Phishing steht am Anfang vieler erfolgreicher Cyberangriffe, und ein wichtiger Schutz sind aufmerksame Mitarbeitende. Dieser Kurzleitfaden zum Thema Phishing erkennen und melden ist nicht technisch gehalten, damit Sie ihn unverändert an Ihr Team weitergeben können. Er zeigt, woran Sie Betrugsmails erkennen, welche Maschen verbreitet sind, wie Sie verdächtige Nachrichten melden und was nach einem Klick zu tun ist. Die Meldeschritte beziehen sich auf Microsoft 365 und Outlook; die übrigen Hinweise gelten unabhängig vom Anbieter.

Voraussetzungen

Ein definierter Meldeweg im Unternehmen: eine Melden-Schaltfläche im Mailprogramm und/oder ein zentrales Phishing-Postfach (z. B. phishing@IHRE-DOMAIN.de).
Eine bekannte Erreichbarkeit der IT bzw. IT-Sicherheit (Telefon, Ticket, Postfach) für Rückfragen und Notfälle.
Aktivierte Mehr-Faktor-Authentifizierung (MFA) für die wichtigen Konten ; sie begrenzt den Schaden, wenn ein Passwort abgegriffen wird.
Für Microsoft 365: Die IT hat im Microsoft Defender-Portal unter Einstellungen > E-Mail und Zusammenarbeit > Vom Benutzer gemeldete Einstellungen festgelegt, wohin gemeldete Mails gehen (internes Berichtspostfach, Microsoft oder beides).
Die Grundhaltung im Team: Melden ist nie falsch. Lieber einmal zu viel als zu wenig, und nie aus Scham verschweigen.

Schritt 1: Phishing-Merkmale erkennen

Phishing-Mails sollen zu einer schnellen, unüberlegten Handlung bewegen: klicken, eingeben, überweisen, herunterladen. Achten Sie auf diese Merkmale; einzeln sind sie ein Warnsignal, zusammen ein deutlicher Hinweis auf Betrug.

Dringlichkeit und Zeitdruck: Formulierungen wie „umgehend aktualisieren, sonst Verlust“ oder eine drohende Kontosperrung sollen Panik erzeugen.
Aufforderung zur Eingabe vertraulicher Daten: Seriöse Anbieter fragen nicht per Mail nach Passwort, PIN, TAN oder Kreditkartennummer.
Verdächtige Links und Formulare: Eingebettete Anmeldemasken oder Schaltflächen, die auf eine externe Seite führen.
Ungewöhnliche Anliegen von bekannten Absendern: Der „Chef“ bittet plötzlich um eine vertrauliche Überweisung, ein Kollege schickt unerwartet einen Anhang.
Auffällige Anhänge: Unerwartete Rechnungen, Office-Dokumente mit Makros oder ZIP-Dateien.

Verlassen Sie sich nicht auf Rechtschreib- und Grammatikfehler. Mit KI erstellte Phishing-Mails sind oft sprachlich fehlerfrei und ahmen den Stil bekannter Absender nach. Auch das Schloss-Symbol bzw. HTTPS beweist keine Echtheit; auch Betrugsseiten haben gültige Zertifikate.

Absender und Domain genau prüfen

Bei HTML-Mails kann hinter dem angezeigten Namen eine ganz andere Adresse stecken. Klicken oder tippen Sie auf den Absendernamen, um die vollständige Adresse anzuzeigen. Achten Sie auf vertauschte oder zusätzliche Buchstaben in der Domain.

Angezeigter Name:  Microsoft Konto-Team
Echte Adresse:     security@rnicrosoft-konto.de   (rn statt m!)
Erwartet:          microsoft.com
Gefaelscht:        microsoft.com.konto-login.ru   (echte Domain steht hinten)
Gefaelscht:        135x-bank.de   (Ziffer statt Buchstabe)

Links mit Mouseover prüfen

Bewegen Sie den Mauszeiger über einen Link, ohne zu klicken. Unten im Fenster oder als Tooltip erscheint die tatsächliche Ziel-URL. Weicht die Domain vom erwarteten Anbieter ab oder ist es eine Kurz-URL: nicht klicken, sondern melden. Auf dem Smartphone zeigt langes Drücken auf den Link die Adresse; öffnen Sie ihn dabei nicht.

Verifizieren: Sie können bei einer Mail die vollständige Absenderadresse und bei einem Link die Ziel-Domain benennen, ohne etwas geöffnet zu haben.

Schritt 2: Echte Beispiele und Maschen kennen

Diese vier Maschen treffen Unternehmen besonders häufig:

Masche	Wie sie abläuft	Warnsignal
CEO-Fraud / BEC	Angeblicher Chef oder Geschäftsführer bittet die Buchhaltung unter Zeitdruck und Geheimhaltung um eine dringende Überweisung.	Druck plus Vertraulichkeit, ungewöhnliche Zahlungsbitte, nur per Mail.
Gefälschte Rechnung	Bekannte Rechnung mit geänderter Bankverbindung bzw. IBAN oder mit Schad-Anhang.	Plötzlich neue Kontonummer, unerwarteter Anhang.
Fake-Login-Seite	Täuschend echte Anmeldemaske (Microsoft 365, Bank) greift Zugangsdaten ab.	Erneute Dateneingabe nach dem Login, abweichende Domain.
Behörden- / Paketdienst-Fake	Mail oder SMS angeblich von Behörde oder Paketdienst mit Link zur „Nachverfolgung“ oder „Gebührenzahlung“.	Unerwartete Sendung, Zahlungs- oder Datenaufforderung.

Der wichtigste Reflex bei CEO-Fraud und gefälschten Rechnungen: über einen zweiten, bekannten Kanal prüfen. Rufen Sie die Person unter der Ihnen bekannten Nummer zurück, nie unter einer Nummer aus der verdächtigen Mail, und bestätigen Sie Zahlungs- oder Datenanforderungen nie allein per Mail.

Verifizieren: Im Team ist geklärt, welche Nummern und Wege für Rückfragen gelten, etwa Telefonliste im Intranet oder festgelegte Ansprechpartner in der Buchhaltung.

Schritt 3: Über den richtigen Weg melden

Kommt Ihnen eine Mail verdächtig vor: keine Links anklicken, keine Anhänge öffnen, melden. In Microsoft 365 bzw. Outlook nutzen Sie dafür die eingebaute Schaltfläche:

1. Verdaechtige Mail in der Liste markieren.
2. Im Menueband auf  Melden  klicken.
3. Im Menue  Phishing melden  waehlen und bestaetigen.
   -> Die Mail wird geloescht und je nach Einstellung an das
      Berichtspostfach der IT, an Microsoft oder an beide gesendet.
Hinweis:  Junk melden  ist fuer Werbung,  Phishing melden  fuer Betrugsversuche.

Fehlt die Schaltfläche, leiten Sie die Mail als Anlage an das interne Phishing-Postfach oder die IT weiter (Outlook: Weiterleiten > Als Anlage weiterleiten). So bleiben die Kopfzeilen erhalten, die die IT zur Analyse braucht.

Verifizieren: Nach „Phishing melden“ ist die Mail aus dem Posteingang verschwunden. Je nach Einstellung erhalten Sie eine Bestätigung oder später eine Rückmeldung der IT.

Situation	So melden Sie
Outlook mit Schaltfläche	`Melden` → `Phishing melden`
Outlook ohne Schaltfläche	Mail als Anlage an `phishing@IHRE-DOMAIN.de` oder an die IT
Extern / privat (zusätzlich)	Mail an `phishing@verbraucherzentrale.nrw`; bei Schaden Strafanzeige

Schritt 4: Sofortmaßnahmen nach einem Klick

Sie haben geklickt oder Daten eingegeben? Handeln Sie sofort und ohne Scheu: Schnelles Melden begrenzt den Schaden, Verschweigen vergrößert ihn.

Gerät vom Netz trennen: LAN-Kabel ziehen bzw. WLAN ausschalten, damit sich Schadsoftware nicht ausbreitet.
IT umgehend informieren: über den bekannten Notfallweg – Telefon, Ticket oder Phishing-Postfach.
Passwörter ändern: das betroffene Konto und alle Konten mit gleichem oder ähnlichem Passwort, von einem sauberen Gerät und nur über die offizielle Website oder App. Im Unternehmen stimmen Sie das mit der IT ab.
Aktive Sitzungen abmelden: überall abmelden lassen und prüfen, ob unbekannte MFA-Methoden hinzugefügt wurden.
Gerät prüfen lassen: die IT prüft das Gerät auf Schadsoftware.
Bank informieren: wenn Zahlungs- oder Kontodaten betroffen sind, sofort die Bank kontaktieren und bei finanziellem Schaden Strafanzeige erstatten.

Verifizieren: Die IT hat die Meldung bestätigt und entscheidet über die weiteren Schritte; das Gerät bleibt bis dahin vom Netz getrennt.

Vorlage: interne Phishing-Meldung an die IT

Diese Felder helfen der IT, schnell zu reagieren. Hinterlegen Sie sie als E-Mail-Vorlage.

Betreff: Phishing-Verdacht
Absenderadresse (exakt, vollstaendig): ...
Betreff der Verdachtsmail:             ...
Datum/Uhrzeit Eingang:                 ...
Verdaechtiger Link/Anhang (nicht oeffnen): ...
Habe ich geklickt / Daten eingegeben?  ja / nein
Original-Mail als Anhang beigefuegt?    ja / nein

Hinweis für die IT: DSGVO-Meldepflicht

Führt ein Phishing-Vorfall zu einer Verletzung des Schutzes personenbezogener Daten mit Risiko für Betroffene, muss der Verantwortliche dies nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden ab Kenntnis der zuständigen Aufsichtsbehörde melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko. Bei hohem Risiko kommt die Benachrichtigung der Betroffenen nach Art. 34 DSGVO hinzu. Deshalb ist die schnelle interne Meldung so wichtig.

Typische Fehler

Auf Rechtschreibfehler als alleiniges Merkmal vertrauen: mit KI erstellte Mails sind oft fehlerfrei.
Schloss-Symbol mit Seriosität verwechseln: auch Phishing-Seiten haben gültige Zertifikate.
Dem Anzeigenamen glauben: Name und Adresse lassen sich fälschen; immer die echte Domain prüfen.
CEO-Fraud unterschätzen: dringende, vertrauliche Bitten „vom Chef“ nie nur per Mail bestätigen.
Aus Neugier doch klicken oder Anhänge öffnen: das bestätigt die eigene Adresse oder startet Schadcode.
Aus Scham schweigen oder zögern: verspätetes Melden vergrößert den Schaden und verkürzt die Zeit für Meldepflichten.
Passwort auf dem kompromittierten Gerät ändern: immer von einem sauberen Gerät über die offizielle Seite.

Häufige Fragen

Woran erkenne ich eine gefälschte Absenderadresse?

Der Anzeigename sagt nichts aus. Lassen Sie sich die vollständige Absenderadresse anzeigen und prüfen Sie sie auf vertauschte Buchstaben (z. B. rn statt m), zusätzliche Wörter vor der echten Domain oder Tippfehler-Domains. Im Zweifel melden Sie die Mail.

Sind Rechtschreibfehler noch ein gutes Erkennungsmerkmal?

Nein. Mit KI erstellte Phishing-Mails sind oft fehlerfrei. Achten Sie auf Inhalt und Absicht: Druck, ungewöhnliche Geld- oder Datenbitten und verdächtige Links.

Ich habe nur draufgeklickt, aber nichts eingegeben – muss ich trotzdem melden?

Ja. Schon der Klick kann Schadcode starten oder die Adresse bestätigen. Trennen Sie das Gerät vom Netz und informieren Sie die IT.

Was bedeutet der Unterschied zwischen „Junk melden“ und „Phishing melden“?

„Junk melden“ ist für lästige Werbung gedacht: Die Mail landet im Junk-Ordner und der Absender wird geblockt. „Phishing melden“ ist für Betrugsversuche: Die Mail wird gelöscht und je nach Einstellung an das Berichtspostfach der IT, an Microsoft oder beide gesendet.

Wie verifiziere ich eine dringende Zahlungsbitte vom Chef?

Über einen zweiten bekannten Kanal: Rufen Sie die Person unter ihrer bekannten Nummer zurück, nicht unter einer Nummer aus der Mail. Bestätigen Sie Zahlungen nie allein per E-Mail, auch unter Zeitdruck.

Soll ich verdächtige Mails auch extern melden?

Im Unternehmen läuft der Hauptweg immer über die IT bzw. das Phishing-Postfach. Privat oder zusätzlich können Sie Phishing zur Auswertung an die Verbraucherzentrale weiterleiten und bei Schaden Strafanzeige erstatten; das ersetzt nicht die interne Meldung.

Fazit

Phishing erkennen und melden ist kein Spezialwissen, sondern Teamarbeit: Absender und Links prüfen, bei Druck und ungewöhnlichen Bitten misstrauisch werden, kritische Anliegen über einen zweiten Kanal prüfen und im Zweifel melden. Nach einem Klick zählt schnelles Handeln. Verteilen Sie diesen Leitfaden im Onboarding und machen Sie deutlich: Melden ist erwünscht.

Weiterführende Anleitungen und Quellen

Zwei-Faktor-Authentifizierung (2FA/MFA) einführen – begrenzt den Schaden, wenn ein Passwort abgegriffen wird.
Defender für Office 365: Phishing-Schutz einrichten – technische Abwehr und Melde-Schaltfläche zentral konfigurieren.
Exchange Online: SPF, DKIM und DMARC für die eigene Domäne – erschwert den Missbrauch der eigenen Domain für Phishing.
Weitere Anleitungen in der Kategorie Sicherheit

Quellen: BSI – Wie erkenne ich Phishing in E-Mails und auf Webseiten; Microsoft Learn – Report phishing and suspicious emails in Outlook (geprüft September 2026); Verbraucherzentrale – Phishing-Radar; Art. 33 DSGVO.