Gehackte E-Mails vs. Scamming-E-Mails

Unterschiede erkennen und richtig reagieren

Diese Anleitung erklärt den Unterschied zwischen gehackten E-Mail-Konten und Scamming-E-Mails (Phishing). Sie lernen, wie Sie betrügerische E-Mails erkennen und wie Sie reagieren sollten.

1

Was ist eine gehackte E-Mail?

Eine gehackte E-Mail bedeutet, dass jemand Unbefugtes tatsächlich Zugriff auf dein E-Mail-Konto hat.

Was kann der Angreifer tun?

  • Der Angreifer kann sich mit deinem Passwort einloggen.
  • Er kann deine E-Mails lesen und in deinem Namen verschicken.
  • Er kann Passwörter anderer Dienste über „Passwort vergessen" zurücksetzen.
  • Er kann Einstellungen ändern (Weiterleitungen, Filter usw.).

⚠️ Gefahr: Sehr hoch!

Dein Postfach ist oft der Schlüssel zu vielen anderen Konten. Wer Zugriff auf deine E-Mails hat, kann oft auch andere Accounts übernehmen.

2

Was ist eine Scamming-E-Mail?

Eine Scamming-E-Mail (Betrugs-Mail/Phishing-Mail) ist eine gefälschte Nachricht, die dich zu einer Handlung verleiten soll, zum Beispiel:

  • auf einen gefährlichen Link klicken,
  • deine Zugangsdaten eingeben,
  • persönliche Daten verraten,
  • Geld überweisen,
  • einen schädlichen Anhang öffnen.

💡 Wichtig zu wissen:

Bei einer Scamming-E-Mail wurde dein Konto nicht automatisch gehackt. Die Betrüger kennen in vielen Fällen nur deine E-Mail-Adresse und schicken massenhaft Mails herum.

3

Unterschied in einem Satz

Gehackte E-Mail

Jemand hat echten Zugang zu deinem Konto und kann alles sehen und tun.

Scamming-E-Mail

Eine fremde E-Mail versucht, dich zu täuschen, damit du selbst etwas Gefährliches tust.

4. Aufbau einer Scamming-E-Mail

Scam-Mails folgen oft einem ähnlichen Muster. Hier sind typische Bausteine:

4.1

Absender und E-Mail-Adresse

Scam-Mails versuchen oft, wie eine bekannte Firma oder Bank auszusehen.

Beispiel (angezeigt im Postfach):

  • Anzeigename: „Ihre Bank"
  • Echte Absenderadresse: support-sicherheit@bank-kundenservice.com

Auf den ersten Blick sieht „Ihre Bank" vertrauenswürdig aus, aber die eigentliche E-Mail-Adresse dahinter ist verdächtig.

Typische Tricks bei der E-Mail-Adresse:

  • Zusatz-Wörter: support@meinebank-sicherheit.com
  • Leichte Schreibfehler: service@paypall.com statt service@paypal.com
  • Fremde Domains: kunde@bank-login.info statt offizieller Bank-Domain
4.2

Betreffzeile

Die Betreffzeile erzeugt oft Druck oder Angst, z. B.:

  • „Dringend: Ihr Konto wird gesperrt!"
  • „Letzte Warnung: Ungewöhnliche Anmeldung erkannt"
  • „Offene Rechnung – bitte sofort bezahlen"

Warnsignal: Extreme Dringlichkeit und Drohungen sind typische Merkmale von Betrugs-Mails.

4.3

Begrüßung

Viele Scam-Mails verwenden keine persönliche Anrede, weil sie massenhaft verschickt werden:

  • „Sehr geehrter Kunde"
  • „Guten Tag Nutzer"
  • „Hallo" ohne Namen

Echte Firmen nutzen oft (nicht immer!) deinen richtigen Namen, z. B. „Sehr geehrter Herr Müller".

4.4

Inhalt (Text im Mailkörper)

Typisch sind:

  • Hinweise auf ein angebliches Problem (Sperrung, Sicherheitsvorfall, offene Rechnung).
  • Dringlichkeit: „sofort handeln", „innerhalb von 24 Stunden", „ansonsten…".
  • Versprechen oder Drohungen (Geld, Kontosperre, Inkasso etc.).

Beispiel einer gefälschten E-Mail:

Sehr geehrter Kunde,

wir haben ungewöhnliche Aktivitäten in Ihrem Konto festgestellt. Um Ihr Konto zu schützen, müssen Sie Ihre Daten sofort bestätigen.

Bitte klicken Sie auf den folgenden Link, um Ihr Konto zu verifizieren:
https://meinebank-sicherheit.com/login

Wenn Sie dies nicht innerhalb von 24 Stunden tun, wird Ihr Konto dauerhaft gesperrt.

Mit freundlichen Grüßen
Ihre Bank Sicherheitsteam

⚠️ Warnsignale in diesem Beispiel: Anonyme Anrede, Druck, drohende Sperre, verdächtiger Link, komische Domain.

4.5

Links und Buttons

Das wichtigste Ziel der Scammer ist oft, dass du auf einen Link klickst. Dabei versuchen sie, die echte Adresse zu verstecken.

Beispiele:

  • Der Text zeigt: https://meine-bank.de
    Der echte Link dahinter führt aber zu: https://meine-bank.de.sicherheit-login.xyz
  • Buttons wie: „Jetzt Konto bestätigen", „Passwort zurücksetzen", „Rechnung ansehen"

💡 Wichtiger Tipp:

Fahre mit der Maus über den Link (ohne zu klicken) und schau dir unten im Browser die echte Adresse an. So erkennst du gefälschte Links!

4.6

Anhänge

Manchmal enthalten Scam-Mails Anhänge mit Schadsoftware (z. B. .zip, .exe oder angebliche Rechnungen als .pdf).

⚠️ Goldene Regel:

Keine unbekannten Anhänge öffnen, vor allem nicht bei unerwarteten Rechnungen oder Mahnungen!

4.7

Sprache und Stil

Viele Scam-Mails enthalten:

  • Rechtschreibfehler oder schlechte Grammatik,
  • ungewöhnliche Formulierungen,
  • mischsprachige Inhalte (Deutsch + Englisch).

Das ist kein sicheres Zeichen (auch echte Mails haben manchmal Fehler), aber ein Hinweis, vorsichtig zu sein.

5. Gefälschte Office-/Microsoft-Anmeldeseiten erkennen

Der häufigste Fall im Arbeitsalltag: Sie klicken auf einen Link – etwa in einer angeblichen Freigabe-Mail („Dokument geteilt", „Sprachnachricht", „Ihr Postfach ist voll") – und landen auf einer Seite, die exakt wie die Microsoft-365-Anmeldung aussieht. Diese Nachbauten sind heute pixelgenau. Sie erkennen den Betrug fast nie am Aussehen der Seite, sondern an der Adresse und am Ablauf.

⚠️ Die eine Regel, die fast alles abdeckt

Melden Sie sich niemals über einen Link aus einer E-Mail an. Wenn eine Seite nach Ihrem Office-Passwort fragt, schließen Sie den Tab und rufen Sie portal.office.com bzw. outlook.office.com selbst über ein Lesezeichen oder die Adresszeile auf. Ist das Dokument echt, finden Sie es auch dort.

5.1

Die Adresszeile richtig lesen

Entscheidend ist nicht, was alles in der Adresse steht, sondern welche Domain direkt vor dem ersten einzelnen Schrägstrich / steht. Lesen Sie diesen Teil von rechts nach links – die letzten zwei Bestandteile sind der echte Betreiber.

Echte Microsoft-Anmeldeadressen:

  • login.microsoftonline.com  (der Normalfall bei Microsoft 365)
  • login.microsoft.com
  • login.live.com  (private Microsoft-Konten)

Alles andere ist im Zweifel falsch – auch dann, wenn irgendwo „microsoft" oder „office" im Namen vorkommt.

Typische Fälschungen:

  • Echter Name als Vorsilbe: login.microsoftonline.com.sso-verify.xyz – hier ist sso-verify.xyz der Betreiber, nicht Microsoft.
  • Bindestrich statt Punkt: microsoft-login.com, office365-anmeldung.de, outlook-webmail.net
  • Verwechselbare Zeichen: rnicrosoft.com (r + n statt m), micros0ft.com (Null statt o), rnicrosoftonIine.com (großes I statt kleinem l)
  • Fremde Endungen: .xyz, .top, .online, .ru, .cn – bei einer Microsoft-Anmeldung praktisch immer ein Betrugszeichen.
  • Kryptische Adressen: lange Buchstaben-Zahlen-Kombinationen oder Speicher-/Baukastendienste wie …​.web.app, …​.r2.dev, …​.blob.core.windows.net, …​.workers.dev

⚠️ Das Schloss-Symbol beweist gar nichts

https und das Schloss bedeuten nur, dass die Verbindung verschlüsselt ist – nicht, dass die Seite echt ist. Betrüger bekommen diese Zertifikate kostenlos in wenigen Minuten. Nahezu jede Phishing-Seite hat heute ein Schloss.

5.2

Woran Sie es am Ablauf merken

Auch ohne Blick auf die Adresse verraten sich viele Fälschungen durch ihr Verhalten:

  • E-Mail und Passwort auf einer Seite: Microsoft fragt in zwei Schritten – erst die E-Mail-Adresse, dann auf der nächsten Seite das Passwort. Beide Felder gleichzeitig sind ein starkes Warnsignal.
  • Ihre E-Mail-Adresse steht schon im Feld: Wenn die Seite Sie bereits kennt, obwohl Sie nur auf einen Link geklickt haben, kam diese Information aus der Betrugs-Mail.
  • Der Passwortmanager füllt nichts aus: Ein gespeichertes Passwort wird nur auf der Original-Domain angeboten. Bleibt das Feld leer, obwohl es sonst automatisch gefüllt wird – nicht von Hand nachhelfen! Das ist einer der verlässlichsten Hinweise überhaupt.
  • Anmeldung, obwohl Sie längst angemeldet sind: Am Arbeitsplatz sind Sie in der Regel dauerhaft eingeloggt. Eine plötzliche Passwortabfrage aus dem Nichts ist verdächtig.
  • Ihr Firmen-Design fehlt: Nach Eingabe der Adresse …@kk-oh.de zeigt die echte Microsoft-Seite unser Logo und Hintergrundbild. Bleibt es beim neutralen Microsoft-Standard, stimmt etwas nicht.
  • Halbe Seite: Links wie „Kein Zugriff auf das Konto?", „Anmeldeoptionen", „Datenschutz & Cookies" funktionieren nicht oder fehlen.
  • Nach dem Anmelden passiert etwas Komisches: Sie landen auf einer Fehlermeldung, auf microsoft.com oder es lädt einfach ein PDF. Der Nachbau hat Ihr Passwort abgegriffen und weiß danach nichts mehr mit Ihnen anzufangen.

💡 Auch der Bestätigungscode schützt nicht automatisch

Moderne Phishing-Seiten leiten Ihre Eingaben in Echtzeit an das echte Microsoft weiter. Sie bekommen dann eine ganz normale MFA-Anfrage auf Ihr Handy – und mit Ihrer Bestätigung übernimmt der Angreifer die Sitzung. Bestätigen Sie deshalb nur Anmeldungen, die Sie selbst gerade ausgelöst haben. Kommt eine Anfrage unerwartet: ablehnen und bei der IT melden.

5.3

Zwei besonders fiese Varianten

Das gefälschte Anmeldefenster („Fenster im Fenster")

Manche Seiten zeichnen ein komplettes Browser-Fenster samt Adresszeile als Bild in die Webseite hinein. Dort steht dann natürlich login.microsoftonline.com – aber es ist nur ein Bild.

Der Test: Ziehen Sie das vermeintliche Fenster mit der Maus über den Rand des Browsers hinaus. Ein echtes Fenster lässt sich frei auf dem Bildschirm bewegen und verschwindet auch nicht, wenn Sie die Webseite scrollen. Ein gemaltes Fenster bleibt in der Seite gefangen.

Der QR-Code in der Mail

„Scannen Sie diesen Code, um Ihre Anmeldung zu bestätigen" – der Zweck ist, Sie auf das private Handy zu locken. Dort sehen Sie die Adresse kaum und der Schutz der Firma greift nicht. Dienstliche Anmeldungen laufen nie über einen QR-Code aus einer E-Mail.

5.4

Sie haben Ihr Passwort schon eingegeben – was jetzt?

Das passiert erfahrenen Leuten genauso. Wichtig ist nur, dass es schnell geht:

  • Sofort das Passwort ändern – über portal.office.com, selbst in die Adresszeile eingetippt, nicht über den Link.
  • Umgehend die IT informieren (support@m1.kk-oh.de) – auch abends und am Wochenende. Wir können die Sitzungen des Angreifers beenden; das Passwort allein reicht dafür oft nicht.
  • Alle offenen MFA-Anfragen ablehnen und keine Codes bestätigen.
  • Haben Sie dasselbe Passwort woanders benutzt? Dort ebenfalls ändern.
  • Später prüfen: Wurden in Outlook Weiterleitungsregeln angelegt, die Sie nicht kennen? Das ist der übliche erste Schritt der Angreifer – die IT prüft das mit Ihnen.

Bitte nicht abwarten und hoffen. Zwischen gestohlenem Passwort und erstem Missbrauch liegen oft nur Minuten. Eine frühe Meldung kostet uns zehn Minuten Arbeit, eine späte mehrere Tage. Niemand bekommt deshalb Ärger.

🎣 Zum Ausprobieren: gefälschte Anmeldeseite

Am besten lernt man das Erkennen, wenn man es einmal selbst erlebt hat. Wir haben eine ungefährliche Übungsseite vorbereitet, die wie eine echte Office-Anmeldung aussieht. Probieren Sie ruhig aus, ob Sie die Warnzeichen finden – die Seite speichert und sendet nichts und löst nach dem Klick die Auflösung auf.

▶ Übung starten: gefälschte Anmeldeseite erkennen

6. Kurz-Zusammenfassung

✓ Die wichtigsten Punkte:

  • Gehackte E-Mail: Jemand ist wirklich in deinem Konto drin und kann alles sehen und tun.
  • Scamming-E-Mail: Eine fremde E-Mail versucht, dich zu täuschen (Passwort, Daten, Geld).
  • Aufbau einer Scam-Mail: Auffälliger Betreff, unpersönliche Anrede, Druck, verdächtige Absenderadresse, Links oder Anhänge.
  • Gefälschte Anmeldeseite: Nicht am Aussehen erkennbar, sondern an der Adresse. Echt ist nur login.microsoftonline.com – und zwar direkt vor dem ersten /. Das Schloss-Symbol beweist nichts.
  • Beste Angewohnheit: Nie über einen Mail-Link anmelden, sondern portal.office.com selbst aufrufen.
  • Wichtig: Im Zweifel niemals auf Links klicken, keine Daten eingeben und die E-Mail lieber löschen.

Was tun bei verdächtigen E-Mails?

⚠️ Sofortmaßnahmen bei Verdacht:

  • Nicht auf Links klicken oder Anhänge öffnen
  • Keine Daten eingeben (auch nicht auf nachgemachten Login-Seiten)
  • Nicht antworten – auch nicht, um sich zu beschweren
  • Die E-Mail an die IT melden (siehe unten) – und erst danach löschen
  • Falls Sie bereits auf einen Link geklickt oder Daten eingegeben haben: Sofort Passwort ändern und die IT informieren!

Verdächtige E-Mail an die IT melden

Wenn Sie uns eine verdächtige E-Mail melden, können wir prüfen, ob weitere Personen betroffen sind, und den Absender sperren. Damit das funktioniert, brauchen wir die E-Mail als Anhang – nicht als Screenshot und nicht einfach weitergeleitet.

⚠️ Warum als Anhang?

Jede E-Mail enthält unsichtbare Kopfzeilen (den sogenannten Header) mit dem echten Absender, dem Weg der Nachricht durch das Internet und den Prüfergebnissen der Spamfilter. Beim normalen Weiterleiten gehen diese Kopfzeilen verloren – wir sehen dann nur noch Ihre Weiterleitung und können den Ursprung nicht mehr nachvollziehen. Als Anhang bleibt die Original-E-Mail vollständig erhalten.

1

In Outlook am Computer

  1. Klicken Sie die verdächtige E-Mail in der Liste einmal an (nicht öffnen)
  2. Drücken Sie Strg + Alt + F – Outlook erstellt eine neue Nachricht mit der E-Mail als Anhang
  3. Tragen Sie als Empfänger support@m1.kk-oh.de ein
  4. Schreiben Sie kurz dazu, was Ihnen aufgefallen ist und ob Sie etwas angeklickt haben
  5. Absenden
2

Wenn die Tastenkombination nichts bewirkt

Je nach Outlook-Version gibt es Strg + Alt + F nicht. Dann funktioniert dieser Weg:

  1. Erstellen Sie eine neue, leere E-Mail an support@m1.kk-oh.de
  2. Ziehen Sie die verdächtige Nachricht mit der Maus aus der Nachrichtenliste in diese neue E-Mail hinein
  3. Sie wird dadurch als Anhang eingefügt

Manche Versionen bieten außerdem einen Rechtsklick auf die Nachricht → „Weiterleiten als Anlage" an. Wenn dieser Eintrag bei Ihnen erscheint, ist das der schnellste Weg.

3

Was in die Meldung gehört

  • Die verdächtige E-Mail als Anhang
  • Haben Sie einen Link angeklickt? Wenn ja: welchen und wann?
  • Haben Sie irgendwo Zugangsdaten eingegeben?
  • Haben Sie einen Anhang geöffnet?
  • An welchem Gerät ist das passiert (Büro-PC, Laptop, Handy)?

Diese Angaben sind auch dann wichtig, wenn Ihnen die Antwort unangenehm ist. Es passiert vielen, und je früher wir es wissen, desto einfacher lässt sich der Schaden begrenzen. Niemand bekommt deshalb Ärger.

4

Erst melden, dann aufräumen

  • Löschen Sie die E-Mail nicht sofort – wir brauchen sie unter Umständen noch.
  • Verschieben Sie sie nicht in den Junk-Ordner, bevor Sie sie gemeldet haben.
  • Nach unserer Rückmeldung können Sie die Nachricht löschen.
  • Haben Sie sie versehentlich schon gelöscht? Sie liegt meist noch in „Gelöschte Elemente" und lässt sich von dort zurückholen.

Wenn nichts davon klappt: Schicken Sie uns notfalls einen Screenshot der E-Mail und die vollständige Absenderadresse. Das ist weniger aussagekräftig als der Anhang, aber immer noch besser als keine Meldung.

💡 Kontakt IT-Support

  • 📧 E-Mail: support@m1.kk-oh.de
  • 🕐 Erreichbarkeit: Mo–Do 8:00–15:30 Uhr, Fr 8:00–12:00 Uhr

Bei akutem Verdacht auf ein gehacktes Konto melden Sie sich bitte umgehend – auch außerhalb dieser Zeiten per E-Mail.

Häufig gestellte Fragen

Kann ich gehackt werden, nur weil ich eine Scam-Mail erhalte?

Nein. Allein der Empfang einer Scam-Mail bedeutet nicht, dass Ihr Konto gehackt ist. Gefährlich wird es erst, wenn Sie auf Links klicken, Anhänge öffnen oder Ihre Zugangsdaten eingeben.

Woher haben die Betrüger meine E-Mail-Adresse?

E-Mail-Adressen können aus verschiedenen Quellen stammen: Datenlecks bei Websites, öffentliche Verzeichnisse, Social Media oder einfach durch Erraten gängiger Adressen. Der Erhalt einer Scam-Mail ist kein Zeichen für ein gehacktes Konto.

Was passiert, wenn ich auf einen Link in einer Phishing-Mail geklickt habe?

Wenn Sie nur geklickt, aber keine Daten eingegeben haben, besteht meist kein großes Risiko. Falls Sie jedoch Zugangsdaten eingegeben haben, ändern Sie sofort Ihr Passwort und kontaktieren Sie den IT-Support.

Wie erkenne ich, ob meine E-Mail-Adresse bei einem Datenleck betroffen war?

Es gibt Dienste wie „Have I Been Pwned" (haveibeenpwned.com), wo Sie prüfen können, ob Ihre E-Mail-Adresse bei bekannten Datenlecks aufgetaucht ist. Bei Unsicherheit kontaktieren Sie den IT-Support.

Die Anmeldeseite sah aus wie immer – kann sie trotzdem gefälscht sein?

Ja. Betrüger kopieren die Microsoft-Seite vollständig, inklusive Logo, Schriftart und Hintergrundbild. Das Aussehen ist kein Erkennungsmerkmal. Verlassen Sie sich ausschließlich auf die Adresse in der Adresszeile und darauf, wie Sie auf die Seite gekommen sind.

Ich habe die Zwei-Faktor-Anmeldung – bin ich damit sicher?

Sicherer, aber nicht unangreifbar. Aktuelle Phishing-Seiten leiten Ihre Eingaben live an Microsoft weiter, sodass Sie eine echte Bestätigungsanfrage erhalten. Bestätigen Sie deshalb nur Anmeldungen, die Sie selbst in diesem Moment ausgelöst haben. Unerwartete Anfragen ablehnen und der IT melden.

Die Seite hatte ein Schloss und „https" – ist sie dann nicht geprüft?

Nein. Das Schloss bedeutet nur, dass die Verbindung verschlüsselt ist. Wer die Seite betreibt, sagt es nicht aus. Solche Zertifikate sind kostenlos und in Minuten ausgestellt – praktisch jede Phishing-Seite hat eines.

Sollte ich auf Phishing-Mails antworten?

Nein, niemals! Eine Antwort bestätigt den Betrügern, dass Ihre E-Mail-Adresse aktiv ist, was zu noch mehr Spam führen kann. Löschen Sie die E-Mail einfach.