Wie erkennt man gefälschte E-Mails?

Gefälschte E-Mails erkennen: So schützt du dich

Gefälschte E-Mails, oft als Phishing, Spear Phishing oder CEO Fraud bezeichnet, zielen darauf ab, Zugangsdaten zu stehlen, Malware zu verbreiten oder Geld zu erbeuten. Mit der richtigen Mischung aus Bewusstsein, Prüfschritten und technischen Kontrollen kannst du diese Mails zuverlässig identifizieren.

Was sind gefälschte E-Mails?

Gefälschte E-Mails imitieren legitime Absender wie Banken, Paketdienste, Software-Anbieter oder Kolleginnen und Kollegen. Angreifer setzen dabei auf Social Engineering, Domain-Imitation und technische Tricks, um Vertrauen zu erwecken und zu einer Handlung zu verleiten, etwa dem Klicken auf einen Link oder dem Öffnen eines Anhangs.

Häufige Erkennungsmerkmale

• Absenderadresse wirkt ungewöhnlich, z. B. paypal-support@mail-secure-pay.com statt paypal.com
• Display-Name passt, die Domain jedoch nicht (Display Name Spoofing)
• Leichte Abweichungen in der Domain, z. B. rnicrosoft.com statt microsoft.com (Homograph-Angriffe und Buchstabendreher)
• Dringlichkeit, Drohungen oder Belohnungen: Handeln Sie sofort, Ihr Konto wird gesperrt
• Unpersönliche Anrede: Sehr geehrter Kunde statt persönliche Anrede
• Grammatik- und Rechtschreibfehler, untypischer Schreibstil oder Formatierung
• Aufforderung, Passwörter, TANs, MFA-Codes oder sensible Daten preiszugeben
• Unerwartete Anhänge oder ungewöhnliche Dateitypen: ZIP, RAR, ISO, IMG, LNK, HTML, DOCM mit Makros
• Links, deren Ziel-Domain nicht zum sichtbaren Text passt oder verkürzt ist (URL-Shortener)

Links sicher prüfen

• Mauszeiger über den Link halten, um die tatsächliche Ziel-URL einzublenden
• Auf mobilen Geräten Link lange drücken und Vorschau prüfen
• Vorsicht bei URL-Shortenern: Ziel mit einem URL-Checker oder via Vorschau-Funktion prüfen
• Auf korrekte Top-Level-Domain achten: login.bank.de ist nicht identisch mit bank.de.login-support.net
• Auf Punycode/Homograph achten: xn--pple-43a.com könnte wie apple.com wirken

Anhänge sicher einschätzen

• Office-Dateien mit Makros (docm, xlsm) nicht aktivieren
• Archivdateien mit Passwortschutz sind verdächtig (Umgehung von Scannern)
• HTML-Anhänge können Login-Formulare mitschicken (HTML Smuggling)
• ISO/IMG/LNK-Dateien ermöglichen oft die Ausführung von Malware
• Unerwartete Rechnungen, Bewerbungen, Fax- oder Voicemail-Anhänge kritisch prüfen

Technische Merkmale und Header-Analyse

• Return-Path, From, Sender und Reply-To auf abweichende Domains prüfen
• Received-Kette: Unerwartete Absender-Hosts oder Geolocations sind verdächtig
• Message-ID-Domain sollte zur Absenderdomain passen
• SPF-Ergebnis: pass, fail, softfail, neutral; fail ist verdächtig
• DKIM-Signatur und Verifikation prüfen; fehlgeschlagen oder fehlend ist ein Risikoindikator
• DMARC-Ergebnis beachten: pass ist gut; reject oder quarantine-Policy ohne Pass kann auf Spoofing hindeuten

E-Mail-Authentifizierung kurz erklärt

• SPF: Legt fest, welche Server E-Mails im Namen einer Domain senden dürfen
• DKIM: Digitale Signatur, die die Unverändertheit des Inhalts belegt
• DMARC: Richtlinie, die SPF und DKIM auswertet und Anweisungen für den Umgang mit Fälschungen gibt

Typische Angriffsarten

• Phishing: Massenmails mit generischem Inhalt
• Spear Phishing: Zielgerichtete, personalisierte Angriffe
• CEO Fraud oder Business Email Compromise: Vortäuschen von Anweisungen durch Führungskräfte oder Partner
• Brand Impersonation: Täuschend echte Marken- und Servicemails
• QR-Phishing: QR-Codes in E-Mails führen auf gefälschte Login-Seiten
• MFA-Fatigue: Wiederholte Push-Anfragen, um Bestätigungen zu erzwingen

So gehst du bei Verdacht vor

• Nicht klicken, keine Anhänge öffnen, nicht antworten
• Absenderadresse und Domain sorgfältig prüfen
• Linkziel per Mausover oder Vorschau kontrollieren
• E-Mail-Header analysieren oder durch einen Header-Analyzer prüfen
• Verdächtige Mails an IT-Support oder Security-Team weiterleiten
• Passwörter sofort ändern, falls Daten eingegeben wurden; MFA aktivieren
• Gerät mit aktueller Sicherheitssoftware scannen
• Betroffene Konten überwachen und bei Bedarf sperren lassen

Tools und Dienste

• URL- und Datei-Prüfung: VirusTotal, URLScan, Hybrid Analysis
• Header-Analyse: MXToolbox Header Analyzer, Google Admin Toolbox
• Reputation: Talos Intelligence, AbuseIPDB
• Datenpannen-Prüfung: Have I Been Pwned

Für Unternehmen: Schutzmaßnahmen

• Security-Awareness-Trainings und Phishing-Simulationen
• E-Mail-Security-Gateway mit Sandboxing, Link-Rewriting und Attachment-Scanning
• Strikte DMARC-Policy mit Alignment, SPF und DKIM korrekt konfigurieren
• TLS für Transport absichern und MTA-STS sowie TLS-RPT etablieren
• Optional BIMI für Markenwiedererkennung, wenn DMARC erzwungen wird
• Anti-impersonation und Anti-spoofing-Regeln, VIP-Protection
• Klare Prozesse für Zahlungsfreigaben und Änderungsanfragen
• Incident-Response-Playbooks, Meldewege und Notfallkontakte

Best Practices für Nutzer

• Passwortmanager nutzen: Er erkennt falsche Domains, weil Autofill nur auf exakten Domains greift
• Multi-Faktor-Authentifizierung für wichtige Konten aktivieren
• Updates und Patches für Betriebssystem, Browser, E-Mail-Client zeitnah einspielen
• Private und berufliche E-Mail-Adressen trennen
• Browser-Schutzfunktionen und Safe-Browsing aktivieren
• Verdächtige Inhalte in der Vorschau nicht automatisch laden lassen (Bilderblockierung)

Schnell-Checkliste

• Passt die Domain exakt zum Absender?
• Ist der Ton ungewöhnlich dringend oder drohend?
• Stimmen Linktext und Ziel-URL überein?
• Sind SPF, DKIM, DMARC in Ordnung?
• Unerwartete Anhänge oder Anfragen nach sensiblen Daten?

Fazit

Gefälschte E-Mails lassen sich durch eine Kombination aus gesunder Skepsis, prüfenden Blick auf Absender, Links und Anhänge sowie technischen Kontrollen zuverlässig entlarven. Mit konsequenter MFA-Nutzung, geschultem Verhalten und sauber konfigurierten E-Mail-Sicherheitsstandards sinkt das Risiko erheblich, auf Phishing und Co. hereinzufallen.