Phishing 2026: Woran du gefälschte E-Mails erkennst, wenn fehlerfreies Deutsch nichts mehr beweist

Dienstagvormittag, Simone arbeitet ihren Posteingang ab. Zwischen einer Heimkostenabrechnung und einem Arztbrief liegt eine E-Mail der Bank ihres Klienten Herrn M.: Das Konto werde „aus Sicherheitsgründen vorübergehend eingeschränkt", als Bevollmächtigte solle sie die Kontovollmacht innerhalb von 48 Stunden über einen Link neu legitimieren. Die Mail trägt das Logo der Bank, spricht Simone mit vollem Namen an, nennt Herrn M. korrekt als Kontoinhaber – und ist in tadellosem Deutsch geschrieben. Vor drei Jahren hätte Simone die Fälschung an der ersten verunglückten Formulierung erkannt. Heute gibt es diese Formulierung nicht mehr. Als Berufsbetreuerin trifft sie diese Entwicklung härter als private Mail-Nutzer:innen: Sie korrespondiert täglich mit Banken, Behörden, Betreuungsgerichten und Heimen – genau den Absendern, hinter denen sich Phishing am liebsten versteckt –, und sie tut es mit Kontovollmachten und Zugriff auf Gesundheits- und Vermögensdaten ihrer Klient:innen. Ein unbedachter Klick gefährdet also fremdes Geld und besonders geschützte Daten, für die sie als Verantwortliche einsteht. Ob Simone klickt, entscheidet sich an anderen Fragen als früher – und genau die gehen wir in diesem Leitfaden durch: eine Prüfroutine, die ohne Sprachgefühl auskommt, weil sie auf das schaut, was Kriminelle nicht fälschen können.

Dein bewährtes Prüfwissen hat ausgedient

Die alte Regel war bequem und lange richtig: Phishing-Mails wurden maschinell übersetzt oder von Nicht-Muttersprachlern verfasst, und man erkannte sie an Zeichensalat, fehlenden Umlauten und Sätzen wie „Ihre Konto wurde gesperrt werden". Auch die Merkmale von Phishing-Mails bei der Verbraucherzentrale führen Sprachfehler bis heute als erstes Erkennungszeichen – schlampige Massenware kursiert weiterhin, und die darfst du auch weiterhin schnell löschen.

Gefährlich ist der Umkehrschluss: fehlerfreies Deutsch, also echt. Seit Sprachmodelle für jedermann verfügbar sind, kostet eine stilistisch saubere, persönlich zugeschnittene Betrugsmail weder Zeit noch Sprachkenntnisse. Eine Auswertung des Sicherheitsanbieters Hoxhunt, der weltweit gemeldete Phishing-Mails von 2,5 Millionen Nutzer:innen analysiert, zeigt das Tempo dieser Verschiebung (Stand: Juli 2026): Ende 2025 sprang der Anteil KI-generierter Mails an den erkannten Angriffen innerhalb eines einzigen Monats von unter 5 auf 56 Prozent, also auf rund das Vierzehnfache. Seither macht KI-generiertes Phishing dort etwa die Hälfte aller gemeldeten Angriffe aus. Das sind Herstellerdaten eines Anbieters von Sicherheitstrainings, keine amtliche Statistik. Zur selben Beobachtung kommt allerdings die Verbraucherzentrale: Es kursieren immer wieder E-Mails in perfektem Deutsch, die zunächst keinen Verdacht erwecken.

Zwei Zahlen aus dem BSI-Überblick zu Spam, Phishing & Co des Bundesamts für Sicherheit in der Informationstechnik (BSI) zeigen die Größenordnung: Mehr als die Hälfte des weltweiten E-Mail-Aufkommens ist Spam, und verseuchte E-Mail-Anhänge sind nach wie vor der häufigste Verbreitungsweg für Schadprogramme. Dein Posteingang ist damit die größte Angriffsfläche deines Büros.

Schritt 1: Innehalten, wenn jemand Druck macht

Die neue Prüfroutine beginnt nicht beim Lesen der Mail, sondern bei deiner Reaktion darauf. Kriminelle fälschen Sprache, Logos und Absendernamen. Die Mechanik ihres Geschäfts können sie nicht verstecken: Sie brauchen eine Handlung von dir, und zwar schnell, bevor du nachdenkst oder nachfragst. Deshalb steht am Anfang jeder Phishing-Mail eine Handlungsaufforderung unter Zeitdruck, oft mit Drohung: Konto wird gesperrt, Frist läuft ab, Mahnverfahren wird eingeleitet, Zugang verfällt.

Genau diese Kombination nennen die Empfehlungen des BSI zum Erkennen von Phishing-Mails als erstes Warnsignal: vorgeblich dringender Handlungsbedarf, verbunden mit angedrohten Konsequenzen. Seriöse Absender arbeiten anders. Eine Bank sperrt kein Konto per E-Mail-Ultimatum, ein Betreuungsgericht setzt Fristen förmlich und nicht per Link, und ein Heim, das wirklich Geld braucht, ruft an oder schickt eine Rechnung mit Zahlungsziel.

Daraus folgt die Regel für Schritt 1: Sobald eine Mail dich zu einer Handlung drängt – klicken, zahlen, einloggen, Anhang öffnen, Daten bestätigen –, nimmst du die Hände von der Tastatur. Nichts an einer echten Frist wird schlechter, wenn du sie zehn Minuten später über einen sicheren Weg prüfst. Die Stolperfalle in diesem Schritt bist du selbst an einem vollen Arbeitstag: Zwischen zwei Terminen ist der Impuls, „das eben schnell wegzuarbeiten", am stärksten – und genau darauf ist die Masche gebaut.

Schritt 2 und 3: Absender und Link-Ziel prüfen

Hast du innegehalten, folgen zwei Blicke, die zusammen keine Minute dauern. Beide richten sich auf Stellen, an denen die Fälschung technisch sichtbar wird, egal wie perfekt der Text ist.

Erster Blick: die tatsächliche Absenderadresse. Was dein Mailprogramm anzeigt („Sparkasse KundenService", „Amtsgericht Musterstadt"), ist ein frei wählbarer Anzeigename und beweist nichts. Dahinter liegt die echte Adresse – du siehst sie, wenn du mit der Maus über die Absenderzeile fährst, ohne zu klicken, oder auf dem Smartphone auf den Absendernamen tippst. Lies die Domain buchstabengenau, also den Teil nach dem @-Zeichen: „sparkasse.de" ist etwas anderes als „sparkasse-sicherheit.de", „service-sparkasse.com" oder „sparkasse.de.kundencheck.info". Kriminelle registrieren Domains, die auf den ersten Blick passen und sich erst beim genauen Lesen als fremd entpuppen. Und selbst eine korrekt aussehende Absenderadresse ist kein Vollbeweis, denn auch Absenderangaben lassen sich fälschen – deshalb bleibt sie ein Prüfschritt unter mehreren und ersetzt nicht die folgenden.

Zweiter Blick: das Link-Ziel. Bevor du irgendeinen Link anklickst, zeigst du mit der Maus darauf – am unteren Fensterrand oder in einem Tooltip erscheint die tatsächliche Zieladresse. Auf dem Smartphone hältst du den Link gedrückt, statt zu tippen, dann zeigt dir das Gerät die URL an. Der sichtbare Linktext („www.sparkasse.de/sicherheit") kann beliebig lauten; zählen tut, wohin der Link tatsächlich führt. Zeigt er auf eine fremde oder kryptische Domain, ist die Prüfung beendet. Eine Lücke bleibt: QR-Codes in Mails oder Briefen umgehen die Link-Vorschau komplett. Behandle sie wie einen Link, dessen Ziel du nicht sehen kannst, und tippe die Adresse des Anbieters stattdessen selbst in den Browser.

Wenn du dir das Prüfen von Absender und Link einmal als feste Bewegung angewöhnst – Maus drauf, lesen, erst dann entscheiden –, hast du den technischen Teil der Routine bereits erledigt. Für hartnäckige Zweifelsfälle gibt es noch eine tiefere Prüfebene: Im sogenannten Mail-Header steht die fälschungssichere Absender-IP; wie du ihn öffnest und liest, erklärt die Verbraucherzentrale in ihrer Merkmalsübersicht. Für den Alltag reichen aber die zwei Blicke – alles Weitere ist Kopfarbeit.

Schritt 4: Der Kontext-Check – erwarte ich diese Mail?

Der Kontext-Check ist das Herzstück der neuen Routine. Ein Sprachmodell formuliert mühelos wie deine Bank – aber es weiß nicht, ob du überhaupt Kundin dieser Bank bist, ob das Konto von Herrn M. wirklich dort geführt wird, ob gerade eine Legitimationsprüfung ansteht und über welchen Kanal deine echten Ansprechpartner:innen dich üblicherweise erreichen. Diese Fragen kannst nur du beantworten, und deshalb stellst du sie bei jeder Mail mit Handlungsaufforderung:

Besonders die Kanalfrage ist im Betreuungsalltag scharf. Betreuungsgerichte stellen förmlich zu oder nutzen den elektronischen Rechtsverkehr – wie das über das elektronische Bürger- und Organisationenpostfach (eBO) funktioniert, haben wir im Artikel eBO im Betreuungsbüro: sicher mit dem Gericht kommunizieren beschrieben. Eine einfache E-Mail „vom Gericht" mit Anhang oder Login-Link ist damit von vornherein verdächtig, ganz gleich wie amtlich sie klingt. Dasselbe Muster gilt für Banken: Die fragen weder PIN noch TAN noch Zugangsdaten per E-Mail ab – das gehört zu den festen Sicherheitsregeln, die die Verbraucherzentrale nennt.

Damit du weißt, womit du rechnen musst, hier die Köder, die auf Büros wie deines zugeschnitten sind. Aus den Betrugsmustern, die BSI und Verbraucherzentrale laufend dokumentieren, sind das die naheliegendsten Übersetzungen in den Betreuungsalltag:

Keiner dieser Köder ist für sich ein Beweis für Betrug – Heime schicken echte Rechnungen, und Passwörter laufen wirklich ab. Der Köder sagt dir nur, wo du die Schritte 1 bis 3 besonders konsequent anwendest, bevor du handelst.

Schritt 5 und 6: Keine Daten auf Zuruf – und die Rückfrage über den zweiten Kanal

Zwei Verhaltensregeln fangen auf, was durch die ersten vier Schritte rutscht. Die erste ist leicht zu merken und kennt keine Ausnahme: Zugangsdaten, PIN, TAN, Passwörter oder Ausweiskopien gibst du nie heraus, weil eine E-Mail dich dazu auffordert – auf keiner verlinkten Seite, in keinem angehängten Formular, auch nicht „zur Verifizierung". Denselben Grundsatz wendest du auf Anhänge an: Ein unerwarteter Anhang bleibt zu, auch ein vermeintliches PDF, denn hinter „Rechnung_Juli.pdf.zip" kann statt einer Rechnung ein Schadprogramm stecken.

Die zweite Regel ist die Rückfrage über einen zweiten, bekannten Kanal – das wirksamste Werkzeug bei allen Zweifelsfällen. Bist du unsicher, ob die Mail der Bank echt ist, rufst du deine bekannte Ansprechpartnerin über die Nummer an, die in deinen Unterlagen steht. Wirkt die Heimrechnung seltsam, fragst du in der Verwaltung nach, deren Durchwahl du kennst. Achte auf die Richtung: Du wählst den Kontaktweg, den du unabhängig von der Mail schon hattest. Telefonnummern, Links und Antwortadressen aus der verdächtigen Mail selbst sind tabu – sonst „verifizierst" du den Betrug beim Betrüger. Simone aus unserem Eingangsbeispiel hat genau das getan: ein Anruf bei der Filiale, dreißig Sekunden Wartezeit, klare Auskunft – die Bank hatte nichts verschickt.

Nach demselben Muster kannst du dein Büro organisieren, wenn du Mitarbeitende oder eine Vertretung hast: Verabredet einmal ausdrücklich, dass Zahlungs- und Zugangsdaten-Anfragen grundsätzlich über den Zweitkanal geprüft werden, egal von wem sie zu kommen scheinen. Dann genügt im Zweifelsfall der Verweis auf die Absprache.

Verdacht bestätigt? Melden – und im Ernstfall den Fahrplan starten

Hast du eine Mail als Phishing entlarvt, ohne geklickt zu haben, bist du fast fertig – zwei Handgriffe lohnen sich trotzdem. Melde die Mail: bei deinem E-Mail-Anbieter über die Phishing-melden-Funktion und, wenn ein echter Anbieter nachgeahmt wird, auch bei diesem. Die Verbraucherzentrale sammelt Betrugsmails unter Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein. und veröffentlicht aktuelle Maschen im Phishing-Radar der Verbraucherzentrale – ein Blick dorthin lohnt auch andersherum, wenn du wissen willst, welche Wellen gerade laufen. Danach kannst du die Mail löschen und die Absenderadresse sperren.

Anders liegt der Fall, wenn du geklickt, einen Anhang geöffnet oder Daten eingegeben hast. Dann gilt: kein stilles Weiterarbeiten in der Hoffnung, dass schon nichts passiert sein wird. Die wichtigsten Sofortmaßnahmen, die auch die Hinweise der Polizeilichen Kriminalprävention zu Phishing und die Verbraucherzentrale nennen:

• Betroffene Passwörter sofort ändern – von einem anderen, sauberen Gerät aus
• Bei Banking-Daten: Bank informieren, Konto oder Karte notfalls über den Sperr-Notruf 116 116 sperren lassen
• Die Phishing-Mail nicht löschen – sie ist Beweismittel für Polizei und Versicherung
• Anzeige erstatten und das betroffene Gerät prüfen lassen, bevor du damit weiterarbeitest

Und weil du in deinem Büro Daten von Klient:innen verarbeitest, kommt eine Prüfung dazu, die private Nutzer:innen nicht haben: Können durch den Vorfall personenbezogene Daten betroffen sein – etwa weil dein Postfach kompromittiert wurde oder ein Schadprogramm Zugriff auf Akten hatte –, liegt möglicherweise eine meldepflichtige Datenpanne vor, und die 72-Stunden-Frist des Art. 33 DSGVO läuft ab Kenntnis. Wie du diese Prüfung strukturiert durchziehst, von der Risikobewertung bis zum Pannenjournal, steht im Artikel Datenpanne im Betreuungsbüro: Dein 72-Stunden-Fahrplan nach Artikel 33/34 DSGVO – lies ihn am besten, bevor du ihn brauchst.

Halte Verdachtsfälle und Vorfälle außerdem kurz schriftlich fest: Datum, Absender, Betreff, was du geprüft und getan hast. Das kostet zwei Minuten, schult deinen Blick für wiederkehrende Muster – und wenn doch einmal etwas durchrutscht, kannst du belegen, dass dein Büro sorgfältig arbeitet. Je nach Einzelfall kann diese Dokumentation auch gegenüber Aufsichtsbehörde oder Versicherung wichtig werden.

Was du dafür nicht sein musst: IT-Profi

Die Prüfroutine aus diesem Leitfaden kommt ohne IT-Wissen aus. Sie verlangt dir die Sorgfalt ab, die du aus der Vermögenssorge kennst: erst prüfen, dann handeln, im Zweifel rückfragen, das Ganze kurz dokumentieren. Alles Technische dahinter kannst du abgeben: Spam-Filter, die maschinelle Absenderprüfung und die Absicherung deines Postfachs sind Aufgabe deines E-Mail-Anbieters beziehungsweise deiner IT-Betreuung. Eine konkrete Frage für den nächsten Kontakt dorthin: „Sind für mein Postfach Spam-Filter und die technischen Absenderprüfungen aktiv, und was passiert mit als Phishing gemeldeten Mails?" Die Antwort zeigt dir schnell, ob sich jemand kümmert.

Die Entscheidung im Moment des Klicks kannst du dagegen nicht abgeben. Kein Filter erkennt jede Mail, und die gut gemachten sind gerade die, die durchkommen.