# Phishing-Mails erkennen: Merkmale, Beispiele, Risikobewertung

> Phishing erkennst du an Zeitdruck, Datenabfrage, falschem Absender und getarntem Link. BSI-Merkmale, Beispiele, Hilfe nach dem Klick, Grenzen eines Risikowerts.

Stand: 2026-10-29 · Faktenprüfung: 2026-10-29 · Quelle: https://commandmail.app/de/wissen/phishing-erkennen · English: https://commandmail.app/en/learn/spot-phishing-emails.md

Eine Phishing-Mail erkennst du am sichersten an dem, was sie von dir will: Du sollst unter Zeitdruck Zugangsdaten eingeben, einen Link öffnen, einen Anhang starten oder Geld überweisen. Prüfe dann die tatsächliche Absenderadresse, das Ziel des Links und ob das Anliegen zu deiner Beziehung mit dem Absender passt. Im Zweifel fragst du über einen Weg nach, den du selbst heraussuchst, und nie über Links oder Nummern aus der Mail.

## Woran erkennst du eine Phishing-Mail?

Das BSI nennt fünf Merkmale. Trifft mindestens eines davon zu, solltest du misstrauisch werden, denn dann handelt es sich laut BSI mit hoher Wahrscheinlichkeit um Phishing[^1]:

- **Dringender Handlungsbedarf.** Die Mail behauptet etwa, deine Daten gingen unwiederbringlich verloren, wenn du sie nicht umgehend aktualisierst.
- **Drohungen.** Ohne deine Reaktion werde dein Konto gesperrt.
- **Abfrage vertraulicher Daten.** Du sollst die PIN für dein Onlinebanking oder eine Kreditkartennummer eingeben.
- **Links oder Formulare** in der Mail.
- **Ein ungewöhnliches Anliegen.** Die Mail scheint von einer bekannten Person oder Organisation zu stammen, aber die Bitte passt nicht zu ihr.

Die Verbraucherzentrale NRW ergänzt Merkmale, die man leicht übersieht[^3]. Banken fragen PIN oder TAN niemals per Mail oder Telefon ab. Schreibt dir eine Bank, bei der du kein Konto hast, oder mahnt ein Shop Ware an, die du nie bestellt hast, ist das ein Warnsignal. Steht im An-Feld nicht deine eigene Adresse, gilt das ebenfalls als Hinweis.

## Sind Rechtschreibfehler noch ein gutes Zeichen?

Fehlerhaftes Deutsch spricht weiterhin für Phishing, fehlerfreies Deutsch spricht aber nicht dagegen. Das BSI schreibt, Kriminelle gingen inzwischen professioneller vor; Tippfehler oder seltsame Umlaute seien nur noch selten ein eindeutiger Hinweis[^1]. Die Verbraucherzentrale NRW zählt Grammatikfehler, kyrillische Buchstaben im Text und die Anrede „Sehr geehrter Kunde“ zu den leicht erkennbaren Fällen, warnt aber, dass manche Täter deinen Namen kennen und dich persönlich anschreiben[^3].

## Wie prüfst du den Absender?

Der angezeigte Name ist frei wählbar und beweist nichts. Hinter dem Namen „Sparkasse“ kann jede beliebige Adresse stehen. Das BSI rät, die eingebettete Adresse anzusehen: im Mailprogramm, indem du mit der Maus über die Absenderzeile fährst, ohne zu klicken, im Browser über den Quelltext der Mail[^1].

Auch eine echt wirkende Absenderadresse ist kein Beweis, denn Absenderangaben lassen sich fälschen[^3]. Wer es genau wissen will, liest laut Verbraucherzentrale den Mail-Header, in dem die IP-Adresse des Absenders steht[^3]. Im Alltag hilft eine einfachere Frage: Gehört die Domain hinter dem @ zu dem Unternehmen, und passt das Anliegen zu dem, was du mit ihm zu tun hast?

## Wie prüfst du einen Link, ohne ihn zu öffnen?

Fahr am Rechner mit der Maus über den Link und lies die Adresse, bevor du klickst. Ein Schloss oder „https://“ ist laut BSI keine Entwarnung mehr, weil auch Betrüger Zertifikate für ihre Seiten erwerben[^1]. Stutzig machen sollte dich ein Firmenname mit ungewöhnlichen Zahlen oder Zeichen, im Beispiel des BSI `www.135x-Bank.de`, und ein Link über einen Kurz-URL-Dienst, der das eigentliche Ziel verbirgt; im Zweifel verzichtest du auf den Klick[^1].

Maßgeblich ist der Teil der Adresse direkt vor dem ersten einzelnen Schrägstrich, und dort das Ende. In `https://bank.de.konto-check.example/login` gehört die Seite zu `konto-check.example`; „bank.de“ davor kann jeder vor seine eigene Adresse setzen. Ähnlich wirken vertauschte Zeichen: Ein großes I statt eines kleinen l macht aus „PayPaI“ in vielen Schriften ein echt aussehendes „PayPal“.

QR-Codes in Mails können ebenfalls zu gefälschten Seiten führen. Die Checkliste von BSI und Polizei rät, sie nicht unüberlegt zu öffnen, weil sie als Links fungieren können[^2]. Fragt dich eine angebliche Bank nach dem Anmelden erneut nach Name, Adresse oder IBAN, bist du laut BSI mit hoher Wahrscheinlichkeit auf einer gefälschten Seite gelandet[^1].

## Worauf achtest du bei Anhängen?

Öffne einen Anhang aus einer unerwarteten Mail nicht. Die Verbraucherzentrale NRW rät, bei Mails mit Dateianhang grundsätzlich misstrauisch zu sein und sich auch von angedrohten Folgen wie einer Kontosperrung nicht zum Öffnen drängen zu lassen[^3]. Die Checkliste von BSI und Polizei nennt Formate wie .exe und .scr, die Schadsoftware direkt auf das Gerät laden können, und warnt vor Doppelendungen wie `.pdf.exe`[^2].

## Beispiele: so sehen typische Phishing-Mails aus

Die folgenden Beispiele haben wir zusammengestellt und gekürzt; Absender und Adressen sind erfunden und enden auf `.example`. Jedes zeigt eines oder mehrere der Merkmale, nach denen BSI und Verbraucherzentrale fragen. Das vierte Beispiel ist streng genommen Zahlungsbetrug ohne Datenabfrage, kommt aber auf demselben Weg.

| Masche | So beginnt die Mail | Woran du sie erkennst |
| --- | --- | --- |
| Paket und Zollgebühr | „Ihre Sendung wird zurückgehalten. Zahlen Sie 1,99 € Zollgebühr innerhalb von 24 Stunden.“ | Frist, kleiner Betrag, Link zu einer Zahlseite, die Kartendaten abfragt. Sendung in der App oder auf der Website des Paketdienstes prüfen, deren Adresse du selbst eingibst. |
| Bank und TAN | „Ihr Sicherheitsverfahren läuft ab. Bestätigen Sie es jetzt, sonst sperren wir Ihren Zugang.“ | Drohung, Frist, Anmeldung über einen Link. Eine TAN-Abfrage, ohne dass du eine Überweisung ausgelöst hast, ist laut BSI ein klares Indiz für eine gefälschte Seite[^1]. |
| Zahlungsdienst eingeschränkt | Absender „PayPaI Service“ mit `service@paypal.com.konto-check.example` | Großes I statt l im Namen, fremde Domain hinter dem Markennamen, Druck. |
| Rechnung mit neuer Bankverbindung | „Bitte überweisen Sie die offene Rechnung ab sofort auf unser neues Konto.“ | Geänderte Bankdaten per Mail. Vor der Zahlung beim Absender über eine Nummer bestätigen, die du schon kennst. |
| Mahnung mit Anhang | „Letzte Mahnung“ mit dem Anhang `Rechnung_Oktober.pdf.exe` | Unerwarteter Anhang, Doppelendung, angedrohte Folgen. |
| Postfach voll | „Ihr Postfach ist voll. Melden Sie sich innerhalb von 48 Stunden an, sonst gehen neue Mails verloren.“ | Anmeldeseite außerhalb deines Mailanbieters, Drohung, Frist. |

## Was tust du mit einer verdächtigen Mail?

Antworte nicht auf die Mail, klicke keinen Link und öffne keinen Anhang[^3]. Willst du wissen, ob sie echt ist, frag beim Anbieter nach: telefonisch über eine Nummer, die du selbst heraussuchst, oder über die Website, deren Adresse du selbst eintippst[^2][^3].

Melden hilft auch anderen. Die Verbraucherzentrale NRW sammelt Phishing-Mails für ihr Phishing-Radar und bittet, sie direkt an `phishing@verbraucherzentrale.nrw` weiterzuleiten, nicht als Anhang; wenn möglich auch an den echten Anbieter[^3]. In Gmail meldest du eine Mail am Computer über das Dreipunkt-Menü neben „Antworten“ und „Phishing melden“[^4]. Hast du den Betrugsversuch rechtzeitig erkannt, kannst du die Mail danach löschen und die Absenderadresse sperren[^3].

## Was tust du, wenn du schon geklickt hast?

Lösch die Mail dann nicht, denn sie ist laut Verbraucherzentrale ein wichtiges Beweismittel für die Polizei[^3]. Was als Nächstes zählt, hängt davon ab, was passiert ist. Verbraucherzentrale NRW sowie BSI und Polizeiliche Kriminalprävention empfehlen:

1. **Nur den Link geöffnet:** Auch ohne Dateneingabe kann eine präparierte Seite Schadsoftware laden, wenn Virenschutz, Browser oder Betriebssystem nicht aktuell sind. Aktualisiere den Virenschutz, lass den ganzen Rechner prüfen, kontrolliere die automatischen Updates und zieh im Zweifel Fachleute hinzu[^3].
2. **Einen Anhang geöffnet:** Benutze den Rechner nicht weiter, bis du sicher bist, dass er sauber ist, und arbeite bis dahin an einem anderen Gerät. Ein Virenscan gibt laut Verbraucherzentrale keine volle Sicherheit; im Zweifel prüfen Fachleute den Rechner[^3].
3. **Bank- oder Kartendaten weitergegeben:** Zugang über den kostenfreien Sperr-Notruf 116 116 sperren lassen, aus dem Ausland über die gebührenpflichtige Nummer +49 116 116. Danach die Kontoumsätze prüfen, mit der Bank die weiteren Schritte klären und nach der Entsperrung nur neue Passwörter und PINs verwenden[^2].
4. **Zugangsdaten zu einem Konto weitergegeben:** sofort ein neues Passwort vergeben, unmittelbar danach in den Einstellungen alle aktiven Sitzungen beenden und prüfen, ob Einstellungen geändert oder Einkäufe getätigt wurden. War es dein Mailkonto, prüfe auch die Konten, deren Passwort sich über diese Adresse zurücksetzen lässt[^2].
5. **Geldforderung nach dem Klick:** nicht zahlen und Rat bei Polizei, Verbraucherzentrale oder einem Rechtsbeistand suchen[^2].

In jedem Fall rät die Checkliste zur Anzeige bei der örtlichen Polizeidienststelle, auch bei einem vagen Verdacht[^2]. Für die Zukunft empfiehlt sie Zwei-Faktor-Authentisierung oder Passkeys. Einen zweiten Faktor bestätigst du nie, nur weil dich jemand am Telefon darum bittet[^2].

## Was leistet eine automatische Risikobewertung?

Eine automatische Bewertung fasst Merkmale zusammen, die du sonst einzeln prüfen müsstest, und lenkt deinen Blick auf die verdächtigen Mails. Große Mailanbieter tun das bereits: Gmail zeigt bei verdächtigen Nachrichten eine Warnung oder verschiebt sie direkt in den Spamordner, und eine falsch markierte Mail kannst du dort umstufen[^4].

Jede solche Bewertung kann irren. Sie kann eine gut gemachte Fälschung übersehen und eine echte Mail als verdächtig markieren. Ein niedriger Wert bestätigt deshalb nicht, dass eine Mail echt ist; die Prüfung von Anliegen, Absender und Link bleibt bei dir.

## Wie schätzt Command Mail Phishing ein?

Command Mail ist unser Produkt. Wir haben die folgenden Aussagen gegen den ausführenden App-Code geprüft, nicht nur gegen die Dokumentation.

Für jede eingehende Mail holt Command Mail eine Einschätzung in Prozent für Spam, Betrug und Phishing ein[^5]; wann sie ausfällt, steht weiter unten. Die Prozentwerte liefert der Dienstleister TypeSafe mit seinem Modell Jev.

Übermittelt werden Absender, Empfänger, Betreff, bis zu 4.000 Zeichen Text und die Namen der Anhänge[^6]. Betreff und Text bereinigt Command Mail vorher nach festen Mustern, etwa um Einmalcodes, Passwörter, IBANs, lange Tokens und Link-Parameter; eine vollständige Entfernung aller sensiblen Angaben garantiert das nicht. Hast du eigene automatische Labels eingerichtet, gehen auch deren Namen, Kennungen und Einordnungsanweisungen mit.

Links und Anhänge werden für die Prüfung nie geöffnet[^5][^6].

Daneben prüft Command Mail selbst einige Merkmale und nennt Treffer als Hinweise unter der Bewertung:

- fordert Zugangsdaten oder Zahlungsinformationen an,
- meldet eine neue oder geänderte Bankverbindung,
- enthält eine Rechnung oder Zahlungsaufforderung,
- der Absendername passt nicht zur tatsächlichen Absenderdomain,
- enthält einen verschleierten Link, etwa eine IP-Adresse, einen Kurzlink oder eine getarnte Domain,
- der Dateiname eines Anhangs weist auf ein ausführbares oder makrofähiges Format hin; den Inhalt untersucht Command Mail dabei nicht,
- enthält mögliche Anweisungen an einen KI-Agenten.

Ab 85 Prozent bei Phishing oder Betrug und ab 90 Prozent bei Spam gilt eine Mail als hohes Risiko. Bei hohem Risiko oder bei Hinweisen auf Zugangsdaten, Bankverbindung, unpassenden Absender, verschleierten Link oder ausführbaren Anhang bietet die geöffnete Mail „In Spam verschieben“ an. In den Details jeder Bewertung steht der Satz „KI-Einschätzung, keine Garantie“.

Was ohne dich passiert, hängt von der Autonomiestufe des Postfachs ab. Auf `auto` verschiebt Command Mail eine Mail mit hohem Risiko selbst in den Spam, es sei denn, du hast eine Mail dieses Absenders selbst als „kein Spam“ markiert. Auf `suggest` und `rules` entsteht ein Vorschlag, auf `read` verschiebt Command Mail nichts.

Auch auf `auto` wird aus einer geschützten Mail nur ein Vorschlag. Geschützt sind etwa Sicherheitshinweise, Rechnungen, Fristen, Termine und persönliche Nachrichten, außerdem Verläufe, in denen du schon geantwortet hast oder mehrere Absender schreiben, und Nachrichten von Absendern, denen du schon geschrieben hast, sofern die Prüfung sie nicht als Rundmail einstuft. Erkennt Command Mail einen eindeutig getarnten Köder, etwa einen Markennamen mit vertauschten Zeichen, zählt die Mail nicht mehr als Sicherheitshinweis, Rechnung, Zahlungsproblem, Frist oder Handlungsaufforderung; andere Schutzgründe bleiben.

Ist Jev nicht verbunden, nicht erreichbar oder ein Tageskontingent aufgebraucht, gibt es keine Prozentwerte. Die Hinweise aus der eigenen Prüfung bleiben, und aufgrund der Bewertung wird nichts verschoben. Die Prozentwerte kannst du unter Einstellungen › Automatik & Regeln mit „Prozentwerte für Spam, Betrug und Phishing anzeigen“ ausblenden.

Verbindest du einen KI-Agenten, liefert Command Mail beim Lesen eines Verlaufs über MCP den Hinweis mit, dass Mailinhalte nicht vertrauenswürdige Daten sind und keine Aktionen autorisieren können, dazu das Feld `injection_suspected`. Wie präparierte Mails Agenten steuern wollen, beschreibt [Prompt Injection in E-Mails](https://commandmail.app/de/wissen/prompt-injection-in-e-mails).

Die Grenze bleibt: Die Bewertung ersetzt deine Prüfung nicht. Eine geänderte Bankverbindung bestätigst du auch bei niedrigem Wert über einen bekannten Weg, bevor du zahlst. Welche Rechte ein Agent im Postfach braucht und welche Risiken das Verbinden mit sich bringt, behandelt [Ist es sicher, E-Mail mit KI zu verbinden?](https://commandmail.app/de/wissen/ist-es-sicher-e-mail-mit-ki-zu-verbinden); alle Funktionen stehen in der [Dokumentation](https://commandmail.app/de/docs).

## Prüfstand

Stand: 2026-10-29. BSI-Seite, BSI/ProPK-Checkliste, die Seite der Verbraucherzentrale NRW (dort Stand 2026-03-25), die Gmail-Hilfe sowie Dokumentation und Datenschutzerklärung von Command Mail wurden an diesem Tag abgerufen. Die Aussagen über Command Mail beruhen zusätzlich auf dem App-Code im Commit `d9ab36c` (Risikobewertung, eigene Merkmale, Schwellen, Verhalten je Autonomiestufe, Anzeigeeinstellung, MCP-Verlauf). Einen eigenen Erkennungstest mit echten Phishing-Mails haben wir nicht durchgeführt.

Du kannst [kostenlos starten](https://commandmail.app/login?signup=1), eine Adresse weiterleiten, deinen Agenten verbinden und die Einschätzung an deinen eigenen Mails sehen.

## Häufige Fragen

### Woran erkenne ich eine Phishing-Mail am schnellsten?

Am Anliegen. Phishing setzt dich unter Zeitdruck, droht mit Folgen und will, dass du Daten eingibst, einen Link öffnest oder einen Anhang startest. Prüfe danach die tatsächliche Absenderadresse und das Linkziel. Eine Bank fragt PIN oder TAN laut Verbraucherzentrale nie per Mail ab.

### Ist ein Link mit https und Schloss sicher?

Nein. Das BSI schreibt, dass auch Betrüger Zertifikate für ihre Seiten erwerben. Das Schloss zeigt eine verschlüsselte Verbindung, aber nicht, wer die Seite betreibt.

### Ist eine Mail ohne Fehler und mit meinem Namen echt?

Nicht unbedingt. Laut BSI sind Tippfehler nur noch selten ein eindeutiger Hinweis, und die Verbraucherzentrale NRW warnt, dass manche Täter den Namen ihrer Opfer kennen und sie persönlich anschreiben.

### Was mache ich, wenn ich schon auf den Link geklickt habe?

Lösch die Mail nicht, sie kann Beweismittel sein; hast du nur geklickt, aktualisiere den Virenschutz und lass den Rechner vollständig prüfen. Hast du Bankdaten eingegeben, lass den Zugang über den Sperr-Notruf 116 116 sperren und sprich mit deiner Bank. Hast du ein Passwort eingegeben, ändere es sofort und beende alle aktiven Sitzungen. BSI und Polizei raten außerdem zur Anzeige.

### Erkennt Command Mail jede Phishing-Mail?

Nein. Command Mail versucht, jede eingehende Mail in Prozent auf Spam, Betrug und Phishing einzuschätzen, und nennt verdächtige Merkmale; ist der Bewertungsdienst nicht verfügbar, bleiben nur diese Hinweise. Die App selbst nennt das eine KI-Einschätzung ohne Garantie. Nur auf der Autonomiestufe auto verschiebt Command Mail Mails mit hohem Risiko selbst in den Spam.

## Quellen

1. [BSI: Wie erkenne ich Phishing in E-Mails und auf Webseiten?](https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Spam-Phishing-Co/Passwortdiebstahl-durch-Phishing/Wie-erkenne-ich-Phishing-in-E-Mails-und-auf-Webseiten/wie-erkenne-ich-phishing-in-e-mails-und-auf-webseiten_node.html), abgerufen am 2026-10-29
2. [BSI und Polizeiliche Kriminalprävention: Phishing, Checkliste für den Ernstfall (PDF)](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Wegweiser_Checklisten_Flyer/Checkliste_BSI_ProPK_Phishing.pdf?__blob=publicationFile&v=5), abgerufen am 2026-10-29
3. [Verbraucherzentrale NRW: Phishing-Mails, woran Sie sie erkennen (Stand 2026-03-25)](https://www.verbraucherzentrale.nrw/wissen/digitale-welt/phishingradar/phishingmails-woran-sie-sie-erkennen-und-worauf-sie-achten-muessen-6073), abgerufen am 2026-10-29
4. [Gmail-Hilfe: Phishing-E-Mails vermeiden und melden](https://support.google.com/mail/answer/8253?hl=de), abgerufen am 2026-10-29
5. [Command Mail: Dokumentation, Abschnitt Risikobewertung](https://commandmail.app/de/docs), abgerufen am 2026-10-29
6. [Command Mail: Datenschutzerklärung, Abschnitt Dienstleister](https://commandmail.app/privacy), abgerufen am 2026-10-29

[^1]: [BSI: Wie erkenne ich Phishing in E-Mails und auf Webseiten?](https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Spam-Phishing-Co/Passwortdiebstahl-durch-Phishing/Wie-erkenne-ich-Phishing-in-E-Mails-und-auf-Webseiten/wie-erkenne-ich-phishing-in-e-mails-und-auf-webseiten_node.html), abgerufen am 2026-10-29
[^2]: [BSI und Polizeiliche Kriminalprävention: Phishing, Checkliste für den Ernstfall (PDF)](https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Wegweiser_Checklisten_Flyer/Checkliste_BSI_ProPK_Phishing.pdf?__blob=publicationFile&v=5), abgerufen am 2026-10-29
[^3]: [Verbraucherzentrale NRW: Phishing-Mails, woran Sie sie erkennen (Stand 2026-03-25)](https://www.verbraucherzentrale.nrw/wissen/digitale-welt/phishingradar/phishingmails-woran-sie-sie-erkennen-und-worauf-sie-achten-muessen-6073), abgerufen am 2026-10-29
[^4]: [Gmail-Hilfe: Phishing-E-Mails vermeiden und melden](https://support.google.com/mail/answer/8253?hl=de), abgerufen am 2026-10-29
[^5]: [Command Mail: Dokumentation, Abschnitt Risikobewertung](https://commandmail.app/de/docs), abgerufen am 2026-10-29
[^6]: [Command Mail: Datenschutzerklärung, Abschnitt Dienstleister](https://commandmail.app/privacy), abgerufen am 2026-10-29

---

Command Mail: ein Postfach für dich und deinen KI-Agenten. Kostenlos starten: https://commandmail.app/login?signup=1 · Agent verbinden: https://commandmail.app/de/agents · MCP: https://commandmail.app/mcp