Wie eine Phishing-Nachricht funktioniert

Modul 3: Phishing erkennen · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion erkennen Sie die psychologischen Tricks und die festen Merkmale einer Phishing-Nachricht, auch wenn der Text fehlerfrei ist, und reagieren Sie mit dem Reflex stoppen, prüfen, fragen.
Kernbegriffe: Dringlichkeit, Autorität, Angst, Neugier, Belohnung, Pretext, KI-geschriebenes Phishing, der „Stopp-Prüfen-Fragen“-Reflex

Phishing ist eine Geschichte, keine Technik

Phishing ist eine Nachricht, die Sie etwas tun lässt, das gut für den Absender und schlecht für Sie ist: auf einen Link klicken, sich auf einer nachgebauten Seite anmelden, einen Anhang öffnen, eine Zahlung vornehmen oder einen Code weitergeben. Die Technik dahinter ist oft einfach. Was die eigentliche Arbeit leistet, ist die Geschichte.

Diese Geschichte nennt man einen Pretext: einen glaubwürdigen Anlass. „Ihr Paket konnte nicht zugestellt werden.“ „Ihr Postfach ist voll.“ „Es liegt eine offene Rechnung vor.“ „Ihr Konto wird gesperrt.“ Ein guter Pretext passt zu Ihrer Situation. Eine Bäckerei bekommt eine Mail über einen Mehllieferanten, eine Anwaltskanzlei über eine Ladung, ein Onlineshop über eine blockierte Zahlung.

Das Ziel ist fast immer eines dieser vier:

Bei der letzten Art passiert im Moment selbst nichts Schlimmes. „Wer kümmert sich bei Ihnen um die Zahlungen?“ wirkt wie eine gewöhnliche Frage. Aber mit der Antwort kann der Angreifer später eine viel überzeugendere Mail schicken, gezielt an genau diese Person. Das nennt man Spear-Phishing (Lektion 1.2).

Die fünf Knöpfe, auf die Phishing drückt

Phishing funktioniert, weil es Sie handeln lässt, bevor Sie nachdenken. Dafür drückt es auf ein paar feste Knöpfe in unserem Kopf. Fast jede Phishing-Nachricht nutzt mindestens zwei davon.

1. Dringlichkeit. „Innerhalb von 24 Stunden“, „noch heute“, „letzte Erinnerung“. Zeitdruck ist der wichtigste Trick, weil Sie sich dann nicht die Zeit nehmen zu prüfen.
2. Autorität. Die Nachricht stammt angeblich von jemandem, den Sie ernst nehmen: die Bank, das Finanzamt, die Geschäftsführung, die Polizei, Ihr Hostinganbieter, ein Anwalt.
3. Angst. Ihr Konto wird gesperrt, Sie bekommen ein Bußgeld, Ihre Daten sind durchgesickert, Ihre Domain läuft ab, es gibt einen Einbruch in Ihr Konto.
4. Neugier. „Sehen Sie sich die Fotos der Veranstaltung an“, „Sie haben ein freigegebenes Dokument erhalten“, „es liegt eine Voicemail für Sie vor“, „Gehaltsübersicht 2026.pdf“.
5. Belohnung. Eine Rückerstattung, ein Gutschein, ein gewonnener Preis, ein kostenloses Upgrade, eine große Bestellung von einem neuen Kunden.

Achtung: Diese Knöpfe kommen auch in echten Nachrichten vor. Eine echte Rechnung hat ein Fälligkeitsdatum, eine echte Bank schickt manchmal eine Warnung. Ein einzelner Trick macht eine Nachricht also nicht automatisch unecht. Verdächtig wird es, wenn der Druck hoch ist und die Nachricht um etwas bittet, was Sie normalerweise nicht so tun würden.

Feste Merkmale, unabhängig vom Text

Neben den Tricks haben Phishing-Nachrichten ein paar Merkmale, die fast immer wiederkehren:

• Eine Aufforderung, jetzt etwas zu tun (Call to Action): eine Schaltfläche, ein Link, ein Anhang, eine Telefonnummer zum Anrufen.
• Ein Kanal, der nicht passt. Ihre Bank bittet per Mail um eine Anmeldung, Ihr Lieferant bittet per WhatsApp um eine Zahlung, Ihr Kollege bittet per SMS um Gutscheine.
• Eine Bitte, die nicht passt. Ein Passwort oder einen Anmeldecode weitergeben, eine IBAN ändern, eine Zahlung außerhalb des normalen Verfahrens, Software auf Wunsch eines Anrufers installieren.
• Eine Abweichung bei Absender oder Link. Die Adresse oder der Link gehört nur fast zur Organisation, die Sie erwarten. Wie Sie das genau lesen, lernen Sie in Lektion 3.2 und 3.3.
• Geheimhaltung oder Umgehung des Verfahrens. „Sagen Sie das noch nicht den anderen“, „ich sitze in einer Besprechung, rufen Sie mich nicht an“, „machen Sie das mal kurz am System vorbei“.

Das letzte Merkmal ist das stärkste Signal bei CEO-Betrug und Rechnungsbetrug: Eine echte Geschäftsführung hat kein Interesse daran, dass Sie die normale Kontrolle überspringen.

Warum Rechtschreibfehler kein gutes Merkmal mehr sind

Früher erkannte man Phishing an holprigem Deutsch, merkwürdiger Anrede und schlechtem Layout. Das funktioniert nicht mehr. Mit Sprachmodellen (KI) schreibt ein Angreifer in wenigen Sekunden eine fehlerfreie, freundliche Mail in jeder Sprache, im Stil der Organisation, die er nachahmt. Das niederländische NCSC warnt ebenfalls, dass Phishing durch KI schwerer zu erkennen wird: weniger Sprachfehler und Anmeldeseiten, die immer echter aussehen.

Hinzu kommt, dass Phishing manchmal aus einem echten Postfach kommt. Wurde das Postfach eines Lieferanten übernommen, antwortet der Angreifer einfach in einem bestehenden E-Mail-Verlauf, mit Signatur, Tonfall und den vorherigen Nachrichten dabei. Das nennt man Thread Hijacking. Absender, Layout und Sprache sind dann alle echt. Nur die Bitte stimmt nicht: „Wir haben ein neues Bankkonto, können Sie die offene Rechnung darauf bezahlen?“

Deshalb schauen Sie nicht darauf, wie eine Nachricht aussieht, sondern darauf, worum sie Sie bittet. Phishing erkennen Sie selten an einem einzelnen Merkmal, sondern am Gesamtbild.

Der Reflex: stoppen, prüfen, fragen

Sie müssen nicht jeden Trick kennen. Sie brauchen einen Reflex, den Sie jedes Mal anwenden, wenn eine Nachricht etwas von Ihnen verlangt.

Stoppen. Spüren Sie Eile, Schreck, Neugier oder Freude? Genau das ist der Moment, nicht zu klicken. Legen Sie die Nachricht kurz beiseite. Echte Organisationen geben Ihnen fast immer genug Zeit, das zu überprüfen.

Prüfen Sie auf Ihrem eigenen Weg. Gehen Sie nicht über die Nachricht selbst weiter. Klicken Sie nicht auf den Link, rufen Sie nicht die Nummer aus der Nachricht an und antworten Sie nicht auf die Mail. Gehen Sie selbst zur Website über Ihr Lesezeichen oder indem Sie die Adresse eintippen, oder rufen Sie eine Nummer an, die Sie bereits hatten (Ihre eigene Buchhaltung, die Rückseite Ihrer Bankkarte, die offizielle Website). Steht die Rechnung dort wirklich? Ist das Paket wirklich unterwegs?

Fragen. Zweifeln Sie noch, fragen Sie einen Kollegen oder die Person, die es angeblich geschickt hat, über einen anderen Kanal. Vereinbaren Sie in Ihrem Team, dass eine solche Nachfrage nie lästig ist. Lieber zehnmal unnötig gefragt als einmal bezahlt.

Dieser Reflex funktioniert auch bei einer perfekten Mail aus einem gehackten Postfach. Die Prüfung auf Ihrem eigenen Weg umgeht den Angreifer vollständig, denn der sitzt weder in Ihrem Lesezeichen noch am Telefon Ihres Lieferanten.

In der Praxis: so sieht es aus

Drei nachgebildete Nachrichten, die Bäckerei Example (info@example.com) an einem Vormittag erhält. Alle Namen sind frei erfunden.

Nachricht 1: das Paket

Von: Kurierdienst <service@koeriersdienst-track.example>
Betreff: Zustellung fehlgeschlagen: Handlung erforderlich
Sehr geehrter Kunde, wir haben heute versucht, ein Paket zuzustellen. Die Adresse war unvollständig. Planen Sie innerhalb von 48 Stunden eine neue Zustellung und zahlen Sie die Nachsendegebühr von 1,95 Euro, sonst geht das Paket zurück an den Absender.

Tricks: Dringlichkeit (48 Stunden), Angst (Paket zurück), ein kleiner Betrag, damit Sie nicht nachdenken. Das Ziel sind Ihre Kartendaten. Prüfen: Erwarten Sie ein Paket? Suchen Sie die Sendung über die Website oder App des Zustellers selbst.

Nachricht 2: der Lieferant

Von: Mehllieferant <administratie@leverancier.example>
Betreff: RE: Rechnung 2026-0412
Hallo, wie besprochen anbei die Rechnung. Achtung: Aufgrund eines Bankwechsels bitten wir, ab sofort auf unsere neue Kontonummer zu zahlen. Können Sie das noch heute erledigen? Dann können wir die Lieferung am Freitag einplanen.

Tricks: Autorität (bekannter Lieferant, bestehender E-Mail-Verlauf), Dringlichkeit, Belohnung (die Lieferung). Der Absender kann echt sein: Das Postfach des Lieferanten kann übernommen worden sein. Prüfen: Rufen Sie den Lieferanten unter der Nummer aus Ihrer eigenen Buchhaltung an, nicht aus dieser Mail.

Nachricht 3: das Buchhaltungsprogramm

Von: Buchhaltungsprogramm <noreply@boekhoudpakket.example>
Betreff: Ihr Abonnement wird ausgesetzt
Wir konnten Ihre letzte Zahlung nicht verarbeiten. Melden Sie sich innerhalb von 24 Stunden an, um Ihre Zahlungsdaten zu aktualisieren, sonst verlieren Sie den Zugriff auf Ihre Buchhaltung.
[Anmelden]

Tricks: Angst, Dringlichkeit, Autorität. Ob der Absender stimmt, lesen Sie in Lektion 3.3; wohin die Schaltfläche führt, in Lektion 3.2. Prüfen: Öffnen Sie selbst die App oder Ihr Lesezeichen des Buchhaltungsprogramms. Steht dort keine Meldung, dann ist die Mail unecht.

Zusammenfassung

• Phishing funktioniert über eine Geschichte (Pretext), die zu Ihnen passt, mit dem Ziel Anmeldedaten, Geld, Zugriff auf Ihr Gerät oder Informationen zu bekommen.
• Die fünf Knöpfe: Dringlichkeit, Autorität, Angst, Neugier und Belohnung. Meist sind es zwei oder mehr gleichzeitig.
• Rechtschreibfehler sind kein verlässliches Merkmal mehr: KI schreibt fehlerfreie Mails, und gehackte Postfächer verschicken echte Nachrichten.
• Achten Sie darauf, worum eine Nachricht Sie bittet und über welchen Kanal, nicht darauf, wie sie aussieht.
• Reflex: stoppen, auf Ihrem eigenen Weg prüfen, bei Zweifel fragen.

Quiz

Aufgabe

Aufgabe A3.1: Tricks erkennen. Sie erhalten sechs nachgebildete Nachrichten. Wählen Sie pro Nachricht aus, welche Tricks darin stecken (Dringlichkeit, Autorität, Angst, Neugier, Belohnung) und was Sie tun: einfach normal bearbeiten, oder erst über Ihren eigenen Weg prüfen. Das Programm bewertet Ihre Antworten und erklärt pro Nachricht, was Sie übersehen haben.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Ist diese E-Mail wirklich von WebOké? Phishing erkennen und den Aktionscode verwenden
• BSI, Phishing-Mails erkennen: https://www.bsi.bund.de/
• BSI, Spam, Phishing und Co: https://www.bsi.bund.de/
• Phishing-Radar der Verbraucherzentrale, zum Melden von Phishing: https://www.verbraucherzentrale.de/phishing-radar