Phishing-Mails erkennen

Phishing-Mails erkennen: Warum alte Tipps nicht mehr reichen

Phishing ist der Versuch, über gefälschte Nachrichten an Zugangsdaten, Zahlungen oder Zugriff auf Systeme zu kommen. Das BKA nennt Phishing im Bundeslagebild Cybercrime 2025 einen weiterhin beliebten Eintrittsvektor. Laut BKA verzeichnete die Verbraucherzentrale NRW 2025 in Deutschland 382.470 Phishing-Mails, rund 10 Prozent weniger als 2024.

Lange galt: holpriges Deutsch, falsche Umlaute, „Sehr geehrter Kunde“. Das BSI hält 2024 fest, dass Sprachmodelle auch ohne Fremdsprachenkenntnisse überzeugende, personalisierte Phishing-Nachrichten erzeugen. Die Prüfung auf Rechtschreibfehler und unkonventionellen Sprachgebrauch reicht deshalb nicht mehr aus.

In der KI-Sicherheitsstudie 2026 von TÜV-Verband und BSI berichteten 17 Prozent der befragten Unternehmen von KI-bezogenen Angriffen oder Betrugsversuchen. Von diesen nannten 90 Prozent Phishing-Mails als Angriffsform.

Woran erkennen Sie Phishing-Mails?

Das BSI nennt Merkmale, die einzeln oder gemeinsam auftreten. Trifft mindestens eines zu, sollten Sie misstrauisch werden. Auch ein gut formulierter Text gehört laut BSI ausdrücklich nicht zu den Entwarnungen.

• Druck: Sie sollen sofort handeln, sonst gehen angeblich Daten verloren.
• Drohung: Kontosperrung, Mahnung oder Ärger mit Behörden bei ausbleibender Reaktion.
• Abfrage sensibler Daten wie Passwort, PIN, TAN oder Kreditkartennummer.
• Der Absender wirkt vertraut, das Anliegen passt aber nicht zu ihm.
• Links oder Formulare, deren Ziel nicht zur Organisation gehört.
• Unerwartete Anhänge, die beim Öffnen Schadsoftware installieren können.

Absender, Links und Anhänge schnell prüfen

Für den Alltag reicht meist eine kurze Prüfung. Das BSI empfiehlt den Schnellcheck aus Absender, Betreff und Anhang: Ergibt sich kein stimmiges Bild, löschen Sie die Mail besser ungeöffnet.

1. Absender prüfen

   Hinter dem angezeigten Namen steckt oft eine andere Adresse. Fahren Sie mit dem Mauszeiger über die Absenderzeile, ohne zu klicken, und lesen Sie die Domain nach dem @ genau.

2. Linkziel prüfen

   Zeigen Sie mit der Maus auf den Link und lesen Sie die Adresse. Zusätze, Zahlen oder Kurz-URLs sind ein Warnzeichen. Rufen Sie bekannte Seiten lieber selbst über Favoriten auf.

3. Anhang und Anliegen prüfen

   Haben Sie diesen Anhang erwartet? Passt das Anliegen zu dem, was Sie mit dem Absender sonst austauschen? Wenn nicht, nicht öffnen.

4. Zweiten Kanal nutzen

   Fragen Sie beim angeblichen Absender über eine Nummer oder App nach, die Sie selbst kennen, nie über Kontaktdaten aus der Mail.

„https://“ und ein Schloss-Symbol sind laut BSI keine Entwarnung mehr: Auch Betrüger nutzen Zertifikate. Verdächtig ist außerdem, wenn eine Seite nach dem Login bekannte Daten wie Name, Adresse oder IBAN erneut abfragt.

KI-Phishing: Was sich durch generative KI ändert

Das BKA beschreibt im Bundeslagebild Cybercrime 2025, was KI beim Phishing verschiebt: Phishing-Seiten und -Mails entstehen mit deutlich weniger Aufwand und in größerem Umfang. Die Texte sind fehlerfrei, lassen sich mühelos übersetzen und imitieren Darstellung und Stil bekannter Unternehmen. Durch automatisierte Recherche werden sie besser auf Empfänger zugeschnitten. Das BKA folgert: „Insgesamt gibt es dadurch weniger Anhaltspunkte für Zweifel an der Authentizität.“

Das BSI warnt im Juni 2026, dass Angreifer öffentliche Informationen von Unternehmenswebsites und sozialen Medien für personalisierte Kampagnen nutzen und KI ihren Aufwand dabei deutlich senkt. Damit verschwimmt die Grenze zwischen Massen-Phishing und gezieltem Spear-Phishing, das sich auf Ihre Projekte, Kollegen oder Lieferanten bezieht.

Für die Praxis heißt das: Prüfen Sie das Anliegen und den Weg der Nachricht. Einen Überblick über weitere Maschen mit KI gibt die Seite zu KI-Betrug. Eine perfekt formulierte Mail mit Bezug auf ein echtes Projekt kann genauso gefälscht sein. Geht es um Geld, wird daraus schnell ein CEO-Fraud, bei dem sich Täter als Geschäftsführung ausgeben.

Phishing per Mail, SMS, QR-Code und Telefon

Phishing kommt nicht nur per Mail. Das FBI definiert Phishing ausdrücklich über Mails, Textnachrichten und Anrufe und zählte 2025 dazu 191.561 Beschwerden, mehr als in jeder anderen Kategorie. Europol beschreibt im IOCTA 2026 Phishing und Smishing als direkte Reaktion von Kriminellen auf die Zwei-Faktor-Authentisierung.

Das BSI warnte im April 2026 vor einer Welle von Quishing mit KI-generierten Nachrichten, die besonders Kunden deutscher Banken trifft. Scannen Sie QR-Codes aus Mails nicht, auch wenn die Nachricht seriös wirkt. Wie Anrufe mit nachgebauten Stimmen ablaufen, erklärt die Seite Voice Cloning.

Was Ihr Team konkret tut

Einzelne Mitarbeitende werden nicht jede Mail durchschauen. Wirksam sind Regeln, die auch dann greifen, wenn jemand einmal klickt. Phishing ist eine Form des Social Engineering, und die vier Regeln der Site passen genau darauf. Wie Sie sie im Team verankern, zeigt die Seite zur Security-Awareness-Schulung.

1. Daten schützen

   Passwörter, TAN und Codes gibt niemand über einen Link aus einer Mail ein. Seriöse Anbieter fragen laut BSI keine Zugangsdaten per Mail ab.

2. Zweiten Kanal nutzen

   Bei jeder ungewöhnlichen Bitte: Absender über eine bekannte Nummer, die offizielle App oder die selbst eingetippte Website prüfen.

3. Ergebnisse prüfen

   Auf der Login-Seite die Adresszeile lesen. Fragt eine Seite nach dem Login erneut nach Name, Adresse oder IBAN, abbrechen.

4. Vorfälle melden

   Verdächtige Mails sofort an die IT weiterleiten, auch nach einem Klick. Wer schnell meldet, verkürzt die Zeit, in der Angreifer ein Konto nutzen können.

Technisch hilft eine Anmeldung, die sich nicht abphishen lässt. Das BSI beschreibt Passkeys als „immun gegen die breite Masse bekannter Phishing-Angriffe“, weil der geheime Schlüssel auch auf einer gefälschten Login-Seite nie preisgegeben wird.

Was tun nach dem Klick auf einen Phishing-Link?

Nach einem Klick zählt Zeit, denn jede Minute mit gültigen Zugangsdaten nutzt den Angreifern. Die Reihenfolge stammt aus Empfehlungen von BSI und LKA Baden-Württemberg.

1. Verbindung beenden

   Seite sofort schließen, sobald Ihnen etwas seltsam vorkommt, keine weiteren Daten eingeben und die IT informieren, auch wenn ein Anhang geöffnet wurde.

2. Zugang sichern

   Passwort über den bekannten Weg ändern und betroffene Konten sperren lassen, wenn Zugangsdaten eingegeben wurden.

3. Postfach prüfen

   Die IT sucht nach unbekannten Weiterleitungs- und Filterregeln sowie Anmeldungen von fremden IP-Adressen.

4. Bank und Polizei

   Bei Zahlungs- oder Bankdaten sofort die Bank kontaktieren und Anzeige erstatten, für Unternehmen bei der Zentralen Ansprechstelle Cybercrime.

Neue Phishing-Mails nimmt die Verbraucherzentrale NRW unter phishing@verbraucherzentrale.nrw entgegen und veröffentlicht aktuelle Wellen im Phishing-Radar. Wenn Sie Ihr Team auf diese Abläufe vorbereiten wollen: Training für Ihr Team anfragen.

Häufige Fragen