Phishing-Mails erkennen: 12 Merkmale + Checkliste für Mitarbeiter
Über 90 % aller erfolgreichen Cyberangriffe beginnen mit einer E-Mail. Phishing ist nicht nur die häufigste Angriffsmethode – sie ist auch die billigste, am schnellsten skalierbare und am leichtesten zu vermeiden. Wer die typischen Merkmale kennt, erkennt 95 % aller Phishing-Versuche in Sekunden. Dieser Leitfaden zeigt die 12 verlässlichen Merkmale, liefert eine Phishing-Checkliste für Mitarbeitende und nennt die häufigsten Fallen, in die selbst erfahrene Nutzer treten.
Was ist Phishing? (Kurz erklärt)
Phishing ist der Versuch, über gefälschte E-Mails, SMS, Anrufe oder Webseiten an Zugangsdaten, Zahlungsdaten oder Unternehmensinformationen zu gelangen. Moderne Varianten sind Spear-Phishing (gezielt auf eine Person), CEO-Fraud (Vorstand gibt sich aus), Smishing (per SMS) und Vishing (per Telefon). Was alle gemeinsam haben: Sie nutzen psychologischen Druck – Zeitdruck, Autorität oder Angst – um schnelle Klicks zu erzwingen.
Die 12 Merkmale, an denen Sie Phishing erkennen
1. Unerwartete Absender oder geänderte Adresse
Vermeintlich bekannte Marken (DHL, PayPal, Microsoft, Ihre Bank) schreiben Sie aus einer untypischen Domain an – etwa service@dhl-paket-de.com statt noreply@dhl.de. Prüfen Sie immer die vollständige Absender-Adresse, nicht nur den angezeigten Namen.
2. Generische Anrede
„Sehr geehrter Kunde", „Lieber Nutzer" oder gar keine Anrede sind Warnsignale – seriöse Anbieter nutzen meist Ihren Namen. Aber Achtung: Spear-Phishing personalisiert die Anrede mittlerweile sehr gut.
3. Zeitdruck und Drohungen
„Ihr Konto wird in 24 Stunden gesperrt", „Letzte Mahnung", „Sofort handeln" – Druck soll Sie zum unüberlegten Klick bewegen. Seriöse Unternehmen geben Ihnen Zeit zum Reagieren.
4. Rechtschreib- und Grammatikfehler
Viele Phishing-Mails sind übersetzt – holprige Formulierungen, falsche Satzzeichen, fehlende Umlaute. Mit KI-Tools wird das seltener, aber es bleibt ein Indikator.
5. Verdächtige Links (Ziel ≠ angezeigter Text)
Halten Sie die Maus über den Link (ohne zu klicken) und prüfen Sie das Linkziel unten links im Browser. Der angezeigte Text mag microsoft.com lauten – das Ziel ist aber http://microsoftt-login.ru/auth. Auf Mobilgeräten: Link lange drücken, Vorschau ansehen.
6. Aufforderung zur Eingabe von Zugangsdaten
Keine seriöse Bank, kein Microsoft, kein DHL fordert Sie per E-Mail auf, Passwort oder TAN einzugeben. Wenn doch: zu 100 % Phishing.
7. Unerwartete Anhänge
Rechnungen, Versandbestätigungen, Bewerbungen – als .zip, .iso, .html, .docm oder .exe. Office-Anhänge fragen nach „Bearbeitung aktivieren" – das ist der Moment, in dem Makro-Schadcode startet.
8. Falsche oder fehlende Verschlüsselung
Phishing-Webseiten haben oft frische Domains und Let's-Encrypt-Zertifikate – also nicht ausschließlich auf das Schloss-Symbol vertrauen. Achten Sie zusätzlich auf die genaue URL.
9. Ungewöhnliche Zahlungsaufforderungen
„Bitte überweisen Sie kurzfristig auf folgendes Konto" – per E-Mail vom Geschäftsführer (CEO-Fraud) oder mit geänderter Bankverbindung eines Lieferanten. Immer telefonisch über bekannte Nummer rückbestätigen.
10. Spear-Phishing mit echten Daten
Die gefährlichste Variante: Die Mail enthält Ihren Namen, Ihre Position, einen echten internen Vorgang. Quellen sind LinkedIn, geleakte Datenbanken oder das Darknet. Ein Darknet-Monitoring warnt frühzeitig, wenn Ihre Zugangsdaten dort kursieren.
11. QR-Codes in E-Mails (Quishing)
Neue Masche: Die Mail enthält einen QR-Code statt eines Links – Filter erkennen ihn schlechter, der Nutzer scannt mit dem privaten Handy und landet auf einer Phishing-Seite ohne Schutzmechanismen.
12. Mismatched Reply-To-Adresse
Der Absender wirkt plausibel, aber die „Antwort an"-Adresse weist auf eine andere Domain. Im Mail-Header sichtbar – ein klassisches CEO-Fraud-Merkmal.
Phishing-Checkliste zum Ausdrucken
Diese 8 Fragen sollte jeder Mitarbeitende vor dem Klick auf einen Link oder Anhang stellen:
| # | Prüffrage | Wenn Antwort = „Ja" |
|---|---|---|
| 1 | Erwarte ich diese E-Mail wirklich? | Vorsicht |
| 2 | Passt die Absender-Domain exakt zum Unternehmen? | OK |
| 3 | Werde ich mit meinem korrekten Namen angeschrieben? | OK |
| 4 | Wird Druck oder Angst aufgebaut? | Phishing-Verdacht |
| 5 | Soll ich Zugangsdaten oder Zahlungsdaten eingeben? | Phishing |
| 6 | Stimmt das Linkziel mit dem angezeigten Text überein? | OK |
| 7 | Ist der Anhang ein erwartetes Dokumentformat? | OK |
| 8 | Im Zweifel: Habe ich über eine zweite Quelle rückbestätigt? | Sicherheitsnetz |
Regel: Bei jedem „Phishing-Verdacht" → nicht klicken, sondern an die IT/Security melden (Phish-Alert-Button oder definierter Mail-Postkorb).
Was tun, wenn ich schon geklickt habe?
- Netzwerk trennen – LAN-Kabel ziehen / WLAN aus. Verhindert weiteren Datenabfluss.
- IT/Security informieren – sofort, nicht erst „nachdem ich es selbst geprüft habe".
- Passwörter ändern – aller Dienste, deren Daten möglicherweise eingegeben wurden. Von einem anderen Gerät.
- MFA-Codes prüfen – wurden Tokens bestätigt? Wenn ja: Sitzungen zurücksetzen.
- Vorfall dokumentieren – Zeit, Absender, betroffene Konten. Pflicht unter NIS2 (Meldung an BSI binnen 24 h, siehe NIS2-Checkliste).
Wenn Sie ein MDR-Service mit 24/7-SOC nutzen, erkennt dieser den Klick-Vorfall in der Regel automatisch über EDR-Telemetrie und isoliert das betroffene Gerät, bevor Schaden entsteht.
Phishing-Simulation: Mitarbeiter realistisch trainieren
Wissen verpufft nach Wochen, Verhalten verändert sich nur durch Wiederholung. Effektive Awareness-Programme kombinieren Microlearning-Module mit regelmäßigen, kontrollierten Phishing-Tests – Klickrate, Meldequote und Trends werden ausgewertet. Studien zeigen einen Rückgang der Phishing-Klickrate von 25–30 % auf unter 5 % innerhalb von 12 Monaten. Anbieter und Kosten im Detail: Security Awareness Schulung – Kosten und Anbieter.
Wie Valyros Sie vor Phishing schützt
Phishing-Schutz besteht nicht aus einem Tool, sondern aus einer Kette:
- E-Mail-Filter (Microsoft Defender for Office 365, Proofpoint, Hornetsecurity)
- MFA & Conditional Access – siehe Zero Trust
- EDR/XDR erkennt den Folge-Schadcode (siehe XDR vs MDR vs EDR)
- 24/7-MDR-SOC isoliert kompromittierte Konten und Endpoints in Minuten
- Awareness-Programm senkt die Eintrittswahrscheinlichkeit
- Darknet Monitoring warnt, wenn Zugangsdaten geleakt sind
Valyros orchestriert diese Kette als Komplettpaket – pro Endpoint, monatlich kündbar, NIS2-tauglich dokumentiert. Mehr dazu: Managed Detection & Response oder Preisseite.
Nächste Schritte: persönliches Erstgespräch über /kontakt.
Häufige Fragen
Wie erkenne ich Phishing-Mails am sichersten?
An der Kombination mehrerer Merkmale: unerwarteter Absender mit untypischer Domain, Druck oder Drohung, Aufforderung zur Eingabe von Zugangsdaten, verdächtige Links (Ziel ≠ Anzeige) und ungewöhnliche Anhänge. Wenn auch nur zwei Merkmale zutreffen, nicht klicken – sondern melden.
Was ist der Unterschied zwischen Phishing und Spear-Phishing?
Phishing-Mails werden massenhaft verschickt und sind generisch formuliert. Spear-Phishing ist gezielt auf eine bestimmte Person zugeschnitten – mit echtem Namen, Position und oft internen Informationen. Spear-Phishing ist deutlich gefährlicher, weil es alle klassischen Warnsignale umgehen kann.
Was mache ich, wenn ich auf einen Phishing-Link geklickt habe?
Sofort Netzwerk trennen, IT/Security informieren, betroffene Passwörter von einem anderen Gerät ändern, MFA-Sitzungen zurücksetzen und den Vorfall dokumentieren. Bei NIS2-pflichtigen Unternehmen muss der Vorfall ggf. binnen 24 Stunden an das BSI gemeldet werden.
Schützt MFA vor Phishing?
MFA reduziert das Risiko stark, ist aber kein vollständiger Schutz. Moderne Phishing-Kits (z. B. Evilginx) können MFA-Codes in Echtzeit abfangen. Phishing-resistente MFA-Verfahren wie FIDO2/Passkeys schließen diese Lücke.
Wie kann ich meine Mitarbeiter dauerhaft gegen Phishing schulen?
Wirksam sind kontinuierliche Microlearning-Programme (5–10 Minuten pro Monat) plus regelmäßige Phishing-Simulationen mit sofortigem Feedback. Valyros senkt die Klickrate durch gezieltes Training und Praxistests innerhalb eines Jahres nachweislich auf unter 5 %.
MDR mit 24/7-SOC aus Deutschland
Valyros betreibt ein 24/7-SOC und schützt KMU, Arztpraxen, Kanzleien und den Mittelstand – DSGVO-konform mit Datenhaltung in Deutschland.
Weitere Artikel
Security Awareness Schulung: Kosten und was wirkt
80 % aller Cyberangriffe beginnen mit einem menschlichen Fehler. Welche Security-Awareness-Trainings wirklich wirken, was sie kosten und worauf KMU bei Anbietern achten müssen.
ELSTER-Phishing 2026: So schützen Sie Ihr Unternehmen
Gefälschte ELSTER-Mails greifen Steuerdaten von Firmen, Praxen und Kanzleien ab. Merkmale der KI-Phishing-Welle 2026 und wirksame Schutzmaßnahmen.
Phishing erkennen: Aktuelle Maschen im Oktober 2026
Der Oktober ist European Cyber Security Month – der europäische Aktionsmonat, in dem ENISA und nationale Behörden wie das BSI für Cybersicherheit sensibilisieren (ECSM). Die Angreifer liefern das Anschauungsmaterial pünktlich mit: Das Phishing-Radar der …
NIS2 Checkliste für KMU 2026: Die 12 Schritte zur Konformität
Welche NIS2-Pflichten Sie 2026 erfüllen müssen – konkret, prüfbar und in 12 Schritten. Die Checkliste für Geschäftsführer und IT-Verantwortliche im Mittelstand.
Phishing vom echten Absender: Lehren aus Heilbronn
Mitte Oktober 2026 erhielten rund 6.500 Kontakte einer Partei-Geschäftsstelle eine E-Mail mit einer Veranstaltungseinladung — darunter Ministerien, Sicherheitsbehörden und der Bundeskanzler persönlich. Die Mail kam vom echten, langjährig bekannten …
Zero Trust: Prinzip, Architektur und Umsetzung im Mittelstand
Zero Trust ist kein Produkt, sondern ein Sicherheitsprinzip: Niemandem vertrauen, jeden Zugriff prüfen. So setzen KMU es pragmatisch in 6 Schritten um.