Eine verdächtige E-Mail von einer Bank oder Behörde lässt sich meist an mehreren Signalen erkennen: ungewöhnlicher Zeitdruck, eine auffällige Absenderadresse, ein Link zu einer fremden Domain, unerwartete Anhänge oder die Aufforderung, Zugangsdaten, PIN, TAN, Kreditkartendaten oder andere sensible Informationen einzugeben. Entscheidend ist nicht, wie professionell die Nachricht aussieht, sondern ob Inhalt und Kontaktweg zum tatsächlichen Vorgang passen.
Inhaltsverzeichnis
- Verdächtige E-Mails in kurzer Zeit prüfen
- Bank-Mails mit PIN, TAN und Kontosperre richtig einordnen
- Behörden-Mails von ELSTER, Zoll und Arbeitsagentur prüfen
- Absender, Links und Anhänge technisch kontrollieren
- Was bei einer verdächtigen Mail zu tun ist
- Nach Klick oder Dateneingabe sofort handeln
- FAQ
Verdächtige E-Mails in kurzer Zeit prüfen
Auch fehlerfreies Deutsch, ein korrektes Logo oder eine persönliche Anrede beweisen heute keine Echtheit mehr. Kriminelle können Vorlagen täuschend echt nachbauen und Nachrichten mit bereits bekannten Daten personalisieren. Wer Zweifel hat, sollte deshalb nicht über die E-Mail reagieren, sondern Bank, Behörde oder Kundenportal über einen selbst aufgerufenen, bekannten Zugang prüfen.
Der erste Test beginnt bei der Situation. Haben Sie eine Änderung Ihrer Bankdaten beantragt, eine Steuererstattung erwartet oder mit einer Behörde über genau dieses Thema kommuniziert? Unerwartete Nachrichten mit dringendem Handlungsbedarf verdienen besondere Vorsicht.
Phishing-Mails arbeiten häufig mit Druck. Das Konto soll gesperrt werden, ein Sicherheitsverfahren angeblich ablaufen oder eine Auszahlung nur kurz verfügbar sein. Zeitdruck ist kein Beweis für Betrug, aber ein starkes Signal dafür, die Nachricht nicht direkt aus der Mail heraus zu bearbeiten.
| Prüfpunkt | Typisches Warnsignal | Sicherer Gegencheck |
|---|---|---|
| Absender | Ungewöhnliche Domain, Buchstabendreher, zusätzliche Wörter oder fremde Endung | Adresse vollständig anzeigen und mit der offiziellen Kontaktadresse vergleichen |
| Zeitdruck | „Sofort bestätigen“, kurze Frist, Drohung mit Sperre oder Gebühren | Vorgang unabhängig in App, Online-Portal oder über eine bekannte Telefonnummer prüfen |
| Link | Zieladresse passt nicht zur offiziellen Domain oder ist unnötig kompliziert | Link nicht verwenden, offizielle Internetseite selbst aufrufen |
| Datenabfrage | PIN, TAN, Passwort, Kreditkartendaten oder Ausweisdaten sollen eingegeben werden | Vorgang abbrechen und direkt beim echten Anbieter nachfragen |
| Anhang | Unerwartete Rechnung, Formular, Archivdatei oder angeblicher Bescheid | Nicht öffnen, wenn das Dokument nicht erwartet wurde |
| Zahlung | Ungewohnte IBAN, Kryptowährung, Prepaid-Zahlung oder direkte Überweisung per Mail | Forderung über offizielle Unterlagen und bekannte Kontaktdaten verifizieren |
Ein einzelnes Merkmal reicht nicht immer aus. Am zuverlässigsten ist die Kombination aus Kontextprüfung, Absenderkontrolle und einem unabhängigen Login in den offiziellen Dienst.
Phishing-Schnelltest: Wie verdächtig ist diese E-Mail?
Kreuzen Sie jedes Merkmal an, das auf die Nachricht zutrifft. Jeder Treffer zählt als ein Warnpunkt.
Auswertung
0–1 Warnpunkte: Trotzdem Absender und Vorgang kontrollieren.
2–3 Warnpunkte: Link nicht öffnen und den Vorgang unabhängig prüfen.
4–5 Warnpunkte: Hohes Phishing-Risiko. Nicht reagieren und keine Daten eingeben.
Bank-Mails mit PIN, TAN und Kontosperre richtig einordnen
PIN, TAN und Online-Banking-Passwörter gehören nicht in eine Antwortmail und nicht auf eine Seite, die über eine unerwartete E-Mail geöffnet wurde. Die Polizeiliche Kriminalprävention weist darauf hin, dass Geldinstitute keine E-Mails versenden, in denen sie nach PIN, TAN oder Kennwörtern fragen.
Im Jahr 2026 dokumentierte der Phishing-Radar der Verbraucherzentralen unter anderem angebliche Aktualisierungen von chipTAN- oder photoTAN-Verfahren, Datenbestätigungen und drohende Kontoeinschränkungen. Meist sollen Empfänger einen Link öffnen und dort Sicherheits- oder Zugangsdaten bestätigen. Auch eine persönliche Anrede beweist nichts, weil Täter bereits bekannte Daten zur Personalisierung nutzen können.
Eine Push-Freigabe oder TAN ist kein allgemeiner „Sicherheitscheck“, sondern kann eine konkrete Anmeldung oder Zahlung bestätigen. Wer nichts selbst gestartet hat, sollte die Freigabe ablehnen. Bei einer echten Zahlung müssen Betrag und Empfänger zum eigenen Vorgang passen.
Starten Sie Banking nicht über Mail-Links, sondern über die bekannte App, ein gespeichertes Lesezeichen oder die selbst eingegebene Adresse. Das BSI empfiehlt diesen direkten Zugang ebenfalls für sicherheitskritische Seiten. Ergänzend helfen Hinweise zu sicheren Online-Zahlungen in Deutschland.
Behörden-Mails von ELSTER, Zoll und Arbeitsagentur prüfen
Bei Behörden wäre die pauschale Regel „Behörden schicken niemals E-Mails“ falsch. Entscheidend ist, welche Stelle angeblich schreibt, welchen Kommunikationsweg sie für den Vorgang nutzt und ob sensible Daten oder eine ungewöhnliche Zahlung verlangt werden.
ELSTER warnt aktuell vor gefälschten E-Mails und SMS, die unter anderem mit einer Einkommensteuer-Rückzahlung locken. Die Steuerverwaltung fordert per E-Mail keine Steuernummer, Kontoverbindung, Kreditkartennummer, PIN oder Sicherheitsantwort an. Eine angebliche Steuererstattung ist kein Grund, sensible Daten über einen Mail-Link preiszugeben.
Der Zoll warnt ebenfalls vor falschen Zahlungsaufforderungen und Bescheiden. Steuerbescheide und Zahlungsaufforderungen werden grundsätzlich nicht einfach per E-Mail oder SMS zugestellt; Ausnahmen gelten bei ausdrücklich vereinbarter elektronischer Kommunikation oder vorgesehenen elektronischen Verfahren. Der Zoll verlangt weder Kryptowährungen noch Prepaid-Zahlungen und fordert keine Banking- oder Kreditkartendaten über zugesandte Links.
Gerade bei Nachrichten über Pakete überschneiden sich Behörden- und Paketbetrug häufig. Eine Mail oder SMS kann so formuliert sein, als müsse noch Zoll bezahlt oder eine Sendung freigegeben werden. Wer solche Nachrichten erhält, sollte weder den enthaltenen Link noch die angegebene Zahlungsseite verwenden. Hinweise zum Erkennen ähnlicher Nachrichten finden sich auch beim Thema gefälschte Paket-SMS.
Die Bundesagentur für Arbeit setzt verstärkt auf sichere Online-Kanäle und App-Angebote; seit 2025 wurde die allgemeine E-Mail-Kommunikation vieler Agenturen eingeschränkt. Ungewöhnliche Aufforderungen sollten daher konsequent im offiziellen Portal oder in der App geprüft werden. Logos, Aktenzeichen und Behördennamen lassen sich kopieren. Ein unabhängiger Kontaktweg ist aussagekräftiger.
Absender, Links und Anhänge technisch kontrollieren
Lesen Sie immer die vollständige E-Mail-Adresse. Achten Sie auf vertauschte Buchstaben, zusätzliche Wörter und Domains, die der echten Adresse nur ähneln. Der sichtbare Absendername allein reicht nicht.
Auch eine passende Absenderadresse ist kein endgültiger Beweis. Absenderangaben können gefälscht und echte Konten missbraucht werden. Der E-Mail-Header liefert zusätzliche Angaben zum Versandweg, ersetzt aber ebenfalls nicht die Prüfung des konkreten Vorgangs.
Bei unerwarteten Nachrichten sollte ein Link nie der Einstiegspunkt in Bank, Steuerportal oder Behördenkonto sein. Das Linkziel lässt sich in vielen Mailprogrammen anzeigen, ohne es zu öffnen. Schon kleine Abweichungen bei der Domain sind ein Warnsignal.
Ein Schloss-Symbol und „https“ beweisen nur, dass die Verbindung zu der aufgerufenen Seite verschlüsselt ist. Sie beweisen nicht, dass die Seite zur echten Bank oder Behörde gehört. Auch Betrugsseiten können verschlüsselte Verbindungen verwenden. Entscheidend ist deshalb die korrekte Domain und der Weg, über den die Seite geöffnet wurde.
Unerwartete Rechnungen, Bescheide oder Formulare können Schadsoftware enthalten. Öffnen Sie solche Anhänge nicht, bevor der Vorgang über einen anderen Kanal bestätigt wurde.
Rechtschreibfehler sind ein Warnzeichen, aber kein zuverlässiger Filter. Das BSI weist darauf hin, dass Personalisierung und KI Phishing-Mails sprachlich überzeugender machen können. Auch perfektes Deutsch muss geprüft werden.
Was bei einer verdächtigen Mail zu tun ist
Wenn eine Mail Zweifel auslöst, ist Nichtstun im ersten Moment die richtige Reaktion. Nicht auf den Button drücken, keinen Anhang öffnen, nicht antworten und keine Telefonnummer aus der Nachricht anrufen. Danach lässt sich der behauptete Vorgang unabhängig prüfen.
- Öffnen Sie Bank, ELSTER oder Behördenportal über den bekannten Zugang. Suchen Sie dort nach derselben Mitteilung, einem offenen Vorgang oder einer echten Nachricht im Postfach.
- Vergleichen Sie die vollständige Absenderadresse mit den offiziellen Angaben des Anbieters. Verwenden Sie dafür eine selbst aufgerufene Internetseite und nicht den Link aus der Mail.
- Wenn der Vorgang weiterhin unklar ist, kontaktieren Sie die Institution über eine bekannte Telefonnummer, die offizielle App, das Portal oder eine Filiale beziehungsweise Dienststelle.
- Markieren Sie eine eindeutig betrügerische Nachricht als Spam oder Phishing und löschen Sie sie anschließend. Antworten Sie nicht darauf.
- Wenn die Mail eine bekannte Marke oder Institution missbraucht, können Sie sie an deren offizielle Meldestelle weitergeben. Verdächtige Nachrichten nimmt auch das Phishing-Radar der Verbraucherzentrale Nordrhein-Westfalen entgegen.
Wer den Kontakt selbst neu aufbaut, statt Links, Telefonnummern oder Antwortfunktionen der Mail zu nutzen, verlässt die vom Angreifer kontrollierte Kommunikationskette.
Auch ein passender Zeitpunkt beweist nichts. Wer tatsächlich auf eine Bankkarte oder einen Bescheid wartet, sollte den Vorgang trotzdem unabhängig prüfen.
Was tun? Der schnelle Entscheidungsweg
Sie erwarten die Nachricht
Öffnen Sie trotzdem nicht den Link. Rufen Sie Bank, ELSTER oder Behördenportal direkt auf.
Sie erwarten die Nachricht nicht
Nicht antworten. Keine Anhänge öffnen. Vorgang über einen unabhängigen Kontaktweg prüfen.
PIN, TAN oder Passwort werden verlangt
Vorgang sofort abbrechen. Keine Zugangsdaten über die Mail eingeben.
Sie haben bereits Daten eingegeben
Passwort ändern, betroffenen Anbieter kontaktieren und Kontobewegungen kontrollieren.
Grundregel: Je wichtiger der Vorgang, desto wichtiger ist ein zweiter, unabhängiger Kontaktweg.
Nach Klick oder Dateneingabe sofort handeln
Wer nur auf einen Link geklickt, aber keine Daten eingegeben und nichts heruntergeladen hat, sollte die Seite schließen und den Vorgang über den offiziellen Dienst prüfen. Nach Passworteingabe, TAN-Freigabe, Zahlung oder geöffnetem Anhang ist schnelles Handeln nötig.
Bei kompromittierten Bankdaten sollte die Bank unverzüglich über einen bekannten Kontaktweg informiert werden. Prüfen Sie Kontobewegungen und sperren Sie betroffene Zugänge. Bei unberechtigten Transaktionen kann eine schnelle Meldung entscheidend sein.
Wurde ein Passwort auf einer Phishing-Seite eingegeben, ändern Sie es beim echten Dienst sofort. Ändern Sie auch andere Zugänge, falls dort dasselbe Passwort verwendet wurde, und aktivieren Sie möglichst eine Zwei-Faktor-Authentisierung. Bei einem betroffenen E-Mail-Konto sollten unbekannte aktive Sitzungen und Weiterleitungen geprüft werden.
Nach dem Öffnen eines verdächtigen Anhangs kann eine Prüfung des Geräts notwendig sein. Installieren Sie keine angebliche „Sicherheitssoftware“, zu der die Mail selbst auffordert. Verwenden Sie stattdessen die vorhandenen Sicherheitsfunktionen, aktualisieren Sie das System und holen Sie bei konkretem Malware-Verdacht fachliche Unterstützung. Eine saubere Sicherungsstrategie hilft dabei, wichtige Daten unabhängig vom Gerät verfügbar zu halten; praktische Grundlagen dazu bietet der Beitrag zum Sichern von Daten auf Laptop und Handy.
Nach dem Abfluss persönlicher Daten, Ausweiskopien oder Zahlungsdaten sind weitere personalisierte Betrugsversuche möglich. Seien Sie deshalb auch bei späteren Anrufen oder Mails besonders vorsichtig.
Bei Vermögensschaden, Identitätsmissbrauch oder einer erkennbaren Straftat kommt zusätzlich eine Anzeige bei der Polizei in Betracht. Bewahren Sie dafür Nachricht, Screenshots, Absenderinformationen und Zahlungsbelege auf.
Die wirksamste Gewohnheit bleibt einfach: Sicherheitsrelevante Vorgänge niemals aus einer überraschenden Mail heraus starten. Wer für Bank, Steuerverwaltung und Behörden immer den offiziellen Zugang selbst öffnet, nimmt Phishing-Mails einen großen Teil ihrer Wirkung.
Nach einem Klick: Diese Punkte jetzt erledigen
Haken Sie ab, was auf Ihre Situation zutrifft und bereits erledigt wurde.
Besonders wichtig: Bei einer nicht autorisierten Zahlung oder einer bestätigten TAN nicht abwarten, sondern die Bank sofort kontaktieren.
Wichtigste Punkte zum Merken
- Eine professionelle Gestaltung oder persönliche Anrede beweist nicht, dass eine Mail echt ist.
- PIN, TAN und Banking-Passwörter niemals über unerwartete Mail-Links eingeben.
- Bank- und Behördenvorgänge direkt in der offiziellen App oder im selbst aufgerufenen Portal prüfen.
- Zeitdruck, Sperrdrohungen und ungewöhnliche Zahlungswege sind klare Warnsignale.
- Bei ELSTER werden sensible Steuer- und Zahlungsdaten nicht per E-Mail abgefragt.
- Unerwartete Anhänge nicht öffnen, auch wenn sie wie Rechnungen oder Bescheide aussehen.
- Nach eingegebenen Zugangsdaten Passwörter sofort ändern und betroffene Institutionen informieren.
FAQ
Kann eine Phishing-Mail eine echte Absenderadresse anzeigen?
Ja. Absenderangaben können manipuliert werden, und auch kompromittierte echte Konten können missbraucht werden. Deshalb sollte die Absenderadresse nie das einzige Prüfkriterium sein.
Ist eine E-Mail sicher, wenn sie meinen vollständigen Namen enthält?
Nein. Persönliche Daten können aus Datenlecks oder anderen Quellen stammen. Eine namentliche Anrede erhöht die Glaubwürdigkeit, beweist aber keine Echtheit.
Darf eine Bank per E-Mail nach einer TAN fragen?
Nein. Eine TAN dient der Freigabe eines konkreten Vorgangs und sollte nicht per E-Mail weitergegeben oder aufgrund eines unerwarteten Mail-Links eingegeben werden.
Kann das Finanzamt oder ELSTER eine Steuererstattung per E-Mail ankündigen?
Elektronische Benachrichtigungen sind möglich, doch die Steuerverwaltung fordert per E-Mail keine Steuernummer, Kontoverbindung, Kreditkartennummer, PIN oder Sicherheitsantwort an. Solche Datenabfragen sind ein deutliches Warnsignal.
Was mache ich, wenn ich nur auf einen Phishing-Link geklickt habe?
Schließen Sie die Seite und prüfen Sie den Vorgang über die offizielle App oder Internetseite. Haben Sie keine Daten eingegeben und nichts heruntergeladen, ist das Risiko geringer, trotzdem sollten Sie auf ungewöhnliche Folgemeldungen achten.
Wo kann ich eine verdächtige Mail prüfen lassen?
Kontaktieren Sie die betroffene Bank oder Behörde über deren offizielle Kontaktdaten. Verdächtige E-Mails können außerdem an das Phishing-Radar der Verbraucherzentrale Nordrhein-Westfalen weitergeleitet werden.
Quelle: Bundesamt für Sicherheit in der Informationstechnik (BSI), Verbraucherzentrale und Phishing-Radar der Verbraucherzentrale Nordrhein-Westfalen, Polizeiliche Kriminalprävention der Länder und des Bundes, ELSTER der deutschen Steuerverwaltung, Generalzolldirektion/Zoll, Bundesagentur für Arbeit.