Phishing-Mails erkennen: 9 Merkmale + Sofort-Check
Phishing-Mails erkennen, bevor jemand klickt: die 9 wichtigsten Merkmale mit Beispielen, warum KI-Phishing 2026 gefährlicher ist und was nach einem Klick zu tun ist.
- Phishing-Mails erkennt man an typischen Merkmalen: gefälschter Absender, verdächtige Links, erzeugter Zeitdruck, unpersönliche Anrede, unerwartete Anhänge und die Aufforderung, Daten preiszugeben.
- Die alte Faustregel 'schlechtes Deutsch = Phishing' gilt nicht mehr: KI erzeugt 2026 fehlerfreie, überzeugende Nachrichten.
- Der wichtigste Schutz ist Innehalten: Wer bei Druck oder ungewöhnlichen Bitten kurz stutzt und den Absender prüft, fällt selten herein.
- Nach einem Klick zählt Tempo: Gerät vom Netz trennen, Passwörter ändern, IT informieren – Schweigen aus Scham macht es schlimmer.
- Technik allein reicht nicht: Filter fangen vieles ab, aber die letzte Entscheidung fällt am Bildschirm des Einzelnen.
Die meisten erfolgreichen Cyberangriffe beginnen mit einer E-Mail. Nicht mit einem genialen Hack, sondern mit einer Nachricht, die jemand öffnet, der eigentlich nur seine Arbeit machen wollte. Phishing-E-Mails zielen nicht auf die Technik, sondern auf den Menschen – und werden durch KI gerade deutlich überzeugender. Dieser Beitrag zeigt die neun wichtigsten Merkmale, an denen Sie Phishing-Mails erkennen, was 2026 anders ist und was zu tun ist, wenn doch jemand geklickt hat. Was Phishing grundsätzlich ist, erklärt unser Wissens-Eintrag zu Phishing – hier geht es um die Praxis des Erkennens.
Die 9 Merkmale einer Phishing-Mail
Kein einzelnes Merkmal beweist einen Betrug – aber ihre Häufung ist ein klares Warnsignal. Worauf Sie besonders achten sollten, wenn eine Nachricht Links oder Anhänge enthält, zeigen die Hinweise des BSI und die Praxis in diesen neun Anzeichen:
- Die Adresse des Absenders stimmt nicht ganz. Der angezeigte Name wirkt vertrauenswürdig, die tatsächliche Adresse des Absenders ist bei genauem Hinsehen falsch – oft täuschend ähnlich, mit nur einem vertauschten Buchstaben, etwa „[email protected]” statt der echten Domain.
- Zeitdruck und Dringlichkeit. „Ihr Konto wird in 24 Stunden gesperrt.” Die erzeugte Dringlichkeit schaltet das Nachdenken aus – genau das ist die Absicht der Betrüger.
- Unpersönliche oder falsche Anrede. „Sehr geehrter Kunde” bei einem Dienst, der Sie sonst mit Namen anspricht. (Achtung: KI personalisiert inzwischen auch die Anrede.)
- Aufforderung, sensible Daten einzugeben. Kein seriöser Anbieter lässt Sie Passwörter, PINs oder TANs per E-Mail eingeben.
- Verdächtige Links. Der angezeigte Text und das tatsächliche Linkziel weichen ab. Fahren Sie mit der Maus über den Link (ohne zu klicken), um das echte Ziel zu sehen.
- Unerwarteter Anhang. Eine Rechnung, die Sie nicht erwartet haben, ein „Dokument” als ZIP oder ein Anhang mit Makros – ein klassischer Transportweg für Schadsoftware.
- Ungewöhnlicher Anlass. Eine Nachricht, die so nicht zu Ihrer bisherigen Beziehung zum Absender passt.
- Gefälschte Vertrautheit. Bezug auf echte Vorgänge (Bestellungen, Kollegen, Chef), um Glaubwürdigkeit vorzutäuschen – Grundlage von CEO-Fraud.
- Zu gut, um wahr zu sein. Gewinne, Erstattungen, unerwartete Boni. Der Klassiker funktioniert leider immer noch.
Wie Phishing funktioniert
Hinter Phishing steckt immer derselbe Mechanismus: Cyberkriminelle versenden massenhaft gefälschte E-Mails, die vorgeben, von einer bekannten Person oder Organisation zu stammen – von der Bank über Paketdienste bis zu einem Unternehmen wie Microsoft. Ziel ist, den Empfänger dazu zu verleiten, persönliche Daten wie Passwörter, PIN oder TAN einzugeben oder eine Datei mit Schadsoftware wie einem Trojaner zu öffnen.
Das Werkzeug ist die Täuschung. Angreifer fälschen die Absenderadresse und bauen täuschend echt aussehende Webseiten, deren Domainnamen der echten zum Verwechseln ähnlich sehen. Anders als ein Betrug per Post ist eine solche E-Mail in Sekunden und millionenfach versendet, und die Kosten für den Betrugsversuch sind minimal – genau deshalb bleibt diese Form des Phishings der häufigste Angriffsweg.
Eine Regel hilft zur Einordnung: Seriöse Unternehmen fordern Sie niemals telefonisch oder per E-Mail auf, persönliche Daten wie Zugangsdaten, PIN oder TAN einzugeben oder zu bestätigen. Solche Aufforderungen sind ein zuverlässiges Zeichen für Phishing – banküblich läuft so etwas in der Regel per Post oder über die gesicherte App.
Warum 2026 die alten Regeln nicht mehr reichen
Jahrelang galt eine einfache Faustregel: Phishing-Mails waren oft in schlechtem Deutsch verfasst – voller Fehler in Rechtschreibung und Grammatik. Wer sauber formulierte E-Mails empfing, hielt sie für echt. Diese Regel ist überholt. Moderne KI-Modelle erzeugen fehlerfreie, stilistisch überzeugende Nachrichten in perfektem Deutsch – ohne jeden Fehler in Rechtschreibung oder Grammatik, auf Wunsch im Tonfall Ihres Geschäftsführers. Fachleute weisen darauf hin, dass KI Phishing-Angriffe präziser, personalisierter und schwerer erkennbar macht. Betrüger brauchen kein gutes Deutsch mehr – die KI liefert es.
Das verschiebt die Verteidigung: Weg von „Fehler suchen”, hin zu „Plausibilität prüfen”. Die entscheidende Frage ist nicht mehr „Sieht das echt aus?”, sondern „Ergibt diese Aufforderung Sinn – und würde dieser Absender das wirklich so verlangen?”. Im Zweifel gilt: über einen zweiten, bekannten Kanal den vermeintlichen Absender direkt kontaktieren, statt auf die möglicherweise betrügerische Mail zu antworten – gerade bei ungewöhnlichen Bitten könnte das Konto des Absenders gehackt worden sein.
Sofort-Check für Ihr Team
Seien Sie besonders aufmerksam bei eingehenden E-Mails, die zu einer schnellen Handlung drängen. Diese kurze Prüfung passt an jeden Bildschirm:
- Erwarte ich diese Nachricht?
- Passt die E-Mail-Adresse des Absenders exakt?
- Werde ich unter Druck gesetzt oder gedrängt, persönliche Daten einzugeben?
- Wohin führt der Link wirklich? Klicken Sie nicht auf Links, deren Ziel Sie nicht kennen – Mauszeiger drüber genügt.
- Öffnen Sie keine unerwarteten Anhänge.
- Seien Sie misstrauisch bei Rechtschreib- oder Grammatikfehlern – auch wenn diese durch KI seltener werden.
- Im Zweifel: nicht klicken, sondern die verdächtige E-Mail an die IT weiterleiten.
Was tun, wenn doch geklickt wurde?
Fehler passieren – entscheidend ist die Reaktion. Wenn jemand auf einen Phishing-Link geklickt oder Daten eingegeben hat:
- Gerät vom Netzwerk trennen, um eine mögliche Ausbreitung zu stoppen.
- Passwörter ändern – von einem anderen, sauberen Gerät aus, zuerst die wichtigsten Konten.
- IT informieren – sofort, ohne Scham. Je früher, desto besser lässt sich der Schaden begrenzen.
- Konten prüfen auf ungewöhnliche Aktivitäten und, wo möglich, Multi-Faktor-Authentifizierung aktivieren.
Der schlimmste Fehler ist Schweigen aus Scham. Ein gemeldeter Klick lässt sich eindämmen, ein verschwiegener wird zum Flächenbrand.
So schützen Sie sich technisch vor Phishing-Angriffen
Der Mensch ist die letzte Verteidigungslinie – aber nicht die einzige. Gegen Phishing-Angriffe helfen mehrere technische Schichten: Spam- und Phishing-Filter fangen einen Großteil der gefälschten E-Mails ab, bevor sie ankommen. Die Absender-Authentifizierung der eigenen Domain (über SPF, DKIM und DMARC) erschwert es Angreifern, im Namen Ihres Unternehmens zu versenden. Und Multi-Faktor-Authentifizierung entwertet gestohlene Passwörter, weil der zweite Faktor fehlt.
Für Unternehmen kommt die organisatorische Ebene hinzu: eine klare Meldekette, über die eine verdächtige E-Mail schnell gemeldet und Kollegen gewarnt werden. Wer bereits auf einen Betrug hereingefallen ist, sollte die betrügerische E-Mail als mögliches Beweismittel für die Polizei aufbewahren und nicht löschen. Viele Täter haben ihren Sitz im Ausland, was die Strafverfolgung erschwert – umso wichtiger ist die Prävention.
Technik und Mensch zusammen
Phishing-Abwehr ist immer zweischichtig. Technisch helfen Spam-Filter, die Absender-Authentifizierung der eigenen Domain und Multi-Faktor-Authentifizierung, die gestohlene Passwörter entwertet. Menschlich hilft nur Übung. Genau das leistet eine Phishing-Simulation: kontrollierte Test-Mails, die den Ernstfall gefahrlos trainieren und zeigen, wo nachgeschult werden muss. In Kombination mit den Grundlagen aus unserer IT-Sicherheits-Checkliste für den Mittelstand wird aus dem vermeintlich schwächsten Glied – dem Menschen – die stärkste Verteidigungslinie. Weil Phishing meist über den Weg des klassischen Spams kommt, gehört ein gepflegter Filter zur Grundausstattung.
Fazit: Reflexe statt Regeln
Phishing-Mails zu erkennen ist keine Frage von Fachwissen, sondern von Reflexen: kurz innehalten, den Absender prüfen, Links kontrollieren, bei Druck misstrauisch werden. Weil KI die Fälschungen perfektioniert, verlagert sich die Prüfung von der Form auf die Plausibilität. Wer sein Team regelmäßig sensibilisiert und eine Meldekultur ohne Schuldzuweisung etabliert, macht aus jedem Einzelnen einen Sensor – und genau das ist der beste Phishing-Schutz, den es gibt.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Woran erkenne ich eine Phishing-Mail?
Was soll ich tun, wenn ich auf eine Phishing-Mail geklickt habe?
Warum kommen Phishing-Mails durch den Spam-Filter?
Wie melde ich eine Phishing-Mail?
Team gegen Phishing wappnen
Mit einer Phishing-Simulation trainieren Ihre Mitarbeitenden den Ernstfall gefahrlos – und aus dem schwächsten Glied wird die stärkste Verteidigungslinie.
