Im April 2026 hat sich Phishing grundlegend verändert. Die Faustregel früherer Jahre – „Wenn die Mail Rechtschreibfehler hat oder generisch wirkt, ist es Phishing" – funktioniert nicht mehr. KI-Modelle wie ChatGPT formulieren mittlerweile fehlerfrei in jeder Sprache, sie passen sich Ihrem Branchenkontext an und wirken wie von einem echten Geschäftsführer geschrieben. Die Quote der erkannten Phishing-Mails sinkt, die Schadenshöhe pro Vorfall steigt.
Trotzdem gibt es zuverlässige Erkennungsmerkmale. Sie haben sich nur verlagert – weg von der Sprachebene hin zu technischen Details, Header-Inkonsistenzen und Kontext-Brüchen. Wir zeigen die acht Merkmale, an denen Sie auch eine perfekt formulierte KI-Phishing-Mail sicher entlarven – inklusive konkreter Beispiele, Header-Auswertung und dem, was zu tun ist, wenn der Klick schon passiert ist.
Wie Phishing 2026 wirklich aussieht
Vor zehn Jahren kam die typische Phishing-Mail als plumpe Bank-Imitation: „Sehr geehrter Kunde, Ihr Konto wurde gesperrt, klicken Sie hier." Mit krudem Deutsch, falschem Logo, generischer Anrede. Heute sieht eine Phishing-Mail an einen Geschäftsführer eines Mittelständlers so aus:
wie heute Morgen am Telefon besprochen, anbei die Rechnung von Müller Industrieanlagen für die Lieferung der Komponenten. Die Zahlung war ja für gestern fällig, daher bitte ich um sofortige Überweisung an die im Anhang genannte Bankverbindung.
Falls Rückfragen, bin ich heute bis 16 Uhr im Büro erreichbar.
Beste Grüße
Chris
--
Christoph Müller
Müller Industrieanlagen GmbH
Tel. +49 89 / 1234567
Drei Dinge fallen auf, wenn Sie sehr genau hinschauen: Erstens ist der Absender chris.mueller@firma-mueller-gmbh.de – aber die Signatur sagt „Müller Industrieanlagen GmbH". Zweitens steht da „wie heute Morgen am Telefon besprochen" – um sofortiges Handeln zu erzeugen, ohne dass Sie nachfragen können. Drittens existiert die Rechnung nur als Anhang (vermutlich PDF mit Macro oder Link). Wenn Sie bisher nie Telefonate mit diesem Christoph Müller geführt haben, ist klar: Phishing.
Diese eine Mail ist eine Variante des Geschäftsführer-Betrugs (Business Email Compromise), der Schäden im niedrigen sechsstelligen Bereich pro Vorfall verursacht. Genau diese Mail – KI-generiert, perfekt deutsch, kontextadäquat – kommt heute reihenweise.
Die 8 Merkmale, an denen Sie sie trotzdem erkennen
Generische oder leicht verkehrte Anrede
Auch KI-Phishing kennt Ihre Mailadresse, aber nicht zwingend Ihren Namen oder Ihre interne Anrede-Konvention. Wenn der Mailtext mit „Sehr geehrte Kundin, sehr geehrter Kunde" anfängt, obwohl Sie mit dem angeblichen Absender seit Jahren auf Du sind, ist das verdächtig. Wenn der Vorname falsch geschrieben ist („Hallo Daniela" statt „Hallo Daniel"), ist es eine massenhafte Versendung mit unsauberer Datenbank.
Die andere Variante: übertrieben spezifische Anrede. „Sehr geehrte Frau Geschäftsführerin der Müller GmbH" liest sich rechtsformell und ist gerade deshalb verdächtig, weil ein echter Kontakt direkter wäre.
Drohung mit Frist, Konto-Sperrung oder Rechtsfolge
Phishing erzeugt Druck. Klassisch: „Ihr Account wird in 24 Stunden gesperrt, wenn Sie nicht bestätigen" oder „Letzte Mahnung – Inkasso-Verfahren wird eingeleitet". Banken, Microsoft, PayPal und seriöse Behörden arbeiten praktisch nie mit solchen Eilfristen per Mail. Wenn etwas wirklich dringend ist, gibt es Anrufe oder Briefe.
Plus: Auch die Variante „letzte Möglichkeit, ein einmaliges Angebot zu nutzen" ist Druck. Echte Geschäftspartner respektieren Ihren Entscheidungszeitraum und drängen nicht auf sofortige Handlung.
Link-Domain stimmt nicht mit Absender überein
Das ist der zuverlässigste technische Indikator. Wenn die Mail von „PayPal" kommt, aber der Link zu paypal-security-verify.com oder secure-paypal.de führt, ist es Phishing. Echte Domains haben den Markennamen direkt vor der Top-Level-Domain: paypal.com, nicht paypal-irgendwas.com.
So prüfen Sie: Im Mailprogramm mit der Maus über den Link fahren (NICHT klicken). Unten links zeigt Ihr Browser oder Mailprogramm die Ziel-URL. Auf dem Smartphone: Link länger gedrückt halten, dann erscheint ein Vorschau-Fenster mit der Ziel-URL.
microsoft.com.security-update.net sieht aus als ob es zu microsoft.com gehört, ist aber eine Subdomain von security-update.net. Die echte Domain ist immer der Teil direkt vor der Top-Level-Domain (.com, .de, .org).Sprachliche oder kontextuelle Auffälligkeiten
KI-Mails sind sprachlich perfekt – aber sie kennen Ihren Innenkontext nicht. Wenn die angebliche Kollegin, die in echt nur „Beste Grüße" schreibt, plötzlich „Mit freundlichen Grüßen" verwendet, oder wenn Ihr Chef, der nie über sein Privathandy mailt, plötzlich von einer Privatadresse mailt – das sind Indikatoren.
Konkret bei Lieferanten-Imitationen: Echte Lieferanten kennen Ihren Bestellprozess. Sie wissen, dass Rechnungen normalerweise an die Buchhaltungsadresse gehen, nicht direkt an die Geschäftsführung. Wenn jemand das ignoriert, lohnt eine Rückfrage – aber per Telefon, nicht per Antwort auf die verdächtige Mail.
Unerwarteter Anhang in seltenen Formaten
Klassische Schadsoftware-Anhänge: .zip, .iso, .lnk, .scr, .cmd, .bat, .js, Office-Dateien mit Makros (.docm, .xlsm). Auch .html-Anhänge sind verdächtig – sie öffnen sich im Browser und können Login-Formulare imitieren, ohne dass je eine Webseite geladen wird.
Sicherer einzustufen, aber nicht völlig harmlos: .pdf, .docx, .xlsx. Auch dort gibt es Schwachstellen, aber sie werden seltener ausgenutzt. Generelle Regel: Ein unangekündigter Anhang von einem unbekannten oder leicht verfälschten Absender wird nicht geöffnet, sondern an die IT weitergeleitet.
Header-Inkonsistenzen (From, Reply-To, Return-Path)
Jede E-Mail hat Header, die normalerweise nicht angezeigt werden, aber wertvolle Hinweise enthalten. Drei Felder sind kritisch:
- From: Was Sie sehen – kann beliebig gefälscht sein
- Reply-To: Wohin geht die Antwort tatsächlich – sollte zur From-Adresse passen
- Return-Path: An wen werden Bounces geschickt – sollte zur From-Domain gehören
Wenn From [email protected] sagt, aber Reply-To [email protected] ist, ist es Phishing. Wenn Return-Path eine völlig fremde Domain hat, ist es Phishing.
So sehen Sie die Header: In Outlook über „Datei" > „Eigenschaften", in Thunderbird über „Mehr" > „Originaltext anzeigen", in Gmail über die drei Punkte > „Original anzeigen". Sie müssen die Mail nicht öffnen, um die Header zu sehen.
Diese vier Zeilen sind eine kompakte Bestätigung: Mail ist Phishing. Drei verschiedene Domains in From/Reply-To/Return-Path und alle Authentifizierungs-Checks fehlgeschlagen.
SPF-, DKIM- oder DMARC-Fehler
Diese drei Standards bilden zusammen das Authentifizierungs-System für Mails:
- SPF (Sender Policy Framework): Liste der IP-Adressen, die Mails für eine Domain verschicken dürfen.
- DKIM (DomainKeys Identified Mail): Kryptographische Signatur, die der Empfänger prüfen kann.
- DMARC (Domain-based Message Authentication): Was tun, wenn SPF oder DKIM fehlschlagen.
Wenn eine Mail mit dem Absender [email protected] kommt, aber SPF und DKIM fehlschlagen, hat ein Server, der nicht zur Bank gehört, diese Mail verschickt. Das ist fast immer Phishing oder zumindest ein Konfigurationsfehler.
Die Authentifizierungs-Ergebnisse stehen im Header unter Authentication-Results. Bei Gmail werden sie auch im Web-Interface kompakt angezeigt – kleines Symbol neben dem Absendernamen anklicken.
Aufforderung zu Daten-Eingabe oder Zahlung
Das ultimative Erkennungsmerkmal: Die Mail will, dass Sie etwas eingeben oder überweisen. Bei der Eingabe sind drei Dinge typisch:
- Login-Daten auf einer Seite, die NICHT die offizielle Login-URL des Dienstes ist
- Kreditkartendaten in einem Mail-Formular oder einer angehängten HTML-Datei
- Bestätigung von Persönlichen Daten (Adresse, Geburtsdatum, Steuer-ID), die der Anbieter eigentlich kennt
Bei der Zahlung sind drei Varianten häufig:
- Überweisung an eine neu kommunizierte IBAN, die nicht in Ihrem Stammdaten-System steht
- Kauf von Geschenkkarten (Apple, Amazon, Steam) und Übermittlung der Codes
- Krypto-Überweisung wegen angeblich „dringender Situation"
Goldene Regel: Niemals auf Mail-Aufforderung hin Geld überweisen oder Daten eingeben – immer mit dem mutmaßlichen Absender per anderem Kanal (Telefon, persönlicher Kontakt) verifizieren. Auch Vorgesetzte verstehen, wenn Sie zurückrufen, bevor Sie 30.000 Euro überweisen.
Was tun, wenn Sie geklickt oder Daten eingegeben haben
Falls Sie auf den Link geklickt haben, aber keine Daten eingegeben haben: Browser schließen, Cache und Cookies der betroffenen Domain löschen, Antivirus-Vollscan starten. Geringes Risiko, aber nicht null.
Falls Sie Login-Daten eingegeben haben:
- Sofort das Passwort ändern – nicht von dem Gerät aus, mit dem Sie geklickt haben, sondern von einem anderen.
- Zwei-Faktor-Authentifizierung aktivieren für den betroffenen Dienst, falls noch nicht aktiv.
- Login-Historie prüfen, falls der Dienst das anbietet (Google, Microsoft, Facebook). Unbekannte Anmeldungen abmelden.
- Wenn dieselben Zugangsdaten woanders verwendet wurden: dort auch ändern.
- Bei Konten mit Zahlungsdaten (Bank, PayPal, Online-Shop): Karte sperren oder Limit reduzieren, bis die Lage geklärt ist.
Falls Sie Geld überwiesen haben:
- Sofort die eigene Bank anrufen – innerhalb der ersten Stunden gibt es manchmal noch eine Rückbuchungsmöglichkeit.
- Bei beruflicher Mail: Geschäftsführung und IT informieren. Tarnen oder Vertuschen verschlimmert das Problem.
- Strafanzeige bei der Polizei stellen – auch wenn die Tatpersonen meist im Ausland sitzen, hilft die Anzeige bei Versicherungsregress.
- BSI/Bürger-CERT informieren – mit Header-Daten der Mail. Ihre Meldung kann anderen helfen.
Falls Sie Schadsoftware ausgeführt haben (Anhang geöffnet):
- Gerät vom Netzwerk trennen – LAN-Kabel ziehen, WLAN deaktivieren.
- Bei Verdacht auf Ransomware: NICHTS überstürzt löschen. Manche Wiederherstellung ist nur möglich, wenn die verschlüsselten Daten auf dem System bleiben.
- IT-Dienstleister rufen. Im Geschäftskontext sofort, im Privatumfeld einen Spezialisten ohne Zeitverlust.
- Vom externen Backup wiederherstellen, falls ein sauberes Backup existiert.
Vorbeugung im Betrieb – was wirklich hilft
SPF, DKIM, DMARC für die eigene Domain einrichten. Das schützt nicht primär Sie, sondern alle, die Mails mit Ihrem Absender bekommen – Banken, Behörden, Geschäftspartner. Sie verhindern damit, dass Ihre Domain für Phishing missbraucht wird. Einrichtung dauert 30 Minuten, kostet nichts (außer Konfiguration).
Mailfilter mit Phishing-Erkennung aktivieren. Microsoft 365 und Google Workspace haben das ab Standard, andere Hoster oft erst nach Aktivierung. Der Filter wird nicht jede Phishing-Mail erkennen, aber er filtert die offensichtlichen 90 Prozent vorab heraus.
Mitarbeiter regelmäßig schulen. Einmal jährlich eine Stunde Live-Schulung, in der echte Beispiele besprochen werden. Plus optional: Test-Phishing-Kampagnen, in denen kontrolliert Phishing-Mails an die Belegschaft verschickt werden, um die Erkennungsrate zu messen. Das ist deutlich effektiver als E-Learning-Module, die nebenher abgehakt werden.
Vier-Augen-Prinzip bei Zahlungen. Überweisungen ab einer betragsmäßigen Schwelle (z.B. 5.000 Euro) müssen von zwei Personen bestätigt werden. Das verhindert die meisten CEO-Fraud-Fälle, weil ein zweiter Mensch die ungewöhnliche Zahlungsanweisung kritisch hinterfragt.
Klare Kommunikationswege. Vereinbaren Sie intern, dass keine Zahlungsanweisungen oder Passwortwechsel per Mail allein erfolgen – immer telefonische Rückbestätigung. Das gibt Mitarbeitern die Erlaubnis, kritisch nachzufragen, ohne dass sie sich blamieren müssen.
Mail-Sicherheit von Grund auf einrichten
Wir richten SPF, DKIM und DMARC für Ihre Domain ein, konfigurieren Mailfilter und schulen Ihre Belegschaft. Komplett-Paketfür Betriebe bis 25 Mitarbeiter.
Service-Seite SicherheitSonderform: Spear-Phishing und CEO-Fraud
Während klassisches Phishing massenhaft verschickt wird – einer von 1.000 fällt drauf rein, das reicht für die Täter – ist Spear-Phishing gezielt. Die Täter recherchieren Ihren Betrieb, kennen Ihre Geschäftsführung, Ihre Lieferanten, Ihre laufenden Projekte. Daraus bauen sie eine Mail, die so kontextspezifisch ist, dass sie kaum von einer echten Mail zu unterscheiden ist.
CEO-Fraud (auch „Chef-Masche") ist die häufigste Form: Eine Mail erscheint vom Geschäftsführer, geschickt an die Buchhaltung oder Finanzabteilung, mit einer eiligen Zahlungsanweisung. Oft mit Hinweis, dass der Geschäftsführer gerade in einer Sitzung ist und nicht erreichbar – um Rückfragen zu verhindern.
Die einzige zuverlässige Abwehr: Verfahren, nicht Erkennung. Wenn jede Überweisung über einer Schwelle ein Vier-Augen-Prinzip braucht und jede Änderung von Bankverbindungen telefonisch verifiziert werden muss, fällt der CEO-Fraud auf. Wenn die Buchhaltung allein im Zeitdruck überweisen darf, hat sie keine Chance gegen einen guten Phishing-Versuch.
Quishing – Phishing per QR-Code
Eine relativ neue Variante, die zunehmend in Umlauf ist: QR-Codes in Mails statt Links. Vorteil für Angreifer: Mailfilter analysieren den Inhalt eines Bildes nicht so leicht, der QR-Code passiert oft alle Filter. Sie scannen ihn mit dem Smartphone (das nicht durch Firmen-Sicherheit geschützt ist), landen auf einer gefälschten Login-Seite und geben Daten ein.
Klassisches Quishing-Szenario: „Ihr Microsoft-365-Account benötigt eine Sicherheits-Bestätigung. Scannen Sie den QR-Code." Sie scannen mit dem privaten Handy, landen auf microsoft365-secure.com, geben Login-Daten ein – die in dem Moment zum Angreifer fließen, der dann Ihren echten Account übernimmt.
Regel: QR-Codes in unverlangten Mails niemals scannen. Wenn ein Dienst tatsächlich eine Verifizierung verlangt, gehen Sie aktiv auf dessen Website (URL selbst eintippen, nicht Suchmaschinen-Treffer anklicken) und prüfen dort die Anmelde-Sicherheit.
Fazit
Phishing 2026 ist sprachlich besser geworden, aber die acht strukturellen Erkennungsmerkmale gelten unverändert: generische Anrede, Druckaufbau, Link-Domain-Mismatch, kontextuelle Auffälligkeiten, verdächtige Anhänge, Header-Inkonsistenzen, fehlgeschlagene Authentifizierung, Aufforderung zu Daten oder Zahlung. Wer diese acht Punkte verinnerlicht hat, erkennt auch eine perfekt formulierte KI-Phishing-Mail.
Im Betrieb ist die wirksamste Vorbeugung nicht die Erkennung, sondern das Verfahren: Vier-Augen-Prinzip bei Zahlungen, telefonische Rückbestätigung bei Bankverbindungs-Änderungen, klare Kommunikationswege. Wer das hat, übersteht auch eine Phishing-Welle, ohne dass aus einem Klick echter Schaden wird.