Spam und Phishing melden: wohin mit verdächtigen Nachrichten

Eine verdächtige Nachricht zu löschen, schützt dich selbst. Sie zu melden, hilft auch anderen: Aus den Meldungen entstehen Warnungen, und die Bundesnetzagentur kann gegen missbrauchte Rufnummern vorgehen ^{[1, 6]}. Welche Stelle zuständig ist, hängt davon ab, was du bekommen hast und ob dir schon ein Schaden entstanden ist. Das BSI nennt als Meldewege für verdächtige Nachrichten die Bundesnetzagentur für SMS und Messenger, das Phishing-Radar der Verbraucherzentrale und die Polizei mit Onlinewache und Strafanzeige ^[8].

Welche Stelle für welche Nachricht zuständig ist

Phishing-Mails an das Phishing-Radar

Die Verbraucherzentrale NRW sammelt im Phishing-Radar Betrugsversuche, die sie über eingesandte Mails erreichen, und veröffentlicht daraus laufend Warnungen ^[1]. Verdächtige Mails leitest du an phishing@verbraucherzentrale.nrw weiter. Die Verbraucherzentrale bittet darum, die Mail direkt weiterzuleiten und nicht als Anhang ^[2]. Klappt das nicht, speicherst du die Mail als .eml-Datei und lädst sie auf der Seite des Phishing-Radars hoch. Erlaubt ist eine Datei je Upload mit höchstens 2 MB ^[1].

Personenbezogene Daten in den eingesandten Mails werden bei der Auswertung anonymisiert. Eine Antwort bekommst du nicht; wegen der vielen Eingänge beantwortet die Verbraucherzentrale die Mails nicht ^[1]. Wer wissen will, ob eine bestimmte Mail schon bekannt ist, sieht in den veröffentlichten Warnungen nach.

Auch das echte Unternehmen informieren

Gibt sich die Mail als Nachricht deiner Bank, eines Shops oder eines Dienstes aus, kannst du sie zusätzlich an dieses Unternehmen schicken. Viele Unternehmen haben dafür eine eigene Adresse, häufig im Kontaktbereich ihrer Website ^[1]. Such die Adresse selbst heraus und nimm keine Kontaktdaten aus der verdächtigen Mail ^[2].

Werbe-Spam bei der Internet-Beschwerdestelle

Beschwerden über deutschen Spam nimmt die Internet-Beschwerdestelle entgegen. Das Portal tragen gemeinsam die Freiwillige Selbstkontrolle Multimedia-Diensteanbieter (FSM) und eco, der Verband der Internetwirtschaft; beide haben eigene Beschwerdestellen und teilen die Meldungen nach Zuständigkeit auf ^[4]. Auch das BSI empfiehlt, unerwünschte Werbe-Mails dort zu melden, sie danach zu löschen und sich in die Robinsonliste eintragen zu lassen ^[5].

Die Beschwerdestelle unterscheidet zwei Fälle. Allgemeiner Spam sind Mails, deren Rechtswidrigkeit allein darauf beruht, dass sie unverlangt verschickt wurden; diese leitest du an allgemeiner-spam@internet-beschwerdestelle.de weiter. Besonderer Spam enthält zusätzlich rechtswidrige Inhalte oder verweist auf solche; dafür gilt die Adresse besonderer-spam@internet-beschwerdestelle.de ^[3]. Wichtig ist der Original-Header, den die Beschwerdestelle bei der Weiterleitung verlangt ^[3].

Den Header mitschicken

Der Header enthält die technischen Angaben einer Mail, darunter die Stationen, über die sie gelaufen ist. In Outlook öffnest du die Mail per Doppelklick und gehst dann auf "Datei", "Informationen" und "Eigenschaften". Bei GMX wählst du die Mail aus, öffnest das Menü mit den drei Punkten und klickst auf "Mehr Informationen" ^[13]. In anderen Programmen ist der Weg verschieden; auf dem Smartphone lässt sich der Header oft gar nicht anzeigen, dann nimmst du das Mailprogramm am Rechner ^[13]. Was die einzelnen Zeilen bedeuten, erklärt Gefälschte Absender erkennen.

Was das Gesetz zu Werbemails sagt

Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung gilt nach dem Gesetz gegen den unlauteren Wettbewerb stets als unzumutbare Belästigung. Dasselbe gilt für Werbenachrichten, bei denen der Absender seine Identität verschleiert oder keine gültige Adresse zum Abbestellen angibt ^[11]. Eine Ausnahme gibt es für Bestandskunden: Ein Unternehmen darf eine Adresse, die es beim Verkauf einer Ware oder Dienstleistung erhalten hat, für eigene ähnliche Angebote nutzen, solange du nicht widersprochen hast und bei der Erhebung der Adresse und bei jeder Verwendung klar darauf hingewiesen wirst, dass du jederzeit widersprechen kannst, ohne dass dafür andere als die Übermittlungskosten nach den Basistarifen entstehen ^[11].

SMS, Messenger und Rufnummern: die Bundesnetzagentur

Werbung per SMS, MMS, RCS oder über Messenger wie WhatsApp ist ohne vorherige ausdrückliche Einwilligung ebenfalls unzulässig. Für SMS und Messenger-Nachrichten hat die Bundesnetzagentur ein eigenes Beschwerdeformular ^[6]. Betrügerische Nachrichten, etwa nach Art des Enkeltricks, können nach § 263 StGB strafbar sein ^[6]. Bei E-Mails und Faxen kann die Bundesnetzagentur nur tätig werden, wenn darin eine Rufnummer enthalten ist ^[7].

Die Behörde kann bei Verstößen abmahnen, eine Rufnummer abschalten lassen, sodass sie technisch nicht mehr erreichbar ist, oder ein Rechnungslegungs- und Inkassierungsverbot aussprechen. Unter Umständen kann sie auch die Erstattung bereits gezahlter Entgelte anordnen ^[6]. Bußgelder für unerwünschte Nachrichten per SMS oder Messenger sieht das Gesetz nach Angaben der Bundesnetzagentur nicht vor ^[6]. Ihre Maßnahmen ergehen meist als sofort vollziehbare Verwaltungsakte; ein Widerspruch des Betroffenen hebt die Pflicht zur Umsetzung also nicht auf ^[6]. Halte für die Beschwerde Absender, Datum, Uhrzeit und den Wortlaut der Nachricht bereit, am einfachsten als Screenshot.

Anrufe mit gefälschter Nummer

Phishing kommt auch per Telefon, oft mit einer manipulierten Absendernummer. Beim Call-ID-Spoofing ersetzen Anrufer die angezeigte Rufnummer durch eine andere; das können echte, auch ausländische Nummern sein oder Nummern, die gar nicht vergeben sind ^[15]. Solche Anrufe meldest du der Bundesnetzagentur über ihr Formular "Rufnummernmanipulation". Sie braucht dafür deine eigene Rufnummer, die angezeigte Absendernummer, deinen Telefonanbieter, Datum und Uhrzeit des Anrufs und eine Schilderung, aus der die Manipulation hervorgeht ^[15].

Melde dich schnell. Verkehrsdaten werden nach Angaben der Bundesnetzagentur in der Regel nach etwa sieben Tagen gelöscht ^[15]. Sichere das Anrufprotokoll, etwa per Screenshot aus dem Router, und schalte bei Verdacht auf eine Straftat wie Telefonbetrug zeitnah die Polizei ein ^[15]. Ohne angezeigte Rufnummer ermittelt die Behörde nicht wegen Manipulation, und bei Auslandsbezug sind Ermittlungen meist schwierig ^[15].

Mehr zu Betrug per SMS steht auf handy.rocks im Ratgeber zu Phishing und Smishing.

Wann die Polizei der richtige Weg ist

Hast du auf eine Phishing-Mail reagiert, Daten preisgegeben oder Geld verloren, gehört der Fall zur Polizei. BSI und Polizei raten, in jedem Fall Anzeige bei der örtlichen Polizeidienststelle zu erstatten, auch bei einem vagen Verdacht ^[12]. Eine Strafanzeige nimmt jede Polizeidienststelle entgegen ^[10]. Einfache Straftaten wie Betrug im Internet kannst du über die Onlinewache deines Bundeslands anzeigen. Ist der Tatort das Internet oder unbekannt, wählst du das Bundesland deines Wohnsitzes; Screenshots lassen sich als Anhang hochladen ^[9]. Wird dir mit Gewalt gedroht, wendest du dich sofort an die Polizei, persönlich oder über den Notruf 110 ^[9].

Die verdächtige Mail ist dann ein Beweismittel. Die Polizei bittet, E-Mails und Chatverläufe bis zum ersten Kontakt möglichst unverändert zu lassen und sie zur Anzeige mitzubringen ^[10]. Hast du schon geklickt, löschst du die Mail deshalb nicht ^[2]. Wie die Anzeige abläuft, erklärt Betrug anzeigen; was nach einem Klick zu tun ist, steht unter Auf einen Phishing-Link geklickt.

Übernommene Konten beim Anbieter melden

Haben Täter über eine Phishing-Seite dein Passwort erbeutet und Zugangsdaten oder die hinterlegte E-Mail-Adresse geändert, wendest du dich aktiv an den Anbieter des Kontos ^[16]. Dasselbe gilt, wenn Unbefugte Einstellungen geändert oder Einkäufe getätigt haben, die du nicht selbst rückgängig machen kannst ^[12]. Informiere Familie, Freunde und Kollegen, damit sie nicht auf Nachrichten hereinfallen, die in deinem Namen verschickt werden. Unterstützung nach der Tat bietet die Opferhilfe, etwa der Verein WEISSER RING unter 116 006 ^[16].

Im eigenen Postfach melden und aufräumen

Neben den Meldestellen hilft dein eigenes Postfach. Das BSI rät, den Spamschutz deines E-Mail-Programms zu aktivieren und zu prüfen, ob dein E-Mail-Anbieter einen Spamschutz anbietet ^[5]. Erkannte Betrugsmails kannst du löschen und die Absenderadresse sperren ^[2]. Zahlungsaufforderungen per E-Mail, zu denen du keine offene Rechnung erkennst, löschst du nach dem Rat des BSI umgehend, ohne persönliche Daten herauszugeben ^[5]. Antworte nicht auf verdächtige Mails, denn eine Antwort bestätigt den Absendern, dass deine Adresse aktiv ist ^[5].

Auch der Link "Abbestellen" in einer Spam-Mail ist keine gute Idee. Er kann auf eine präparierte Seite führen, und schon der Klick kann dem Absender zeigen, dass die Adresse genutzt wird ^[14]. Das BSI rät, Spam ungeöffnet zu löschen ^[14]. Bei Newslettern, die du selbst bestellt hast, muss der Absender nach § 7 UWG eine gültige Adresse angeben, an die du die Abmeldung richten kannst ^[11]. Wie du Filter einrichtest, erklärt Spamfilter einrichten; woran du Phishing erkennst, steht unter Phishing-Mails erkennen.

1. Organisation Phishing-Radar: Aktuelle Warnungen. Verbraucherzentrale NRW e.V.. Stand 28.10.2026. abgerufen am 29.10.2026
2. Organisation Phishing-Mails: Woran Sie sie erkennen und worauf Sie achten müssen. Verbraucherzentrale e.V.. Stand 25.03.2026. abgerufen am 29.10.2026
3. Organisation E-Mail, Spam. internet-beschwerdestelle.de (eco und FSM). Stand ohne Datum. abgerufen am 29.10.2026
4. Organisation Gemeinsam gegen rechtswidrige Inhalte im Internet!. eco Verband der Internetwirtschaft e.V. und Freiwillige Selbstkontrolle Multimedia-Diensteanbieter e.V.. Stand ohne Datum. abgerufen am 29.10.2026
5. Behörde So können Sie sich vor Spam schützen. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
6. Behörde SMS- und Messenger-Spam-Varianten. Bundesnetzagentur. Stand ohne Datum. abgerufen am 29.10.2026
7. Behörde Fax- oder E-Mail Spam. Bundesnetzagentur. Stand ohne Datum. abgerufen am 29.10.2026
8. Behörde Wie erkenne ich Phishing-E-Mails und -Webseiten?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
9. Behörde Willkommen bei den Onlinewachen der Polizeien in Deutschland. Polizeien des Bundes und der Länder. Stand ohne Datum. abgerufen am 29.10.2026
10. Behörde Cybercrime: Kriminalität im Internet. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
11. Gesetz gegen den unlauteren Wettbewerb (UWG) § 7 Unzumutbare Belästigungen. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
12. Behörde Phishing: Checkliste für den Ernstfall. BSI und Polizeiliche Kriminalprävention. Stand 07.07.2025. abgerufen am 29.10.2026
13. Organisation So lesen Sie den E-Mail-Header. Verbraucherzentrale e.V.. Stand 04.11.2024. abgerufen am 29.10.2026
14. Behörde E-Mail-Sicherheit: Mythen im Faktencheck. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
15. Behörde Manipulation von Rufnummern. Bundesnetzagentur. Stand ohne Datum. abgerufen am 29.10.2026
16. Organisation Erste Hilfe bei gehackten Online-Konten. Verbraucherzentrale e.V.. Stand 08.10.2025. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.