Phishing-Mail erkennen: 7 Merkmale für Ihr Team

„Ihr Konto wurde gesperrt – handeln Sie sofort.“ Eine angebliche Rechnung im Anhang, eine dringende Bitte, die scheinbar vom Chef kommt: Verdächtige E-Mails landen in jedem Postfach, auch in Betrieben. Die entscheidende Frage im Alltag lautet dann: Ist das echt? Die gute Nachricht vorweg – eine Phishing-Mail erkennen Sie fast immer an wenigen, wiederkehrenden Mustern. Technische Filter halten vieles ab, doch die letzte Instanz sitzt am Posteingang: der Mensch. Dieser Beitrag zeigt Ihnen ruhig und praktisch, woran Sie eine gefälschte E-Mail erkennen – und wie ein kurz geschultes Team zum wirksamsten Schutz vor dem folgenschweren Klick wird.

Warum ausgerechnet Betriebe?

Ein weit verbreiteter Trugschluss lautet: „Wir sind zu klein, für uns interessiert sich kein Angreifer.“ Genau das Gegenteil stimmt. Die meisten Phishing-Angriffe sind nicht gezielt auf ein bestimmtes, lohnendes Unternehmen gerichtet, sondern laufen automatisiert und massenhaft. Millionen gleichartiger Mails gehen an alle erreichbaren Adressen – wer darauf hereinfällt, entscheidet der Zufall, nicht die Betriebsgröße. In Deutschland zielen rund 80 Prozent der Cyberangriffe auf kleine und mittlere Unternehmen (BSI-Lagebericht 2025).

Und der Weg in den Betrieb führt fast immer über dieselbe Tür: das E-Mail-Postfach. Mehr als zwei Drittel der erfolgreichen Angriffe starten per E-Mail (GDV/Forsa); branchennah wird die Größenordnung sogar mit „rund neun von zehn Angriffen kommen per Mail“ beziffert (Deutsche Handwerks Zeitung). Ob zwei Drittel oder neun von zehn – die Botschaft ist dieselbe: Wer seine Mitarbeitenden am Posteingang sensibilisiert, schließt das mit Abstand wichtigste Einfallstor.

Die 7 Erkennungsmerkmale einer Phishing-Mail

Fast jede Phishing-Mail verrät sich durch eines oder mehrere dieser sieben Muster. Wer sie kennt, erkennt den Betrug in Sekunden – unabhängig davon, wie professionell die Mail aussieht:

1. Dringlichkeit und Drohung. „Sofort handeln“, „Konto gesperrt“, „letzte Mahnung“ – künstlicher Zeitdruck soll das Nachdenken ausschalten. Seriöse Absender setzen Sie nicht unter Sekunden-Druck.
2. Unpassende oder minimal abweichende Absenderadresse. Der angezeigte Name stimmt, die Adresse dahinter aber nicht – etwa eine zusätzliche Ziffer, eine falsche Endung oder eine fremde Domain. Prüfen Sie immer die echte Adresse, nicht nur den Anzeigenamen.
3. Das Link-Ziel weicht vom sichtbaren Text ab. Halten Sie die Maus über den Link, ohne zu klicken – am Handy den Link lang antippen. Zeigt die eingeblendete Zieladresse woanders hin als erwartet, ist das ein deutliches Warnsignal.
4. Ein unerwarteter Anhang. Eine Rechnung, eine Bewerbung, ein Lieferschein, den Sie nicht erwartet haben – besonders als .zip, .html oder Office-Datei mit Makros. Anhänge, mit denen Sie nicht rechnen, öffnen Sie nicht.
5. Unpersönliche oder falsche Anrede. „Sehr geehrter Kunde“ statt Ihres Namens oder eine schlicht falsche Anrede deutet auf einen Massenversand hin.
6. Aufforderung zur Preisgabe von Zugangsdaten oder Geld. Passwörter, Zahlungen, der Kauf von Gutscheinkarten – kein seriöser Dienstleister und keine Bank fordert so etwas per Mail an.
7. Ein Bruch im gewohnten Ablauf. Der „Chef“ bittet per Mail um eine kurzfristige Überweisung, ein „Lieferant“ meldet plötzlich eine neue Kontonummer. Diese Masche heißt CEO-Fraud – im Zweifel über einen bekannten, zweiten Weg rückfragen, nie über die Kontaktdaten aus der verdächtigen Mail.

Neu 2026 – KI-Phishing ohne Rechtschreibfehler

Viele verlassen sich noch auf die alte Faustregel: „Schlechtes Deutsch, holprige Formulierungen – also Fake.“ Diese Regel trägt nicht mehr. Mit KI-Werkzeugen erstellen Angreifer heute fehlerfreie, gut formulierte und optisch überzeugende Mails, oft in korrektem Deutsch und im passenden Firmenton. Rechtschreibung und Layout sind damit kein verlässliches Erkennungsmerkmal mehr.

Die Konsequenz ist keine Panik, sondern eine Verschiebung des Blicks: Prüfen Sie Absender und Ablauf statt Grammatik. Nicht „klingt das holprig?“ ist die entscheidende Frage, sondern „Passt diese Mail zu einem Vorgang, den ich erwarte – und stimmt die Adresse dahinter?“. Die sieben Muster von oben funktionieren auch bei perfekt geschriebenen Mails, weil sie am Inhalt und am Kontext ansetzen, nicht an der Sprache.

Der 30-Sekunden-Check vor jedem Klick

Für den Alltag reicht ein kurzer, immer gleicher Reflex, bevor Sie auf einen Link klicken oder einen Anhang öffnen. Diese fünf Fragen passen an jede Pinnwand in der Teeküche:

1. Erwarte ich diese Mail? Rechne ich mit dieser Rechnung, diesem Paket, dieser Anfrage?
2. Stimmt der Absender wirklich? Nicht nur der Name – die Adresse dahinter prüfen.
3. Wohin führt der Link? Mauszeiger drüber (nicht klicken), Zieladresse lesen.
4. Werde ich unter Druck gesetzt? Drohung, Frist, Ausnahme-„sofort“ – dann erst recht misstrauisch.
5. Werde ich zu Daten oder Geld gedrängt? Passwort, Zahlung, Gutschein – niemals ohne Rückfrage.

Im Zweifel gilt eine einzige Regel: nicht klicken, sondern fragen. Lieber einmal zu viel nachgehakt als einmal zu oft geklickt.

Team sensibilisieren, das wirklich wirkt

Der beste Filter nützt wenig, wenn nur die Chefin ihn kennt. Wirksam wird der Schutz erst, wenn ihn das ganze Team im Reflex hat – und das gelingt nicht mit einer einmaligen Schulung, die nach zwei Wochen vergessen ist. Wirksam ist kurze, wiederkehrende Sensibilisierung: fünf Minuten im Team-Meeting, ein Beispiel aus der echten Post, eine regelmäßige Erinnerung an die sieben Muster.

Ein bewährtes Mittel sind simulierte Test-Mails: harmlose, aber realistisch gestaltete Phishing-Übungen, die zeigen, wo der Betrieb wirklich steht. Die Erfahrung aus der Awareness-Praxis ist ernüchternd und motivierend zugleich – beim ersten Test klicken erfahrungsgemäß etwa 20 bis 35 Prozent der Belegschaft (Erhebungswerte aus der Schulungspraxis, keine amtliche Statistik). Mit jeder Wiederholung sinkt diese Quote. Wichtig ist der Ton: Es geht nicht ums Bloßstellen, sondern ums Üben.

Entscheidend ist außerdem ein klarer, angstfreier Meldeweg. Jede und jeder muss wissen, an wen eine verdächtige Mail gemeldet wird – und dass Nachfragen ausdrücklich erwünscht ist. Der Satz „Lieber einmal zu viel gefragt als einmal zu wenig“ gehört zur Betriebskultur. Wo ohnehin KI-Werkzeuge im Einsatz sind, ist eine dokumentierte Unterweisung der Beschäftigten seit Februar 2025 sogar Pflicht (Art. 4 der EU-KI-Verordnung) – ein guter Anlass, Sicherheit und KI-Kompetenz in einem Aufwasch zu schulen.

Wenn doch geklickt wurde

Trotz aller Vorsicht kann es passieren – und dann zählt vor allem eines: kein Vorwurf, sondern schnelles, ruhiges Handeln. Wer nach einem Fehlklick sofort meldet, begrenzt den Schaden erheblich. Diese vier Schritte gehören in jeden Betrieb:

• Ruhig bleiben und dazu stehen. Ein gemeldeter Fehler ist ein kleiner Fehler; ein verschwiegener wird groß.
• Passwörter ändern – am besten von einem anderen, sicheren Gerät aus, zuerst für den betroffenen Dienst und für überall dort, wo dasselbe Passwort genutzt wurde.
• Gerät vom Netz trennen (WLAN aus, Netzwerkkabel ziehen), aber nicht ausschalten – so bleiben Spuren für eine spätere Analyse erhalten.
• Intern melden, damit die Verantwortlichen weitere Konten sperren, Kolleginnen und Kollegen warnen und den Vorfall bewerten können.

Für den strukturierten Ablauf im Ernstfall lohnt ein vorbereiteter IT-Notfallplan für Betriebe – die ausgehängte Notfallkarte, die im Fall der Fälle jedem den nächsten Schritt vorgibt. Und wenn aus dem Klick eine Verschlüsselung Ihrer Daten geworden ist, führt Sie unser Beitrag zu Ransomware im Betrieb durch die ersten, entscheidenden Stunden. So bleibt eine verdächtige Mail das, was sie sein sollte: ein kurzer Moment der Aufmerksamkeit – und kein Schaden.