So erkennen Sie Phishing-E-Mails, SMS, Anrufe und gefälschte Websites – und was Sie dagegen tun können
Bei vali.now analysieren wir jede Woche viele E-Mails, und die gleichen Muster tauchen immer wieder bei Angriffen auf, die selbst die besten Filter umgehen. Das Wissen um diese 15 Warnsignale macht den Unterschied zwischen einem Beinahe-Unfall und einer kostspieligen Verletzung aus.
Hier sind die 15 häufigsten Warnzeichen, die wir im Jahr 2025 sehen – gruppiert, damit sie leicht zu merken sind und Ihrem Team vermittelt werden können.
Absender- und Identitäts-Warnsignale
- Die Absenderadresse stimmt nicht ganz überein
„Amazon Bestellungen“ kommen von amazon-support@amaz0n-verification.net oder einer zufälligen Gmail-Adresse.
Was zu tun ist: Bewegen Sie den Mauszeiger über den Namen (nicht klicken) und überprüfen Sie die echte E-Mail-Adresse. - Allgemeine Begrüßungen anstelle Ihres Namens
„Sehr geehrte/r Kunde/in“, „Geschätzte/r Benutzer/in“, „Kontoinhaber/in“ – echte Organisationen, die Sie kennen, werden Ihren Namen verwenden.
Was zu tun ist: Behandeln Sie sie mit besonderer Vorsicht und überprüfen Sie den Absender über einen anderen Kanal. - Ausgabe als Führungskraft oder Kollege (Whaling)
Plötzliche dringende Anfrage des CEO, CFO oder eines Mitarbeiters, der um Zahlungen, Geschenkkarten oder Daten „vertraulich“ bittet.
Was zu tun ist: Immer über einen anderen Kanal verifizieren (Anruf, Slack/Teams, persönlich).
Druck- und Dringlichkeitstricks
- Sie werden gedrängt oder bedroht
„Ihr Konto läuft in 1 Stunde ab“, „Es werden heute rechtliche Schritte eingeleitet“ – seriöse Unternehmen wenden selten Angstmache an.
Was zu tun ist: Anhalten und sich direkt über die offizielle Website oder App anmelden, anstatt zu klicken. - Unerwartete Rechnungen oder plötzliche Änderungen der Zahlungsdetails
Ein Lieferant oder Kollege möchte plötzlich, dass Geld auf ein neues Bankkonto überwiesen wird.
Was zu tun ist: Nehmen Sie den Hörer in die Hand und rufen Sie eine bekannte Nummer an, bevor Sie handeln. - Anfragen nach Passwörtern, MFA-Codes oder Kreditkartendaten
Keine echte Bank, Personalabteilung oder IT-Team wird Sie jemals auffordern, mit einem Passwort zu antworten oder einen Einmalcode zu „bestätigen“.
Was zu tun ist: Geben Sie die Informationen niemals weiter und leiten Sie die Nachricht an Ihr Sicherheitsteam weiter.
Link- und Anhangswarnungen
- Links, die nicht dorthin führen, wo sie vorgeben
Blauer Text sagt microsoft.com, aber die tatsächliche URL ist micros0ft-security.net oder eine Reihe von Zufallszahlen.
Was zu tun ist: Bewegen Sie den Mauszeiger (oder drücken Sie lange auf dem Handy), bevor Sie klicken. Im Zweifelsfall geben Sie die Adresse manuell ein. - Unerwartete Anhänge oder ungewöhnliche Dateitypen
.zip, .iso, .js, .scr, .htm oder Office-Dateien, die Sie auffordern, „Makros zu aktivieren“.
Was zu tun ist: Nicht öffnen – stattdessen über einen vertrauenswürdigen Kanal nach einer sicheren PDF-Datei fragen. - QR-Codes in E-Mails oder PDFs („Quishing“)
Scannen Sie diesen Code, um „Ihr Paket / Ihre Rechnung / Ihre Steuerrückerstattung anzuzeigen“.
Was zu tun ist: Scannen Sie niemals unaufgeforderte QR-Codes – geben Sie die Adresse manuell ein. - HTTPS-Vorhängeschloss ist vorhanden … aber die Domain ist falsch
Ein grünes Schloss bedeutet nicht mehr sicher. Vertrauen Sie nur dem tatsächlichen Domainnamen.
Was zu tun ist: Überprüfen Sie die Domain sorgfältig und fahren Sie nur fort, wenn sie genau mit der offiziellen Website übereinstimmt.
Design- und Sprach-Giveaways
- Leicht „abgeändertes“ Design und Branding
Falsche Farben, Logos mit niedriger Auflösung, seltsame Schriftarten oder eine Fußzeile, die nicht mit früheren E-Mails übereinstimmt.
Was zu tun ist: Vergleichen Sie mit einer echten Nachricht, die Sie zuvor erhalten haben. - Grammatik, Rechtschreibung oder umständliche Formulierungen
KI hat dies reduziert, aber viele Kampagnen (insbesondere von Nicht-Muttersprachlern) enthalten immer noch seltsame Sätze.
Was zu tun ist: Verwenden Sie es als einen weiteren Grund, langsamer zu werden und zu überprüfen.
Sprach-, Video- und Mehrkanalangriffe
- Unerwartete Anrufe (Vishing)
„Microsoft Support“, „Ihre Bank“ oder sogar „interne IT“, die aus heiterem Himmel anrufen und nach Fernzugriff oder Codes fragen.
Was zu tun ist: Legen Sie auf und rufen Sie eine offizielle Nummer zurück. - Deepfake-Sprach- oder Videoanrufe
Ein ungeplanter Teams-/Zoom-Anruf, bei dem „der Chef“ dringend eine Genehmigung oder einen Code benötigt.
Was zu tun ist: Überprüfen Sie jede ungewöhnliche Anfrage über einen zweiten Kanal. - MFA-Müdigkeit / Push-Bombing
Sie erhalten plötzlich 10–20 Anmeldebestätigungsanfragen, obwohl Sie sich nirgendwo anmelden.
Was zu tun ist: Immer auf „Ablehnen“ drücken und dann Ihr Passwort von einem vertrauenswürdigen Gerät aus ändern.
Ihr 3-Stufen-Reflex, der fast jeden Angriff stoppt
- Pause – Fühlt sich irgendetwas leicht seltsam an?
- Überprüfen – Verwenden Sie einen zweiten, unabhängigen Kanal (Telefonanruf, offizielle App, bekannter Kollege).
- Melden – Leiten Sie die Nachricht an Ihr IT-/Sicherheitsteam weiter (oder an report@vali.now, wenn Sie unser Kunde sind).
Eine Sekunde gesunden Misstrauens schlägt Wochen der Bereinigung.
Bleiben Sie wachsam, bleiben Sie sicher!
Im Zweifelsfall: vali.now
Ihre beste Verteidigung ist gesunde Skepsis. Wenn etwas nur ein wenig daneben oder ein bisschen zu gut erscheint, um wahr zu sein – ist es das wahrscheinlich auch. Ihre beste Option ist es, die Details an help@vali.now weiterzuleiten. Unsere Cybersicherheitsexperten erkennen und bekämpfen solche Angriffe seit Jahrzehnten. Ihr erster Fall (bis zu einer Stunde Recherche) auf unserer Seite ist kostenlos, mit erschwinglichen Preisen danach. Sie haben nichts zu verlieren und Sie könnten katastrophale Verluste verhindern, indem Sie sich melden.