Phishing erkennen: Mails, SMS und Paketfallen prüfen

„Ihr Paket konnte nicht zugestellt werden“, „Ihr Konto wurde eingeschränkt“, „Hallo Mama, das ist meine neue Nummer“: Solche Nachrichten kommen täglich, und die guten unter ihnen sind von echten kaum noch zu unterscheiden. Rechtschreibfehler, früher das sicherste Warnzeichen, gibt es kaum noch, seit Betrüger ihre Texte mit KI schreiben lassen.

Dieser Artikel gibt Dir eine feste Prüfroutine, mit der Du eine verdächtige Mail oder SMS in einer Minute einordnest, ohne auf etwas zu klicken. Er zeigt, wie Du am iPhone und am Mac den echten Absender und das echte Linkziel siehst, wie Du im Mail-Header die technische Echtheit prüfst, wo Du Phishing meldest und was Du sofort tust, wenn Du schon geklickt oder Daten eingegeben hast. Die Menüpfade gelten für iOS 27 und macOS Tahoe 26.

Die sieben Prüfmerkmale

Keines dieser Merkmale beweist allein, dass eine Nachricht gefälscht ist. Treffen zwei oder mehr zu, behandle sie als Phishing.

1. Druck und Frist. „Innerhalb von 24 Stunden“, „sonst wird Ihr Konto gesperrt“, „letzte Mahnung“. Echte Unternehmen setzen selten so knappe Fristen, Betrüger immer, damit Du nicht in Ruhe nachdenkst.
2. Aufforderung, Daten einzugeben. Banken, PayPal, Apple und Behörden fragen nie per Mail oder SMS nach Passwort, PIN, TAN oder Kartennummer. Das BSI nennt die Aufforderung zur Eingabe persönlicher Daten ein fast sicheres Zeichen für Betrug.
3. Absenderadresse passt nicht. Der angezeigte Name lautet „Sparkasse“, die Adresse dahinter aber info@spk-kundenservice-online.com.
4. Linkziel passt nicht. Der Text sagt „paypal.de“, das tatsächliche Ziel ist eine ganz andere Domain.
5. Unpersönliche Anrede. „Sehr geehrter Kunde“ bei einem Unternehmen, das Deinen Namen kennt.
6. Du erwartest nichts. Eine Paketbenachrichtigung, obwohl Du nichts bestellt hast, oder eine Rechnung von einem Dienst, den Du nicht nutzt.
7. Ungewöhnlicher Kanal. Die Bank schreibt plötzlich per SMS mit Link, oder ein Familienmitglied meldet sich von einer unbekannten Nummer.

Die wichtigste Regel steht über allen sieben: Klick nie auf einen Link in einer Nachricht, die Dich zu einer Anmeldung, Zahlung oder Bestätigung auffordert. Öffne stattdessen die App des Anbieters oder tipp die Adresse selbst in den Browser. Ist dort alles in Ordnung, war die Nachricht falsch.

Absender und Link prüfen, ohne zu klicken

Am iPhone

In der App Mail tippst Du auf den Absendernamen oben in der Nachricht. Dann zeigt iOS die vollständige E-Mail-Adresse. Achte auf den Teil nach dem @: Bei einer echten Mail von PayPal endet er auf paypal.de oder paypal.com, nicht auf paypal-sicherheit.net oder service-paypal.info.

Um das Ziel eines Links zu sehen, legst Du den Finger lange auf den Link, bis ein Fenster aufgeht. Ganz oben steht dort die Adresse, zu der der Link führt. Lies sie und tippe danach außerhalb des Fensters, um es zu schließen, ohne die Seite zu öffnen. Entscheidend ist die eigentliche Domain direkt vor dem ersten einzelnen Schrägstrich. In https://dhl.de.paket-zustellung.info/abc gehört die Seite zu paket-zustellung.info, nicht zu DHL, auch wenn dhl.de vorne steht.

Bei SMS funktioniert das genauso. iOS sortiert seit iOS 26 Nachrichten von unbekannten Absendern und erkannten Spam automatisch in eigene Ordner. Links in Nachrichten im Spam-Ordner lassen sich erst öffnen, wenn Du die Nachricht selbst in den Posteingang verschiebst. Das ist ein guter Schutz, also verschieb nichts, was Du nicht sicher kennst.

Am Mac

In Apple Mail fährst Du mit der Maus über den Absendernamen und klickst auf den kleinen Pfeil daneben. Dann siehst Du die Adresse. Für das Linkziel reicht es, mit der Maus über den Link zu fahren, ohne zu klicken. Nach einem Moment erscheint ein kleines Feld mit der Zieladresse. Im Browser zeigt die Statusleiste unten links dasselbe.

Den Mail-Header lesen

Ein Absender lässt sich fälschen, der Weg einer Mail durch das Netz kaum. Jede Mail trägt einen Kopfbereich, den Header, in dem der empfangende Mailserver einträgt, ob sie technisch von der Domain stammt, die sie vorgibt. Das funktioniert über die Verfahren SPF, DKIM und DMARC. Wie diese Verfahren funktionieren, erklärt der Artikel Mails landen im Spam: SPF, DKIM und DMARC einrichten aus Sicht des Absenders.

So zeigst Du den Header an:

• Apple Mail am Mac: Mail öffnen, dann Darstellung > Nachricht > Alle Header oder Umschalt + Befehl + H.
• Gmail im Browser: Mail öffnen, rechts oben auf die drei Punkte klicken und Original anzeigen wählen.
• Outlook im Browser: Mail öffnen, auf die drei Punkte klicken und unter Anzeigen den Punkt Nachrichtendetails anzeigen wählen.
• Am iPhone zeigt die App Mail den vollständigen Header nicht an. Prüf eine wichtige Mail deshalb am Mac oder im Browser.

Such im Header nach der Zeile Authentication-Results. Bei einer gefälschten Mail, die vorgibt, von PayPal zu kommen, sieht sie typischerweise so aus:

Authentication-Results: mx.google.com;
       dkim=none;
       spf=fail smtp.mailfrom=info@kunden-portal-24.com;
       dmarc=fail (p=REJECT sp=REJECT dis=QUARANTINE) header.from=paypal.de

So liest Du das: Die Mail behauptet im sichtbaren Absender header.from, von paypal.de zu stammen. Sie trägt aber keine gültige Signatur (dkim=none), kam von einem Server, den PayPal nicht erlaubt (spf=fail), und besteht deshalb die Prüfung nach der Regel von PayPal nicht (dmarc=fail). Das ist eine Fälschung.

Bei einer echten Mail stehen alle drei auf pass, und die Domain hinter header.from stimmt mit der Domain bei dkim überein. Wichtig ist der Umkehrschluss: Ein pass beweist nur, dass die Mail wirklich von dieser Domain kommt. Wer sich paypal-kundenservice.net registriert, bekommt für seine eigene Domain ebenfalls ein sauberes pass. Der Header schützt Dich vor gefälschten Absendern, nicht vor ähnlich klingenden Domains. Deshalb bleiben die Prüfmerkmale oben unverzichtbar.

Typische Maschen in Deutschland

• Paket. Eine SMS meldet ein Problem bei der Zustellung, ein Zollbetrag von 1,99 Euro sei offen. Der Link führt auf eine täuschend echte Seite, die Kartendaten abfragt. Paketdienste verlangen Zollgebühren nicht per SMS-Link. Prüf die Sendungsnummer direkt in der App des Paketdienstes.
• Bank. Eine Mail oder SMS behauptet, Dein Onlinebanking werde gesperrt, Du müsstest Deine Daten oder das TAN-Verfahren „aktualisieren“. Oft folgt ein Anruf eines angeblichen Bankmitarbeiters, der eine TAN abfragt. Keine Bank fragt jemals am Telefon nach einer TAN.
• Steuer und Behörden. Eine angebliche Steuererstattung vom Finanzamt oder von ELSTER, für die Du Kontodaten eingeben sollst. Das Finanzamt kommuniziert über Bescheide per Post oder im ELSTER-Postfach, nicht über Links in Mails.
• „Hallo Mama, hallo Papa“. Über WhatsApp schreibt angeblich Dein Kind von einer neuen Nummer, das Handy sei kaputt, und bittet kurz darauf, dringend eine Rechnung zu überweisen. Ruf die alte, bekannte Nummer an oder stell eine Frage, die nur Dein Kind beantworten kann.
• Streaming und Abos. Netflix, Amazon oder Apple melden ein Problem mit der Zahlung. Prüf das in der App oder unter der selbst eingetippten Adresse.

Phishing melden

Melden hilft anderen, denn Verbraucherschützer und Unternehmen warnen auf Basis der Meldungen. Drei Wege genügen:

1. An die Verbraucherzentrale. Leite die Mail als Ganzes an phishing@verbraucherzentrale.nrw weiter. Die Verbraucherzentrale NRW wertet die Mails aus und veröffentlicht aktuelle Maschen im Phishing-Radar. Eine Antwort bekommst Du nicht.
2. An das betroffene Unternehmen. Viele Unternehmen haben eine eigene Adresse für Phishing-Meldungen auf ihrer Website. Bei Apple ist es reportphishing@apple.com, wie Apple in seinem Artikel zu Phishing und Betrugsmaschen beschreibt.
3. Im Mailprogramm und in Nachrichten. Verschieb die Mail in den Spamordner, damit der Filter lernt. Eine iMessage meldest Du mit Spam melden unter der Nachricht, danach blockierst Du den Absender.

Antworte nie auf eine Phishing-Nachricht, auch nicht mit „Ich weiß, dass das Betrug ist“. Jede Antwort bestätigt, dass Deine Adresse oder Nummer aktiv ist.

Notfallplan: Du hast schon geklickt

Ruhig bleiben, Schritt für Schritt vorgehen. Was zu tun ist, hängt davon ab, wie weit Du gekommen bist.

Nur den Link geöffnet, nichts eingegeben. Schließ die Seite. Auf einem aktuellen iPhone oder Mac richtet das reine Öffnen einer Webseite in aller Regel keinen Schaden an. Installier nichts, was die Seite anbietet, und gib nichts ein. Wenn Du unsicher bist, prüf, ob iOS oder macOS auf dem neuesten Stand ist, und installier ausstehende Updates.

Zugangsdaten eingegeben. Ändere sofort das Passwort des betroffenen Kontos, und zwar in der App oder über die selbst eingetippte Adresse, nicht über den Link. Hast Du dasselbe Passwort auch anderswo genutzt, änderst Du es dort ebenfalls. Schalte die Zwei-Faktor-Anmeldung ein, wo sie noch fehlt, oder steig gleich auf Passkeys um, denn die lassen sich gar nicht erst auf einer falschen Seite eingeben. Wie das geht, zeigt der Artikel Passkeys auf iPhone und Mac, auch mit Android und Windows.

Bank- oder Kartendaten eingegeben oder eine TAN weitergegeben. Ruf sofort Deine Bank an oder lass Karte und Onlinebanking über den Sperr-Notruf 116 116 sperren. Prüf die Umsätze der letzten Tage und widersprich unberechtigten Abbuchungen bei der Bank. Erstatte danach Anzeige bei der Polizei, in den meisten Bundesländern geht das online über die Onlinewache. Die Anzeige brauchst Du oft, damit die Bank einen Schaden erstattet. Das BSI und die Polizei haben dafür eine gemeinsame Checkliste für den Ernstfall veröffentlicht.

Eine App oder ein Profil installiert. Lösch die App sofort. Am iPhone prüfst Du zusätzlich unter Einstellungen > Allgemein > VPN & Geräteverwaltung, ob ein Profil installiert wurde, das Du nicht kennst, und entfernst es. Ändere danach von einem anderen Gerät aus die Passwörter für Apple Account, Mail und Bank.

Schreib Dir in jedem Fall auf, wann Du was eingegeben hast, und mach Screenshots der Nachricht und der Seite. Das hilft Bank und Polizei.

Fazit

Die zuverlässigste Abwehr ist keine Technik, sondern eine Gewohnheit: Auf eine Nachricht hin nichts anklicken, sondern die App oder die bekannte Adresse selbst öffnen. Mit dem Blick auf Absender und Linkziel erkennst Du die meisten Fälschungen in Sekunden, der Mail-Header gibt Dir bei den schwierigen Fällen Gewissheit. Wer zusätzlich Passkeys nutzt, nimmt Phishing den größten Teil seines Schreckens. Und wenn die Betrüger statt zu schreiben anrufen, hilft der Artikel PhoneBlock: Spam-Anrufe auf der FRITZ!Box sperren.