E-Mail sicher nutzen: Phishing erkennen

Wer dein E-Mail-Passwort kennt, braucht kein einziges anderes Passwort von dir. Er klickt bei deiner Bank, beim Onlineshop und im sozialen Netzwerk einfach auf „Passwort vergessen“, lässt sich den Link ins gekaperte Postfach schicken und übernimmt Zugang für Zugang. Genau deshalb lohnt es sich, ausgerechnet dieses eine Konto besser abzusichern als jedes andere. Deine E-Mail sicher nutzen heißt vor allem, diesen Generalschlüssel zu schützen, und genau darauf zielen so viele Betrugsmails.

Warum das E-Mail-Konto so wichtig ist

Fast jeder Dienst, bei dem du dich anmeldest, hängt an deiner E-Mail-Adresse. Bestellbestätigungen, Rechnungen, Zugangsdaten, Codes zum Zurücksetzen, all das landet in deinem Postfach. Damit ist die Mailbox kein einfacher Briefkasten, sondern die zentrale Schaltstelle für dein ganzes digitales Leben.

Ein Angreifer, der Zugriff hat, sieht nicht nur alte Nachrichten. Er sieht, bei welchen Banken und Shops du Kunde bist, kann Passwörter zurücksetzen und richtet oft eine unauffällige Weiterleitung ein, damit du Warnmails gar nicht mehr bemerkst. Wenn ein Konto der Schlüssel zu allen anderen ist, dann verdient es auch den besten Schutz.

Dein Konto in drei Schritten absichern

Bevor es um das Erkennen von Betrug geht, kommt die Grundabsicherung. Drei Schritte machen den größten Unterschied.

Ein starkes, einzigartiges Passwort. Das Postfach-Passwort darf nirgendwo sonst genutzt werden, sonst reicht ein einziges Datenleck bei einem anderen Dienst. Ein Passwort-Manager erzeugt und merkt sich lange Zufallspasswörter für dich, du musst dir nur noch ein einziges Hauptpasswort merken.
Zwei-Faktor-Authentifizierung aktivieren. Damit reicht das Passwort allein nicht mehr aus, es kommt ein zweiter Faktor dazu, etwa ein Code aus einer App. Selbst wenn dein Passwort in falsche Hände gerät, bleibt die Tür zu. Wie du das einrichtest, steht ausführlich im Artikel zur Zwei-Faktor-Authentifizierung.
Wiederherstellungsoptionen prüfen. Schau nach, welche Zweit-Adresse und welche Handynummer als Rückweg hinterlegt sind. Veraltete Einträge sind ein Einfallstor. Notiere dir auch die Backup-Codes, die dir dein Anbieter beim Einrichten von 2FA anbietet, und leg sie an einen sicheren Ort.

Diese drei Punkte sind an einem Nachmittag erledigt und halten den Großteil der automatisierten Angriffe zuverlässig ab.

Phishing erkennen: die verräterischen Merkmale

Phishing bedeutet, dass dich jemand mit einer gefälschten Nachricht dazu bringen will, Zugangsdaten preiszugeben oder Schadsoftware zu öffnen. Diese Merkmale verraten die meisten Versuche:

Die Absenderadresse passt nicht. Der angezeigte Name lautet vielleicht „Deine Bank“, die echte Adresse dahinter aber service@bank-sicherheit-check.info. Tippe auf den Namen oder fahre mit der Maus darüber, dann siehst du die tatsächliche Adresse.

Das Linkziel weicht ab. Fahre am Rechner mit dem Mauszeiger über einen Link, ohne zu klicken. Unten im Fenster erscheint die echte Zieladresse. Steht dort eine kryptische oder fremde Domain, gehört sie nicht zur genannten Firma.

Es wird Druck aufgebaut. „Ihr Konto wird in 24 Stunden gesperrt“, „letzte Mahnung“, „ungewöhnliche Aktivität festgestellt“. Dringlichkeit soll dein Nachdenken ausschalten. Seriöse Anbieter setzen dich nicht mit Countdown unter Zeitdruck.

Du sollst Daten direkt eingeben oder etwas öffnen. Echte Banken und Behörden fragen niemals per Mail nach Passwort, PIN oder TAN. Auch ein unerwarteter Anhang oder eine Aufforderung, ein Formular auszufüllen, ist ein Warnsignal.

Die goldene Regel bei allen vieren: Klick nicht auf den Link in der Mail. Öffne stattdessen die App des Anbieters oder tippe die Adresse von Hand in den Browser. So landest du sicher auf der echten Seite und nie auf der Fälschung.

KI-Phishing: warum Betrugsmails immer besser werden

Der alte Ratschlag, man erkenne Phishing an Rechtschreibfehlern und holprigem Deutsch, ist überholt. Mit denselben KI-Sprachmodellen, die dir beim Formulieren helfen, schreiben Betrüger heute fehlerfreie, höfliche und überzeugende Nachrichten. Sie passen den Ton an eine Bank an, an einen Paketdienst oder an deinen Chef.

Dazu kommt gezielte Personalisierung. Wenn Daten aus früheren Lecks kursieren, kann eine Mail deinen echten Namen, deinen Wohnort oder eine kürzlich getätigte Bestellung erwähnen. Das wirkt vertraut und senkt die Wachsamkeit. In der schärfsten Form imitiert eine geklonte Stimme am Telefon sogar einen Kollegen oder Angehörigen.

Was hilft, ist eine Verschiebung des Prüfblicks. Verlass dich nicht mehr auf Sprachqualität, sondern auf Nachprüfbares: Wer ist der echte Absender, wohin führt der Link wirklich, und ist die Aufforderung an sich plausibel. Bei jeder Nachricht, die zu Eile drängt oder nach Daten fragt, wechselst du den Kanal. Ruf über die dir bekannte Nummer an oder öffne das Konto direkt, statt auf die Nachricht zu antworten.

Gefälschte Paket- und Bank-Nachrichten

Zwei Maschen begegnen dir besonders oft. Die erste tarnt sich als Paketdienst. „Ihr Paket konnte nicht zugestellt werden, bitte bestätigen Sie die Adresse“ oder „Zollgebühr offen, jetzt begleichen“. Solche Nachrichten kommen per Mail und per SMS und führen auf eine nachgebaute Seite, die nach Adresse und Kartendaten fragt. Verfolge Sendungen nur über die offizielle App oder Website des Dienstes und tippe deine Sendungsnummer dort selbst ein.

Die zweite gibt sich als deine Bank aus. „Neues Gerät angemeldet“, „Konto vorübergehend gesperrt“, „bitte verifizieren Sie Ihre Zugangsdaten“. Oft steckt darin ein Link zu einer täuschend echten Anmeldeseite. Keine Bank braucht, dass du ihr per Mail deine Zugangsdaten oder eine TAN übermittelst. Im Zweifel schließ die Nachricht, öffne die Banking-App und sieh selbst nach, ob dort etwas anliegt.

Was tun, wenn du auf einen Link geklickt hast

Erst einmal ruhig bleiben, ein Klick allein ist noch keine Katastrophe. Entscheidend ist, was danach passiert ist.

Hast du nur geklickt und nichts eingegeben, schließ die Seite und gib keine Daten ein. Prüfe zur Sicherheit dein Gerät mit dem installierten Virenschutz.

Hast du auf der gefälschten Seite dein Passwort eingetippt, zählt jede Minute. Ändere das Passwort sofort, am besten von einem anderen, sauberen Gerät aus. Aktiviere die Zwei-Faktor-Authentifizierung, falls noch nicht geschehen. Melde dann alle aktiven Sitzungen ab, das geht in den Sicherheitseinstellungen der meisten Anbieter mit einem Klick. Kontrolliere anschließend, ob heimlich eine Weiterleitung oder eine neue Filterregel eingerichtet wurde, das ist der häufigste Trick, um dauerhaft mitzulesen.

Ging es um Bankdaten oder eine Kartennummer, ruf deine Bank über die Nummer auf der Rückseite deiner Karte an und lass Karte oder Konto sperren. Behalte deine Umsätze in den nächsten Wochen im Blick. Hast du dasselbe Passwort noch woanders benutzt, ändere es auch dort und informiere im Ernstfall Kontakte, in deren Namen nun Nachrichten verschickt werden könnten.

Sichere E-Mail-Anbieter und Datenleck-Check

Anbieter unterscheiden sich, wie ernst sie Sicherheit und Datenschutz nehmen. Achte darauf, dass Zwei-Faktor-Authentifizierung angeboten wird, dass die Verbindung verschlüsselt läuft und dass der Serverstandort und das Geschäftsmodell zu deinem Bedürfnis passen. Anbieter mit gutem Ruf in diesem Bereich sind etwa Posteo, mailbox.org, Tuta und Proton Mail. Ein kostenloses Konto bei einem großen Anbieter ist ebenfalls in Ordnung, solange du die Sicherheitsfunktionen konsequent nutzt.

Ob deine Adresse schon einmal von einem Datenleck betroffen war, prüfst du bei Have I Been Pwned. Dort gibst du deine E-Mail-Adresse ein und siehst, in welchen bekannten Lecks sie auftaucht. Ist sie dabei, ändere die betroffenen Passwörter. Verlässliche und werbefreie Hinweise zu aktuellen Betrugswellen sammelt außerdem das Bundesamt für Sicherheit in der Informationstechnik, und der Phishing-Radar der Verbraucherzentrale beschreibt frische Maschen an konkreten Beispielen.

Zum Schluss noch ein Wort zu öffentlichem WLAN, etwa im Café oder am Bahnhof. Dein Postfach solltest du dort nur über eine verschlüsselte Verbindung öffnen, ein VPN schirmt deinen Datenverkehr in solchen Netzen zusätzlich ab. Mit starkem Passwort, Zwei-Faktor und einem geschulten Blick für die Merkmale von Phishing ist dein Konto besser geschützt als das der allermeisten Nutzer.