Phishing erkennen: 8 Warnsignale für Mitarbeitende

Warum Phishing das wichtigste Awareness-Thema ist

Phishing bezeichnet den Versuch, über gefälschte E-Mails, Webseiten oder Nachrichten an Zugangsdaten, Zahlungen oder vertrauliche Informationen zu gelangen. Phishing erkennen zu können gehört deshalb zu den wichtigsten Alltagskompetenzen im Bereich Datenschutz & Informationssicherheit. Es ist der mit Abstand häufigste Einstiegspunkt für Angriffe: Die ENISA weist Phishing im Threat Landscape 2025 als führenden initialen Zugangsvektor aus – rund 60 % der beobachteten Fälle beginnen damit. Auch der BSI-Lagebericht 2025 bestätigt die angespannte Bedrohungslage; von Ransomware-Angriffen sind zu einem großen Teil kleine und mittlere Unternehmen betroffen.

Weil Angriffe an einem einzigen unachtsamen Klick hängen, sind geschulte Mitarbeitende die wirksamste Verteidigungslinie – technische Filter fangen längst nicht jede Nachricht ab. Eine einzige Person, die eine gefälschte Nachricht als solche entlarvt, kann verhindern, dass Angreifer sich Zugang zu Konten, Netzwerken oder Zahlungsströmen verschaffen. Die folgenden acht Warnsignale helfen, verdächtige Nachrichten im Alltag zu entlarven. Wichtig: Kein Signal ist für sich ein Beweis, aber je mehr davon zusammenkommen, desto höher ist die Wahrscheinlichkeit eines Betrugsversuchs. Die konkreten Beispiele zu jedem Punkt zeigen, wie die jeweilige Masche in der Praxis aussieht – und machen das Erkennen im hektischen Arbeitsalltag deutlich greifbarer. Wer die Muster einmal verinnerlicht hat, bemerkt sie auch dann, wenn eine Nachricht auf den ersten Blick völlig unverdächtig wirkt.

Die 8 Warnsignale, an denen Sie Phishing erkennen

1. Dringender Handlungsdruck und Drohungen. „Ihr Konto wird in 24 Stunden gesperrt" oder „letzte Mahnung": Phishing erzeugt gezielt Zeitdruck und Angst, damit Empfänger handeln, bevor sie nachdenken. Seriöse Organisationen setzen selten so kurze Ultimaten. Typisch ist etwa eine angebliche Paketbenachrichtigung, die eine kleine „Zollgebühr" binnen zwei Stunden verlangt – sonst werde die Sendung zurückgeschickt. Wer den erzeugten Druck bewusst bemerkt und kurz innehält, hat den entscheidenden Schritt zur Entlarvung schon getan. Faustregel: Je dringlicher eine Nachricht klingt, desto ruhiger sollte man reagieren.
2. Aufforderung zur Eingabe vertraulicher Daten. Banken, Behörden und Dienstleister fragen Passwörter, PINs oder vollständige Kreditkartendaten nie per E-Mail oder über einen Link ab. Genau das ist das Kernziel jeder Phishing-Mail. Ein häufiges Muster: Eine Mail im Bank-Design bittet, wegen einer angeblichen „Sicherheitsüberprüfung" die Zugangsdaten samt TAN über ein verlinktes Formular zu „bestätigen". Kein echtes Institut verlangt so etwas – im Zweifel die Bank über die offizielle App oder die selbst eingegebene Website-Adresse kontaktieren, niemals über den Link in der Nachricht. Auch die Bitte, Codes aus einer Authenticator-App weiterzugeben, ist ein klares Alarmsignal.
3. Gefälschte oder abweichende Absenderadresse. Der angezeigte Name wirkt vertraut, die tatsächliche Adresse dahinter passt aber nicht zur Organisation (z. B. Zusätze, vertauschte Zeichen oder eine fremde Domain). Ein Blick auf die echte Absenderadresse lohnt sich immer. Statt „service@paypal.de" steht als tatsächlicher Absender etwa „service@paypal-sicherheit.info" dahinter – sichtbar erst, wenn man den Absender aufklappt oder mit dem Zeiger darüberfährt. Ähnlich tückisch sind vertauschte Buchstaben wie „rn“ statt „m“, die auf einen schnellen Blick kaum auffallen.
4. Links, die woanders hinführen. Fahren Sie mit dem Mauszeiger über einen Link, ohne zu klicken: Zeigt die eingeblendete Ziel-URL auf eine andere oder kryptische Adresse, ist Vorsicht geboten. Zugangsseiten ruft man besser manuell im Browser auf. Ein Beispiel: Der sichtbare Link-Text lautet „www.microsoft.com/login", die tatsächlich hinterlegte Ziel-URL verweist aber auf eine fremde Domain wie „ms-login-secure.xyz". Am Smartphone hilft langes Tippen auf den Link, um das echte Ziel einzublenden. Verkürzte Links oder Adressen mit vielen Sonderzeichen sind ein zusätzliches Warnzeichen.
5. Unerwartete Anhänge. Rechnungen, Bewerbungen oder Lieferbenachrichtigungen, die Sie nicht erwarten, können Schadsoftware enthalten – besonders bei Office-Dateien mit Makros oder ausführbaren Dateien. Im Zweifel nicht öffnen. Klassiker sind ein ZIP-Archiv namens „Rechnung_offen.zip" oder ein Word-Dokument, das nach dem Öffnen auffordert, „zur Anzeige die Bearbeitung zu aktivieren" – also Makros einzuschalten, die dann Schadcode ausführen. Wer eine Rechnung oder Bewerbung nicht erwartet hat, klärt besser kurz über einen bekannten Kanal, ob der Absender die Datei wirklich verschickt hat.
6. Unpersönliche oder unpassende Anrede. „Sehr geehrter Kunde" von einem Anbieter, der Ihren Namen kennt, ist ein Warnzeichen. Umgekehrt schließt eine korrekte Anrede Phishing nicht aus – zielgerichtete Angriffe recherchieren Namen vorab. Ein typisches Beispiel ist die Nachricht „Sehr geehrter Nutzer, Ihr Postfach hat das Speicherlimit erreicht", obwohl der echte Anbieter Sie sonst stets mit vollem Namen anspricht. Auffällig ist auch, wenn plötzlich geduzt oder in einem ganz anderen Stil geschrieben wird als gewohnt.
7. Ungewöhnliches Anliegen von bekannten Absendern. Beim Spear-Phishing geben sich Angreifer als Kollege, Vorgesetzter oder Partner aus. Eine untypische Bitte – etwa eine eilige, vertrauliche Überweisung – sollte über einen zweiten Kanal geprüft werden. In der Praxis kommt so eine Mail scheinbar von der Geschäftsführung: „Sind Sie am Platz? Bitte besorgen Sie kurzfristig Gutscheinkarten und senden mir die Codes – ich bin in einem Meeting und nicht erreichbar." Ein kurzer Anruf auf der bekannten Nummer entlarvt den Betrug.
8. Zahlungs- oder Kontoänderungs-Aufforderungen. Beim Business E-Mail Compromise (BEC) bzw. CEO-Fraud fordern Angreifer Überweisungen oder geänderte Bankverbindungen an. Solche Anweisungen brauchen immer eine Freigabe über einen verifizierten, zweiten Weg. Ein verbreitetes Beispiel: Ein vermeintlicher Lieferant meldet per Mail eine „neue Bankverbindung" und bittet, die nächste offene Rechnung auf das geänderte Konto zu überweisen – das Geld landet direkt beim Angreifer. Fester Grundsatz sollte sein: Geänderte Bankdaten werden nie allein per Mail bestätigt, sondern immer telefonisch über eine bekannte Nummer gegengeprüft.

Auffälligkeiten im Gesamtbild – aber Vorsicht bei Rechtschreibung. Logos, Layout oder Tonfall können unstimmig wirken, etwa ein leicht verzerrtes Firmenlogo, ein unpassender Betreff oder eine ungewohnte Grußformel. Wichtig: Das BSI weist ausdrücklich darauf hin, dass Rechtschreib- und Grammatikfehler kein verlässliches Merkmal mehr sind – moderne, teils KI-generierte Phishing-Mails sind oft fehlerfrei und professionell. Verlassen Sie sich deshalb auf die inhaltlichen Signale, nicht auf einen Tippfehler.

Was tun bei Verdacht auf Phishing?

Die wichtigste Regel lautet: Bei Zweifel nicht klicken, keine Anhänge öffnen, keine Daten eingeben. Verdächtige Nachrichten werden nicht einfach gelöscht, sondern an die IT-Abteilung oder eine interne Meldeadresse weitergeleitet – so kann das Unternehmen Muster erkennen und andere warnen, bevor die Kampagne größeren Schaden anrichtet. Im Zweifel lohnt sich außerdem ein Rückruf beim vermeintlichen Absender über eine bekannte, selbst herausgesuchte Telefonnummer – niemals über die Kontaktdaten aus der verdächtigen Nachricht. Auch ein kurzer Rückfrage-Anruf beim Kollegen, dessen Name unter einer ungewöhnlichen Bitte steht, kostet nur eine Minute und verhindert im Zweifel einen teuren Fehler.

Wurde bereits geklickt oder ein Passwort eingegeben, zählt Schnelligkeit: umgehend die IT informieren, das betroffene Passwort ändern und – wo möglich – bestehende Sitzungen abmelden. Wer Zugangsdaten auf einer gefälschten Seite eingegeben hat, sollte dasselbe Passwort auch überall dort ändern, wo es zusätzlich verwendet wird. Eine offene Fehlerkultur ist dabei entscheidend, denn wer eine Meldung fürchtet, meldet nicht – und dann bleibt ein Angriff womöglich unbemerkt, bis es zu spät ist. Genau deshalb gehört zu jedem guten Awareness-Konzept die Botschaft: Melden ist erwünscht und wird nicht bestraft. Wer meldet, schützt nicht nur sich selbst, sondern das gesamte Team vor der nächsten Welle derselben Kampagne.

Vom Einzelfall zum System: Mitarbeitende dauerhaft schützen

Einzelne Warnsignale zu kennen, ist der erste Schritt. Belastbar wird die Abwehr erst, wenn Erkennen und Melden regelmäßig geübt werden – etwa in einem strukturierten Security-Awareness-Programm mit wiederkehrenden Lerneinheiten und Phishing-Simulationen. Warum der Mensch im Zentrum der IT-Sicherheit steht, erklärt der Beitrag Was ist Security Awareness?. Vollständigen Schutz gibt es dabei nicht. Hinweis in eigener Sache: Fertige, standardisierte Phishing- und Awareness-Schulungen, die genau diese Warnsignale trainieren, bündelt Bridgly in seinen Datenschutz- und Informationssicherheits-Schulungen. So wird aus einzelnem Wissen eine gelebte Routine, auf die sich Beschäftigte im Ernstfall stützen können. Entscheidend bleibt, im Zweifel nachzufragen und Verdachtsfälle zu melden.

Was ist der Unterschied zwischen Phishing und Spear-Phishing?

Klassisches Phishing wird breit gestreut und ist an viele Empfänger gleichlautend – etwa eine gefälschte Paket- oder Banknachricht an Tausende Adressen. Spear-Phishing ist dagegen gezielt: Angreifer recherchieren vorab Namen, Rolle und Umfeld einer bestimmten Person und formulieren die Nachricht individuell. Dadurch wirkt sie glaubwürdiger und ist deutlich schwerer zu erkennen.

Was ist Business E-Mail Compromise (BEC)?

Beim BEC – auch CEO-Fraud genannt – geben sich Angreifer als Führungskraft, Kollege oder Geschäftspartner aus und veranlassen eilige Überweisungen oder geänderte Bankverbindungen. Die Nachrichten wirken oft täuschend echt und setzen auf Zeitdruck und Autorität. Schutz bietet ein fester Freigabeprozess, bei dem solche Anweisungen immer über einen zweiten, verifizierten Kanal bestätigt werden.

Sind Rechtschreibfehler ein sicheres Zeichen für Phishing?

Nein. Das BSI stellt ausdrücklich klar, dass Rechtschreib- und Grammatikfehler kein verlässliches Merkmal mehr sind. Viele Phishing-Mails sind heute sprachlich einwandfrei und professionell gestaltet, auch weil generative KI beim Verfassen hilft. Verlassen Sie sich deshalb nicht auf Fehler, sondern auf die inhaltlichen Warnsignale wie Zeitdruck, verdächtige Links und ungewöhnliche Datenabfragen.

Was sollten Mitarbeitende nach einem Klick tun?

Sofort die IT-Abteilung informieren, keine weiteren Eingaben vornehmen und betroffene Passwörter ändern – auch überall dort, wo dasselbe Passwort zusätzlich verwendet wird. Wo möglich, bestehende Sitzungen abmelden. Je schneller gemeldet wird, desto eher lässt sich der Schaden begrenzen. Wichtig: Meldungen sollten ohne Angst vor Konsequenzen und ohne Schuldzuweisung möglich sein.

• ENISA – Threat Landscape 2025 (Phishing ≈ 60 % der initialen Zugangsvektoren; Berichtszeitraum Juli 2024–Juni 2025): enisa.europa.eu (veröffentlicht 01.10.2025).
• BSI – Wie erkenne ich Phishing in E-Mails und auf Webseiten? (Warnsignale; Rechtschreibfehler kein verlässliches Merkmal): bsi.bund.de (abgerufen 11.07.2026).
• BSI – Lagebericht zur IT-Sicherheit in Deutschland 2025 (Bedrohungslage, Ransomware/KMU): bsi.bund.de/lagebericht (veröffentlicht 11.11.2025, Zeitraum Juli 2024–Juni 2025).