E-Mail-Phishing: 6 Betrugsmerkmale, die jeder im Unternehmen kennen sollte

1. Dringlichkeit und Drohung

Phishing hat es fast immer eilig. „Ihr Konto wird in 24 Stunden gesperrt“, „sofort bestätigen“, „letzte Warnung“. Ziel ist, dass Sie reagieren, bevor Sie nachdenken. Die Regel: Je mehr eine E-Mail Sie drängt, desto mehr verlangsamen Sie. Seriöse Institutionen zwingen Sie nicht, unter Drohung dringend zu klicken.

2. Eine Absenderadresse, die „fast“ passt

Der Anzeigename lässt sich fälschen, schauen Sie also auf die echte Adresse, nicht auf den angezeigten Namen:

• Winzige Änderungen in der Domain (ein vertauschter Buchstabe, ein zusätzliches Wort, eine andere Endung).
• Eine bekannte Firma, aber von einem kostenlosen E-Mail-Konto (z. B. „Ihre Bank“ von einer generischen Adresse).
• Eine Adresse, die nichts mit der Firma in der Signatur zu tun hat.

Ein Blick auf die echte Adresse entlarvt einen großen Teil der Betrugsversuche.

3. Ein Link, der woandershin führt

Der Linktext und sein tatsächliches Ziel sind nicht dasselbe. Bevor Sie klicken, fahren Sie mit der Maus über den Link (am Handy gedrückt halten) und sehen Sie, wohin er wirklich geht. Wenn der angezeigte Text eine Sache sagt und das Ziel eine andere — oder die Adresse seltsam und lang ist — ist das ein Warnsignal. Im Zweifel öffnen Sie die Seite manuell, indem Sie die Adresse tippen, statt über den Link zu gehen.

4. Ein unerwarteter Anhang oder eine Anmeldeaufforderung

Zwei klassische Fallen:

• Ein Anhang, den Sie nicht angefordert haben, besonders wenn er Sie drängt, „Inhalt zu aktivieren“ oder Makros zuzulassen.
• Eine Seite, die Sie zur Anmeldung auffordert (Passwort, Code), nachdem Sie einen Link aus der E-Mail geklickt haben.

Eine echte Anmeldung machen Sie immer, indem Sie selbst zur bekannten Seite gehen, nicht über einen Link in einer Nachricht. Legitime Anhänge verlangen selten, dass Sie den Schutz manuell abschalten.

5. Eine ungewöhnliche Bitte einer „Autorität“

Eine immer häufigere Betrugsform bittet nicht um einen Klick, sondern um eine Handlung: eine gefälschte E-Mail „vom Geschäftsführer“ verlangt eine dringende Zahlung, eine Änderung der Kontonummer eines Lieferanten oder Gutscheinkarten. Sie verrät sich durch eine Mischung aus Dringlichkeit, Geheimhaltung („sprich mit niemandem darüber“) und der Umgehung des üblichen Ablaufs. Die Firmenregel sollte klar sein: Zahlungsaufträge und Kontoänderungen werden über einen anderen Kanal (Telefon, persönlich) bestätigt, nie allein auf Basis einer E-Mail.

6. Kleine Details, die „herausstechen“

Wenn nichts Offensichtliches den Betrug verrät, achten Sie auf Ton und Kontext:

• Eine Anrede, die nicht passt (ein generisches „Sehr geehrter Kunde“ statt Ihres Namens).
• Ein Stil, der nicht nach der Person klingt, die angeblich schreibt.
• Eine Bitte, die in Ihrem realen Geschäftskontext keinen Sinn ergibt.

Das Gefühl, dass „hier etwas nicht stimmt“, ist ein wertvolles Signal — ignorieren Sie es nicht, nur weil die E-Mail ordentlich aussieht.

Was tun, wenn Sie misstrauisch sind

Misstrauen ist kein Problem, sondern eine gute Verteidigung. Ein praktisches Vorgehen:

• Nicht klicken und nicht antworten.
• Über einen anderen Kanal bestätigen — die Person oder Firma unter einer bekannten Nummer anrufen.
• An die IT oder Ihren Partner melden; hat der Betrug Sie erreicht, hat er wahrscheinlich auch Ihre Kollegen erreicht.

Der beste Schutz gegen Phishing ist kein teures Tool, sondern ein Team, das weiß, worauf es achten muss. Technik fängt einen großen Teil ab, aber der letzte Klick ist immer menschlich. Die sechs Merkmale oben sind leicht zu merken — und eine Sekunde Aufmerksamkeit vor dem Klick ist mehr wert als jede Bereinigung danach.