Phishing-E-Mail in Gmail erkennen: So geht's

Gmail blockiert inzwischen über 99,9 % von Spam, Phishing und Schadsoftware, bevor sie Sie erreichen — rund 10 Millionen Spam-E-Mails pro Minute, nach Googles eigenen Zahlen. Das Problem ist der Bruchteil, der durchkommt: Das sind die Nachrichten, die gut genug gemacht sind, um einen automatischen Filter zu schlagen — also gut genug, um auch einen gehetzten Menschen zu täuschen. Ich bekomme alle paar Wochen eine überzeugende Fälschung, und die, die landen, sind nie die plumpen. So erkennen Sie eine Phishing-E-Mail in Gmail — die Warnbanner lesen, den echten Absender prüfen, Links gefahrlos testen und wissen, was zu tun ist, sobald jemand nach Ihrem Passwort fragt.

Wie Phishing in Gmail aussieht

Phishing ist eine Nachricht, die sich als jemand ausgibt, dem Sie vertrauen, um Ihnen ein Passwort, eine Zahlung oder persönliche Daten zu entlocken. In Gmail kommt sie meist als bekannte Marke oder bekannter Kontakt, mit einem Grund, sofort zu handeln, und einem Link oder Anhang, der den eigentlichen Diebstahl erledigt.

Das deutsche Bundesamt für Sicherheit in der Informationstechnik beschreibt Phishing als Versuch, über gefälschte E-Mails und Webseiten an Zugangsdaten und persönliche Informationen zu gelangen. Das Ziel ist immer dasselbe — Sie zu etwas bewegen, das Sie nicht täten, wenn Sie kurz innehielten. In Gmail ist dieses „Etwas” fast immer einer von drei Zügen: auf einen Link zu einer gefälschten Anmeldeseite klicken, einen Anhang herunterladen, der Schadsoftware installiert, oder mit Daten antworten, die man nie per E-Mail senden sollte.

Was modernes Phishing schwer macht, ist der Feinschliff. Die Amateurvarianten — gebrochenes Deutsch, fremde Adresse, offensichtlicher Betrug — filtert Gmail millionenfach heraus. Die, die Ihren Posteingang erreichen, leihen sich echte Logos, kopieren den exakten Ton eines Unternehmens und fälschen einen Absendernamen, den Sie kennen. Die Frage lautet also nie „Sieht das professionell aus?”, sondern „Kann ich unabhängig überprüfen, dass das echt ist?” Der Rest dieses Leitfadens zeigt, wie Sie das in unter einer Minute beantworten, ohne anzubeißen.

Die Warnbanner von Gmail lesen

Gmail kennzeichnet riskante Nachrichten mit einem farbigen Banner, bevor Sie lesen. Ein rotes Banner bedeutet starken Phishing-Verdacht und rät, nicht zu klicken oder zu antworten; ein gelbes Banner bedeutet, dass der Absender nicht verifiziert werden konnte. Eine Nachricht, die trotzdem eine Warnung trägt, hat eine automatische Prüfung bereits nicht bestanden — vertrauen Sie dem Banner.

Gmail erledigt viel für Sie, und die meisten übersehen das offensichtlichste Signal: das Banner über der Nachricht. Laut Googles Gmail-Hilfe zeigt Gmail diese Warnungen, wenn es ein Risiko erkennt:

• Rotes Banner — wahrscheinlich Phishing. Gmail vermutet einen Versuch, Ihre Daten zu stehlen, und rät, nicht auf Links zu klicken, keine Anhänge herunterzuladen und nicht zu antworten. Das ist die stärkste Warnung von Gmail. Streiten Sie nicht damit.
• Gelbes Banner — nicht verifizierter Absender. Gmail konnte die Identität des Absenders nicht bestätigen, oft weil die Adresse gefälscht war oder die Domain die Authentifizierung nicht bestand. Die Nachricht kann echt sein, aber behandeln Sie sie als schuldig, bis Sie es anders geprüft haben.
• Hinweise auf Spoofing und unbestätigte Absender. Gmail kennzeichnet auch Adressen, die bekannten ähneln, und Absender, deren Identität es nicht bestätigen kann — beides klassische Phishing-Aufbauten.

Diese Banner sind keine bloße Vorsicht zur Show. Google gibt an, dass Gmail über 99,9 % von Spam, Phishing-Versuchen und Schadsoftware blockiert. Eine Nachricht, die das passiert hat und trotzdem eine Warnung trägt, ist statistisch die gefährliche Sorte. Das Banner ist das billigste Signal, das Sie je bekommen — lesen Sie es zuerst, jedes Mal, bevor Sie die E-Mail selbst lesen.

Den echten Absender prüfen

Der Anzeigename ist Dekoration; die Adresse nach dem @-Zeichen ist die Wahrheit. Klicken oder tippen Sie auf den Absendernamen, um die echte Adresse aufzuklappen, und achten Sie dann auf Look-alike-Domains, öffentliche Webmail-Dienste im Unternehmens-Look und jede Abweichung zwischen Marke und Domain.

„PayPal Sicherheitsteam” ist eine Bezeichnung, die jeder tippen kann. Darunter kann [email protected] stehen — und genau dieser Teil sagt Ihnen, ob Sie der Nachricht trauen dürfen. Klicken Sie in Gmail am Desktop auf den Absendernamen (oder tippen Sie am Smartphone auf den Pfeil), um die vollständige Adresse aufzuklappen. Lesen Sie sie dann wie ein Ermittler:

• Look-alike-Domains. paypa1.com mit einer Ziffer Eins, microsoft-support.co, amaz0n-billing.net. Angreifer registrieren Domains, die ein flüchtiger Blick mit dem Original verwechselt.
• Öffentliche Webmail in Uniform. Eine Bank, ein Paketdienst oder eine Behörde, die Ihnen von @gmail.com oder @outlook.com schreibt, ist eine fast sichere Fälschung. Echte Organisationen senden von ihrer eigenen Domain.
• Marke-Domain-Abweichung. Die E-Mail behauptet, von Ihrer Bank zu sein, aber die Domain nach dem @ hat nichts mit ihr zu tun. Diese Lücke ist der ganze Betrug.

Wenn eine Adresse plausibel wirkt, Sie aber unsicher sind, finden Sie das Unternehmen über einen Kanal, dem Sie bereits vertrauen — tippen Sie die URL selbst ein oder nutzen Sie eine Nummer von Ihrer Karte, nie eine aus der E-Mail. Wollen Sie prüfen, was ein bekannter Absender Ihnen bereits geschrieben hat, suchen Sie in Gmail nach Absender, um diese Nachricht mit seiner echten Historie zu vergleichen; ein plötzlicher Wechsel von Ton, Domain oder Formatierung ist ein Hinweis. Die Adresse ist der Punkt, an dem die meisten Phishings zerfallen — es ist nur leicht, über den Anzeigenamen hinwegzulesen und nie darunterzuschauen.

Links vor dem Klicken prüfen

Vertrauen Sie nie dem Linktext — vertrauen Sie dem Ziel. Am Desktop fahren Sie über einen Link und lesen die echte URL unten links; am Smartphone halten Sie ihn für eine Vorschau gedrückt. Wenn sichtbarer Text und tatsächliche Adresse nicht übereinstimmen oder die Domain falsch geschrieben bzw. unbekannt ist, klicken Sie nicht.

Der Link ist der Ort, an dem ein Phishing arbeitet, und auch der Ort, an dem es sich verrät. Eine Schaltfläche „Konto bestätigen” kann überallhin führen. Bevor Sie klicken, zwingen Sie das echte Ziel, sich zu zeigen:

• Am Desktop ruhen Sie mit dem Cursor auf dem Link, ohne zu klicken. Gmail zeigt die echte URL unten links im Fenster. Vergleichen Sie sie mit dem sichtbaren Text.
• Am Smartphone drücken und halten Sie den Link, bis eine Vorschau erscheint, und lesen Sie die Domain, bevor Sie entscheiden.

Was Sie prüfen, ist simpel: Passt das Ziel zur echten Domain des Absenders, und ist es korrekt geschrieben? Googles Phishing-Hinweise wie auch Verbraucherschutzstellen raten, vor dem Folgen zu prüfen, wohin ein Link führt, weil seriöse Unternehmen keinen Grund haben, es zu verschleiern. Zwei weitere Regeln: Kurzlinks (bit.ly und dergleichen) verbergen ihr Ziel, also seien Sie bei unerwarteter Post misstrauisch; und eine Anmeldeseite, die über einen E-Mail-Link erreicht wird, sollte nie der Ort sein, an dem Sie Ihr Passwort eintippen — öffnen Sie die Seite selbst. Dasselbe gilt für Anhänge: eine unerwartete Rechnung, ein „Versandetikett” oder eine „Sprachnachricht”-Datei sind häufige Wege für Schadsoftware, also bestätigen Sie mit dem Absender über einen anderen Kanal, bevor Sie irgendetwas öffnen.

Die Sprache eines Phishings

Phishing manipuliert Emotionen, um das Urteilsvermögen kurzzuschließen. Die Anzeichen: Dringlichkeit („innerhalb von 24 Stunden handeln”), Drohung („Ihr Konto wird gesperrt”) und Forderungen nach Dingen, die kein seriöses Unternehmen per E-Mail verlangt — Ihr Passwort, Ihre vollständige Kartennummer oder eine Zahlung in Geschenkkarten.

Über die technischen Signale hinaus hat Phishing eine Stimme, und wenn Sie sie einmal hören, können Sie sie nicht mehr überhören. Das Skript ist darauf ausgelegt, Sie handeln zu lassen, bevor Sie denken:

• Erzeugte Dringlichkeit. „Ihr Konto wird in 24 Stunden geschlossen.” „Verdächtige Anmeldung — jetzt bestätigen.” Der Druck ist der Sinn; er hält Sie vom Prüfen ab.
• Drohung oder Angst. Sperrung, ein Bußgeld, eine Betrugswarnung, ein im Zoll festgehaltenes Paket. Angst lässt Menschen klicken.
• Forderungen, die kein echtes Unternehmen stellt. Laut Google fragt Gmail „nie per E-Mail nach Ihren persönlichen Daten wie Ihrem Passwort” — und Ihre Bank auch nicht. Eine Forderung nach Passwort, PIN, vollständiger Kartennummer oder Einmalcode ist Phishing, Punkt.
• Zu schön, um wahr zu sein. Eine Rückerstattung, die Ihnen zustehe, ein Gewinn, eine Erbschaft, ein Krypto-Geldsegen. Wenn Sie nicht teilgenommen haben, haben Sie nicht gewonnen.
• Schiefe Details. Ein generisches „Sehr geehrter Kunde”, kleine Grammatikfehler, ein leicht falsches Logo, eine Antwortadresse, die vom Absender abweicht.

Kein einzelnes Anzeichen ist ein Beweis — ein echtes Unternehmen kann dringlich klingen. Aber Dringlichkeit plus eine Forderung nach Zugangsdaten plus ein Link zu einer unbekannten Domain ist kein Zufall; es ist das Rezept. Wenn emotionaler Druck und technische Unstimmigkeit zusammentreffen, sehen Sie ein Phishing. Diesem Instinkt zu vertrauen heißt auch, normale Post nicht über zu melden: Wenn ein echter Newsletter Sie nervt, markieren Sie ihn als „kein Spam” und melden Sie sich ab, statt jede unerwünschte E-Mail als Angriff zu behandeln.

Melden und löschen

Melden schlägt löschen. Öffnen Sie die Nachricht, klicken Sie auf Mehr (die drei Punkte) neben Antworten und wählen Sie Phishing melden — Gmail entfernt sie und nutzt sie, um alle zu schützen. Löschen Sie sie dann. Antworten Sie nie, auch nicht zum „Abmelden”, weil eine Antwort bestätigt, dass Ihre Adresse aktiv ist.

Ein Phishing zu löschen schützt Sie; es zu melden schützt alle, auch Ihr zukünftiges Ich. Laut Googles Gmail-Hilfe sind die Schritte:

1. Öffnen Sie die verdächtige Nachricht.
2. Klicken Sie auf Mehr (das Drei-Punkte-Menü) neben Antworten.
3. Wählen Sie Phishing melden.

Gmail entfernt dann die Nachricht und speist sie zurück in den Filter, was die Erkennung dieses Angriffsmusters schärft. Hat Gmail eine echte E-Mail fälschlich markiert, bietet dasselbe Menü Kein Phishing melden zur Korrektur. Was Sie nicht tun sollten, ist antworten — nicht um zu widersprechen, nicht um zu fragen „ist das echt?”, nicht einmal über den „Abmelden”-Link in einem vermuteten Phishing, denn jede Antwort sagt dem Angreifer, dass die Adresse überwacht wird und weitere Angriffe wert ist. Wenn Ihr Posteingang in Spam ertrinkt, der echte Bedrohungen verdeckt, halten Sie das Verhältnis von Signal zu Rauschen hoch, indem Sie wissen, wie man Spam meldet, und den Spam-Ordner leert, damit ein echtes Phishing hervorsticht, statt sich in der Masse zu verlieren.

Wenn Sie bereits geklickt haben

Handeln Sie schnell und grenzen Sie den Schaden ein. Haben Sie ein Passwort eingegeben, ändern Sie es jetzt und aktivieren Sie die Bestätigung in zwei Schritten; ändern Sie es überall, wo Sie es wiederverwendet haben. Scannen Sie Ihr Gerät, beobachten Sie Ihre Konten, informieren Sie die IT bei einem Geschäftskonto und melden Sie dann die ursprüngliche Nachricht.

Auf ein Phishing hereinzufallen ist nicht die Katastrophe — nicht zu reagieren ist es. Wenn Sie auf einen Link geklickt oder, schlimmer, etwas in eine gefälschte Seite eingegeben haben, arbeiten Sie dies der Reihe nach ab:

• Passwort zuerst. Haben Sie eines eingegeben, ändern Sie es sofort auf der echten Seite und überall, wo Sie es wiederverwendet haben. Wiederverwendung macht aus einem Phishing fünf kompromittierte Konten.
• Bestätigung in zwei Schritten aktivieren. Sie blockiert einen Angreifer, der Ihr Passwort schon hat. War das Konto Ihr Google-Konto, hat das Durchgehen Ihrer Optionen zur Kontowiederherstellung und deren Absicherung Vorrang.
• Gerät scannen. Haben Sie einen Anhang heruntergeladen oder geöffnet, führen Sie einen Malware-Scan durch, bevor Sie etwas anderes Sensibles tun.
• Auf Betrug achten. Prüfen Sie Kontoauszüge und die letzte Aktivität Ihres Google-Kontos auf Dinge, die Sie nicht getan haben. Fühlt sich Gmail selbst falsch an — seltsame gesendete Post, geänderte Einstellungen —, gehen Sie sofort die Schritte bei einem kompromittierten Konto durch.
• Im Job eskalieren. Ein Geschäftskonto bedeutet ein Risiko für die Organisation. Informieren Sie sofort Ihre IT- oder Sicherheitsabteilung; Tempo begrenzt den Schaden.
• Melden. Melden Sie zuletzt die ursprüngliche Nachricht in Gmail, damit der Angriff protokolliert wird und andere geschützt sind.

Das Fenster zwischen dem Klick und dem Handeln des Angreifers ist Ihr Vorteil. Nutzen Sie es.

Fazit

Eine Phishing-E-Mail in Gmail zu erkennen läuft auf vier Gewohnheiten hinaus: das Warnbanner lesen, die echte Absenderadresse aufklappen, Links vor dem Klicken überfahren und jede Forderung nach Passwort oder Zahlung als feindselig behandeln. Gmail fängt 99,9 %; diese Prüfungen decken den Rest.

Ideal für: alle, die eine wiederholbare Routine in unter einer Minute wollen statt eines vagen Gefühls der Vorsicht. Banner, Absender, Links, Sprache — laufen Sie diese vier Prüfungen bei allem durch, was Sie zum Handeln auffordert, und die geschliffenen Fälschungen, die durch Gmails Filter rutschen, sind kein Glücksspiel mehr.

Vorsicht, wenn: Sie das Fehlen einer Warnung als Entwarnung nehmen. Gmails 99,9 % sind hervorragend, nicht perfekt, und das gefährlichste Phishing ist genau das, das ohne Banner ankommt. Die manuellen Prüfungen sind keine Dopplung des Filters — sie schließen die Lücke, die er lässt.

Lesen Sie das Banner zuerst, vertrauen Sie der Adresse mehr als dem Anzeigenamen, klicken Sie nie auf einen ungeprüften Link und melden Sie, statt zu antworten. Verbinden Sie diese Gewohnheiten mit einem ruhigeren Posteingang, und das seltene Phishing, das Sie erreicht, trifft auf einen Leser, der es erwartet, statt auf einen, der vorbeihastet.

Alexis Dollé

Gründer & Redakteur

Alexis Dollé, seit über 10 Jahren E-Mail-Experte. Gründer von Email Tools. Ich teste jeden E-Mail-Client und jedes Tool selbst und schreibe dann darüber, wie ich es einem Freund erklären würde — kein Marketing-Geschwätz, keine gesponserten Ranglisten, jede Aussage belegt.

LinkedIn

Weiterlesen: Schritte, wenn Ihr Gmail-Konto kompromittiert ist — was nach einem erfolgreichen Angriff zu tun ist. Wie man Spam in Gmail meldet — den Filter scharf und den Posteingang ruhig halten. Ihren Gmail-Spam-Ordner prüfen — wo gemeldetes Phishing landet.