# Phishing-Mails erkennen: die Prüfung in fünf Schritten

> Phishing-Mail erkennen in fünf Schritten: Anlass, Absender, Ton, Link-Ziel und Anhang prüfen, ohne zu klicken, dazu die Meldestellen in DE, AT und CH.

**Phishing-Mails** imitieren Banken, Shops, Paketdienste und Behörden so gut, dass Logo und fehlerfreies Deutsch nichts mehr beweisen. Mit fünf Prüfschritten zu Anlass, Absender, Ton, Link-Ziel und Anhang erkennst du eine gefälschte Mail, ohne etwas anzuklicken. Für Privatleute, Selbstständige und kleine Teams in Deutschland, Österreich und der Schweiz, mit den Menüwegen in Gmail und Outlook und den Meldestellen der drei Länder.

**Das Wichtigste in Kürze**

1. Rechtschreibfehler sind laut BSI kaum noch ein verlässliches Merkmal; aussagekräftiger sind ein unerwarteter Anlass, Druck oder Drohungen und die Aufforderung, vertrauliche Daten einzugeben.
2. Hinter dem angezeigten Absendernamen kann eine ganz andere Adresse stecken, und bei einem Link entscheidet das Ende der Adresse direkt vor dem ersten Schrägstrich, wem die Seite gehört.
3. Im Zweifel prüfst du den Vorgang in der App oder auf der selbst eingetippten Website des Absenders und meldest die Mail anschließend bei der zuständigen Stelle deines Landes.


Eine Phishing-Mail erkennst du selten an einem einzelnen Merkmal, sondern an der Kombination: ein Anlass, mit dem du nicht gerechnet hast, ein Absender, der nicht passt, Druck, ein Link mit fremdem Ziel oder ein Anhang, den niemand angekündigt hat. Wie bei allen [gefälschten Nachrichten im Postfach und auf dem Handy](/ratgeber/betrug-erkennen/nachrichten/) hilft eine feste Reihenfolge. Wie die Kampagnen gerade aussehen, zeigt das [Phishing-Radar der Verbraucherzentrale](https://www.verbraucherzentrale.de/wissen/digitale-welt/phishingradar/phishingradar-aktuelle-warnungen-6059): im November 2026 etwa angebliche Kontoeinschränkungen und Fristen, bis zu denen die Kundschaft einer Bank neue Sicherheitseinstellungen bestätigen soll.

Die wichtigste Regel gilt vor allen Prüfschritten: Klick nicht, um herauszufinden, ob eine Mail echt ist. Alles, was du für die Prüfung brauchst, siehst du ohne Klick. Was sich so nicht klären lässt, prüfst du in der App oder auf der selbst eingetippten Website des angeblichen Absenders. Steht dort nichts von einer Sperre, einer Frist oder einer offenen Zahlung, ist die Sache erledigt: melden, löschen.

## Phishing-Mail erkennen: die fünf Prüfschritte

1. **Anlass:** Erwartest du diese Mail? Eine Rechnung von einem Dienst, den du nicht nutzt, eine Erstattung, die du nie beantragt hast, ein Paket ohne Bestellung: Je weniger der Anlass zu dir passt, desto genauer schaust du hin. Am gefährlichsten sind allerdings die Mails, die zufällig passen.
2. **Absender:** Schau auf die vollständige Adresse, nicht nur auf den angezeigten Namen. Hinter „Kundenservice“ kann jede beliebige Adresse stecken. Am Rechner zeigt sie sich oft, wenn du mit der Maus über den Namen fährst, ohne zu klicken, wie das BSI erklärt. Eine passende Adresse beweist allerdings noch nichts, denn auch sie lässt sich fälschen.
3. **Ton:** Angeblich dringender Handlungsbedarf, eine kurze Frist, die Drohung mit Kontosperre oder Datenverlust, die Bitte um PIN oder Kartennummer: Das sind die Merkmale, die das [BSI](https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Spam-Phishing-Co/Passwortdiebstahl-durch-Phishing/Wie-erkenne-ich-Phishing-in-E-Mails-und-auf-Webseiten/wie-erkenne-ich-phishing-in-e-mails-und-auf-webseiten_node.html) als typisch nennt. Fehlerfreies Deutsch spricht dagegen nicht mehr für eine echte Mail.
4. **Link-Ziel:** Fahr mit der Maus über den Link oder die Schaltfläche, ohne zu klicken, und lies die Adresse, die dein Mailprogramm dann anzeigt. Entscheidend ist das Ende der Adresse direkt vor dem ersten Schrägstrich. Bei `https://www.beispielbank.de.konto-check.example/login` gehört die Seite nicht der Bank, sondern dem Inhaber von `konto-check.example` (eine erfundene Beispieladresse). Schloss-Symbol und `https://` beweisen nichts, auch Betrugsseiten haben Zertifikate. Kurz-Links, deren Ziel du nicht siehst, öffnest du im Zweifel gar nicht.
5. **Anhang und Datenabfrage:** Öffne keinen Anhang, den du nicht erwartest, und gib nie Passwort, PIN, TAN oder Kartendaten auf einer Seite ein, die du über einen Link aus einer Mail erreicht hast. Keine Bank und kein Kreditkartenanbieter fordert dich per Mail auf, Passwörter zu ändern oder Kartendaten zu bestätigen, schreibt das Schweizer BACS.

Am Handy fehlt die Maus, um ein Link-Ziel gefahrlos anzuzeigen. Dort gilt Schritt 5 umso mehr: Öffne die App oder die Website selbst, statt den Link anzutippen.

Trifft Schritt 3, 4 oder 5 zu, behandelst du die Mail als Betrugsversuch. Schon eines dieser Merkmale reicht laut BSI, um mit hoher Wahrscheinlichkeit von Phishing auszugehen.

### Absender und Kopfzeilen genauer ansehen

Wer es genau wissen will, schaut in die Kopfzeilen der Mail, den sogenannten Header. Dort steht unter anderem, über welche Server die Nachricht kam. Für die meisten Fälle reicht schon die echte Absenderadresse, die du so findest:

- **Gmail im Browser:** Mail öffnen, neben „Antworten“ auf das Dreipunkt-Menü klicken und „Original anzeigen“ wählen ([Gmail-Hilfe](https://support.google.com/mail/answer/29436?hl=de)).
- **Neues Outlook und Outlook im Web:** Mail öffnen, oben im Nachrichtenfenster das Menü „Weitere Aktionen“ öffnen, dann „Anzeigen“ › „Nachrichtendetails anzeigen“ wählen.
- **Klassisches Outlook für Windows:** Mail per Doppelklick öffnen, dann „Datei“ › „Eigenschaften“; die Angaben stehen im Feld „Internetkopfzeilen“. Beide Outlook-Wege beschreibt Microsoft in seiner Hilfe.

Den Header brauchst du auch beim Melden. Leite eine verdächtige Mail deshalb möglichst als Anhang weiter statt als normale Weiterleitung. DHL erklärt, warum: In einer einfach weitergeleiteten Mail fehlt der vollständige Header, den das Unternehmen braucht, um gegen die Fälschung vorzugehen.

### Zwei Fälle aus dem Alltag

Ein Steuerbüro mit fünf Leuten in Graz bekommt eine Mail eines langjährigen Lieferanten: neue Bankverbindung, bitte ab sofort dorthin überweisen. Name, Signatur und Tonfall stimmen. Trotzdem schlagen zwei Schritte an, denn der Anlass ist unerwartet, und es geht um Zahlungsdaten. Die Lösung ist ein Anruf unter der Nummer aus dem bisherigen Schriftverkehr, nicht unter der aus der Mail. Noch besser ist eine feste Regel im Team, dass neue Kontodaten nie allein per Mail übernommen werden.

Ein Haushalt in Bremen bekommt eine Mail, nach der das Bankkonto gesperrt wird, wenn die Daten nicht bis Mitternacht bestätigt werden. Ein Blick in die Banking-App zeigt: kein Hinweis, keine Sperre. Die Mail wird gemeldet und gelöscht, damit ist die Sache erledigt. Genau diesen Weg über die offizielle App empfiehlt auch die Verbraucherzentrale.

### Wo du eine Phishing-Mail meldest

| Land | Wohin | Gut zu wissen |
|---|---|---|
| Deutschland | an phishing@verbraucherzentrale.nrw weiterleiten | klappt das nicht, speicherst du die Mail als .eml-Datei und lädst sie auf der Seite des Phishing-Radars hoch; eine Antwort gibt es nicht |
| Österreich | über das Melde-Formular der Watchlist Internet, aufgeführt bei den [Meldestellen von onlinesicherheit.gv.at](https://www.onlinesicherheit.gv.at/Themen/Erste-Hilfe/Meldestellen.html) | bei Verdacht auf eine Straftat zusätzlich die Meldestelle für Internetkriminalität unter against-cybercrime@bmi.gv.at; sie ersetzt keine Anzeige |
| Schweiz | an reports@antiphishing.ch weiterleiten oder den Link auf antiphishing.ch eintragen | wer eine Antwort möchte, meldet über das Online-Formular des [BACS](https://www.bacs.admin.ch/de/phishing-de) |

Zusätzlich kannst du die Mail an das Unternehmen weiterleiten, dessen Name missbraucht wird; viele haben dafür eine eigene Adresse im Kontaktbereich ihrer Website. Danach löschst du sie.

### Wenn die Nachricht aufs Handy kommt

Dieselben Tricks laufen per SMS, nur mit weniger Hinweisen: kein Header, keine Maus, oft nur ein Kurz-Link und eine Absenderkennung wie „Lieferung“. Wie du [gefälschte Paket-SMS erkennst](/ratgeber/betrug-erkennen/nachrichten/paket-sms/) und was die Paketdienste der drei Länder nie per SMS verlangen, steht im Teil über Zustellnachrichten.

### Wenn ELSTER, FinanzOnline oder das Steueramt schreibt

Mails im Namen der Steuerverwaltung verdienen einen eigenen Blick, weil die Behörden genau sagen, wie sie wirklich kommunizieren. Die deutsche Steuerverwaltung etwa verschickt per Mail nur Benachrichtigungen und nie Steuerdaten oder Rechnungen als Anhang. Was in Österreich und der Schweiz gilt, findest du bei den [Maschen im Namen von Finanzamt und Steuerverwaltung](/ratgeber/betrug-erkennen/nachrichten/behoerden-nachrichten/).

### Was du jetzt tun kannst

1. Präg dir die Reihenfolge ein: Anlass, Absender, Ton, Link, Anhang. Ein Treffer bei Ton, Link oder Anhang reicht für Misstrauen.
2. Leg Lesezeichen für Bank, Paketdienst und Steuerportal an und öffne diese Seiten nur noch darüber.
3. Melde verdächtige Mails bei der Stelle deines Landes, möglichst als Anhang, und lösche sie danach.
4. Schalte überall, wo es geht, die Zwei-Faktor-Authentisierung ein; das BACS empfiehlt sie ausdrücklich.
5. Hast du schon Daten eingegeben, änderst du das Passwort sofort bei allen Diensten, die es nutzen, und lässt bei Kartendaten die Karte sperren.