Awareness

🎣 Phishing-Mails erkennen: und nie wieder darauf reinfallen

Florian Muff · 18. März 2026 · 4 Min. Lesezeit

Phishing ist seit Jahren die häufigste Einstiegsmethode für Cyberangriffe: auf Privatpersonen genauso wie auf Unternehmen. Nicht weil Menschen dumm sind. Sondern weil Angreifer sehr gut geworden sind. Und weil wir täglich hunderte E-Mails verarbeiten, oft unterwegs, unter Zeitdruck, auf kleinem Smartphone-Display.

Was ist Phishing überhaupt?

Der Begriff kommt vom englischen «fishing»: Angeln. Angreifer werfen einen Köder aus und warten, wer anbeisst. Das Ziel: Zugangsdaten stehlen, Schadsoftware installieren oder Geld überweisen lassen. Die Methode: Eine täuschend echte E-Mail, die vorgibt, von einer vertrauenswürdigen Stelle zu kommen.

Klassische Absender in Phishing-Mails: Post, SUVA, Steuerbehörde, Netflix, Postfinance, Microsoft, DHL. Alles Marken, bei denen eine unerwartete Nachricht nicht weiter auffällt.

Die 7 Warnsignale einer Phishing-Mail

1. Dringlichkeit und Druck

«Ihr Konto wird in 24 Stunden gesperrt.» «Sofortige Zahlung erforderlich.» «Bestätigen Sie Ihre Daten bis heute Mittag.»: Zeitdruck schaltet das kritische Denken aus. Das ist Absicht. Echte Organisationen sperren keine Konten ohne vorherige schriftliche Mahnung.

2. Unbekannte oder leicht abweichende Absenderadresse

Die Anzeige im «Von»-Feld kann beliebig gesetzt werden: das ist kein Beweis. Entscheidend ist die eigentliche E-Mail-Adresse dahinter. postfinance-alert@mail-secure.net ist nicht Postfinance. Auf Mobilgeräten diesen technischen Absender explizit einblenden.

3. Generische Anrede

«Sehr geehrter Kunde», «Lieber Nutzer», «Hallo»: Institutionen die deine Kundendaten haben, sprechen dich mit deinem Namen an. Ausnahmen gibt es, aber generische Anreden in Kombination mit anderen Signalen sind ein klares Warnsignal.

4. Verdächtige Links

Fahre mit der Maus über den Link (ohne zu klicken) und lies die tatsächliche Zieladresse unten im Browser. Oder klicke auf dem Mobilgerät lange auf den Link um die URL anzuzeigen. postfinance-login.ch.account-verify.ru ist keine Schweizer Bank. Echte Sites haben kurze, klare URLs.

Tipp

Geh nie über den Link in einer E-Mail auf deine Bank oder wichtige Konten. Tippe die Adresse direkt in den Browser: oder nutze dein gespeichertes Lesezeichen.

5. Anhänge die du nicht erwartet hast

ZIP-Dateien, Word-Dokumente mit «aktiviere Makros», PDFs die ein Passwort verlangen: nichts davon öffnen wenn du die E-Mail nicht erwartet hast. Besonders gefährlich: «Ihre Rechnung» oder «Ihr Paket» als Datei.

6. Sprachliche Fehler: aber nicht immer

Früher war schlechtes Deutsch ein sicheres Zeichen. Heute ist KI-generiertes perfektes Schweizerdeutsch möglich. Sprachfehler sind ein Warnsignal, aber keine Garantie in die andere Richtung.

7. Zu gutes Angebot oder unerwartete Nachricht

«Sie haben gewonnen.» «Ein unbekannter Erbfall wartet.» «Rückerstattung von CHF 340.–»: wenn du nichts bestellt, erwartet oder gewonnen hast, ist die Nachricht wahrscheinlich gefälscht.

Was tun wenn man draufgeklickt hat?

Ruhig bleiben: Schaden lässt sich oft noch begrenzen.

Wichtig

Wenn du auf einen Link geklickt aber nichts eingegeben hast, ist das Risiko meist gering. Das grosse Risiko entsteht beim Eingeben von Passwörtern oder Zahlungsdaten auf der gefälschten Seite.

Kurzcheckliste: Phishing-Prüfung in 30 Sekunden

👤
Florian Muff
Lead Digital Forensics & Cyber Security Advisory. CyberSeal-Auditor. Vorstandsmitglied Allianz Digitale Sicherheit Schweiz. Schreibt jeden Mittwoch über Cybersecurity: praxisnah und ohne Fachjargon.

Kostenlose Vorlagen für dein Unternehmen

Druckfertige Cybersecurity-Checklisten und Notfallpläne: gratis, sofort verwendbar.

Vorlagen herunterladen →