Wie eine Phishing-Nachricht funktioniert

Modul 3: Phishing erkennen · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion erkennen Sie die psychologischen Tricks und die festen Merkmale einer Phishing-Nachricht, auch wenn der Text fehlerfrei ist, und reagieren Sie mit dem Reflex stoppen, prüfen, nachfragen.
Kernbegriffe: Dringlichkeit, Autorität, Angst, Neugier, Belohnung, Pretext, KI-geschriebenes Phishing, der „Stopp-Prüfen-Nachfragen"-Reflex

Phishing ist eine Geschichte, keine Technik

Phishing ist eine Nachricht, die Sie dazu bringt, etwas zu tun, das gut für den Absender und schlecht für Sie ist: auf einen Link klicken, sich auf einer gefälschten Seite anmelden, einen Anhang öffnen, eine Zahlung tätigen oder einen Code weitergeben. Die Technik dahinter ist meist einfach. Was die eigentliche Arbeit leistet, ist die Geschichte.

Diese Geschichte heißt Pretext: ein glaubwürdiger Anlass. „Ihr Paket konnte nicht zugestellt werden." „Ihr Postfach ist voll." „Es liegt eine offene Rechnung vor." „Ihr Konto wird gesperrt." Ein guter Pretext passt zu Ihrer Situation. Eine Bäckerei erhält eine Mail über einen Mehllieferanten, eine Anwaltskanzlei über eine Ladung, ein Onlineshop über eine blockierte Zahlung.

Das Ziel ist fast immer eines dieser vier:

Bei der letzten Art passiert im Moment selbst nichts Schlimmes. „Wer kümmert sich bei Ihnen um die Zahlungen?" wirkt wie eine gewöhnliche Frage. Aber mit der Antwort kann der Angreifer später eine viel überzeugendere Mail schicken, gerichtet an genau diese eine Person. Das nennt man Spear Phishing (Lektion 1.2).

Die fünf Knöpfe, auf die Phishing drückt

Phishing funktioniert, weil es Sie zum Handeln bringt, bevor Sie nachdenken. Dafür drückt es auf ein paar feste Knöpfe in unserem Kopf. Fast jede Phishing-Nachricht nutzt mindestens zwei davon.

1. Dringlichkeit. „Innerhalb von 24 Stunden", „noch heute", „letzte Erinnerung". Zeitdruck ist der wichtigste Trick, weil Sie sich dann nicht die Zeit nehmen zu prüfen.
2. Autorität. Die Nachricht kommt angeblich von jemandem, den Sie ernst nehmen: der Bank, dem Finanzamt, dem Geschäftsführer, der Polizei, Ihrem Hostingunternehmen, einem Anwalt.
3. Angst. Ihr Konto wird gesperrt, Sie bekommen eine Strafe, Ihre Daten sind geleakt, Ihre Domain läuft ab, es gab einen Einbruch in Ihr Konto.
4. Neugier. „Sehen Sie sich die Fotos der Veranstaltung an", „Sie haben ein geteiltes Dokument erhalten", „es liegt eine Voicemail für Sie vor", „Gehaltsübersicht 2026.pdf".
5. Belohnung. Eine Rückzahlung, ein Geschenkgutschein, ein gewonnener Preis, ein kostenloses Upgrade, eine große Bestellung eines neuen Kunden.

Achtung: Diese Knöpfe kommen auch in echten Nachrichten vor. Eine echte Rechnung hat ein Fälligkeitsdatum, eine echte Bank versendet manchmal eine Warnung. Ein einzelner Trick macht eine Nachricht also nicht falsch. Verdächtig wird es, wenn der Druck hoch ist und die Nachricht um etwas bittet, das Sie normalerweise nicht so tun würden.

Feste Merkmale, unabhängig vom Text

Neben den Tricks haben Phishing-Nachrichten ein paar Merkmale, die fast immer wiederkehren:

• Eine Aufforderung, jetzt sofort etwas zu tun (Call to Action): ein Button, ein Link, ein Anhang, eine Telefonnummer zum Anrufen.
• Ein Kanal, der nicht passt. Ihre Bank bittet per Mail um eine Anmeldung, Ihr Lieferant fordert per WhatsApp zu einer Zahlung auf, Ihr Kollege bittet per SMS um Geschenkgutscheine.
• Eine Frage, die nicht passt. Ein Passwort oder einen Anmeldecode weitergeben, eine IBAN ändern, eine Zahlung außerhalb des normalen Verfahrens, Software auf Wunsch eines Anrufers installieren.
• Eine Abweichung bei Absender oder Link. Die Adresse oder der Link gehört gerade nicht zu der Organisation, die Sie erwarten. Wie Sie das genau lesen, lernen Sie in Lektion 3.2 und 3.3.
• Geheimhaltung oder Umgehen des Verfahrens. „Sagen Sie das noch nicht den anderen", „ich bin in einer Besprechung, rufen Sie mich nicht an", „erledigen Sie das kurz am System vorbei".

Das letzte Merkmal ist das stärkste Signal bei CEO-Betrug und Rechnungsbetrug: Ein echter Geschäftsführer hat kein Interesse daran, dass Sie die normale Kontrolle überspringen.

Warum Rechtschreibfehler kein gutes Merkmal mehr sind

Früher erkannten Sie Phishing an holprigem Deutsch, seltsamer Anrede und schlechter Gestaltung. Das funktioniert nicht mehr. Mit Sprachmodellen (KI) schreibt ein Angreifer in wenigen Sekunden eine fehlerfreie, freundliche Mail in jeder Sprache, im Stil der Organisation, die er nachahmt. Das BSI warnt ebenfalls davor, dass Phishing durch KI schwerer zu erkennen wird: weniger Sprachfehler und Anmeldeseiten, die immer echter aussehen.

Hinzu kommt, dass Phishing manchmal aus einem echten Postfach kommt. Wurde das Postfach eines Lieferanten übernommen, antwortet der Angreifer einfach in einem bestehenden Mailverlauf, mit der Signatur, dem Ton und den früheren Nachrichten dazu. Das nennt man Thread Hijacking. Absender, Gestaltung und Sprache sind dann alle echt. Nur die Frage stimmt nicht: „Wir haben ein neues Bankkonto, können Sie die offene Rechnung dorthin überweisen?"

Deshalb schauen Sie nicht darauf, wie eine Nachricht aussieht, sondern darauf, worum sie Sie bittet. Phishing erkennen Sie selten an einem einzelnen Merkmal, sondern am Gesamtbild.

Der Reflex: stoppen, prüfen, nachfragen

Sie müssen nicht jeden Trick kennen. Sie brauchen einen Reflex, den Sie jedes Mal anwenden, wenn eine Nachricht etwas von Ihnen verlangt.

Stoppen. Spüren Sie Eile, Schreck, Neugier oder Freude? Das ist genau der Moment, nicht zu klicken. Legen Sie die Nachricht kurz beiseite. Echte Organisationen geben Ihnen fast immer genug Zeit, um es zu überprüfen.

Prüfen Sie auf Ihrem eigenen Weg. Gehen Sie nicht über die Nachricht selbst weiter. Klicken Sie nicht auf den Link, rufen Sie nicht die Nummer aus der Nachricht an und antworten Sie nicht auf die Mail. Gehen Sie selbst über Ihr Lesezeichen oder durch Eingabe der Adresse auf die Website, oder rufen Sie eine Nummer an, die Sie bereits hatten (Ihre eigene Verwaltung, die Rückseite Ihrer Bankkarte, die offizielle Website). Steht die Rechnung dort wirklich? Ist das Paket wirklich unterwegs?

Nachfragen. Zweifeln Sie noch, fragen Sie einen Kollegen oder die Person, die es angeblich geschickt hat, über einen anderen Kanal. Vereinbaren Sie in Ihrem Team, dass eine solche Nachfrage nie lästig ist. Lieber zehnmal unnötig gefragt als einmal bezahlt.

Dieser Reflex funktioniert auch bei einer perfekten Mail aus einem gehackten Postfach. Die Prüfung auf Ihrem eigenen Weg umgeht den Angreifer vollständig, denn der sitzt weder in Ihrem Lesezeichen noch am Telefon Ihres Lieferanten.

In der Praxis: So sieht es aus

Drei nachgebildete Nachrichten, die die Bäckerei Example (info@example.com) an einem Morgen erhält. Alle Namen sind erfunden.

Nachricht 1: das Paket

Von: Kurierdienst <service@koeriersdienst-track.example>
Betreff: Zustellung fehlgeschlagen: Handlung erforderlich
Liebe Kundin, lieber Kunde, wir haben heute versucht, ein Paket zuzustellen. Die Adresse war unvollständig. Planen Sie innerhalb von 48 Stunden eine neue Zustellung und zahlen Sie die Nachsendegebühr von 1,95 Euro, sonst geht das Paket zurück an den Absender.

Tricks: Dringlichkeit (48 Stunden), Angst (Paket zurück), ein kleiner Betrag, damit Sie nicht nachdenken. Das Ziel sind Ihre Kartendaten. Prüfen: Erwarten Sie ein Paket? Suchen Sie die Sendung über die Website oder App des Transportunternehmens selbst.

Nachricht 2: der Lieferant

Von: Lieferant Mehl <administratie@leverancier.example>
Betreff: RE: Rechnung 2026-0412
Hallo, wie besprochen anbei die Rechnung. Achtung: wegen eines Bankwechsels bitte ab jetzt auf unser neues Konto zahlen. Können Sie das noch heute erledigen? Dann können wir die Lieferung am Freitag einplanen.

Tricks: Autorität (bekannter Lieferant, bestehender Mailverlauf), Dringlichkeit, Belohnung (die Lieferung). Der Absender kann echt sein: Das Postfach des Lieferanten könnte übernommen worden sein. Prüfen: Rufen Sie den Lieferanten unter der Nummer aus Ihrer eigenen Verwaltung an, nicht aus dieser Mail.

Nachricht 3: das Buchhaltungsprogramm

Von: Buchhaltungsprogramm <noreply@boekhoudpakket.example>
Betreff: Ihr Abonnement wird ausgesetzt
Wir konnten Ihre letzte Zahlung nicht verarbeiten. Melden Sie sich innerhalb von 24 Stunden an, um Ihre Zahlungsdaten zu aktualisieren, sonst verlieren Sie den Zugang zu Ihrer Verwaltung.
[Anmelden]

Tricks: Angst, Dringlichkeit, Autorität. Ob der Absender stimmt, lesen Sie in Lektion 3.3; wohin der Button führt, in Lektion 3.2. Prüfen: Öffnen Sie selbst die App oder Ihr Lesezeichen des Buchhaltungsprogramms. Steht dort keine Meldung, ist die Mail falsch.

Zusammenfassung

• Phishing funktioniert über eine Geschichte (Pretext), die zu Ihnen passt, mit dem Ziel Zugangsdaten, Geld, Zugriff auf Ihr Gerät oder Informationen zu erlangen.
• Die fünf Knöpfe: Dringlichkeit, Autorität, Angst, Neugier und Belohnung. Meist sind es zwei oder mehr gleichzeitig.
• Rechtschreibfehler sind kein verlässliches Merkmal mehr: KI schreibt fehlerfreie Mails und gehackte Postfächer senden echte Nachrichten.
• Achten Sie darauf, worum eine Nachricht Sie bittet und über welchen Kanal, nicht darauf, wie sie aussieht.
• Reflex: stoppen, auf Ihrem eigenen Weg prüfen, bei Zweifel nachfragen.

Quiz

Aufgabe

Aufgabe A3.1: Tricks erkennen. Sie erhalten sechs nachgebildete Nachrichten. Wählen Sie pro Nachricht aus, welche Tricks darin stecken (Dringlichkeit, Autorität, Angst, Neugier, Belohnung) und was Sie tun: einfach erledigen, oder zuerst auf Ihrem eigenen Weg prüfen. Das Programm bewertet Ihre Antworten und erklärt pro Nachricht, was Sie übersehen haben.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Ist diese E-Mail wirklich von WebOké? Phishing erkennen und den Aktionscode verwenden
• BSI, Hinweise zum Erkennen von Phishing-Mails: https://www.bsi.bund.de/
• Phishing-Radar der Verbraucherzentrale, zum Melden von Phishing-Mails: https://www.verbraucherzentrale.de/phishing-radar
• Polizeiliche Kriminalprävention, Informationen zu Betrug und Anzeigeerstattung: https://www.polizei-beratung.de/