Malte ZanderInhalt
Eine Phishing-Kampagne ist eine Kette: ein Absender, ein Köder, eine oder mehrere Weiterleitungen, eine Zielseite, ein Ort für die gestohlenen Daten und am Ende der eigentliche Betrug. Jedes Glied kontrolliert jemand, der handeln kann, vom Mailanbieter über den Hoster bis zur Bank. Eine Mail lässt sich nicht aus allen Postfächern löschen, aber Sie können das Absenderkonto schließen lassen, die Weiterleitung kappen und die Zielseite entfernen lassen. Dann ist die Mail harmlos.
Aus welchen Gliedern besteht eine Phishing-Kette?
Aus sechs, und die meisten Kampagnen nutzen alle:
Absender: eine gefälschte Adresse, eine Lookalike-Domain, ein gehacktes Konto oder ein kostenloses Webmail-Konto.
Köder: die Mail, SMS, der QR-Code oder die Anzeige mit einem Vorwand wie einer gescheiterten Zahlung oder einem gesperrten Konto.
Weiterleitungen: Linkverkürzer, Zwischenseiten oder missbrauchte Weiterleitungen auf vertrauenswürdigen Websites, oft mit einem Filter, der nur Zielpersonen durchlässt.
Zielseite: die Kopie Ihrer Login-, Zahlungs- oder Prüfseite auf einer Lookalike-Domain, einer gehackten Website oder einer Subdomain einer Plattform.
Datenablage: wohin die gestohlenen Daten gehen, etwa in ein Mailpostfach, an einen Messenger-Bot, in ein Admin-Panel oder über einen Live-Proxy.
Betrug: Kontoübernahme, Zahlungsbetrug oder Rechnungsbetrug.
Wer kontrolliert welches Glied, und was können Sie tun?
| Glied | Wer handeln kann | Was Sie tun | Ergebnis |
|---|---|---|---|
| Absender | Mailanbieter; bei Ihrer eigenen Domain Sie selbst | Absenderkonto melden; DMARC für Ihre Domain durchsetzen | Konto geschlossen; exaktes Fälschen Ihrer Domain gestoppt |
| Köder | Mailanbieter der Empfänger, nationale Meldestellen | Beispiele an Melde-Adressen der Anbieter und an Meldestellen weiterleiten, etwa phishing@verbraucherzentrale.nrw | Filter lernen, Warnungen gehen raus |
| Weiterleitungen | Linkverkürzer oder die Website mit der missbrauchten Weiterleitung | Kurzlink melden; den Betreiber der Website bitten, die Weiterleitung zu schließen | Der Einstiegslink funktioniert für niemanden mehr |
| Zielseite | Hoster, Registrar, CDN | DSA-Meldung an den Hoster, Abuse-Meldung an den Registrar, Meldung an das CDN | Seite oder Domain entfernt |
| Browser | Google, Microsoft | Meldungen an Safe Browsing und Microsoft | Besucher sehen eine Warnung |
| Datenablage und Betrug | Plattformen, Banken, Zahlungsdienstleister | Konten melden; Banken bei Zahlungen alarmieren | Konten gesperrt, Zahlungen gestoppt |
Die Zielseite ist meist der stärkste Hebel, weil Hoster und Registrar sie für alle Empfänger auf einmal entfernen können. Alle Meldewege mit Links finden Sie in Phishing-Seite melden. Dort finden Sie auch die Meldeadresse der Verbraucherzentrale NRW für Phishing-Mails (Verbraucherzentrale NRW).
Warum den ersten Link melden und nicht nur den letzten?
Weil der Einstiegslink in Tausenden Postfächern steht. Melden Sie nur die Zielseite, bleibt die Weiterleitung in der Mail aktiv, und die Täter lassen sie einfach auf eine neue Seite zeigen.
Melden Sie jede Station: den Kurzlink, die Zwischenseite und die Zielseite. Fällt der Einstiegslink, wird jede Kopie der Mail in jedem Postfach auf einen Schlag harmlos.
Testen Sie mit dem exakten Link aus der Mail. Viele Ketten enthalten eine Schranke, die die Fälschung nur dem richtigen Gerät, Land oder mit den richtigen Parametern zeigt. Siehe versteckte Fälschungen.
Was können Sie gegen den Absender tun?
Das hängt davon ab, wer die Mail geschickt hat:
Ihre exakte Domain, gefälscht: Veröffentlichen Sie eine durchgesetzte DMARC-Richtlinie. Gmail verlangt schon heute von Absendern mit mehr als 5.000 Nachrichten pro Tag einen DMARC-Eintrag und eine Absenderdomain, die zu SPF oder DKIM passt (Gmail). Erst der Schritt von der reinen Beobachtung zur Durchsetzung stoppt das Fälschen.
Eine Lookalike-Domain: Melden Sie die Domain wie eine Zielseite, an Registrar und Hoster.
Ein gehacktes oder kostenloses Webmail-Konto: Melden Sie es dem Mailanbieter. Beim Rechnungsbetrug sind kostenlose Webmail-Konten verbreitet: 69 % der Angriffe dieser Art nutzten im vierten Quartal 2025 kostenlose Webmail-Domains (APWG).
Was passiert nach der Datenablage?
Der Betrug, oft innerhalb von Minuten. Microsoft sah Zahlungsbetrug schon fünf Minuten nach dem Diebstahl von Zugangsdaten und Session-Cookies beginnen (Microsoft).
Auch der Rechnungsbetrug wächst. Betrugsmails, die eine Überweisung verlangen, nahmen vom dritten zum vierten Quartal 2025 um 136 % zu, mit einem durchschnittlich geforderten Betrag von 50.297 US-Dollar (APWG). Deshalb läuft der Schutz der Konten parallel zum Takedown, wie in Warum Zwei-Faktor-Login nicht jede Phishing-Seite stoppt beschrieben.
Welche Beweise sichern Sie für jedes Glied?
Absender: die vollständige Mail mit Header, inklusive der Prüfergebnisse für SPF, DKIM und DMARC.
Köder: ein Screenshot der Nachricht und der Original-Link genau so, wie er erscheint.
Weiterleitungen: jede Adresse der Kette in ihrer Reihenfolge, mit dem Zeitpunkt des Tests.
Zielseite: vollständige URL, Screenshots, Hosting-, DNS- und Zertifikatsdaten.
Betrug: Kontoänderungen, Zahlungsangaben und Daten, für Banken und Polizei.
Unser Leitfaden zur Beweissicherung erklärt, wie jeder Beleg glaubwürdig bleibt.
Starten Sie den kostenlosen Fraud-Scan und finden Sie Lookalike-Domains und nachgebaute Seiten, bevor sie in der nächsten Kampagne verlinkt werden. Den Kurzreport erhalten Sie innerhalb von 48 Stunden.
Häufige Fragen
Lässt sich eine Phishing-Mail entfernen?
Nicht aus den Postfächern. Sie können aber das Absenderkonto schließen lassen, die Weiterleitung kappen und die Zielseite entfernen lassen. Dann führt die Mail ins Leere.
Warum funktioniert ein Phishing-Link noch, obwohl die Seite entfernt wurde?
Wahrscheinlich zeigt der Link auf eine Weiterleitung, die jetzt zu einer neuen Zielseite führt. Melden Sie auch die erste Station.
Was verraten Mail-Header?
Welche Server die Nachricht verschickt haben und ob SPF, DKIM und DMARC bestanden wurden. Das zeigt, ob Ihre Domain gefälscht oder ein Lookalike- oder gehacktes Konto genutzt wurde, und an welchen Anbieter Sie sich wenden.
Sollten wir Lookalike-Domains intern sperren?
Ja, in Mail- und Webfiltern, sobald Sie sie finden. Das schützt Ihre Beschäftigten, während die externen Meldungen bearbeitet werden.
Quellen
APWG Phishing Activity Trends Report, Q4 2025, veröffentlicht am 18. Februar 2026
Microsoft Security: AiTM-Phishing als Einstieg in Finanzbetrug, 12. Juli 2022