Die wichtigsten Schutzpunkte auf einen Blick
- Absendername allein reicht nicht, weil er problemlos gefälscht werden kann.
- Links, Anhänge und Zahlungsaufforderungen gehören zu den größten Risiken.
- SPF, DKIM und DMARC erschweren gefälschte Nachrichten im Namen einer Domain.
- Eine verdächtige Nachricht sollte nicht beantwortet und nicht über ihren Link geöffnet werden.
- Nach einem Klick helfen schnelles Passwortwechseln und die Information der Bank, den Schaden zu begrenzen.
Was hinter gefälschten Absendern steckt
Beim E-Mail-Spoofing wird eine Nachricht so dargestellt, als stamme sie von einer vertrauenswürdigen Person oder Organisation. Gefälscht werden können der sichtbare Absendername, die angezeigte Adresse oder technische Kopfdaten der Nachricht. Für mich ist der wichtigste Punkt dabei, dass eine vertraute Absenderadresse kein Beweis für die Echtheit ist.
Kriminelle nutzen diese Methode vor allem für Phishing, Rechnungsbetrug und sogenannte CEO-Fraud-Angriffe. Eine Nachricht kann beispielsweise angeblich vom Vorstand kommen und eine dringende Überweisung verlangen oder scheinbar von einem Paketdienst stammen und zur Zahlung einer kleinen Gebühr auffordern.
| Variante | Typisches Beispiel | Gefahr |
|---|---|---|
| Gefälschter Anzeigename | „Ihre Bank“ erscheint als Absender | Der Empfänger prüft die tatsächliche Adresse nicht. |
| Gefälschte Absenderadresse | Eine Nachricht wirkt wie eine Mail von einer bekannten Domain. | Links oder Anhänge können zu Datendiebstahl führen. |
| Ähnliche Domain | „paketdienst-deutschland.com“ statt der echten Unternehmensdomain | Die Nachricht kann technisch korrekt aussehen und trotzdem betrügerisch sein. |
Das BSI weist darauf hin, dass Phishing-Mails häufig auf Zugangsdaten oder Zahlungsinformationen abzielen. Ich halte deshalb die Kombination aus technischer Prüfung und gesundem Misstrauen für entscheidend. Kein Filtersystem erkennt jede professionell gefälschte Nachricht zuverlässig.
Wie der Betrug technisch funktioniert
Eine E-Mail besteht nicht nur aus dem sichtbaren Text. Im Hintergrund gibt es unter anderem den sichtbaren From-Eintrag, die technische Envelope-Absenderadresse und das Feld Reply-To, an das Antworten geschickt werden. Betrüger versuchen, diese Angaben so zu kombinieren, dass die Nachricht im Postfach überzeugend wirkt.
Der sichtbare Name täuscht besonders leicht
Viele Mailprogramme zeigen zunächst nur einen Namen wie „Sparkasse Kundenservice“ an. Die tatsächliche Adresse bleibt verborgen, obwohl sie etwa auf eine fremde Domain oder einen kostenlosen Mailanbieter verweist. Ich öffne deshalb bei unbekannten Nachrichten immer die vollständige Absenderinformation, bevor ich einen Link anklicke.
Eine ähnliche Domain ist nicht dieselbe Domain
Bei sogenannten Lookalike-Domains werden kleine Unterschiede ausgenutzt, etwa ein zusätzlicher Buchstabe, ein Bindestrich oder eine ungewohnte Länderendung. Auch international ähnliche Zeichen können problematisch sein. Ein Schloss-Symbol im Browser beweist nur eine verschlüsselte Verbindung, nicht dass die Website zum behaupteten Unternehmen gehört.
Warum Authentifizierung wichtig ist
Bei SPF hinterlegt der Domaininhaber, welche Mailserver Nachrichten für seine Domain versenden dürfen. DKIM versieht eine Nachricht mit einer digitalen Signatur, die der Empfänger prüfen kann. DMARC verbindet beide Verfahren mit einer Richtlinie und legt fest, wie mit nicht authentischen Nachrichten umgegangen werden soll.
Diese Verfahren schützen vor allem die Domain des Absenders. Sie verhindern nicht automatisch, dass ein Angreifer ein bereits kompromittiertes echtes Postfach benutzt oder eine ähnlich aussehende Domain registriert. Genau deshalb bleibt die inhaltliche Prüfung der Nachricht unverzichtbar.
Woran ich verdächtige Nachrichten erkenne
Eine einzelne Auffälligkeit muss noch kein Betrugsbeweis sein. Mehrere Signale zusammen sollten mich aber sofort bremsen, besonders wenn Geld, Passwörter oder persönliche Daten verlangt werden.
- Ungewöhnliche Dringlichkeit: Die Nachricht droht mit Kontosperrung, Gebühren oder Fristen von wenigen Stunden.
- Unpassender Absender: Name und tatsächliche Adresse gehören nicht zusammen oder die Domain enthält Schreibfehler.
- Abweichendes Antwortfeld: Beim Antworten erscheint eine andere Adresse als die des sichtbaren Absenders.
- Verdächtige Links: Der sichtbare Text nennt eine bekannte Firma, der Link führt aber zu einer fremden Domain.
- Unerwartete Anhänge: Besonders riskant sind Dateien mit Makros, ausführbaren Inhalten oder angeblichen Rechnungen.
- Ungewöhnlicher Schreibstil: Sprachfehler, unpersönliche Anrede oder ein Ton, der nicht zur Organisation passt.
- Neue Zahlungsdaten: Eine Änderung der Bankverbindung sollte immer über einen bereits bekannten Kontaktweg bestätigt werden.
Meine praktische Regel lautet: Nie aus der verdächtigen Nachricht heraus verifizieren. Stattdessen rufe ich die Website des Unternehmens selbst auf oder nutze eine Telefonnummer aus einem Vertrag, einer Rechnung oder dem offiziellen Impressum.
Auch die Sicherheitsanzeige des Mailprogramms sollte nicht überbewertet werden. Eine bestandene SPF- oder DKIM-Prüfung sagt, dass die Nachricht technisch zu einer Domain passt, aber nicht zwingend, dass der Inhalt seriös ist.
Was nach dem Öffnen oder Klicken zu tun ist
Das Öffnen einer reinen Textmail ist meist weniger kritisch als das Eingeben von Daten oder das Ausführen eines Anhangs. Entscheidend ist, was nach dem Öffnen passiert ist. Ich würde deshalb nicht in Panik geraten, aber die nächsten Schritte ohne Verzögerung erledigen.
- Keine weiteren Eingaben machen: Formular schließen und keine Sicherheitscodes oder Passwörter absenden.
- Nachricht melden: Im Mailprogramm als Phishing markieren und anschließend löschen.
- Passwort ändern: Wenn Zugangsdaten eingegeben wurden, das Passwort über die echte Website ändern.
- Mehrfaktor-Anmeldung prüfen: Unbekannte Sitzungen, Geräte und Wiederherstellungsadressen entfernen.
- Bank kontaktieren: Bei Zahlungsdaten, Überweisungen oder Kreditkarteninformationen sofort die Bank anrufen.
- Gerät prüfen: Nach einem verdächtigen Download einen aktuellen Sicherheitscheck durchführen und das Gerät bei Bedarf vom Netz trennen.
Ich rate außerdem davon ab, dem angeblichen Absender zu antworten. Damit bestätigt man möglicherweise nur, dass die eigene Adresse aktiv genutzt wird. Bei geschäftlichen Nachrichten sollte der Vorfall intern dokumentiert werden, damit nicht mehrere Personen auf dieselbe Kampagne hereinfallen.
Wie Unternehmen ihre Domain schützen
Privatnutzer können die Authentifizierung einer fremden Domain nicht nachrüsten. Unternehmen, Vereine und Selbstständige können aber sehr viel dafür tun, dass ihre Adresse nicht einfach für Betrugsnachrichten missbraucht wird.
| Verfahren | Aufgabe | Wichtige Grenze |
|---|---|---|
| SPF | Legt erlaubte Versandserver für eine Domain fest. | Schützt nicht allein vor jeder sichtbaren Absenderfälschung. |
| DKIM | Signiert Nachrichten kryptografisch und schützt ihre Integrität. | Eine gültige Signatur beweist nicht, dass der Inhalt harmlos ist. |
| DMARC | Prüft die Übereinstimmung von Domain und Authentifizierung und gibt eine Empfangsrichtlinie vor. | Eine zu strenge Einführung kann zunächst legitime Mails blockieren. |
Lesen Sie auch: Social Engineering erkennen und Betrug sicher abwehren
Die sinnvolle Reihenfolge
Ich würde zuerst alle legitimen Versanddienste erfassen, etwa Microsoft 365, Google Workspace, Newsletter-Systeme und Shopsoftware. Danach werden SPF und DKIM sauber eingerichtet. Erst wenn die Auswertung stabil ist, sollte DMARC schrittweise von p=none zu strengeren Richtlinien wie Quarantäne oder Ablehnung wechseln.
Ein häufiger Fehler ist ein zu langer oder mehrfach vorhandener SPF-Eintrag. SPF erlaubt nur eine begrenzte Zahl von DNS-Abfragen, weshalb große Organisationen ihre Versanddienste sorgfältig konsolidieren müssen. Ebenso wichtig ist, abgelöste DKIM-Schlüssel zu entfernen und die DNS-Einträge regelmäßig zu kontrollieren.
Google empfiehlt für eine gute Zustellbarkeit inzwischen ausdrücklich die Kombination aus SPF, DKIM und DMARC. Das ist nicht nur eine technische Formalität. Eine geschützte Domain erschwert Betrügern die glaubwürdige Nachahmung und reduziert zugleich das Risiko, dass legitime Mails im Spam landen.Warum technische Filter allein nicht genügen
Moderne Maildienste erkennen viele gefälschte Nachrichten anhand von Absenderauthentifizierung, Inhalt, Links, Versandmuster und Reputation. Trotzdem kann eine Phishing-Mail durchkommen, wenn sie von einem echten, zuvor übernommenen Konto stammt oder eine neue, ähnlich aussehende Domain verwendet.
Für private Haushalte ist deshalb eine einfache Routine oft wirksamer als zusätzliche Software. Ich prüfe bei Zahlungsaufforderungen immer den Anlass, die Zieladresse und den Kontaktweg getrennt voneinander. Bei Routern, Smart-Home-Geräten und Onlinekonten sollten außerdem einzigartige Passwörter und Mehrfaktor-Authentifizierung aktiviert sein.
Die wichtigste Grenze bleibt menschlich: Eine überzeugende Mail darf nicht zu einer schnellen Handlung zwingen. Wer bei ungewöhnlichen Zahlungen, Login-Warnungen oder Anhängen kurz innehält und den Vorgang über einen unabhängigen Kanal bestätigt, nimmt dem Betrug den größten Teil seiner Wirkung.
