wort und Text, der nur als Bild vorliegt. Das richtet sich gegen den Filter, nicht gegen Sie: Er soll das Wort „Rechnung“ nicht finden, das der Mensch danach deutlich sieht.
Keines dieser Merkmale lässt sich zuverlässig mit dem Auge prüfen, schon gar nicht zwischen zwei Terminen auf einem Handydisplay. Auffällig wird fast jeder dieser Tricks erst dort, wo eine Maschine vergleicht statt anzusehen: beim Passwortmanager, beim Blick auf das Alter einer Domain, bei der Prüfung der Kopfzeilen.
Vier Handgriffe am Bildschirm
Gegen die Mehrheit der Nachrichten, die in einem Postfach ankommen, helfen wenige Handgriffe und eine Frage.
- Den Anzeigenamen aufklappen. Der Anzeigename ist frei wählbarer Text, die Absenderadresse steht dahinter. In den meisten Programmen genügt ein Klick oder ein Tippen auf den Namen, um sie zu sehen.
- Die Domain von rechts nach links lesen. Maßgeblich ist der Teil unmittelbar links von der Endung, alles davor ist frei wählbar. Bei
paypal.com.sicherheit-pruefung.xyzheißt das: erst.xyz, dannsicherheit-pruefung, und damit ist die Sache entschieden. Daspaypal.comweiter vorne ist Dekoration. - Das Linkziel vor dem Klick ansehen. Am Rechner zeigt der Mauszeiger über einem Link das Ziel in der Statuszeile, auf dem Handy erscheint es beim langen Drücken. Bei Kurz-URLs sehen Sie allerdings nur die erste Station einer Kette.
- Bei Anhängen und Freigabelinks nach dem Anlass fragen. Einladungen zu geteilten Dokumenten kommen oft von einem echten Cloud-Dienst und sind technisch einwandfrei. Prüfbar ist an ihnen nur eines: ob Sie das Dokument erwartet haben.
Wirksamer als alle vier ist der Prüfschritt, der nicht die Nachricht ansieht, sondern den Vorgang dahinter. Habe ich das erwartet? Schreibt mir dieser Absender sonst über dieses Thema? Im Awareness-Test oben kannte der Veranstalter die abgefragten Angaben längst. Die abweichende Domain zu bemerken war schwieriger, die Sinnlosigkeit der Anfrage zu erkennen nicht.
Der Verdachtsfall: die ersten Minuten
Die Regel gilt unabhängig davon, ob eine IT-Abteilung im Rücken steht oder niemand greifbar ist.
- Nicht klicken, nicht antworten, keine Daten eingeben.
- Bei Zahlungen, Zugängen oder geänderten Bankverbindungen beim Absender nachfragen, über die Telefonnummer aus den eigenen Unterlagen. Die Nummer in der Mail und die Antwortfunktion führen im Zweifel zum Angreifer zurück. Das kostet zwei Minuten und funktioniert auch dann, wenn die Nachricht technisch perfekt gemacht ist.
- Im Zweifel prüfen lassen, statt zu raten.
„Ich habe schon geklickt“
Dann entscheiden die nächsten Minuten, nicht die Frage nach dem Verschulden.
- Melden, an die im Betrieb benannte Stelle, sofort und unabhängig von der Uhrzeit. Wer meldet, hat richtig gehandelt.
- Netzwerkverbindung trennen, das Gerät aber nicht ausschalten. Ausschalten vernichtet Spuren, ein Verbleib im Netz verschafft dem Angreifer Zeit.
- Zugangsdaten eingegeben? Passwort für den betroffenen Dienst von einem anderen Gerät aus ändern, und überall dort, wo dasselbe Passwort liegt. Zahlung ausgelöst? Sofort die Bank anrufen, bei schneller Meldung lassen sich Überweisungen manchmal noch stoppen.
- Im Postfach nach Weiterleitungsregeln sehen. Eine Regel, die eingehende Post nach außen schickt, ist einer der ersten Schritte nach einer Kontoübernahme.
- Cyberversicherung anrufen. Die Anzeige ist meist unverzüglich fällig, und viele Verträge schreiben eigene Forensiker vor. Wer vorher selbst bereinigt, riskiert den Anspruch.
- Personenbezogene Daten betroffen? Dann läuft die Frist aus Art. 33 DSGVO ab Kenntnis, 72 Stunden. Auch ohne Meldepflicht ist der Vorfall zu dokumentieren. Anzeige erstatten Unternehmen bei der Zentralen Ansprechstelle Cybercrime des Landeskriminalamts, erreichbar über polizei.de/zac.
Nicht tun: die Mail löschen, sie ist der Beleg. Den Vorgang unter Kollegen klären, ohne die benannte Stelle einzuschalten. Warten, ob sich etwas von selbst löst.
Der zweite Blick: check.phishing-audit.de
Trotzdem bleiben manchmal Restzweifel. Dafür haben wir check.phishing-audit.de gebaut: eine Prüfung verdächtiger Mails aus Heuristik und KI, die ein eindeutiges Ergebnis liefert und das kostenlos.
Das Tool funktioniert ganz einfach ohne Einrichtung. Sie leiten die verdächtige Mail an check@phishing-audit.de weiter und bekommen innerhalb weniger Minuten eine Antwort-Mail mit einer Ampel: Rot heißt Verdacht auf Phishing, Gelb Vorsicht geboten oder unklar, Grün keine Hinweise auf einen Angriff. In der Antwort steht ebenso eine detaillierte Bewertung.
Leiten Sie die Mail als .eml-Anhang weiter, nicht als Text. Davon hängt ab, wie viel die Analyse zu sehen bekommt. Nur so bleiben die technischen Kopfzeilen erhalten, also SPF, DKIM, DMARC und die Stationen des Transports, und die sind bei einer verdächtigen Mail oft aussagekräftiger als der Text. Bei einer Weiterleitung im Text gehen sie verloren.
Wer keine Mail schicken will, lädt die Datei direkt auf der Website hoch oder fügt den Mailtext (den vollständigen Quelltext der Mail) dort ein. Auf unserer Tool-Website finden sich für alle Varianten passende Anleitungen.
Für eigene Software und für KI-Agenten
Wir haben das Tool aber noch weiter gedacht. Dieselbe Analyse gibt es über eine REST-Schnittstelle. Einfach die E-Mail per Schnittstelle einreichen und eine JSON-Antwort mit ellen Daten zurück erhalten. Damit lässt sich eine solche Prüfung perfekt in fast jedes System integrieren oder per KI-Agent nutzen.
Zugang zu Schnittstelle richten wir auf Anfrage ein. Melden Sie sich gerne über kontakt@webwisser.de.
Das Ergebnis ist ein KI-unterstütze Analyse, aber kein Freibrief. Ein grünes Ergebnis führt nicht unweigerlich dazu, dass die Mail komplett unkritisch betrachtet werden sollte. Wenn der Vorgang trotzdem suspekt erscheint, ist trotzdem weiterhin Vorsicht angeraten.
Verdächtige Mail im Postfach? Einfach auf unserer Website hochladen oder als Anhang an check@phishing-audit.de weiterleiten. Sie erhalten sofort ein Ampel-Ergebnis mit Begründung. Kostenlos, ohne Konto, ohne Einrichtung.
Weitere Maßnahmen zum Schutz gegen Phishing
Erkennen ist die eine Hälfte. Ebenso dazu gehört jedoch auch, entsprechende Einstellungen vorzunehmen, die auch noch greifen, wenn jemand auf die perfekte Fälschung hereinfällt.
Technik: Eine Anmeldung, deren Schlüssel an die Adresse der echten Website gebunden ist (Passkey oder Sicherheitsstick), verweigert auf einer nachgebauten Seite den Dienst. Ein Code aus einer App oder per SMS lässt sich dagegen weiterreichen. Mails von außerhalb sichtbar zu kennzeichnen ist gegen eine angebliche Anweisung der Geschäftsführung die wirksamste einzelne Einstellung. Dazu kommen ein Passwortmanager, eine Sperre für Weiterleitungen nach außen und getrennte Konten für Verwaltungsaufgaben.
Prozess: Zahlungen ab einer selbst gewählten Höhe von zwei Personen freigeben lassen, Änderungen einer Bankverbindung immer, unabhängig vom Betrag. Rückfragen ausschließlich über Nummern aus den eigenen Stammdaten. Eine Regel dafür, wer ein Passwort oder einen zweiten Faktor neu ausstellen darf.
Ein Punkt betrifft alle mit eigener Domain und Website und wird selten mitgedacht. Ohne DMARC-Eintrag kann jeder im Namen Ihrer Domain schreiben, Ihre Kunden bekommen dann gefälschte Rechnungen mit Ihrem Absender. Und eine gehackte Website wird zum Hoster für Phishing-Seiten oder zur Versandmaschine über das eigene Kontaktformular, mit Sperrlisten und Browser-Warnseiten als Folge. Mehr dazu: Warum wird meine Seite gehackt? und Welche Folgen hat ein Hackerangriff für meine Seite?
Zum Weiterlesen: das Whitepaper „Chefsache Phishing“
Wer das Thema aus der Entscheiderperspektive braucht, mit Haftung, Meldepflichten, DMARC-Weg und einer Selbsteinschätzung über 30 Fragen, findet das auf 56 Seiten in unserem Whitepaper „Chefsache Phishing“. Sie erhalten es als Dank für die Anmeldung zu unserem Newsletter auf check.phishing-audit.de: Nach der Bestätigung landet es in wenigen Minuten in Ihrem Postfach.