Phishing-Mail erkennen: Der 30-Sekunden-Check, der 2026 noch funktioniert

Eine Phishing-Mail erkennen war früher einfach: schlechtes Deutsch, krumme Anrede, Logo verpixelt. Das ist vorbei. Betrugsmails werden heute maschinell erzeugt, in fehlerfreiem Deutsch, mit korrektem Logo und passendem Betreff. Die gute Nachricht: Es gibt drei Fragen, die trotzdem funktionieren – und die brauchen keine halbe Minute.

Kurzantwort

Der 30-Sekunden-Check besteht aus drei Fragen:

• Habe ich das erwartet? Kommt die Mail aus dem Nichts, ist Vorsicht angebracht – unabhängig davon, wie echt sie aussieht.
• Wohin führt der Link wirklich? Nicht auf den Text schauen, sondern auf das tatsächliche Ziel. Der entscheidende Teil ist der Name direkt vor dem ersten Schrägstrich.
• Werde ich unter Druck gesetzt? Frist, Sperrung, Mahnung, „letzte Warnung" – Druck ist das wichtigste Werkzeug der Angreifer.

Zweimal „ja" bei Frage 2 und 3 oder ein „nein" bei Frage 1: nicht klicken.

Warum der alte Tipp mit den Rechtschreibfehlern nicht mehr hilft

Jahrelang war das der Standardratschlag: Achte auf Tippfehler und schlechte Übersetzungen. Der ist inzwischen nicht nur nutzlos, er ist gefährlich – weil er ein falsches Sicherheitsgefühl erzeugt.

Betrugsmails werden heute überwiegend maschinell formuliert. Sie sind sprachlich einwandfrei, verwenden die richtige Anrede und greifen häufig einen echten Anlass auf: eine Bestellung, die du wirklich getätigt hast, ein Paket, das wirklich unterwegs ist, eine Rechnung, die zu deinem Alltag passt.

Wer 2026 nach Fehlern sucht, findet keine – und klickt dann.

Was daraus folgt: Verlass dich nicht mehr darauf, wie eine Mail aussieht. Prüfe, was sie will und wohin sie führt.

Frage 1: Habe ich das erwartet?

Die einfachste und wirksamste Frage. Eine Rechnung von einem Anbieter, bei dem du nichts gekauft hast. Eine Paketbenachrichtigung, obwohl du nichts bestellt hast. Eine Warnung deiner Bank, obwohl alles normal läuft.

Unerwartet heißt nicht automatisch gefälscht. Aber unerwartet heißt: erst prüfen, dann handeln.

Und ganz wichtig: Der Absendername in deinem Postfach ist frei wählbar. Da kann „Sparkasse", „DHL" oder „Microsoft" stehen, während die eigentliche Adresse dahinter ganz anders lautet. Lass dir am Handy die vollständige Absenderadresse anzeigen – meist über einen Tipp auf den Namen. Der Anzeigename allein sagt nichts.

Frage 2: Wohin führt der Link wirklich?

Das ist der Kern der Sache, und hier machen die meisten den Fehler.

• Am Computer: Mit der Maus über den Link fahren, ohne zu klicken. Unten links im Fenster erscheint das echte Ziel.
• Am Handy: Auf den Link lang drücken statt antippen. Es öffnet sich eine Vorschau mit der vollständigen Adresse.

Und jetzt der Teil, den kaum jemand richtig macht: Du liest so eine Adresse von rechts nach links.

Entscheidend ist der Name direkt vor dem ersten einzelnen Schrägstrich:

• https://www.sparkasse.de/login → gehört zu sparkasse.de. Echt.
• https://sparkasse.sicherheit-update.com/login → gehört zu sicherheit-update.com. Gefälscht. „sparkasse" ist hier nur ein vorangestellter Zusatz, den jeder frei erfinden kann.
• https://sparkasse-de-kundenportal.info/… → gehört zu sparkasse-de-kundenportal.info. Gefälscht.

Alles vor dem eigentlichen Namen ist beliebig. Nur der Teil unmittelbar vor dem ersten Schrägstrich zählt.

Zwei Dinge, die dabei nichts beweisen:

• Das Schloss-Symbol und „https". Das bedeutet nur, dass die Verbindung verschlüsselt ist – nicht, dass die Seite ehrlich ist. Betrugsseiten haben das heute standardmäßig.
• Ein gekürzter Link (bit.ly und Ähnliches). Da siehst du das Ziel gar nicht. In einer unerwarteten Mail ist ein gekürzter Link ein Warnsignal für sich.

Frage 3: Werde ich unter Druck gesetzt?

Betrug funktioniert über Eile. Wer in Ruhe nachdenkt, klickt nicht. Deshalb steht in solchen Mails fast immer eine Variante davon:

• „Ihr Konto wird in 24 Stunden gesperrt."
• „Letzte Mahnung vor Inkasso."
• „Ungewöhnliche Anmeldung – bitte sofort bestätigen."
• „Ihr Paket kann nicht zugestellt werden, Zollgebühr jetzt zahlen."

Echte Unternehmen setzen keine Stundenfristen per Mail, und deine Bank fragt niemals per Mail nach Zugangsdaten, PIN oder TAN. Nie.

Kombiniert mit Frage 1 hast du damit schon fast alles: unerwartet plus dringend ist praktisch immer ein Betrugsversuch.

Die neueren Maschen: QR-Codes und Anrufe

Zwei Varianten haben in letzter Zeit deutlich zugenommen, und beide umgehen die klassischen Schutzmechanismen.

QR-Codes in Mails, PDFs und Briefen. Statt eines Links steht ein QR-Code in der Nachricht. Das hat für die Angreifer zwei Vorteile: Filterprogramme können in einem Bild keinen verdächtigen Link lesen, und du wechselst zum Scannen aufs Handy – wo die Adresse schlecht sichtbar ist und der Schutz meist geringer ausfällt. Inzwischen tauchen solche Codes auch auf gefälschten Zahlungsaufforderungen in Papierform auf.

Regel: Einen QR-Code aus einer unerwarteten Nachricht scannst du nicht. Und wenn du scannst, dann liest du die Adresse in der Vorschau, bevor du bestätigst.

Anrufe mit vertrauter Stimme. Stimmen lassen sich mittlerweile aus wenigen Sekunden Material nachbilden. Es genügt nicht mehr, jemanden an der Stimme zu erkennen.

Regel: Bei jeder telefonischen Aufforderung zu einer Zahlung oder Datenweitergabe legst du auf und rufst selbst zurück – unter der Nummer, die du bereits kennst, nicht unter der, die dir genannt wurde.

Der wirksamste Reflex überhaupt

Wenn du nur eine Sache aus diesem Artikel mitnimmst, dann diese:

Klick nie auf den Link in der Mail. Geh selbst hin.

Also: Browser öffnen, die Adresse deiner Bank, deines Shops oder deines Paketdienstes selbst eintippen oder das gespeicherte Lesezeichen nehmen und dort einloggen. Gibt es das Problem wirklich, findest du die Nachricht in deinem Konto. Steht dort nichts, war die Mail gefälscht.

Dieser eine Reflex macht praktisch jede Phishing-Mail wirkungslos – ganz egal, wie gut sie gemacht ist. Und er kostet dich zehn Sekunden mehr als der Klick.

Du hast schon geklickt: was jetzt?

Kein Grund zur Panik, aber jetzt zählt Reihenfolge.

• Nur die Seite geöffnet, nichts eingegeben? In den meisten Fällen ist nichts passiert. Tab schließen, weitermachen. Wenn ohne dein Zutun ein Download gestartet ist: Datei nicht öffnen, löschen.
• Zugangsdaten eingegeben? Sofort das Passwort ändern – und zwar von einem anderen Gerät aus, falls der Rechner betroffen sein könnte. Wenn du dasselbe Passwort noch woanders benutzt: auch dort ändern. Das ist der häufigste Folgeschaden.
• Zwei-Faktor-Bestätigung eingerichtet, wo es geht. Damit ist ein gestohlenes Passwort allein oft nutzlos.
• Bankdaten oder TAN weitergegeben? Umgehend bei deiner Bank anrufen und das Konto sperren lassen. Nicht bis morgen warten.
• Anhang geöffnet oder Programm ausgeführt? Gerät vom Netzwerk trennen – WLAN aus, Kabel ziehen – und nicht weiterarbeiten. Ab hier lohnt sich fremde Hilfe, bevor du etwas überschreibst.
• Betrug anzeigen ist möglich und sinnvoll, wenn Geld geflossen ist.

Fazit

Eine Phishing-Mail erkennst du 2026 nicht mehr am Aussehen, sondern am Verhalten: unerwartet, dringend, mit Link oder QR-Code auf eine Anmeldeseite. Drei Fragen genügen – erwartet, wohin führt der Link, werde ich gedrängt.

Und wenn du unsicher bist, gilt der einfachste Grundsatz: nicht klicken, sondern selbst hingehen. Eine Mail, die wirklich wichtig ist, findest du auch, wenn du dich normal einloggst.

Häufige Fragen

Ist es schon gefährlich, eine Phishing-Mail nur zu öffnen? In der Regel nicht. Gefährlich wird es beim Klick auf einen Link, beim Öffnen eines Anhangs oder wenn du irgendwo Daten eingibst. Reines Lesen ist bei üblichen Mailprogrammen unproblematisch.

Woran erkenne ich, ob eine Absenderadresse echt ist? Schau nicht auf den Anzeigenamen, sondern auf die vollständige Adresse – und dort auf den Teil hinter dem @. Auch der wird von rechts gelesen: [email protected] ist plausibel, [email protected] gehört zu sicher-login.com und ist gefälscht.

Reicht ein Virenschutzprogramm als Schutz? Es hilft, reicht aber nicht. Phishing greift keine Software an, sondern deine Aufmerksamkeit. Gegen eine gefälschte Anmeldeseite, auf der du dein Passwort freiwillig eingibst, kann kein Programm etwas ausrichten.

Was mache ich mit einer erkannten Phishing-Mail? Nicht antworten, nicht klicken, nichts weiterleiten. In deinem Mailprogramm als Spam oder Phishing markieren und löschen. Wenn du willst, kannst du sie der betroffenen Firma über deren offizielle Kontaktseite melden.

Ich habe ein QR-Code-Schreiben per Post bekommen – kann das Betrug sein? Ja, das kommt vor. Gefälschte Zahlungsaufforderungen mit QR-Code werden inzwischen auch auf Papier verschickt. Scanne den Code nicht, sondern melde dich direkt bei dem angeblichen Absender über eine Nummer oder Adresse, die du selbst nachgeschaut hast.