Die Mail mit der Kontosperrung
Die Mail, in der dein Konto in 24 Stunden gesperrt wird, wenn du dich nicht über den Link anmeldest, ist Phishing. Absenderadressen lassen sich frei eintragen, echt oder gefälscht zeigt erst der Mailheader. Wer sein Konto prüfen will, tippt die Adresse selbst ein und meldet sich dort an.
Woran diese Mails erkennbar sind — und woran nicht
Die alten Merkmale taugen nichts mehr. Rechtschreibfehler sind selten geworden, Layouts sind sauber, Logos stimmen, und die persönliche Anrede mit deinem richtigen Namen ist kein Echtheitsbeweis, weil Namen aus Datenlecks stammen. Auch das Argument, du habest bei diesem Dienst tatsächlich ein Konto, sagt nichts: Wer eine Million Adressen anschreibt, trifft zwangsläufig viele Kunden. Was bleibt, sind strukturelle Merkmale. Es gibt eine Frist, meist 24 oder 48 Stunden. Es gibt eine Folge, meist Sperrung oder Löschung. Und es gibt genau einen Ausweg, nämlich einen Link. Diese drei Elemente zusammen findest du in echten Servicemails praktisch nie, weil ein Anbieter, der wirklich etwas von dir braucht, es dir auch im eingeloggten Bereich anzeigt.
Der Header ist die einzige verlässliche Auskunft
Das Feld „Von“ in einer E-Mail ist reiner Text und lässt sich beliebig setzen, ähnlich wie der Absender auf einem Briefumschlag. Ob eine Mail tatsächlich von der angegebenen Domain stammt, zeigen erst die Prüfergebnisse zu SPF, DKIM und DMARC in den Kopfzeilen. SPF prüft, ob der versendende Server für die Domain zugelassen ist, DKIM prüft eine kryptografische Signatur, DMARC legt fest, was bei einem Fehlschlag passieren soll. In den meisten Mailprogrammen findest du die Kopfzeilen über eine Funktion wie Original anzeigen oder Quelltext anzeigen; interessant sind die Zeilen mit spf=, dkim= und dmarc=. Steht dort dreimal pass und passt die Domain zum Anbieter, ist die Mail sehr wahrscheinlich echt. Steht dort fail, ist die Sache erledigt.
Ein Konto, das nur eine Mailadresse kennt und keine Zahlungsdaten speichert, ist als Ziel schlicht uninteressant — beim Inserieren reicht genau das. Anzeige aufgeben
Warum die Frist im Text steht
Die Frist hat keinen technischen Zweck, sie hat einen psychologischen. Sie verhindert genau die Handlung, die die Masche zerstören würde: kurz nachdenken, jemanden fragen, morgen noch einmal hinschauen. Deshalb sind die Fristen kurz, die Folgen konkret und die Formulierungen sachlich. Erkennbar wird das an einem Vergleich: Ein Anbieter, der dein Konto wirklich einschränken muss, hat kein Interesse daran, dass du innerhalb von 24 Stunden reagierst. Er zeigt dir den Hinweis beim nächsten Login, weil er weiß, dass du dich ohnehin anmeldest. Umgekehrt gilt: Wer dich zu einer Handlung in einem engen Zeitfenster drängt, will nicht, dass du prüfst. Dasselbe Muster steckt hinter angeblichen Zahlungsaufforderungen und Abmahnungen per Mail. Wer das einmal als Muster erkannt hat, muss den Inhalt solcher Mails gar nicht mehr lesen.
Der sichere Weg dauert zehn Sekunden länger
Öffne einen neuen Tab, tippe die Adresse des Dienstes selbst ein oder nutze ein Lesezeichen, das du früher gesetzt hast, und melde dich dort an. Gibt es eine Einschränkung deines Kontos, siehst du sie dort. Steht dort nichts, war die Mail falsch, unabhängig davon, wie überzeugend sie aussah. Diese Regel funktioniert bei jedem Anbieter und bei jeder Variante, auch bei denen, die es nächstes Jahr gibt. Ergänzend: Antworte nicht auf solche Mails, auch nicht mit einer Rückfrage, denn eine Antwort bestätigt, dass die Adresse aktiv ist. Melde die Mail über die Phishing-Funktion deines Anbieters und lösche sie danach. Falls du bereits Zugangsdaten eingegeben hast, ändere sofort dein Passwort und beende alle aktiven Sitzungen.
Häufige Fragen
Wie erkenne ich eine echte Mail vom Portal?
Nicht am Aussehen, sondern am Inhalt und am Header. Echte Servicemails enthalten keine Drohung mit kurzer Frist und keinen einzelnen Rettungslink. Prüfe im Zweifel die Kopfzeilen auf spf, dkim und dmarc und melde dich unabhängig davon direkt auf der selbst eingetippten Adresse an.
Ich habe auf den Link geklickt, aber nichts eingegeben.
Dann ist in aller Regel nichts passiert. Ein Seitenaufruf allein übergibt keine Zugangsdaten. Schließe den Tab, lösche die Seitendaten und ändere vorsichtshalber das Passwort, falls du unsicher bist, ob du etwas eingetippt hast. Installiere nichts, was die Seite dir anbietet.
Was bedeutet DMARC?
DMARC ist eine Regel, die der Domaininhaber veröffentlicht: Sie legt fest, wie empfangende Server mit Mails umgehen sollen, die die SPF- und DKIM-Prüfung nicht bestehen — zustellen, in den Spam verschieben oder abweisen. Für dich ist relevant, ob im Header dmarc=pass oder dmarc=fail steht.
Soll ich auf die Mail antworten?
Nein. Eine Antwort bestätigt, dass die Adresse gelesen wird, und führt zu mehr Zusendungen. Melde die Nachricht über die Phishing-Funktion deines Mailanbieters, dann lösche sie. Willst du den Vorgang dokumentieren, speichere vorher die vollständigen Kopfzeilen als Textdatei. Blockiere den Absender zusätzlich in deinem Postfach.