Gefälschte Absender erkennen: so prüfst du, wer eine Mail geschickt hat

Viele Betrugsmails wirken glaubwürdig, weil oben ein vertrauter Name steht: die eigene Bank, ein Paketdienst, die Chefin oder ein Freund. Das BSI stellt klar, dass eine E-Mail nicht immer von der Adresse kommt, die im Absenderfeld steht. Die Angabe lässt sich fälschen ^[1]. Die Checkliste von BSI und Polizei weist darauf hin, dass Kriminelle mitunter die Absenderadresse fälschen ^[10].

Was beim Absender gefälscht sein kann

Gefälscht sein kann der angezeigte Name, die Adresse selbst oder nur ihr Aussehen. Manchmal ist das Konto sogar echt und wurde von Tätern übernommen ^{[2, 4, 6]}.

Der angezeigte Name

Mailprogramme zeigen oft nur einen Namen statt der Adresse. Bei HTML-Mails verbirgt sich hinter dem angezeigten Absender oft eine ganz andere Adresse ^[4]. Die Polizei rät deshalb, stets die E-Mail-Adresse hinter dem Anzeigenamen anzusehen ^[5].

Die Adresse selbst

Auch die vollständige Adresse kann gefälscht sein. Das BSI beschreibt, dass fehlerhaft eingestellte Mailserver beliebige Absenderadressen verarbeiten; so lassen sich Mails mit gefälschtem Absender verschicken. Ein korrekt eingestellter Server versendet und empfängt nur Mails aus einem festgelegten Adressbereich ^[2]. Wer Viren und Würmer per Mail verbreiten will, versteckt sich nach dem BSI gern hinter seriös klingenden Absenderadressen ^[2]. Würmer nutzen dafür Adressen aus Kontaktordnern und dem Browser-Cache infizierter Rechner, um sich selbst weiterzuschicken ^[2].

Ähnlich aussehende Adressen

Oft ist die Adresse echt, gehört aber nicht dem Unternehmen, das sie vorgibt. Das BSI rät, vor allem auf die Domain hinter dem @-Zeichen zu achten. Ungewöhnliche Wortkombinationen in der Adresse, etwa mit "marketing" oder "management", sind ein Warnsignal ^[3]. Bei Links gilt Ähnliches: Ungewöhnliche Zahlen oder Zeichen im Namen der Institution sollten dich stutzig machen ^[4].

Ein echtes, aber gekapertes Konto

Am schwersten zu erkennen sind Mails aus einem echten Postfach, das Täter übernommen haben. Dann stimmt die Adresse, und auch der Header kann unauffällig sein ^[6]. Die Schadsoftware Emotet etwa liest Kontaktbeziehungen und E-Mail-Inhalte aus infizierten Postfächern aus. Empfänger bekommen dann Mails mit korrekten Namen und Adressen von Absender und Empfänger, mit authentisch aussehenden, aber erfundenen Inhalten von Kontakten, mit denen sie kürzlich zu tun hatten ^[8]. Gerade weil sie so glaubwürdig wirken, verleiten solche Mails nach dem BSI zum unbedachten Öffnen des Anhangs oder Links ^[8].

Gefälschte Rufnummern

Dasselbe Prinzip gibt es am Telefon. Beim Call-ID-Spoofing ist die angezeigte Nummer nach dem BSI entweder bekannt oder leicht verlängert oder verändert. Wer die veränderte Nummer zurückruft, landet bei der echten Nummer, ohne den Betrug zu bemerken ^[2]. Seit dem 01.12.2022 müssen Anrufe abgebrochen werden, bei denen etwa 110 oder 112 als Absender übermittelt wird. Bei Anrufen aus ausländischen Netzen müssen deutsche Rufnummern seitdem unterdrückt werden; ausgenommen sind deutsche Mobilfunknummern von Kundinnen und Kunden, die im Ausland roamen ^[14]. Solche Anrufe meldest du der Bundesnetzagentur, wie unter Spam und Phishing melden beschrieben.

Die Adresse hinter dem Namen prüfen

Für den ersten Blick brauchst du keine Technik. Wird nur ein Name angezeigt, fährst du mit der Maus über die Absenderzeile, ohne zu klicken, dann erscheint die Adresse ^{[1, 4]}. Alternativ öffnest du den Quelltext der Mail ^[1]. Dann prüfst du:

• Passt die Domain hinter dem @ zum Unternehmen, das angeblich schreibt ^[3]?
• Wirkt der Absendername kryptisch oder ungewöhnlich? Das BSI zählt das zu den Merkmalen von Spam ^[11].
• Steht im Feld "An" deine eigene Adresse? Wenn nicht, ist das laut Verbraucherzentrale ein Warnsignal ^[7].
• Passt das Anliegen zum Absender? Ein scheinbar bekannter Absender mit ungewöhnlichem Anliegen ist für das BSI ein Grund zum Misstrauen ^[4].

Ist die Adresse eindeutig fremd, ist der Fall erledigt: Die Mail stammt nicht vom angegebenen Absender. Sieht die Adresse dagegen richtig aus, beweist das noch keine Echtheit, denn auch eine korrekt wirkende Adresse kann gefälscht sein ^[7]. Absenderangaben lassen sich fälschen; als fälschungssicher nennt die Verbraucherzentrale nur die IP-Adresse im Mail-Header ^[7].

Im Header nachsehen

Der Header ist der technische Teil einer Mail, den Programme normalerweise ausblenden. Die Verbraucherzentrale erklärt, wie man ihn liest ^[6]. In Outlook öffnest du die Mail per Doppelklick und klickst auf "Datei", "Informationen" und "Eigenschaften". Bei GMX wählst du die Mail aus, öffnest das Menü mit den drei Punkten und dann "Mehr Informationen". Auf dem Smartphone lässt sich der Header oft nicht anzeigen; nimm dann das Mailprogramm am Rechner ^[6].

Eine kryptische Adresse im Return-Path ist ein Warnsignal für Phishing; Kriminelle können grundsätzlich aber auch falsche Zeilen in den Header einbauen ^[6]. Die Received-Zeilen liest du von unten nach oben ^[6]. Ob Servername und IP-Adresse zusammenpassen, prüfst du mit dem Befehl nslookup, unter Windows über die Eingabeaufforderung, oder mit einer Abfrage im Web. Weicht der Name ab, spricht das für eine Phishing-Mail ^[6]. Die Verbraucherzentrale betont, dass schon eine einzige Unstimmigkeit für Betrug spricht, während sich Echtheit deutlich schwerer belegen lässt ^[6]. Das BSI ergänzt, dass Angreifern mitunter selbst die Manipulation solcher Angaben gelingt ^[1].

Wenn der Absender wirklich bekannt ist

Weil echte Namen und echte Konten missbraucht werden, reicht ein bekannter Absender als Beleg nicht aus. Die Polizei rät, Anhänge auch bei bekannten Absendern im Zweifel zu prüfen, etwa durch eine Rückfrage ^[9]. Das BSI empfiehlt bei Zweifeln, den Absender auf einem anderen Weg, etwa telefonisch, nach dem Inhalt der Mail zu fragen ^[8]. Wichtig ist der andere Weg: Die Polizei rät, für die Rückfrage nicht die Antwortfunktion der verdächtigen Mail zu nutzen ^[9]. Willst du dir die Echtheit einer Mail von deiner Bank oder einem Unternehmen telefonisch bestätigen lassen, such die Nummer selbst heraus und meide die Nummer aus der Mail ^[10].

Das gilt besonders für Zahlungsaufforderungen. Ändert ein Lieferant per Mail plötzlich seine Kontoverbindung oder bittet die angebliche Geschäftsführung um eine eilige Überweisung, gilt dieselbe Regel: erst auf einem bekannten Weg nachfragen, dann zahlen. Die Polizei nennt bei ungewöhnlichen Überweisungsaufträgen den Rückruf beim genannten Auftraggeber als Prüfschritt ^[15]. Für Unternehmen beschreibt das die Seite CEO-Fraud und Business E-Mail Compromise.

Eine besondere Form sind Mails, die angeblich vom Hersteller deines Virenschutzes oder Betriebssystems stammen und ein Update im Anhang mitbringen. Solche Anhänge können Schadsoftware enthalten. Das BSI rät, sie nicht zu öffnen und Updates nur über die Websites der Hersteller zu beziehen ^[3].

Was Anbieter gegen gefälschte Absender tun

Gegen gefälschte Absender helfen technische Verfahren auf der Seite der Mailanbieter. Das BSI hat dazu im Februar 2024 die Technische Richtlinie TR-03182 zur E-Mail-Authentifizierung veröffentlicht. Sie beschreibt Maßnahmen, mit denen sich Inhalt und Absender einer E-Mail authentifizieren lassen, und richtet sich an E-Mail-Service-Provider ^[12]. Genannt werden SPF, das prüft, ob ein Absender grundsätzlich im Auftrag einer Domain senden darf, und DKIM, das jede Nachricht kryptografisch mit der Domain des Absenders verknüpft ^[12]. Umsetzen müssen die Maßnahmen ausschließlich die Diensteanbieter ^[12].

Betreibst du selbst eine Domain, kannst du sie gegen Missbrauch absichern. Wie SPF, DKIM und DMARC zusammenarbeiten, erklärt domain-root.de unter SPF, DKIM und DMARC im Zusammenspiel.

Wenn deine eigene Adresse als Absender auftaucht

Bekommen Bekannte Mails, die angeblich von dir stammen, kann das zwei Ursachen haben: Jemand hat nur deine Adresse als Absender eingetragen, was über schlecht eingestellte Mailserver möglich ist ^[2], oder jemand hat Zugriff auf dein Postfach. Hinweise auf Letzteres sind nach der Verbraucherzentrale etwa Anmeldungen von fremden Geräten, Nachrichten, die scheinbar von selbst verschickt werden, als gelesen markierte Mails, die du nicht geöffnet hast, oder dass keine Nachrichten mehr ankommen ^[13].

Siehst du solche Zeichen, ändere sofort dein Passwort und beende alle aktiven Sitzungen ^[10]. Kontrolliere Filterregeln und Weiterleitungen im Postfach und warne Familie, Freunde und Kollegen, damit sie nicht auf Nachrichten in deinem Namen hereinfallen ^[13]. Vorbeugend empfiehlt das BSI, die eigene Adresse sparsam weiterzugeben, für Registrierungen ein zweites Postfach zu nutzen und den Spamschutz des Anbieters zu aktivieren ^[3]. Hast du auf eine der Mails reagiert, findest du die nächsten Schritte unter Auf einen Phishing-Link geklickt. Verdächtige Mails kannst du melden, wie unter Spam und Phishing melden beschrieben. Mehr zu den Merkmalen von Phishing steht unter Phishing-Mails erkennen.

1. Behörde E-Mail-Sicherheit: Mythen im Faktencheck. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
2. Behörde Betrug durch gefälschte Telefonnummern und E-Mail-Adressen. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
3. Behörde Wie schütze ich mich vor gefälschten Absenderadressen?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
4. Behörde Wie erkenne ich Phishing-E-Mails und -Webseiten?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
5. Behörde Online-Betrug: Spam. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
6. Organisation So lesen Sie den E-Mail-Header. Verbraucherzentrale e.V.. Stand 04.11.2024. abgerufen am 29.10.2026
7. Organisation Phishing-Mails: Woran Sie sie erkennen und worauf Sie achten müssen. Verbraucherzentrale e.V.. Stand 25.03.2026. abgerufen am 29.10.2026
8. Behörde Informationen zur Schadsoftware Emotet. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
9. Behörde Ransomware ist Tor zur digitalen Erpressung. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
10. Behörde Phishing: Checkliste für den Ernstfall. BSI und Polizeiliche Kriminalprävention. Stand 07.07.2025. abgerufen am 29.10.2026
11. Behörde Woran erkennt man Spam?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
12. Behörde Neue TR des BSI: Identitätsmissbrauch in E-Mail bekämpfen. Bundesamt für Sicherheit in der Informationstechnik. Stand 16.02.2024. abgerufen am 29.10.2026
13. Organisation Erste Hilfe bei gehackten Online-Konten. Verbraucherzentrale e.V.. Stand 08.10.2025. abgerufen am 29.10.2026
14. Behörde Manipulation von Rufnummern. Bundesnetzagentur. Stand ohne Datum. abgerufen am 29.10.2026
15. Behörde CEO-Fraud: Betrüger legen Unternehmensmitarbeiter herein. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.