Phishing-Mails erkennen: woran du gefälschte Nachrichten siehst

Phishing-Mails sehen aus wie Post von deiner Bank, einem Onlineshop, einem Paketdienst oder einer Behörde. Ihr Ziel sind vertrauliche Daten wie Passwörter oder Kreditkartendaten. Meist führt ein Link auf eine gefälschte Internetseite, die der echten stark ähnelt, und dort sollst du deine Daten eingeben ^[4]. Mit erbeuteten Zugangsdaten können Täter im Namen der Opfer Geld überweisen, den Dispokredit ausschöpfen oder online einkaufen ^[5]. Die Polizei spricht in solchen Fällen von Identitätsdiebstahl ^[5]; was dann zu tun ist, beschreibt Identitätsdiebstahl: erkennen und richtig reagieren.

Woran du eine Phishing-Mail erkennst

Das BSI rät, misstrauisch zu werden, sobald mindestens eines der folgenden Merkmale zutrifft ^[1]:

• Die Mail behauptet dringenden Handlungsbedarf, etwa dass Daten verloren gehen, wenn du sie nicht sofort aktualisierst ^[1].
• Sie droht, zum Beispiel mit der Sperrung deines Kontos ^[1].
• Sie fordert dich auf, vertrauliche Daten wie die PIN fürs Online-Banking oder eine Kreditkartennummer einzugeben ^[1].
• Sie enthält Links oder Formulare ^[1].
• Der Absender scheint bekannt, aber sein Anliegen wirkt ungewöhnlich ^[1].

Die Verbraucherzentrale NRW nennt im Phishing-Radar ähnliche Warnzeichen: eine unpassende Absenderadresse, eine unpersönliche oder fehlende Anrede, künstlichen Zeitdruck durch kurze Fristen und die Bitte, Daten oder Zugangsinformationen über einen Link zu bestätigen. Auch fehlende konkrete Angaben oder ein fehlendes oder falsches Logo können auffallen ^[6].

Anrede und Sprache sind kein sicheres Zeichen mehr

Früher fielen Phishing-Mails oft durch "Sehr geehrter Kunde" oder schlechtes Deutsch auf. Heute sind sie professioneller gemacht; Tippfehler oder seltsame Umlaute sind nur noch selten ein eindeutiger Hinweis ^[1]. Das BSI weist darauf hin, dass Phishing-Mails oft täuschend echt wirken, teils mit Informationen aus sozialen Netzwerken oder Datenlecks personalisiert sind und Kriminelle zur Formulierung oft KI einsetzen ^[3]. Täter kennen manchmal auch deinen Namen ^[2]. Fehler, fehlende Umlaute oder eine Mail auf Englisch oder Französisch bleiben trotzdem verdächtig, denn deutsche Banken schreiben ihre Kundschaft auf Deutsch an ^[2]. Eine gut formulierte Mail ist umgekehrt kein Beleg für Echtheit ^[1].

Mails ohne Bezug zu dir

Die Verbraucherzentrale rät zu Misstrauen bei Mails von Banken, Shops oder Dienstleistern, mit denen du nie zu tun hattest, etwa bei Bestätigungen oder Mahnungen für Ware, die du nie bestellt hast ^[2]. Ein weiteres Warnzeichen: Im Feld "An" steht nicht deine eigene Adresse ^[2]. Dann ging die Mail vermutlich verdeckt an viele Empfänger zugleich ^[2].

Absender und Links prüfen, ohne zu klicken

Der angezeigte Name einer Mail sagt wenig. Absenderangaben lassen sich fälschen, eine Mail kommt also nicht zwingend von der Adresse im Absenderfeld ^[3]. Bei HTML-Mails steckt hinter dem angezeigten Absender oft eine andere Adresse. Du siehst sie, wenn du den Mauszeiger über die Absenderzeile führst, ohne zu klicken, oder den Quelltext der Mail öffnest ^[1]. Die Polizei rät, immer die tatsächliche E-Mail-Adresse anzusehen und nicht nur den angezeigten Namen ^[7]. Achte dabei vor allem auf die Domain hinter dem @-Zeichen ^[8]. Wie du Absender genauer prüfst und den Mail-Header liest, erklärt die Seite Gefälschte Absender erkennen. Wie Anbieter ihre Domains technisch gegen Fälschung absichern, steht auf domain-root.de unter SPF, DKIM und DMARC im Zusammenspiel.

Linkziel ansehen

Prüfe jeden Link, bevor du ihn aufrufst. Stutzig machen sollten dich ungewöhnliche Zahlen oder Zeichen im Namen der Institution. Kurz-URL-Dienste können das eigentliche Ziel verbergen, im Zweifel klickst du nicht ^[1]. Sicherer ist es, die Seite des Anbieters selbst aufzurufen. Die Polizei rät, Links in E-Mails nicht anzuklicken und die Bank über ihre Startseite aufzurufen; häufig genutzte Adressen legst du am besten als Favoriten ab ^[5]. Die Verbraucherzentrale empfiehlt ebenfalls, die Adresse selbst einzutippen ^[2].

Das Schloss im Browser beweist nichts

"https://" in der Adresszeile zeigt nur, dass die Seite ein SSL-Zertifikat hat. Solche Zertifikate nutzen Betrüger ebenfalls, eine Entwarnung ist "https://" deshalb nicht ^[1]. Wichtiger ist der Name in der Adresszeile: Die Polizei rät, schon bei kleinsten Abweichungen misstrauisch zu werden ^[5].

Was Banken und seriöse Anbieter per E-Mail nicht verlangen

Einige Regeln helfen, auch bei einer perfekt gestalteten Mail. Banken fragen nie per E-Mail oder Telefon nach PIN oder TAN; die Verbraucherzentrale nennt das eine der wesentlichen Sicherheitsregeln ^[2]. Banken und Behörden bitten niemals per E-Mail um die Herausgabe eines Passworts, und sicherheitsbewusste Institutionen bitten auch nicht darum, sensible Daten über einen Link zu ändern ^[4]. Banken schicken Links nur in Ausnahmefällen, etwa zu neuen Geschäftsbedingungen, aber nie zum Einloggen. Formulare für Eingaben sind in unangekündigten Mails ebenfalls unüblich ^[2].

Auch die Polizei hält fest: Banken fordern keine vertraulichen Daten per E-Mail, Telefon oder Post an ^[5]. Bist du unsicher, lass dir die Echtheit der Mail telefonisch bestätigen. Such dafür die Nummer selbst heraus und meide die Nummer aus der Mail ^[4].

Zwei Faktoren helfen, schützen aber nicht vollständig

Die Zwei-Faktor-Authentisierung solltest du aktivieren, wo es möglich ist. Dann kommen Kriminelle selbst mit einem erbeuteten Passwort nicht ohne Weiteres in dein Konto ^[4]. Gegen Phishing ist sie allerdings kein vollständiger Schutz: Täuschend echte Seiten können Passwort und Code in Echtzeit abgreifen, und manche Betrüger geben sich am Telefon als Support aus. Das BSI nennt Passkeys als sicherere Alternative ^[3].

Gefährliche Anhänge und gefälschte Webseiten

Nicht jede Phishing-Mail lockt auf eine Webseite. Manche bringen die Schadsoftware gleich mit: Ein Klick auf einen verseuchten Anhang kann zur Infektion mit Trojanern, Bots oder Ransomware führen ^[1]. Vorsicht gilt besonders bei Formaten wie .exe oder .scr und bei Doppelendungen wie .pdf.exe ^[4]. Unerwartete Dateien solltest du nicht öffnen oder herunterladen, auch dann nicht, wenn die Mail droht ^[2]. Mehr dazu steht unter Gefährliche E-Mail-Anhänge.

Bist du doch auf einer Seite gelandet, verraten bestimmte Abfragen die Fälschung. Eine TAN-Abfrage, obwohl du gar keine Überweisung angestoßen hast, ist laut BSI ein klares Indiz für eine gefälschte Seite. Dasselbe gilt, wenn du nach dem Login noch einmal Name, Adresse oder IBAN eingeben sollst ^[1]. Kreditkartennummer, Gültigkeitsdauer oder Sicherheitscode gibst du auf einer verdächtigen Seite nicht ein ^[1].

Phishing gibt es auch außerhalb des Postfachs

Betrüger verschicken ihre Nachrichten auch per SMS, über Messengerdienste und soziale Netzwerke ^[4]. Das BSI nennt außerdem QR-Codes und manipulierte Suchergebnisse (SEO-Poisoning) als Wege ^[3]. Die Polizei beschreibt dazu Anrufe von angeblichen Bankmitarbeitern, technischem Support oder Callcentern und Briefe, die mit dem Logo einer Kreditkartenfirma zur Vergabe eines Sicherheitspassworts auffordern ^[5]. Auch dort gelten die Warnzeichen von oben, vor allem Zeitdruck und die Bitte um Daten. Für Nachrichten per SMS gibt es auf handy.rocks einen eigenen Ratgeber zu Phishing und Smishing; zu QR-Codes lies Betrug mit QR-Codes.

Die wichtigsten Prüfstellen im Überblick

Bevor du auf eine Mail reagierst, die etwas von dir will, lohnt ein kurzer Blick auf diese Stellen.

Verdacht: so gehst du mit der Mail um

Antworte nicht auf die Mail, sonst erfahren die Absender, dass deine Adresse aktiv ist. Klick keine Links an und öffne keine Anhänge ^[2]. Willst du wissen, ob an der Nachricht etwas dran ist, frag beim echten Anbieter nach, über die offizielle Website oder eine Filiale und nicht über Kontaktdaten aus der Mail ^[2]. Angebliche Hinweise prüfst du über die offizielle App oder die bekannte Website des Anbieters ^[6].

Verdächtige Mails kannst du an das Phishing-Radar der Verbraucherzentrale NRW weiterleiten: phishing@verbraucherzentrale.nrw ^[6]. Die Verbraucherzentrale bittet, die Mail direkt weiterzuleiten und nicht als Anhang, und sie nach Möglichkeit auch an den echten Anbieter zu schicken ^[2]. Danach kannst du die Mail löschen und die Absenderadresse sperren ^[2]. Hast du schon auf einen Link geklickt oder einen Anhang geöffnet, lösch die Mail nicht, denn sie dient der Polizei als Beweismittel ^[2]. Welche Stellen welche Meldungen annehmen, erklärt Spam und Phishing melden. Was nach einem Klick zu tun ist, steht unter Auf einen Phishing-Link geklickt.

1. Behörde Wie erkenne ich Phishing-E-Mails und -Webseiten?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
2. Organisation Phishing-Mails: Woran Sie sie erkennen und worauf Sie achten müssen. Verbraucherzentrale e.V.. Stand 25.03.2026. abgerufen am 29.10.2026
3. Behörde E-Mail-Sicherheit: Mythen im Faktencheck. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
4. Behörde Phishing: Checkliste für den Ernstfall. BSI und Polizeiliche Kriminalprävention. Stand 07.07.2025. abgerufen am 29.10.2026
5. Behörde Phishing nicht ins Netz gehen. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
6. Organisation Phishing-Radar: Aktuelle Warnungen. Verbraucherzentrale NRW e.V.. Stand 28.10.2026. abgerufen am 29.10.2026
7. Behörde Online-Betrug: Spam. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
8. Behörde Wie schütze ich mich vor gefälschten Absenderadressen?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.