Phishing-E-Mails erkennen: Beispiele aus der Schweiz und was im Ernstfall hilft

Eine Phishing-E-Mail erkennen Sie vor allem an drei Dingen: Die Absenderadresse passt nicht zum angeblichen Absender, der Link führt auf eine fremde Domain, und Sie sollen unter Zeitdruck etwas bezahlen oder Zugangsdaten eingeben. Die sicherste Regel lautet: Nicht über den Link in der E-Mail handeln, sondern die App oder Website des Anbieters selbst öffnen. Was dort nicht angezeigt wird, ist mit grosser Wahrscheinlichkeit gefälscht.

Typische Phishing-Maschen in der Schweiz

Betrüger geben sich gerne als Absender aus, mit denen man ohnehin regelmässig zu tun hat. In der Schweiz tauchen vor allem diese Muster immer wieder auf:

Post, Paket und Zollgebühren

Ein Paket sei zurückgehalten worden, die Zustellung gescheitert oder es seien noch Zoll- oder Lagergebühren offen, oft nur wenige Franken. Der Link führt auf eine nachgebaute Seite, die Kartendaten abgreift. Die Post fragt laut eigenen Angaben per SMS oder E-Mail nie nach Passwörtern, Sicherheitscodes oder vollständigen Kreditkartendaten.

Bank und Kreditkarte

Ihr Konto werde gesperrt, eine Zahlung müsse bestätigt oder Ihre Daten müssten aktualisiert werden. Oft folgt auch ein Anruf, bei dem sich jemand in einwandfreiem Schweizerdeutsch als Bankmitarbeiter ausgibt. Keine Bank verlangt per E-Mail Passwörter oder die Bestätigung von Kartendaten. Öffnen Sie E-Banking nur über die App oder die selbst eingetippte Adresse.

Domain-Verlängerung und Eintragungsdienste

Domaininhaber erhalten E-Mails oder Briefe, die wie eine Verlängerungsrechnung aussehen: Ihre .ch-Domain laufe ab, für die Registrierung oder einen «Eintragungsdienst» seien mehrere hundert Franken fällig, zahlbar auf ein ausländisches Konto. Die Kantonspolizei warnt regelmässig vor solchen angeblichen Domain-Rechnungen. Ihre Domain verlängern Sie nur bei dem Registrar, bei dem sie registriert ist; diesen zeigt Ihnen jede Whois-Abfrage.

Hosting-Rechnung und volles Postfach

Eine Zahlung sei fehlgeschlagen und Ihre Website werde gesperrt, oder Ihr Postfach sei voll und Nachrichten würden zurückgehalten. Der Link führt auf eine nachgebaute Login-Seite für Webmail oder Kundenbereich. Prüfen Sie offene Rechnungen immer direkt im Kundenbereich Ihres Anbieters.

Absender prüfen

Der angezeigte Name einer E-Mail lässt sich beliebig wählen. Entscheidend ist die Adresse dahinter und vor allem die Domain nach dem @-Zeichen. Tippen oder klicken Sie auf den Namen, um die vollständige Adresse zu sehen.

• Fremde Domain: Der Name lautet «Die Post», die Adresse endet aber auf @paket-zustellung.info oder @gmail.com.
• Ähnliche Domain: Vertauschte oder ergänzte Zeichen wie p0st.ch, post-ch.com oder ihre-bank-sicherheit.ch.
• Abweichende Antwortadresse: Antworten gehen an eine andere Adresse als die des Absenders.
• Unpersönliche Anrede wie «Sehr geehrter Kunde», obwohl der echte Anbieter Ihren Namen kennt.

Wer es genauer wissen will, öffnet die Kopfzeilen der E-Mail (in vielen Programmen «Original anzeigen» oder «Quelltext»). Unter «Authentication-Results» steht, ob SPF, DKIM und DMARC bestanden wurden. Ein «fail» bei einer E-Mail, die angeblich von Ihrer Bank stammt, ist ein klares Alarmzeichen. Ein «pass» heisst umgekehrt nur, dass die E-Mail wirklich von der angezeigten Domain stammt, nicht, dass diese Domain vertrauenswürdig ist.

Links prüfen, ohne darauf zu klicken

Fahren Sie am Computer mit der Maus über den Link und warten Sie, bis unten im Fenster die Zieladresse erscheint. Auf dem Smartphone halten Sie den Link gedrückt, bis die Vorschau erscheint. Lesen Sie die Domain dann von rechts nach links, ausgehend vom ersten einfachen Schrägstrich:

Vorsicht auch bei QR-Codes in E-Mails oder auf Briefen: Sie verbergen die Adresse ebenso. Und ein Schloss-Symbol in der Adresszeile bedeutet nur, dass die Verbindung verschlüsselt ist. Auch Phishing-Seiten verwenden HTTPS.

Tipp: Legen Sie für Bank, Post, Steuern und Ihren Hosting-Anbieter Lesezeichen an oder nutzen Sie die offiziellen Apps. Dann müssen Sie nie einem Link aus einer E-Mail folgen.

Weitere Warnsignale

• Zeitdruck: «innert 24 Stunden», «letzte Mahnung», «Ihr Konto wird gelöscht».
• Unerwartete Anhänge, vor allem ZIP-, HTML- oder Office-Dateien mit Makros.
• Betrag oder Rechnungsnummer passen zu keiner Rechnung in Ihrem Kundenkonto.
• Aufforderung, Bankverbindung zu ändern oder an eine neue IBAN zu überweisen.
• Rechtschreibfehler, gemischte Sprachen oder eine ungewohnte Versandzeit.

Geklickt oder Daten eingegeben: was jetzt?

Haben Sie nur auf den Link geklickt, aber nichts eingegeben und nichts heruntergeladen, ist meist kein Schaden entstanden. Schliessen Sie die Seite. Haben Sie Daten eingegeben oder einen Anhang geöffnet, handeln Sie sofort:

1. Passwort des betroffenen Kontos ändern, ebenso überall dort, wo Sie dasselbe Passwort verwenden. Betrifft es Ihr E-Mail-Konto, ändern Sie auch die Passwörter der Dienste, die mit dieser Adresse verbunden sind.
2. Bei eingegebenen Karten- oder Bankdaten sofort die Bank bzw. den Kartenherausgeber anrufen und die Karte sperren lassen.
3. Zwei-Faktor-Authentifizierung aktivieren, wo sie noch fehlt.
4. Im E-Mail-Konto nach unbekannten Weiterleitungen und Filterregeln suchen und diese löschen.
5. Haben Sie einen Anhang geöffnet oder ein Programm installiert, das Gerät vom Netz trennen und prüfen lassen. Wurde ein Fernwartungsprogramm installiert, deinstallieren Sie es.
6. Ist ein finanzieller Schaden entstanden, Anzeige bei der Polizei erstatten, zum Beispiel über Suisse ePolice oder auf dem Polizeiposten.

Phishing melden

Meldungen helfen, gefälschte Seiten schneller zu sperren. Das Bundesamt für Cybersicherheit BACS, das bis Ende 2023 Nationales Zentrum für Cybersicherheit NCSC hiess, betreibt dafür die Seite antiphishing.ch:

• Phishing-E-Mails ohne Kommentar an reports@antiphishing.ch weiterleiten. Das Postfach wird maschinell ausgewertet, eine Antwort erhalten Sie nicht.
• Phishing-Websites über das Formular auf antiphishing.ch melden.
• Wer eine Antwort wünscht oder einen anderen Vorfall melden will, nutzt das Meldeformular des BACS.
• Zusätzlich das Unternehmen informieren, in dessen Namen die E-Mail verschickt wurde. Viele haben eine eigene Meldeadresse.

Danach können Sie die E-Mail löschen. Antworten Sie nie auf eine Phishing-E-Mail, damit bestätigen Sie nur, dass Ihre Adresse aktiv ist.

Für Unternehmen: SPF, DKIM und DMARC

Phishing richtet sich nicht nur gegen Ihre Mitarbeitenden. Betrüger verschicken auch E-Mails im Namen Ihrer Firma, etwa gefälschte Rechnungen an Ihre Kundschaft. Dagegen helfen drei DNS-Einträge für Ihre Domain:

• SPF legt fest, welche Server E-Mails für Ihre Domain versenden dürfen.
• DKIM signiert ausgehende E-Mails, damit Empfänger prüfen können, dass sie unverändert von Ihnen stammen.
• DMARC sagt empfangenden Servern, was mit E-Mails geschehen soll, die weder ein gültiges und zur Absenderdomain passendes SPF noch DKIM haben: nur beobachten (none), in den Spam (quarantine) oder abweisen (reject).

Erst mit DMARC auf quarantine oder reject wird es für Betrüger schwierig, E-Mails mit genau Ihrer Absenderdomain zuzustellen. Gegen Fälschungen mit ähnlichen Domains wie ihre-firma-ch.com helfen die Einträge nicht. Deshalb gehören zum Schutz auch einige organisatorische Regeln: Änderungen von Bankverbindungen immer telefonisch über eine bekannte Nummer bestätigen, Zahlungen nach dem Vier-Augen-Prinzip freigeben und Mitarbeitende regelmässig auf aktuelle Maschen hinweisen. Wie Sie die Einträge Schritt für Schritt einrichten, zeigen wir in unserem Ratgeber zu SPF, DKIM und DMARC.

Tipp: Starten Sie DMARC mit p=none und einer Berichtsadresse. Die Berichte zeigen, welche Dienste in Ihrem Namen senden. Erst wenn alle legitimen Absender sauber eingerichtet sind, verschärfen Sie auf quarantine und reject.

Bei den E-Mail-Paketen von HostOn sind DKIM, SPF und DMARC vorbereitet, eingehende Nachrichten prüft Rspamd auf Spam und ClamAV auf Viren. Wie Sie echte Nachrichten von HostOn erkennen, steht auf unserer Seite zu Phishing-Warnungen.