Phishing-Mails erkennen: Worauf du achten musst

Der Fall: 187.532 Euro und ein Anruf auf der Autobahn

Cyberversicherungs-Expertin Claudia Augustin rekonstruiert auf der OGcon einen Fall minutengenau, den ihr ein Cyber-Experte auf einer Fachveranstaltung berichtete. 7.48 Uhr: Ein Vizepräsident sitzt im Auto auf der Autobahn, noch halb wach, auf dem Weg ins Büro. Der vermeintliche CFO ruft an. Die Forderung: dringend eine Überweisung über 187.532 Euro nach Kroatien, die lokale Bank schließe bald, bei Verzögerung drohten hohe Strafen. Kurz darauf trifft eine E-Mail mit den Überweisungsdaten ein.

7.53 Uhr, der nächste Anruf: "Haben Sie schon überwiesen? Es eilt." 7.58 Uhr, der Ton wird härter – bereits sein Ruf und seine Position seien in Gefahr, wenn nicht sofort gehandelt werde. Erst im Büro angekommen wird der Vizepräsident misstrauisch: Er leitet die Mail an das Headquarter in Österreich weiter und bittet um schriftliche Verifizierung, während parallel weiter Druck gemacht wird, sofort zu überweisen.

Wenn selbst Stimme und Video täuschend echt sind

Wie weit gefälschte Anrufe heute gehen, zeigt ein zweiter, ebenso präzise datierter Fall aus Augustins Vortrag. Eine Assistentin eines Vorstands bekommt eine Mail von ihrem Chef mit der Bitte um eine hohe Überweisung. Vorsichtshalber bittet sie um ein Telefonat, um die Stimme zu hören. Die Stimme klingt echt. Zur Sicherheit verlangt sie zusätzlich einen Videocall. Auch der wird eingerichtet, ein weiterer Kollege schaltet sich dazu: Bild passt, Stimme passt, alles passt. Sie überweist. Erst hinterher stellt sich heraus, dass es Avatare waren – das gesamte Video-Setting war nachgestellt, die Überweisung ist weg.

Was folgt daraus? Augustins Fazit aus beiden Fällen: Gestoppt wird ein solcher Angriff nicht durch Technik allein, sondern durch Nachfragen, Verifizierung über einen zweiten Kanal und Zusammenarbeit im Team. Der Mensch bleibt der entscheidende Faktor. Und wird dabei regelmäßig überschätzt, sobald es um die eigene Widerstandsfähigkeit unter Stress geht.

Warum KI-Phishing so viel schwerer zu erkennen ist

Woran liegt das? Laut Augustin werden mittlerweile zwei Drittel bis 75 Prozent aller großen Cybercrime-Kampagnen mit KI-Tools gesteuert. Entscheidend dabei: KI passt Phishing-Mails automatisch an Sprache, Ton und Timing der Zielperson an. Sie verändert schädlichen Code laufend selbst – polymorphe Malware, um Virenscanner zu umgehen. Und sie lässt manche Schadsoftware fast spurlos im Arbeitsspeicher laufen, statt Dateien auf der Festplatte zu hinterlassen.

Eine Zahl, bei der man kurz innehält. Betroffen sind laut Augustin längst nicht nur Konzerne. Besonders der Mittelstand, Kommunen und Privatpersonen – überall dort, wo IT-Abteilungen klein sind oder fehlen. Der Grund: KI senkt für Angreifer die Kosten, professionell aufgesetzte Angriffe zu fahren, wodurch auch kleinere Ziele wirtschaftlich attraktiv werden.

Konkrete Beispiele: Woran du Fälschungen erkennst

Woran lässt sich eine Fälschung im Alltag festmachen? Augustin zeigt in ihrem Vortrag reale Phishing-Mails und SMS, an denen sich typische Warnsignale ablesen lassen:

• Fehlende persönliche Anrede: Eine angebliche Rückerstattungs-Mail von ARD/ZDF begann nur mit "Hallo" – ohne Namen. Seriöse Absender mit Kundenbeziehung sprechen dich in der Regel persönlich an.
• Künstlich erzeugter Zeitdruck: Formulierungen wie "Ihr Anspruch verfällt, wenn Sie nicht sofort handeln" sind ein klassisches Druckmittel – echte Rückerstattungen verfallen nicht binnen Stunden.
• Absenderadresse weicht vom angezeigten Namen ab: Bei der ARD/ZDF-Mail stimmte der tatsächliche Absender nicht mit der angeblichen Institution überein – ein Blick auf die echte Adresse hinter dem Anzeigenamen genügte.
• Kleine Schreibfehler trotz professionellem Layout: Eine gefälschte Rechnung sah optisch überzeugend aus, enthielt aber einen Rechtschreibfehler – noch immer ein Hinweis, wenn auch KI-Mails zunehmend fehlerfrei werden.
• Ungewöhnliche Häufung von Nachrichten desselben Musters: Augustin erhielt mehrere SMS von angeblich Binance mit Warnungen zu ihrem Krypto-Konto, jeweils von unterschiedlichen Nummern. Erst als mehrere Nachrichten kurz hintereinander von derselben Nummer kamen, wurde das Muster auffällig.

Weitere Maschen: Lieferantenbetrug und Spear-Phishing

Neben CFO-Fraud beschreibt Augustin zwei weitere KI-gestützte Varianten, die im Unternehmensalltag zunehmen. Beim Lieferantenbetrug imitieren Angreifer einen echten Lieferanten und schicken aktualisierte Bankdaten oder Rechnungen mit korrektem Layout, Logo und passender Domain, erkennbar oft nur an leicht abgewandelten Domainnamen (etwa eine Null statt eines großen O) oder an Formulierungen, die auf den zweiten Blick seltsam wirken. Beim Spear-Phishing wiederum werden einzelne Personen gezielt mit echten Projektnamen und Kollegenbezügen angeschrieben, was die Nachricht besonders glaubwürdig macht. Die Angreifer wechseln dabei laufend die Taktik.

Wie lässt sich dagegen vorgehen? Augustins Gegenmaßnahmen für beide Fälle sind identisch: Stammdatenänderungen nur über ein definiertes Formular mit Rückruf freigeben. Zahlungen bei Unsicherheit sperren, bis eine Bestätigung über einen zweiten Kanal vorliegt. Und im Zweifel ein vorher vereinbartes Lieferanten-Codewort oder eine Kundennummer abfragen. Wie sich solche Prozesse technisch und organisatorisch im Unternehmen verankern lassen, ordnet der Themen-Guide KI im Unternehmen ein.

Häufige Fragen