Phishing erkennen: Woran Sie gefälschte E-Mails entlarven

Vergessen Sie das Klischee von der Phishing-Mail voller Rechtschreibfehler. Moderne Betrugsmails sind in perfektem Deutsch verfasst, tragen das echte Logo Ihrer Bank oder Ihres Paketdienstes und kommen zu plausiblen Zeiten. Mit KI-Werkzeugen erstellt ein Angreifer heute in Minuten eine Mail, die von der echten kaum zu unterscheiden ist — und KMU sind ein bevorzugtes Ziel, weil dort selten jemand hauptamtlich auf die IT-Sicherheit schaut. Woran erkennt man den Betrug trotzdem? An den Stellen, die der Angreifer nicht fälschen kann.

Die sieben Merkmale, die zählen

1. Die echte Absender-Adresse (nicht der Anzeigename)

Der Anzeigename ist frei wählbar — „UBS Kundendienst" kann jeder eintragen. Entscheidend ist die Adresse dahinter: Tippen oder klicken Sie auf den Absendernamen, um sie einzublenden. ubs-sicherheit-login.com ist nicht ubs.com. Achten Sie auf die Domain direkt vor dem letzten Punkt: Bei „login.ubs.com.sicherheit-check.net" ist die echte Domain „sicherheit-check.net".

2. Das Link-Ziel (vor dem Klick prüfen)

Fahren Sie am Computer mit der Maus über den Link, ohne zu klicken — unten links im Fenster erscheint das echte Ziel. Auf dem Handy: Link gedrückt halten statt antippen. Steht dort etwas anderes als erwartet, ist der Fall klar.

3. Künstlicher Zeitdruck

„Ihr Konto wird in 24 Stunden gesperrt", „Letzte Mahnung", „Sofortige Bestätigung erforderlich" — Dringlichkeit ist das wichtigste Werkzeug der Angreifer, weil sie das Nachdenken ausschalten soll. Seriöse Firmen drohen nicht per Mail mit Fristen von Stunden.

4. Die Aufforderung, Zugangsdaten oder Zahlungen zu bestätigen

Ihre Bank, Microsoft, die Post — niemand Seriöses fragt per E-Mail-Link nach Passwort, Kreditkarte oder Codes. Grundregel: Nie über den Mail-Link anmelden. Wenn Sie unsicher sind, tippen Sie die Adresse selbst im Browser ein oder nutzen Sie die offizielle App.

5. Unerwartete Anhänge

Eine Rechnung, die Sie nicht zuordnen können, ein „verpasstes Fax", eine Bewerbung als ZIP- oder HTML-Datei: Anhänge, die Sie nicht erwartet haben, öffnen Sie nicht — auch nicht „nur kurz zum Nachschauen". Im Zweifel beim Absender auf einem anderen Weg nachfragen (Telefon, neue Mail an die bekannte Adresse — nicht auf „Antworten" drücken).

6. Abweichungen vom Gewohnten

Die „Chefin" schreibt plötzlich von einer Gmail-Adresse, der Lieferant kündigt neue Bankverbindungen an, der Ton ist ungewohnt förmlich oder ungewohnt locker. Genau solche Bruchstellen sind oft das einzige Signal beim sogenannten CEO-Betrug: Angreifer geben sich als Geschäftsleitung aus und drängen — gern am Freitagnachmittag — auf eine „dringende, vertrauliche Zahlung". Bei jeder Zahlungsanweisung und jeder Änderung von Bankdaten gilt: telefonisch rückbestätigen, über die Ihnen bekannte Nummer.

7. QR-Codes und Login-Bestätigungen

Zwei neuere Maschen: QR-Code-Phishing (der Code in der Mail oder auf dem Brief führt auf eine Fake-Login-Seite — QR-Codes umgehen viele Mail-Filter) und MFA-Ermüdung (Sie erhalten wiederholt Anmelde-Push-Meldungen, bis Sie entnervt bestätigen). Eine Anmelde-Bestätigung, die Sie nicht selbst ausgelöst haben, lehnen Sie immer ab — und ändern das Passwort.

Geklickt — was jetzt?

Es passiert auch Vorsichtigen. Entscheidend sind die ersten Minuten:

1. Passwort sofort ändern — zuerst beim betroffenen Konto, dann überall, wo dasselbe Passwort im Einsatz ist.
2. IT-Verantwortliche informieren — lieber einmal zu viel. Wer Fehler meldet, schützt den Betrieb; wer sie verschweigt, gefährdet ihn.
3. Bank kontaktieren, falls Zahlungsdaten im Spiel waren.
4. Vorfall melden: In der Schweiz beim Bundesamt für Cybersicherheit (BACS) über antiphishing.ch bzw. das Meldeformular des BACS — das schützt auch andere.

Drei Massnahmen, die Ihr KMU wirklich schützen

• Multi-Faktor-Authentifizierung (MFA) überall. Selbst ein gestohlenes Passwort bleibt damit weitgehend nutzlos. Die wirksamste Einzelmassnahme überhaupt — und in Microsoft 365 ohne Zusatzkosten aktivierbar.
• Kurze, regelmässige Sensibilisierung. Einmal pro Jahr eine Viertelstunde mit aktuellen Beispielen bringt mehr als ein dickes Merkblatt. Die beste Firewall sitzt vor dem Bildschirm.
• Technische Grundhygiene: aktueller Mail-Filter, Updates, Endpoint-Schutz und ein getestetes Backup — für den Fall, dass doch einmal etwas durchkommt.

Der wichtigste Rat zum Schluss: Schaffen Sie eine Kultur, in der Nachfragen normal ist. Eine Mitarbeiterin, die lieber einmal zu oft fragt „Ist die Mail echt?", ist kein Sicherheitsrisiko — sie ist Ihre beste Verteidigung.

Quellen

• Bundesamt für Cybersicherheit (BACS): Phishing
• antiphishing.ch — Phishing-Meldestelle des Bundes