Phishing-Mails: So erkennen Sie den Betrug

Wie erkenne ich Phishing-Mails sicher und schütze mich vor Betrug?

Fehlerfreie Sprache ist kein Entwarnungssignal

Maschinell erzeugte Mails nehmen rasch zu. Der Sicherheitsanbieter Hoxhunt beobachtete in Testkampagnen, dass der Anteil KI-geschriebener Phishing-Mails von 4 Prozent im November auf 56 Prozent im Dezember 2025 stieg (https://hoxhunt.com/guide/phishing-trends-report). Solche Programme kosten wenig und brauchen kein Fachwissen.

Gefährlich ist vor allem die persönliche Ansprache. Ein Angreifer sammelt öffentlich sichtbare Angaben aus sozialen Netzwerken wie LinkedIn oder Instagram und lässt die KI eine Mail schreiben, die auf eine echte Reise, den Arbeitgeber oder einen Bekannten Bezug nimmt. Noch schwerer zu erkennen sind Mails aus gekaperten, echten Postfächern. Übernimmt ein Betrüger das Mail-Konto eines Lieferanten, kommt die gefälschte Nachricht von der richtigen Adresse, mit echtem Namen und passender Signatur. Der automatische Spamfilter schlägt dann oft nicht an.

Den echten Absender hinter dem Namen prüfen

Der Name, der im Postfach erscheint, lässt sich frei wählen. Er sagt nichts über den wahren Absender. Wichtig ist die richtige E-Mail-Adresse dahinter. Am Computer wird sie sichtbar, sobald Sie mit der Maus auf den Absendernamen zeigen oder auf "Details anzeigen" klicken, und schon der Vergleich von angezeigtem Namen und wirklicher Adresse entlarvt viele Fälschungen. Erscheint als Name "Swisscom", dahinter aber eine zufällige Adresse bei Gmail oder Outlook, ist die Mail gefälscht.

Ein zweiter Blick gilt dem Teil hinter dem @-Zeichen, der sogenannten Domain, dem Namen der Internetseite. Betrüger buchen Adressen, die dem Original bis auf einen Buchstaben gleichen, zum Beispiel "swissconm.ch" statt "swisscom.ch". Ein gekapertes, echtes Konto besteht diese Prüfung allerdings, deshalb reicht der Blick auf den Absender allein nicht aus.

Links und Web-Adressen vor dem Klick kontrollieren

Der sichtbare Linktext und das wirkliche Ziel können sich deutlich unterscheiden. Hinter dem Wort "www.postfinance.ch" verbirgt sich womöglich eine ganz andere Seite. Zeigen Sie am Computer mit der Maus auf den Link, ohne zu klicken, dann erscheint unten links im Fenster die echte Zieladresse, die Sie in Ruhe lesen können. Prüfen Sie dabei die vollständige Web-Adresse, ihre Endung und alle Zusätze davor. Die Adresse "sicherheit.postfinance.kundenportal.xyz" gehört nicht zu PostFinance, denn die massgebliche Domain ganz rechts lautet "kundenportal.xyz".

Auf dem Smartphone fehlt diese Vorschau. Halten Sie den Link stattdessen lange gedrückt, bis die Zieladresse eingeblendet wird. Am sichersten öffnen Sie Bank- und Anmeldeseiten über ein selbst gespeichertes Lesezeichen oder tippen die Adresse von Hand ein. Ein Link aus einer Mail bleibt dafür tabu.

Kontext und Dringlichkeit als wahre Warnsignale

Da die Sprache als Merkmal wegfällt, zählt der Zusammenhang. Die erste Frage lautet, ob die Nachricht überhaupt erwartet wurde. Eine plötzliche Aufforderung, das Passwort zurückzusetzen, eine geänderte Bankverbindung oder eine Rechnung ohne Vorgeschichte sind verdächtig. Der stärkste Trick der Angreifer ist künstlicher Zeitdruck. Ein Satz wie "Ihr Konto wird in 24 Stunden gesperrt" soll das Nachdenken ausschalten, das ist die Absicht dahinter.

Beim sogenannten Chef-Betrug, auch CEO-Fraud genannt, gibt sich eine Mail als Geschäftsleitung aus und verlangt eine eilige, vertrauliche Überweisung. Eine Angriffswelle gegen Hotels zeigte 2025, wie gut moderne Fälschungen wirken. Nach einem Datendiebstahl bei Booking.com erhielten Gäste Mails mit ihren echten Buchungsdaten, Name, Datum und Reservationsnummer stimmten (https://www.ncsc.admin.ch/ncsc/en/home/aktuell/im-fokus/2026/wochenrueckblick_22.html).

QR-Codes und Anhänge, die den Filter umgehen

Angreifer verstecken den gefährlichen Teil zunehmend in Bildern und Dateien. Ein QR-Code in einer Mail enthält keinen lesbaren Link, deshalb rutscht er an vielen Filtern vorbei. Der Betrug mit QR-Codes heisst Quishing, zusammengesetzt aus QR-Code und Phishing. Nach einer Auswertung von Microsoft-Schutzdaten machen QR-Kampagnen mittlerweile rund 30 Prozent aller Phishing-Versuche aus, gut 70 Prozent der schädlichen Codes stecken in PDF-Dateien im Anhang (https://borncity.com/news/qr-code-phishing-attacken-steigen-um-146-in-zwei-monaten). In der Schweiz warnte das NCSC vor gefälschten Abholmeldungen der Post, deren QR-Code auf eine nachgebaute Post-Seite führte (https://www.ncsc.admin.ch/ncsc/en/home/aktuell/im-fokus/2026/wochenrueckblick_24.html).

Unerwartete Anhänge bleiben weiterhin eine Gefahr. Dateien mit Endungen wie ".exe", ".zip" oder ".js" sowie Office-Dokumente, die zum Einschalten von Makros auffordern, also kleinen eingebetteten Programmen, bleiben besser geschlossen. Die meisten Mail-Programme zeigen Rechnungen und Belege direkt in der Vorschau, ein Herunterladen ist gar nicht nötig. Fordert eine Mail ausdrücklich zum Speichern und Öffnen einer Datei auf, ist Misstrauen angebracht.

Die Zwei-Faktor-Anmeldung schützt viel, aber nicht alles

Die Mehr-Faktor-Anmeldung (MFA) verlangt neben dem Passwort einen zweiten Nachweis, zum Beispiel einen Code per SMS oder eine Bestätigung in einer App. Laut dem Microsoft Digital Defense Report 2025 wehrt sie über 99 Prozent der Angriffe auf Zugangsdaten ab (https://blogs.microsoft.com/on-the-issues/2025/10/16/mddr-2025/). Angreifer suchen deshalb Wege daran vorbei.

Ein verbreiteter Trick schaltet eine gefälschte Anmeldeseite als Zwischenstation vor die echte. Das Opfer gibt Passwort und Code ein, der Angreifer reicht beides sofort an den echten Dienst weiter und fängt danach den Zugangsschlüssel der laufenden Sitzung ab, das sogenannte Token. Mit diesem Schlüssel ist er angemeldet, ohne den Code erneut zu brauchen. 

Eine andere Masche zeigt gar keine falsche Seite mehr, das Opfer bestätigt selbst eine echte Microsoft-Anmeldung des Angreifers, eine solche Welle traf über 340 Firmen mit Microsoft 365 (https://thehackernews.com/2026/03/device-code-phishing-hits-340-microsoft.html). Bei einem weiteren Trick mit dem Namen ClickFix gaukelt eine Webseite einen Fehler oder eine Sicherheitsabfrage vor und bringt den Nutzer dazu, selbst einen schädlichen Befehl auszuführen (https://thehackernews.com/2026/06/clickfix-campaigns-expand-malware.html).

Die 99 Prozent klingen beruhigend, im Alltag trügt der Wert. Gerade Codes per SMS oder eine einfache Bestätigung in der App lassen sich mit diesen Methoden aushebeln. MFA-Fatigue (Müdigkeit) setzt hier an. Der Angreifer kennt das Passwort bereits und stößt im Minutentakt Push-Anfragen an, bis der Kontoinhaber eine davon bestätigt und den Zugang öffnet. Beim Einbruch bei Uber reichte diese Masche, ein Mitarbeiter tippte nach Dutzenden Meldungen und einer Nachricht des vermeintlichen IT-Supports auf "Bestätigen". Number Matching wirkt dagegen, die App zeigt eine zweistellige Zahl vom Anmeldebildschirm, die der Kontoinhaber abtippen muss. Microsoft erzwingt dieses Verfahren im Authenticator seit Mai 2023. Anmeldungen mit FIDO2 und Passkeys binden die Bestätigung an das Gerät und lassen sich mit abgefangenen Codes nicht anstoßen.

Konten wirksam absichern

Gegen den Diebstahl solcher Sitzungsschlüssel helfen Anmeldeverfahren, die an das eigene Gerät gebunden sind. Ein Passkey ersetzt das Passwort durch eine Freigabe per Fingerabdruck, Gesicht oder Geräte-PIN, und ein FIDO2-Sicherheitsschlüssel erfüllt als kleiner USB-Stecker zum Einstecken dieselbe Aufgabe für Konten und Geräte im Betrieb. Beide geben nichts preis, das sich auf einer gefälschten Seite abfangen liesse. Die Anmeldung funktioniert nur auf der echten Web-Adresse. Eine Kopie fällt durch. Für Konten mit Zugang zu Geld oder Firmendaten sind sie der beste verfügbare Schutz.

Fehlen Passkeys noch, gehört MFA wenigstens überall dort eingeschaltet, wo ein Dienst sie anbietet. Aktuelle Updates für Betriebssystem und Browser schliessen zusätzlich die Sicherheitslücken, über die Schadprogramme sonst auf den Rechner gelangen. Um die technische Absicherung der Firmen-Mails kümmert sich die IT-Abteilung oder der Mail-Anbieter. Private Nutzer verlassen sich auf die Schutzfunktionen ihres Anbieters und leisten mit eingeschalteter MFA und aktuellen Updates den grössten Beitrag selbst.

Im Verdachtsfall melden und über einen zweiten Weg nachfragen

Bei jeder heiklen Aufforderung hilft eine Rückfrage über einen unabhängigen Weg. Eine Bitte um Geld, Passwörter oder Zugriff wird über einen zweiten Kanal geprüft, per Anruf auf einer bekannten Nummer oder über die offizielle App des Anbieters. Die Nummer aus der verdächtigen Mail bleibt aussen vor, da sie bei einem Callcenter der Betrüger landen kann.

Verdächtige Mails gehören im Betrieb sofort an die IT gemeldet, nicht stillschweigend gelöscht. Eine Meldung eine Stunde früher verhindert oft den grösseren Schaden. Privatpersonen können verdächtige Nachrichten dem NCSC über dessen Webformular (https://www.report.ncsc.admin.ch/de) melden. Ein versehentlicher Klick sollte sich ohne Angst vor Ärger ansprechen lassen, denn nur eine rasche Meldung erlaubt es der IT, das Passwort zu ändern und die Sitzung des Angreifers zu beenden, bevor ein Schaden eintritt.

Das sollten Sie tun

• Echte Absenderadresse ansehen: Prüfen Sie die Adresse hinter dem Namen, nicht nur den angezeigten Namen.
• Links vor dem Klick prüfen: Zeigen Sie mit der Maus auf den Link und lesen Sie die echte Adresse, am Smartphone per langem Fingerdruck.
• Über einen zweiten Weg nachfragen: Bestätigen Sie Geld- oder Datenanfragen per Anruf auf einer bekannten Nummer oder in der offiziellen App.
• Moderne Anmeldung nutzen: Aktivieren Sie MFA überall und setzen Sie nach Möglichkeit Passkeys oder einen FIDO2-Schlüssel statt SMS-Codes ein.
• Wichtige Seiten direkt öffnen: Rufen Sie Bank- und Login-Seiten über ein Lesezeichen oder eine getippte Adresse auf.
• Verdacht melden: Geben Sie verdächtige Mails an die IT weiter oder melden Sie sie dem NCSC, statt sie kommentarlos zu löschen.
• Auf den Zusammenhang achten: Fragen Sie, ob die Nachricht erwartet war und ob sie unnötig zur Eile drängt.

Das sollten Sie lassen

• Nicht auf die Sprache verlassen: Eine fehlerfreie, persönliche Mail ist längst kein Echtheitsbeweis mehr.
• Keine Passwörter über Mail-Links eingeben: Zugangsdaten gehören nie auf eine verlinkte Seite.
• Unerwartete QR-Codes nicht scannen: Über das Bild umgehen Betrüger den Spamfilter.
• Fremde Anmelde-Bestätigungen nie freigeben: Eine Anmeldung, die Sie nicht selbst gestartet haben, lehnen Sie ab.
• Sich nicht drängen lassen: Künstliche Eile ist ein Grund zum Innehalten, kein Grund zum schnellen Klicken.

FAQ: Phishing-Mails

Warum kann ich Phishing-Mails nicht mehr an Rechtschreibfehlern erkennen?

Künstliche Intelligenz generiert Texte, die grammatikalisch perfekt und stilistisch angepasst sind. Der Anteil KI-geschriebener Phishing-Mails ist von 4 auf 56 Prozent gestiegen, weshalb Sprache kein verlässliches Merkmal mehr ist.

Was ist Quishing und warum ist es gefährlich?

Quishing bezeichnet Phishing-Angriffe über QR-Codes. Da diese keine lesbaren Links enthalten, umgehen sie oft Spamfilter. Der Code leitet den Nutzer auf eine gefälschte Webseite, ohne dass die URL vorher sichtbar ist.

Reicht die Zwei-Faktor-Authentifizierung (MFA) zum Schutz aus?

MFA schützt vor über 99 Prozent der Angriffe, ist aber nicht unüberwindbar. Angreifer nutzen Tricks wie Phishing-Seiten als Zwischenstation oder 'MFA-Fatigue' (wiederholte Bestätigungsanfragen). Passkeys oder FIDO2-Schlüssel bieten einen deutlich höheren Schutz, da sie an das Gerät gebunden sind.

Was tun, wenn ich versehentlich auf einen Phishing-Link geklickt habe?

Handeln Sie sofort: Ändern Sie das betroffene Passwort, melden Sie den Vorfall an die IT-Abteilung oder das NCSC und beenden Sie die Sitzung, falls möglich. Eine rasche Meldung verhindert oft grösseren Schaden.

Wie erkenne ich, ob eine E-Mail von einem gekaperten echten Konto stammt?

Solche Mails kommen von der richtigen Adresse und haben oft eine passende Signatur. Der Spamfilter schlägt hier oft nicht an. Prüfen Sie den Kontext: Ist die Nachricht erwartet? Enthält sie unnötigen Zeitdruck oder ungewöhnliche Aufforderungen?