Spam, Scam und Phishing.
Was wirklich gefährlich ist — und was Sie tun, wenn Sie schon geklickt haben.
„Ich hab da grad auf einen Link geklickt — was passiert jetzt?" — das ist die Frage, mit der die meisten Anrufe zu diesem Thema beginnen. Meist ist die Antwort beruhigend, manchmal nicht. Dieser Ratgeber erklärt den Unterschied zwischen Virus, Spam und Phishing, zeigt die aktuellen Maschen 2025/2026 mit konkreten Beispielen und gibt eine klare Notfall-Anleitung für den Fall des Falles.
1. Die Lage: warum E-Mail-Sicherheit jetzt eines der wichtigsten Themen ist
E-Mails waren mal eine entspannte Sache. Vor zwanzig Jahren bekam man Nigeria-Mails mit grauenhaften Rechtschreibfehlern, ein Klick auf „Antworten" oder „Spam" reichte. Heute ist die Situation eine andere — und der Hauptgrund hat einen Namen: Künstliche Intelligenz.
Die Zahlen sind keine Panikmache, sondern eine nüchterne Bestandsaufnahme. Das BSI registriert in seinem Lagebericht 2025 einen Unique-IP-Index von 1.189 für Mai 2025 — fast das Vierfache des Wertes von Juli 2024[4]. Übersetzt heißt das: Die Zahl der erreichbaren Bot-Netz-Adressen, die für solche Angriffe genutzt werden, ist binnen eines Jahres explodiert.
Trotzdem: Panik ist der falsche Modus. Die meisten Bedrohungen sind technisch trivial und scheitern, wenn man die wichtigsten Verhaltensregeln einhält. Genau darum geht es in diesem Ratgeber.
2. Virus, Spam, Scam, Phishing — der Unterschied
Im Alltag werden die Begriffe oft synonym verwendet. „Da war ein Virus in meiner E-Mail" sagt jemand, meint aber eine Phishing-Mail. „Das ist alles Spam" sagt eine andere, meint aber Scam. Saubere Begriffe helfen, weil sie auch saubere Reaktionen ermöglichen.
Die wichtigste Unterscheidung: passiv oder aktiv?
Wer den Unterschied auf einen Punkt bringen will: Spam ist passiv (Sie ignorieren es), Scam und Phishing brauchen Ihre Mitwirkung (Klick, Daten-Eingabe, Überweisung), und Viren werden technisch aktiv auf Ihrem Gerät — meist nachdem ein Phishing-Klick die Tür geöffnet hat.
Daraus folgt eine wichtige praktische Erkenntnis: Die allermeisten E-Mail-Bedrohungen werden nur dann gefährlich, wenn Sie etwas aktiv tun. Eine reine Phishing-Mail im Posteingang, die Sie nicht öffnen, ist harmlos. Das Anschauen einer E-Mail (auch einer mit Schadsoftware-Anhang) löst in modernen Mail-Programmen normalerweise noch keinen Schaden aus. Erst der Klick auf den Link, der Download des Anhangs, das Öffnen des Office-Dokuments mit aktivierten Makros — das sind die kritischen Momente.
Drei Varianten, die jetzt zunehmen
Drei Begriffe sollten Sie noch kennen, weil sie 2025 stark zugenommen haben:
- Smishing — Phishing per SMS. Vor allem die DHL-Paket-Masche („Ihr Paket konnte nicht zugestellt werden, bitte hier bestätigen…") läuft inzwischen viel über SMS, weil die Erkennungs-Algorithmen für E-Mail-Spam dort nicht greifen[5].
- Vishing — „Voice Phishing", also Phishing per Telefon. Hier rufen Betrüger an und geben sich als Bank, Behörde oder Microsoft-Support aus. Seit 2024 zunehmend mit KI-Stimmen, die echte Personen imitieren können (Deepfake-Stimmen).
- Quishing — Phishing per QR-Code. Sie scannen einen QR-Code, der angeblich zur Park-App oder zum Restaurant-Menü führt — und landen auf einer gefälschten Anmelde-Seite. Besonders perfide, weil das Smartphone die URL nur kurz anzeigt.
Alles drei sind im Kern dieselbe Maschen-Logik wie klassisches Phishing, nur über andere Kanäle.
3. Wer steckt dahinter und was sind die Ziele?
Es ist ein verbreitetes Missverständnis, dass hinter Phishing-Mails einzelne kriminelle „Hacker" sitzen, die im Keller-Hoodie an einem Rechner arbeiten. In Wirklichkeit sind die meisten dieser Aktionen arbeitsteilig organisierte Wirtschaftskriminalität, oft international vernetzt, mit klarer Aufgabenteilung:
- Adress-Sammler — sammeln E-Mail-Adressen aus geleakten Datenbanken, sozialen Netzwerken, oder über Spam-„Test-Mails", die sehen sollen, welche Adressen aktiv sind
- Infrastruktur-Anbieter — betreiben Bot-Netze und vermieten sie an Kriminelle, die ihre Mails über tausende kompromittierte Server gleichzeitig versenden können
- Phishing-Kit-Verkäufer — verkaufen fertige Webseiten-Pakete, die echte Bank- oder Behörden-Seiten kopieren. Der Käufer muss nur noch Empfänger und Texte einsetzen
- Money-Mules — Personen, die wissentlich oder unwissentlich Geld weiterleiten, um die Spur zu verwischen
- Cash-Out-Spezialisten — heben das erbeutete Geld letztendlich in Bargeld oder schwer rückverfolgbare Kryptowährungen um
Die Ziele dieser organisierten Tätergruppen sind je nach Maschen-Typ unterschiedlich — aber selten so romantisch wie „nur ein bisschen Schadenfreude". In den allermeisten Fällen geht es um Geld oder um Daten, die zu Geld werden können.
Die häufigsten Ziele
- Zugangsdaten zu Bank-Konten oder PayPal — direktes Abräumen, oft binnen Minuten
- Kreditkarten-Daten — Verkauf in einschlägigen Foren, ab 5-10 € pro Datensatz
- Zugangsdaten zu E-Mail-Konten — wertvoll, weil viele andere Dienste damit zurückgesetzt werden können
- Identitäts-Daten — werden für Online-Bestellungen, Kredit-Anträge oder Krypto-Konten auf fremden Namen verwendet
- Firmen-Zugänge — bei Unternehmen das Ziel des „CEO-Frauds" oder Ransomware-Angriffs, oft mit sechs- bis siebenstelligen Forderungssummen
- Rechenleistung Ihres Computers — wird in Bot-Netzen für weitere Angriffe oder Krypto-Mining missbraucht
Phishing-Mails werden nicht zufällig an Sie persönlich gerichtet. Sie sind ein Massenphänomen: Millionen Versendungen mit der Hoffnung, dass ein einstelliger Prozentsatz reagiert. Genau das ist auch die gute Nachricht: Sie sind nicht das ausgewählte Opfer eines hochintelligenten Gegners, sondern einer von Millionen Empfängern einer industriell verschickten Massenmail. Das hilft, ruhig zu bleiben.
4. Die häufigsten Maschen 2025/2026
Die Maschen wechseln, aber die Grundmuster wiederholen sich. Hier die sechs häufigsten Vorgehensweisen, die uns aktuell bei Kunden begegnen — alle mit echtem Hintergrund.
„Ihr Paket konnte nicht zugestellt werden"
Angeblich von DHL, DPD, GLS oder dem Zoll. Per E-Mail oder SMS. Sie sollen Zoll-Gebühren nachzahlen, Adressdaten bestätigen oder eine „Lagergebühr" begleichen. Aktuell sehr verbreitet ist die Variante mit Paysafecard-Codes oder Kleinbeträgen von 1,99–4,99 €, weil sich kaum jemand für so wenig Geld die Mühe macht zu prüfen[5].
Erkennen: Echte Paketdienste verlangen Nachzahlungen nie über zufällige Links. Im Zweifel direkt aufdhl.de oder dpd.de einloggen und den Sendungsstatus prüfen.
„Ihr Konto wurde gesperrt — bitte sofort bestätigen"
Angeblich von Sparkasse, Volksbank, DKB, ING, Postbank. Sehr oft mit kurzer Frist („binnen 24 Stunden, sonst Kontosperrung"). Der Link führt auf eine täuschend echte Login-Seite, die alle eingegebenen Daten direkt an die Täter weiterleitet. Manchmal mit nachträglicher TAN-Abfrage „zur Verifizierung". Diese Daten genügen für eine Überweisung in Echtzeit[6].
Erkennen: Banken kommunizieren wichtige Dinge nie über E-Mail-Links, sondern über das Postfach im Online-Banking oder per Brief. Im Zweifel die Bank direkt anrufen — mit der Telefonnummer von der eigenen Kundenkarte, nicht aus der E-Mail.„Ihre offene Rechnung — Mahnung 2"
Eine angebliche Rechnung über einen mittleren Betrag (typisch 800–900 €) oder eine vermeintliche Mahnung mit Inkasso-Drohung. Manchmal mit Logos echter Firmen, manchmal von erfundenen „Online-Shops". Aktuell sehr verbreitet bei kleinen Unternehmen mit öffentlich zugänglicher E-Mail wie info@ oder rechnung@. Die heimtückischste Variante: Manipulierte echte Rechnungen nach einem vorigen E-Mail-Account-Hack des Lieferanten — die IBAN ist eine andere, alles andere stimmt[3].
„Bundeszentralamt für Steuern — Wichtige Mitteilung"
Angeblich vom Finanzamt, BZSt, Zoll, vom Bundesministerium oder sogar BSI. Meist mit Behörden-Logos und drohendem Ton. Oft Anhänge oder Links zu „amtlichen Formularen", die in Wahrheit Schadsoftware oder Phishing-Seiten enthalten[7].
Erkennen: Deutsche Behörden kommunizieren in steuerlichen oder bußgeldrelevanten Sachen ausschließlich per Brief, in seltenen Fällen über ELSTER oder das Bürgerportal. Niemals über E-Mail-Links zu Anmelde-Seiten.„Können Sie kurz eine Überweisung für mich machen?"
Eine E-Mail, scheinbar vom Chef oder einem Vorstand der eigenen Firma, mit der Bitte um eine dringende Überweisung — meist mit der Begründung „Bin in Verhandlung, brauche das diskret und schnell". Manchmal mit gefälschter Absende-Adresse, manchmal aus einem tatsächlich gehackten Postfach. Diese Masche kostete deutsche Unternehmen 2024 zweistellige Millionenbeträge[8].
Erkennen: Vier-Augen-Prinzip bei jeder ungewöhnlichen Überweisung. Im Zweifel persönlich oder über bekannte Telefon-Nummern zurückrufen. Niemals nur auf der E-Mail aufbauend handeln.„Ihre Domain läuft in 24 Stunden ab"
Angeblich vom „Web Domain Deutschland", „DomainRegistrar" oder einer ähnlich klingenden Firma — mit der Aufforderung, dringend zu zahlen, sonst verliere man die Webseite. Manchmal mit echten Daten aus dem öffentlich abfragbaren Domain-Eintrag. Klassische Verunsicherungs-Masche, die auf das Halbwissen vieler Unternehmer setzt[9].
Erkennen: Wer Ihre Domain registriert hat, weiß, wo Sie sie verlängern müssen — meist Ihr Hoster (z.B. webgo), nicht zufällige Drittfirmen. Solche Mails sind sehr oft Inkasso-Versuche für nie bestellte Leistungen.5. Wie erkennt man eine verdächtige E-Mail?
Hier ändern sich die Regeln gerade. Vor fünf Jahren hieß die Antwort: „Rechtschreibfehler suchen." Das funktioniert heute kaum noch, weil 82,6 % aller Phishing-Mails KI-generiert sind und entsprechend sprachlich sauber daherkommen[1]. Das BSI selbst zählt Tippfehler heute zu den schwächeren Merkmalen[10]. Die stärkeren Merkmale sind diese:
Merkmal 1: Stimmt die Absender-Adresse wirklich?
Im Mail-Programm steht oft als Absender etwas wie „DHL Express <service@dhl.de>". Aber Vorsicht: Der angezeigte Name kann beliebig gewählt sein. Die wahre Absender-Adresse — also der Teil hinter dem < > — zeigt erst, wer wirklich schickt. Häufige verräterische Muster:
- Zahlen oder Buchstaben im Domain-Namen, die nicht hingehören:
dhl-versand.comstattdhl.de - Komplett unbekannte Domain-Endungen:
.shop,.xyz,.click - Lange, kryptische Adressen:
noreply@a7f3-mail-server-2.delivery.net - Bekannte Firmen-Namen in der lokalen Domain-Adresse:
dhl@delivery-service.com— das ist nicht DHL, sondern delivery-service.com
Merkmal 2: Wohin führt der Link wirklich?
Klicken Sie nicht auf den Link, aber fahren Sie mit der Maus darüber (auf dem PC) oder drücken Sie lange darauf (auf dem Smartphone). Die wirkliche URL wird angezeigt — meist unten in der Statusleiste oder in einem Vorschau-Fenster. Wenn dort etwas völlig anderes steht als im Text-Link, ist die Mail praktisch sicher unsauber.
Merkmal 3: Persönliche Anrede oder anonym?
Echte Geschäftspartner — Bank, Versicherung, Hoster — sprechen Sie meist persönlich mit Namen an. Wenn stattdessen „Sehr geehrter Kunde", „Hallo," oder „Sehr geehrte Damen und Herren" steht, ist das ein deutlicher Warnhinweis[11]. Vorsicht aber: KI-Tools schreiben inzwischen auch personalisiert. Eine namentliche Anrede ist also kein Echtheitsbeweis, nur das Fehlen einer Anrede ein Verdachtsmoment.
Merkmal 4: Wird Druck oder Dringlichkeit aufgebaut?
„Binnen 24 Stunden bestätigen — sonst Kontosperrung." „Letzte Mahnung." „Sicherheits-Vorfall — sofort einloggen." Druck ist das wichtigste Werkzeug der Phishing-Industrie, weil ein Mensch unter Zeitdruck schlechter denkt. Eine seriöse Firma würde Sie nie über eine Mail zu sofortigem Handeln zwingen.
Merkmal 5: Passt die Mail zu Ihrer tatsächlichen Lebenssituation?
Bekommen Sie eine Mahnung für einen Online-Shop, bei dem Sie nie bestellt haben? Eine Sicherheitswarnung von einer Bank, bei der Sie kein Konto haben? Eine Paket-Nachricht, obwohl Sie nichts bestellt haben? Dann ist es fast sicher Phishing — egal wie professionell die Mail aussieht.
Merkmal 6: Wird Login, Passwort oder TAN abgefragt?
Das ist das härteste Merkmal überhaupt. Keine seriöse Bank, kein seriöser Online-Dienst, kein seriöser Hoster fragt jemals per E-Mail nach Ihrem Passwort, Ihrer TAN oder Ihren Anmeldedaten. Wenn das jemand tut, ist es immer Phishing. Ohne Ausnahme. Es spielt keine Rolle, wie professionell die Mail wirkt, wie offiziell das Logo aussieht — diese Frage gibt es bei seriösen Anbietern nicht.
6. Was passiert technisch, wenn man auf einen Link klickt?
Das ist die Frage, die uns am häufigsten gestellt wird. Die Antwort ist beruhigend differenziert. Der Klick allein ist meist noch nicht das Problem — es ist das, was danach kommt, was zählt.
Was beim Klick technisch passiert
Wenn Sie auf einen Link klicken, lädt Ihr Browser zunächst nur eine Webseite. In diesem Moment passiert dreierlei:
- Ihre IP-Adresse wird sichtbar — der Server weiß jetzt: Sie haben geklickt. Damit ist Ihre E-Mail-Adresse als „aktiv und reaktiv" bestätigt — was Ihre Adresse für die Täter wertvoller macht und meist zu mehr Spam führt.
- Browser-Information wird übertragen — Betriebssystem, Browser-Version, Sprache. Bei alten, ungepatchten Browsern kann das ausgenutzt werden für sogenannte Drive-by-Downloads.
- Eine Webseite wird angezeigt — meist eine täuschend echte Nachahmung der bekannten Bank-, Behörden- oder Shop-Seite.
Bis hierhin ist normalerweise nichts wirklich Schlimmes passiert — vorausgesetzt, Ihr Browser ist aktuell und Sie haben ein modernes Betriebssystem mit aktiviertem Schutz. Drive-by-Infektionen, also automatische Installation von Schadsoftware allein durch das Anzeigen einer Webseite, sind 2025 selten, aber nicht unmöglich — vor allem bei veralteten Systemen.
Was den Schaden wirklich auslöst
Gefährlich wird es erst durch eine der folgenden weiteren Handlungen:
- Daten-Eingabe auf der gefälschten Seite — Benutzername, Passwort, TAN, Kreditkartendaten. Damit haben die Täter exakt das, was sie wollten.
- Download und Öffnen eines Anhangs — vor allem Office-Dokumente mit Makros (Word, Excel) sind ein klassischer Infektions-Weg. Erst beim „Inhalte aktivieren"-Klick passiert der Schaden.
- Installation einer „App" — vor allem auf Smartphones. Eine angebliche Bank-App, die in Wirklichkeit ein Banking-Trojaner ist.
- Eingabe einer PIN oder Bestätigung in der echten Bank-App — die Täter sehen das Banking-Login mit, lösen eine Überweisung aus, und Sie bestätigen sie selbst, weil Sie denken, Sie würden Ihre eigene Aktion bestätigen.
7. Sie haben geklickt — was jetzt? Die Notfall-Anleitung
Wenn Sie auf einen Link in einer Phishing-Mail geklickt haben, ist das erste, was wir Ihnen sagen können: Bleiben Sie ruhig. Panik führt nur zu weiteren Fehlern. Gehen Sie stattdessen diese Schritte durch.
Was haben Sie konkret getan?
Nur geklickt und die Seite angesehen? Dann ist meist nichts passiert. Daten eingegeben? Dann gehen Sie zu Schritt 2. Anhang heruntergeladen und geöffnet? Dann gehen Sie zu Schritt 4. Eine App installiert? Dann sofort zu Schritt 4.
Wenn Sie Login-Daten eingegeben haben — Passwort sofort ändern
Gehen Sie auf die echte Webseite des betroffenen Dienstes (Adresse selbst eintippen, nicht aus der E-Mail kopieren) und ändern Sie sofort Ihr Passwort. Wenn Sie dasselbe Passwort auch bei anderen Diensten verwenden — was Sie nicht tun sollten, aber viele tun — dort auch alle ändern.
Wenn Bank-Daten betroffen sind — sofort Bank anrufen
Anrufen, nicht mailen, nicht warten. Konto-Sperrung veranlassen, Karte sperren lassen unter der Sperr-Nummer 116 116 (kostenfrei, 24/7). Bei Banking-TAN-Eingabe: Bei manchen Banken laufen unbemerkte Überweisungen binnen Sekunden — jede Minute zählt.
Bei Anhang-Öffnen oder App-Installation — Gerät vom Netz trennen
WLAN aus, Netzwerk-Kabel ziehen, Mobilfunk-Daten aus. Damit verhindern Sie, dass eine möglicherweise installierte Schadsoftware mit ihrem Steuerungs-Server kommunizieren oder Daten weiterleiten kann. Dann externe Hilfe holen.
Virenscanner laufen lassen
Auf Windows reicht der eingebaute Defender, der seit Jahren auf gutem Niveau ist. Vollständigen Scan starten. Bei Mac und Smartphone in den meisten Fällen nicht nötig — sofern Sie keine fremden Apps installiert oder Berechtigungen erteilt haben.
Zwei-Faktor-Authentifizierung aktivieren
Bei allen wichtigen Konten (E-Mail, Bank, soziale Netzwerke, Cloud-Speicher) eine zweite Sicherheitsebene aktivieren — meist Code per App, manchmal SMS. Damit kann ein Angreifer selbst mit Passwort nicht rein. Das ist die wichtigste einzelne Schutz-Maßnahme, die Sie jetzt machen können — egal ob Sie geklickt haben oder nicht.
Bei Geld-Schaden: Anzeige erstatten
Bei finanziellem Schaden oder Identitätsdiebstahl bei der Polizei Anzeige erstatten — geht online über die Internet-Wache der Polizei Ihres Bundeslandes. Das ist nicht nur für Sie wichtig (Versicherungs-Schutz, Beweismittel), sondern auch für die statistische Erfassung, die zu besseren Ermittlungen führt.
Bei Unsicherheit — Fachmann anrufen
Bei kleinerem Verdacht reicht eine Beratung beim eigenen IT-Dienstleister oder beim Hoster. Bei größerem Verdacht — vor allem bei Firmen-Geräten — externen IT-Sicherheits-Experten hinzuziehen. Wir bei ideaDIGITAL helfen unseren Kunden bei solchen Fällen unkompliziert weiter.
„Ich hab nur draufgeklickt — und nichts ist passiert?"
Eine Kundin aus dem Hamburger Umland ruft an, hörbar nervös. Sie hat eine angebliche Sparkassen-Mail bekommen, „Konto wird in 24 Stunden gesperrt", hat geklickt, kurz die Login-Seite gesehen, dann gemerkt, dass etwas nicht stimmt, und das Fenster geschlossen. Was jetzt?
Erste Frage: Hat sie Daten eingegeben? Antwort: Nein, nur die Seite gesehen und weggeklickt. Zweite Frage: Hat sie einen Anhang geöffnet? Nein. Damit ist die Situation klar: Praktisch sicher ist nichts passiert. Wir empfehlen drei Dinge: das Sparkassen-Passwort vorsichtshalber ändern (von einem anderen Gerät aus), den Virenscanner einmal laufen lassen, die Phishing-Mail an die echte Sparkasse melden. Eine Stunde später ist sie beruhigt, das Konto unverändert. Hätten Sie auf der gefälschten Seite Login-Daten eingegeben, wäre das eine ganz andere Geschichte gewesen.
8. Wie webgo Sie als Hoster vor Spam schützt
Für viele unserer Kunden hosten wir die E-Mail-Postfächer bei webgo, einem deutschen Webhoster mit Sitz in Hamburg. webgo hat über die Jahre einen mehrschichtigen Spam-Schutz aufgebaut, der ohne Zusatzkosten zur Verfügung steht — und der nach unserer Erfahrung sehr gut funktioniert.
Was webgo automatisch tut
- Selbstlernender, KI-gestützter Spam-Filter — webgo gibt für seinen aktuellen Filter eine Spam-Reduktion von über 95 % an. Der Filter ist auf jedem Postfach kostenfrei aktivierbar[13].
- Virenfilter auf Server-Ebene — bevor eine Mail mit Schadsoftware bei Ihnen ankommt, wird sie auf dem Mail-Server geprüft und bei Befund abgewiesen.
- RBL-Prüfung (Real-time Blackhole Lists) — eingehende Mails werden gegen weltweit aktuelle Listen bekannter Spam-Versender geprüft.
- SPF-, DKIM- und DMARC-Verifizierung — webgo prüft bei jeder Mail, ob der Absende-Server überhaupt berechtigt ist, für die behauptete Domain Mails zu verschicken. Damit fallen Fälschungen großer Marken („service@dhl.de" obwohl es nicht von DHL kommt) oft schon vor Zustellung weg.
Was Sie als webgo-Kunde selbst einstellen können
Im webgo-Kundenportal können Sie unter „E-Mail-Adressen" für jedes Postfach den Spam-Filter aktivieren und konfigurieren:
- Schwellenwert zwischen 0 und 10 einstellen — wobei webgo selbst Werte zwischen 2,5 und 5 empfiehlt. Höhere Werte lassen mehr durch, niedrigere sind strenger (aber filtern auch mal echte Mails mit weg).
- Blacklist — Absender-Adressen, die immer geblockt werden sollen.
- Whitelist — Adressen, die immer durchgelassen werden sollen, auch wenn der Filter sie sonst markieren würde.
- Spam-Kennzeichnung im Betreff — auf Wunsch fügt webgo bei Spam-Mails ****SPAM**** im Betreff ein, sodass Sie sie auf einen Blick erkennen können.
Was webgo besonders gut macht: Anti-Phishing-Aufklärung
Über die technischen Filter hinaus betreibt webgo aktive Aufklärung. Auf der Webseite des Anbieters finden Sie mehrere sehr brauchbare Ratgeber-Artikel und Anleitungen, die wir auch unseren eigenen Kunden regelmäßig empfehlen. Lese-Empfehlung im Original:
Original-Ressourcen von webgo zu Spam und Phishing
Besonders empfehlenswert ist der erste Link mit den neun Erkennungs-Tipps. webgo geht dort sehr ehrlich vor und gibt sogar konkrete Hinweise, wie webgo-eigene Phishing-Mails (die es leider gibt — weil webgo eine bekannte Marke ist) erkannt werden können: webgo schreibt sich selbst zum Beispiel immer klein („webgo", nie „Webgo"), versendet keine HTML-Mails und spricht Kunden mit Namen und Vertragsnummer an[11].
9. Was Sie selbst tun können — die Basis-Hygiene
Auch der beste Hoster und der beste Spam-Filter helfen nur, wenn Sie selbst ein paar grundlegende Gewohnheiten haben. Hier die wichtigsten — sortiert nach Wirkung:
- Zwei-Faktor-Authentifizierung überall, wo es geht. Mit Abstand die wirksamste Einzel-Maßnahme. Selbst wenn jemand Ihr Passwort kennt, kommt er ohne den zweiten Faktor (App-Code oder SMS) nicht rein.
- Einen Passwort-Manager verwenden. Damit Sie nicht überall dasselbe Passwort haben müssen. Bitwarden, KeePass, 1Password — alle drei sind seriös. Der Browser-eigene Passwort-Manager ist eine Notlösung, besser als nichts, aber nicht so gut wie ein dedizierter.
- Betriebssystem und Browser aktuell halten. Auto-Updates aktivieren und nicht ablehnen. Drive-by-Infektionen funktionieren fast nur über bekannte Sicherheitslücken, die längst gepatcht sind — nur eben nicht bei jedem.
- Kein Office-Makro aktivieren, nie. Wenn ein Word- oder Excel-Dokument Sie fragt „Inhalte aktivieren" oder „Bearbeiten zulassen", die Frage ignorieren oder die Datei direkt löschen, wenn Sie nicht sicher sind, dass sie von einer vertrauten Quelle stammt.
- Anhänge skeptisch behandeln. Zip, exe, pdf, doc, xls — alle vier können Schadcode enthalten. Bei Dateien von unbekannten Absendern: gar nicht erst öffnen.
- Lese-Ansicht im Mail-Programm anpassen. Im Outlook, Thunderbird oder Apple Mail die automatische Bild-Anzeige für externe Bilder deaktivieren. Das verhindert das automatische Tracking, dass und wann Sie eine Mail gelesen haben — und reduziert Spam, weil Ihre Adresse weniger als „aktiv" markiert wird.
- Eine separate E-Mail-Adresse für Anmeldungen. Nicht die Hauptadresse für jeden Online-Shop, jeden Newsletter, jedes Webinar verwenden. Eine zweite, eher unwichtige Adresse für solche Anmeldungen reduziert Spam in der Haupt-Inbox massiv.
- Im Zweifel telefonisch nachfragen. Beim angeblichen Absender, mit einer Telefonnummer, die Sie selbst recherchiert haben (nicht aus der verdächtigen Mail). Bank: Nummer von der Karte. Hoster: Nummer von der eigenen Vertrags-Übersicht. Behörde: Nummer aus dem amtlichen Telefonbuch oder der Stadt-Webseite.
10. Was wir bei ideaDIGITAL für Sie tun
E-Mail-Sicherheit ist bei uns Teil der laufenden Betreuung — nicht nur beim Set-up, sondern auch im Alltag, wenn Fragen auftauchen. Konkret:
- Postfach-Einrichtung mit aktiven Filtern — wir aktivieren Spam-Filter, Viren-Filter und SPF/DKIM/DMARC-Verifizierung für jedes Postfach, das wir einrichten
- Sinnvolle Schwellen-Werte — wir setzen den Spam-Filter auf einen Wert, der mit Ihrem Geschäfts-Alltag funktioniert: weder zu locker (Spam-Flut) noch zu streng (wichtige Mails landen im Junk-Ordner)
- Anti-Phishing-Briefing für Ihre Mitarbeiter — auf Wunsch erläutern wir die wichtigsten Erkennungs-Punkte in einer kurzen, einstündigen Schulung, mit echten Beispielen aus der Praxis
- Notfall-Beratung — falls jemand bei Ihnen geklickt hat und sich unsicher ist. Wir telefonieren mit Ihnen durch, was passiert ist, und sagen Ihnen, ob und wie reagiert werden sollte. Diese kleine Service-Leistung ist Teil unseres Standard-Komplettpakets — keine Extra-Rechnung
- Empfehlung passender Tools — Passwort-Manager, 2FA-Apps, sichere Cloud-Speicher. Wir wählen Lösungen aus, die zur Größe und zur Technik-Affinität Ihres Unternehmens passen — nicht das, was die Tech-Magazine empfehlen
Wir machen aus Sicherheit kein Mysterium. Die meisten Bedrohungen sind technisch unspektakulär und lassen sich mit guter Hygiene weitgehend abwehren. Wenn Sie konkrete Fragen haben — etwa zu einer Mail, die Sie gerade bekommen haben — melden Sie sich gerne. Wir beraten Sie kostenfrei.
11. Häufige Fragen
phishing@sparkasse.de für gefälschte Sparkassen-Mails.Quellen und weiterführende Informationen
Die Liste umfasst BSI (Bundesamt für Sicherheit in der Informationstechnik), Bitkom, KnowBe4 Phishing-Reports, GASA / State of Scams Reports, Verbraucherzentrale, IHK, Europol, G DATA und webgo. Stand der Recherche: 13. Mai 2026.
-
KnowBe4, Phishing Industry Benchmarking Report 2025/2026. Globale Studie zur Entwicklung von Phishing-Angriffen, mit der Erkenntnis dass 82,6 % aller Phishing-Mails KI-generiert sind. Zitiert in mehreren Branchen-Übersichten. firewalls24.de
-
BSI & ProPK, Cybersicherheitsmonitor 2026. Repräsentative Befragung von 3.000+ Internet-Nutzern in Deutschland zum Verhalten und zur Betroffenheit von Cyberkriminalität. Jährlich aktualisiert. bsi.bund.de
-
Global Anti Scam Alliance & Biocatch, State of Scams in Germany 2025 Report. Schaden durch Betrugsmaschen in Deutschland 2024: 10,6 Mrd. Euro. 84 % der Betrugsversuche laufen über Messenger. systag.com
-
BSI, Die Lage der IT-Sicherheit in Deutschland 2025 (Lagebericht). Jährlicher Bericht zur Bedrohungslage. Unique-IP-Index von 1.189 im Mai 2025 (vs. 336 im August 2024). 80 % der gemeldeten Angriffe richten sich gegen KMU. bsi.bund.de (PDF)
-
NETZWELT & G DATA, Aktuelle Phishing-Maschen 2025. Dokumentation der aktuellen Paket-Maschen, Bank-Phishing und Behörden-Mails. Mit Hinweisen zur Erkennung und zum Schutz. blog.gdata.de
-
Arbeiterkammer Wien, Massnahmenpaket gegen Phishing 2025. Detailierte Analyse der Bank-Phishing-Maschen mit Fallzahlen und Fallbeispielen aus dem deutschsprachigen Raum. arbeiterkammer.at (PDF)
-
Verbraucherzentrale NRW, Phishing-Radar — aktuelle Warnungen. Tagesaktuelle Übersicht zu kursierenden Phishing-Mails, inkl. Behörden-Maschen mit angeblichem Absender BZSt, BSI oder Bundesministerien. verbraucherzentrale.nrw
-
Bitkom, Wirtschaftsschutz 2025. Erhebung zum Schaden durch Cyberkriminalität für die deutsche Wirtschaft: 289,2 Mrd. Euro Gesamtschaden, davon 202 Mrd. Euro durch Cyberangriffe. bitkom.org
-
IHK Karlsruhe, Warnung vor Phishing und Betrugsmaschen. Aktuelle Sammlung an Betrugsmaschen, die sich gegen deutsche Mittelständler richten — u.a. Fake-Domain-Rechnungen, gefälschte interne E-Mail-Verläufe, manipulierte Bankverbindungen. ihk.de/karlsruhe
-
BSI, Wie erkenne ich Phishing in E-Mails und auf Webseiten? Offizielle BSI-Erläuterung der Erkennungs-Merkmale. Wichtig: Tippfehler werden vom BSI als schwaches Merkmal eingestuft, da KI-generierte Mails kaum welche enthalten. bsi.bund.de
-
webgo, 9 Tipps zur Erkennung von Phishing-Mails. Sehr brauchbare Anti-Phishing-Übersicht eines deutschen Hosters, mit konkreten Beispielen für Marken-Imitate inkl. webgo-eigener Phishing-Erkennung. webgo.de
-
Bitkom-Pressemitteilung zum BSI-Lagebericht (11.11.2025). Schulungs-Statistik: 79 % der Unternehmen schulen Mitarbeiter zu IT-Sicherheit, aber nur 24 % schulen alle, 55 % nur ausgewählte Positionen, 20 % schulen niemanden. bitkom.org
-
webgo, Intelligenter Spamfilter — 95 % weniger Spam. Eigendarstellung des selbstlernenden Spam-Filters, der seit 2021 in den webgo-Webhosting-Paketen enthalten ist und kostenfrei aktiviert werden kann. webgo.de
-
webgo, FAQ — Spam- und Virenfilter einrichten. Konkrete Schritt-für-Schritt-Anleitung für die Konfiguration im webgo-Kundenportal, inkl. der empfohlenen Schwellenwerte (2,5 bis 5). webgo.de
-
webgo, 10 Tipps zum Schutz vor Spam und Phishing. Blog-Artikel mit den zehn wichtigsten Verhaltens-Tipps für Endanwender. Auch für nicht-webgo-Kunden lesenswert. webgo.de
-
Polizeiliche Kriminalprävention, Internetwache & Online-Anzeige. Zentrale Anlaufstelle, um Cyber-Vorfälle bei der Polizei zu melden. Online-Anzeige geht in den meisten Bundesländern direkt über die Webseite der Landespolizei. polizei-beratung.de
-
Sperr-Notruf 116 116 (kostenfreie Karten-Sperrung). Zentrale deutsche Notruf-Nummer zum sofortigen Sperren von EC-Karten, Kreditkarten und Online-Banking-Zugängen — rund um die Uhr, kostenfrei, von überall in Deutschland (mit +49 116 116 auch aus dem Ausland). sperr-notruf.de
Unsicher bei einer Mail? Lieber einmal zu viel fragen als einmal zu wenig.
Wenn Sie eine verdächtige E-Mail bekommen haben oder sich nach einem Klick unsicher sind: rufen Sie uns an. Wir schauen kurz drauf, sagen Ihnen ehrlich was Sache ist, und falls nötig die nächsten Schritte. Für unsere Kunden ist das im Komplettpaket enthalten — für andere ein kostenloses Erstgespräch ohne Verpflichtung.