Phishing-Mail mit „Sicherheitsupdate“: So erkennst du gefälschte Warnungen

MacWindowsiPhoneAndroidAktualisiert

Eine E-Mail, die dich drängt, sofort ein Sicherheitsupdate zu installieren oder dich anzumelden, um ein Sicherheitsproblem zu beheben, verdient einen zweiten Blick. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt dringenden Handlungsbedarf und Drohungen als typische Merkmale von Phishing. Die sichere Prüfung ist immer dieselbe: Nutze keinen Link aus der Mail, sondern geh selbst zum Anbieter.

Kurze Antwort

Behandle jede unerwartete E-Mail über ein dringendes Sicherheitsupdate, eine Warnung oder ein Kontoproblem als verdächtig. Typisch sind Zeitdruck, Drohungen, Links oder Formulare und die Bitte um Passwörter, PIN oder TAN. Klick nicht, sondern geh über die App oder die selbst eingetippte Adresse. Melden kannst du Phishing an phishing@verbraucherzentrale.nrw.

Woran erkenne ich eine gefälschte Sicherheitswarnung?

Am Ton und an dem, was die Mail von dir will. Das BSI schreibt, du solltest misstrauisch werden, wenn mindestens eines dieser Merkmale zutrifft:

  • Der Text gibt dringenden Handlungsbedarf vor, etwa dass deine Daten sonst verloren gingen.
  • Es wird gedroht, zum Beispiel mit der Sperrung deines Kontos.
  • Du sollst vertrauliche Daten wie die PIN fürs Online-Banking oder eine Kreditkartennummer eingeben.
  • Die Mail enthält Links oder Formulare.
  • Sie scheint von einer bekannten Person oder Organisation zu kommen, aber das Anliegen wirkt ungewöhnlich.

Die Verbraucherzentralen beschreiben den typischen Aufbau so: Anrede, Grund der Mail, Notwendigkeit zum Handeln, Zeitdruck, Konsequenzen, wenn du nicht handelst, und ein Link oder Dateianhang. Banken und andere Geschäftspartner sprechen dich laut Verbraucherzentrale in E-Mails grundsätzlich mit deinem Namen an. Eine persönliche Anrede ist aber kein Beweis für Echtheit, denn manchmal kennen die Täter deinen Namen schon.

Verlass dich auch nicht auf schlechtes Deutsch als Warnzeichen. Das BSI schreibt, Kriminelle gingen mittlerweile professioneller vor, und Tippfehler seien nur noch selten ein eindeutiger Hinweis.

Wie sieht so eine Mail aktuell aus?

Das Phishing-Radar der Verbraucherzentrale veröffentlicht laufend echte Beispiele. Am 23. Oktober 2026 warnte es vor einer Mail im Namen von PayPal mit dem Betreff „Aktualisierung des Schutzstandards: Bitte Profilaktivität bestätigen“. Begründet wurde sie mit angeblich neuen Schutzmaßnahmen, die Bestätigung sollte innerhalb von 24 Stunden über einen Link erfolgen. Als Anzeichen nennt die Verbraucherzentrale die unpersönliche Anrede, die unseriöse Absenderadresse, die Aufforderung, Daten über einen Link zu bestätigen, und die kurze Frist.

Schicken Apple und Microsoft solche Warnungen?

Nicht solche, die nach deinem Passwort fragen. Apple schreibt, du solltest dein Apple Account-Passwort oder deinen Bestätigungscode niemals an Dritte weitergeben, Apple frage diese Angaben für den Support niemals ab. Bei einer verdächtigen Anfrage nach persönlichen Daten sei es sicherer, von Betrug auszugehen.

Microsoft schreibt, es rufe dich nie proaktiv an, um unerwünschten technischen Support anzubieten, und echte Microsoft-Fehlermeldungen enthielten nie eine Telefonnummer. Zu Update-Meldungen rät Microsoft, eine ungewöhnliche Benachrichtigung, der Browser müsse aktualisiert werden, zu schließen und im Einstellungsmenü des Browsers die Hilfe- oder Über-Seite aufzurufen. Angreifer tarnen Schadsoftware laut Microsoft als Browserupdate.

Das BSI sagt dasselbe allgemein: Warn-E-Mails würden gefälscht und irreführende Pop-ups auf Webseiten angezeigt. Installiere Updates nur, wenn der Hinweis darauf in vertrauter Weise erscheint.

Was ist mit Pop-ups, die einen Virus melden?

Schließ sie. Apple schreibt, einer Meldung über Sicherheitsprobleme oder Viren beim Surfen solle man keinen Glauben schenken: Meist handle es sich um betrügerische Werbung, die zum Laden von Schadsoftware oder zur Herausgabe von Daten oder Geld verleiten soll. Ruf die Nummer nicht an, folge keinem Link, und schließ das Fenster oder den Tab. Mehr dazu in Kann eine gehackte Webseite dich beim Besuch hacken?

Gibt es Phishing-Mails zur PHP-Sicherheitslücke?

Stand 23. Oktober 2026 berichten weder der PHP-Sicherheitshinweis noch die Warnung des BSI zu PHP2Shell, den zwei am 21. Oktober behobenen kritischen PHP-Lücken, von Betrugsmails mit diesem Thema. Auf der Seite mit den aktuellen Warnungen des Phishing-Radars ist zu diesem Datum ebenfalls keine verzeichnet. Das kann sich ändern.

Wichtig ist, für wen das Update gedacht ist. Die BSI-Warnung richtet sich an IT-Sicherheitsverantwortliche und Betreiber von Webservern: Sie sollen die PHP-Laufzeitumgebung auf ihren Systemen patchen. Keine der beiden Quellen fordert Privatleute auf, etwas herunterzuladen oder sich irgendwo anzumelden. Was die Lücke für dich bedeutet, steht in Persönliche Daten gehackt?

Wie prüfe ich, ob eine Sicherheitsmail echt ist?

Frag beim Anbieter nach, ohne etwas aus der Mail zu benutzen. Die Verbraucherzentrale rät, keine Kontaktmöglichkeit aus der E-Mail zu nutzen, sondern eine Filiale aufzusuchen oder die Kontaktdaten auf der echten Website des Anbieters. Das BSI empfiehlt, die Seite über die Startseite der Organisation zu erreichen und häufig besuchte Login-Seiten als Favoriten zu speichern.

  1. Klick keine Links an, öffne keine Anhänge und antworte nicht auf die Mail.
  2. Öffne die App des Anbieters oder tipp die Adresse selbst ein.
  3. Bist du unsicher, ob eine Mail berechtigt nach Daten fragt, rät das BSI, telefonisch beim Anbieter nachzufragen.

Wo melde ich eine Phishing-Mail?

  • Verbraucherzentrale: Leite verdächtige Mails an phishing@verbraucherzentrale.nrw weiter, laut Verbraucherzentrale direkt und nicht als Anhang. Geht das nicht, kannst du die Mail als .eml-Datei auf der Seite des Phishing-Radars hochladen. Die Verbraucherzentrale NRW wertet die Mails aus, kann sie aber nicht beantworten.
  • Das betroffene Unternehmen: Die Verbraucherzentrale rät, die Mail auch an das Unternehmen weiterzuleiten, in dessen Namen sie verschickt wurde. Viele nennen dafür eine Adresse auf ihrer Website. Bei Apple ist es reportphishing@apple.com, Betrug mit technischem Support nimmt Microsoft unter microsoft.com/reportascam entgegen.
  • SMS und Messenger: Für Beschwerden über Spam- oder Phishing-Nachrichten per SMS oder Messenger verweist das BSI auf die Bundesnetzagentur.
  • Polizei: Strafanzeige erstattest du laut BSI bei den Onlinewachen der Länder oder deiner örtlichen Polizeidienststelle.

Weitere Fragen

Ich habe mein Passwort über einen Link aus so einer Mail eingegeben. Was nun?

Ändere das Passwort sofort, über die echte Website oder App, und überall, wo du es noch verwendest. Für einen Apple Account rät Apple, das Passwort sofort zu ändern und zu prüfen, ob die Zwei-Faktor-Authentifizierung aktiviert ist. Bei Bankdaten wende dich an deine Bank.

Ich habe auf einen Link geklickt. Was soll ich tun?

Die Verbraucherzentrale rät, das Virenschutzprogramm zu aktualisieren, den ganzen Computer prüfen zu lassen und zu kontrollieren, ob Virenschutz, Browser und Betriebssystem automatische Updates machen. Wurde Schadsoftware gefunden, prüf, ob du PIN, Passwörter oder Sicherheitsfragen ändern musst.

Soll ich die Phishing-Mail löschen?

Erst nach dem Melden. Hast du den Betrug aber nicht rechtzeitig erkannt, also geklickt oder einen Anhang geöffnet, rät die Verbraucherzentrale, die Mail nicht zu löschen, weil sie ein wichtiges Beweismittel für die Polizei ist.

Ist eine Seite mit „https://“ und Schloss sicher?

Nicht unbedingt. Das BSI schreibt, auch immer mehr Phishing-Betrüger nutzten Zertifikate, um vertrauenswürdig zu wirken, „https://“ bedeute heute also keine Entwarnung mehr.

Wo bekomme ich Rat, wenn ich unsicher bin?

Das Service-Center des BSI beantwortet Fragen zur IT-Sicherheit unter 0800 274 1000 oder per E-Mail an service-center@bsi.bund.de.

Quellen