Wenn eine gefälschte Börsen-Mail über den echten Versandweg kommt, versagen die üblichen Ratschläge: Absender stimmt, Spamfilter schweigt, die Prüfsiegel bestehen. Und trotzdem verrät sich die Fälschung — nicht am Kanal, sondern am Inhalt. Diese sieben Merkmale entlarven sie.
Experten für verlorene Kryptowährungen
Sie wurden mit Krypto betrogen? Wir verfolgen forensisch, wohin Ihr Geld geflossen ist — schnell, nachvollziehbar und lückenlos dokumentiert. Eine belastbare Grundlage für Anzeige, Anwalt und Börse.
Ob gefälschte Crypto.com-Mail, Fake-Trading-Plattform oder AnyDesk-Fernzugriff — wir folgen der Spur auf der Blockchain.
Kostenlose & unverbindliche Ersteinschätzung — ohne Vorauszahlung
Antwort meist innerhalb von 24 Stunden · vertraulich
Warum die üblichen Tipps hier nicht greifen
„Prüfen Sie die Absenderadresse.“ „Fahren Sie mit der Maus über den Link.“ „Achten Sie auf Rechtschreibfehler.“ All das ist richtig — nur nützt es nichts, wenn eine Mail über den echten, autorisierten Versandweg des Anbieters kommt. Dann stimmt der Absender wirklich, der Link zeigt eine echte Unteradresse, und der Text ist fehlerfrei. Warum das technisch möglich ist, erklären wir im Ratgeber Phishing vom echten Crypto.com-Absender.
Die Fälschung verrät sich deshalb woanders — im Inhalt und in der Aufmachung. In unserer forensischen Praxis tauchen dabei immer dieselben Merkmale auf. Treffen mehrere davon zu, sollten Sie die Mail nicht anklicken, sondern melden und löschen.
-
Betreff passt nicht zum Inhalt
Der Betreff lautet z. B. „Melde dich in deinem Konto an“, der Text erzählt aber von einer Kontosperre wegen Geldwäsche-Verdachts. Angreifer kopieren eine echte Vorlage und tauschen nur den sichtbaren Teil aus — der Original-Betreff bleibt stehen.
-
Erfundene „Beweis“-Daten
Um Dringlichkeit zu erzeugen, führt die Mail Details an: „Anmeldung von iPhone 15 Pro, IP 203.0.113.42, Hongkong“. Solche Angaben sind oft Platzhalter — die genannte IP-Adresse stammt teils aus reservierten Beispielbereichen, die im echten Internet gar nicht vorkommen. Wirkt technisch, ist aber Kulisse.
-
Keine Anrede, kein Sicherheitscode
„Sehr geehrter Nutzer“ statt Ihres Namens — und der persönliche Anti-Phishing-Code, den viele Börsen in jede echte Mail einfügen, fehlt. Genau diesen individuellen Code kann ein Angreifer nicht kennen. Sein Fehlen ist ein starkes Signal.
-
Bilder von Kurz-Link-Diensten
Die kleinen Symbole im Fuß der Mail (Social-Media-Icons) werden über Link-Verkürzer wie rb.gy geladen — nicht über die Server des Anbieters. Seriöse Börsen hosten ihre Grafiken selbst. Solche Bilder melden dem Täter zudem schon beim bloßen Öffnen, dass Ihre Adresse aktiv ist.
-
Veraltete Vorlage
Im Fuß steht ein alter Copyright-Vermerk („© 2022“) oder eine längst geänderte Firmenadresse. Die Angreifer haben eine Jahre alte, echte Mail geklont — Details, die der Anbieter inzwischen aktualisiert hat, verraten das Alter der Kopie.
-
Panik-Geschichte mit Frist
Fremdes Gerät, fremdes Land, angeblicher Verknüpfungsversuch mit einer ausländischen Bank — plus „Bestätigen Sie innerhalb von 24 Stunden, sonst wird gesperrt“. Der Druck soll die ruhige Prüfung verhindern, die die Fälschung sonst auffliegen ließe.
-
Aufforderung, sich „zur Prüfung“ einzuloggen
Am Ende steht immer derselbe Wunsch: Sie sollen über den Button die „Identität bestätigen“ oder sich anmelden. Keine seriöse Börse verlangt das per Mail-Link. Öffnen Sie Ihr Konto nur über die App oder eine selbst eingetippte Adresse.
Unsicher, ob eine Mail echt ist?
Der kostenlose Scam-Checker gibt eine erste Einordnung. Und wenn bereits Geld abgeflossen ist, schildern Sie uns Ihren Fall vertraulich — ohne Rückhol-Versprechen, ohne Druck.
Der sicherste Test: gar nicht erst klicken
So gut die sieben Merkmale helfen — der zuverlässigste Schutz ist eine Gewohnheit, die ganz ohne Prüfung auskommt: Reagieren Sie nie auf den Link in einer Kontowarnung. Schließen Sie die Mail und öffnen Sie Ihr Konto über die App oder die selbst eingetippte Web-Adresse. Ist die Warnung echt, sehen Sie den Hinweis auch dort. Ist sie es nicht, haben Sie nichts preisgegeben.
Wichtig: Klicken Sie auch nicht „nur zum Testen“. Die Links solcher Mails sind oft empfängerindividuell — schon der Abruf bestätigt dem Täter eine aktive Adresse, selbst wenn Sie danach nichts eingeben.
Schon geklickt? Das ist jetzt wichtig
Falls Sie doch auf einer solchen Seite Zugangsdaten oder einen Code eingegeben haben, zählt jede Minute. Sichern Sie zuerst Ihren Zugang von einem anderen Gerät, richten Sie die Zwei-Faktor-Authentifizierung neu ein und lassen Sie Auszahlungen einschränken. Warum der zweite Faktor beim Echtzeit-Phishing nicht schützt und welche Schritte in welcher Reihenfolge nötig sind, lesen Sie im Ratgeber 2FA wurde umgangen — was jetzt zu tun ist. Sind bereits Coins abgeflossen, kann eine forensische Transaktionsanalyse die Bewegungen zusammenführen und dokumentieren.
Häufige Fragen
Wenn Absender und Prüfung stimmen — woran erkenne ich die Fälschung dann?
Nicht am Kanal, sondern am Inhalt: Betreff, der nicht zum Text passt; erfundene „Beweis“-Angaben wie eine nicht existierende IP-Adresse; fehlende Anrede oder fehlender Sicherheitscode; Bilder über Kurz-Link-Dienste; ein veralteter Copyright-Vermerk; eine Panik-Geschichte mit Frist. Treffen mehrere Punkte zu, ist es Phishing.
Was ist ein Anti-Phishing-Code?
Ein persönlicher Code, den viele Börsen auf Wunsch in jede echte E-Mail einfügen. Fehlt er — obwohl Sie ihn eingerichtet haben — ist das ein starkes Warnsignal. Einen Angreifer, der nur eine Vorlage kopiert, kann diesen individuellen Code nicht kennen.
Sollte ich zum Prüfen auf den Link klicken?
Nein. Öffnen Sie Ihr Konto nur über die offizielle App oder eine selbst eingetippte Adresse. Der Link ist oft empfängerindividuell — ein Abruf bestätigt dem Täter eine aktive Adresse, selbst wenn Sie danach nichts eingeben.
Ich habe schon geklickt und Daten eingegeben — was jetzt?
Handeln Sie sofort: Passwort von einem anderen Gerät ändern, Zwei-Faktor-Authentifizierung neu einrichten, alle Sitzungen beenden, den Support über die echte App kontaktieren und Auszahlungen einschränken lassen. Sichern Sie die Mail mit vollständigem Header und alle Transaktions-IDs als Beweise.
Fazit
Eine echt signierte Phishing-Mail lässt sich nicht am Absender entlarven — aber am Inhalt. Betreff ohne Bezug, erfundene technische Details, fehlender Sicherheitscode, Bilder von Kurz-Link-Diensten, ein alter Copyright-Vermerk, Panikdruck und die Aufforderung zum Login: Je mehr davon zusammenkommt, desto klarer ist die Fälschung. Der beste Schutz bleibt die Gewohnheit, Kontowarnungen nie über den Mail-Link, sondern nur über die App zu prüfen. Und falls doch etwas passiert ist, ist die Geldspur nicht verloren — sie ist in der Blockchain dokumentiert.
Dieser Artikel dient der Information und stellt keine Rechtsberatung dar. Für die rechtliche Bewertung Ihres Einzelfalls wenden Sie sich bitte an eine Rechtsanwältin oder einen Rechtsanwalt.
KI-Transparenz: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz erstellt und vor der Veröffentlichung von einem Menschen fachlich geprüft und redaktionell freigegeben. Die redaktionelle Verantwortung trägt Jan Becher, BlockDetektiv (siehe Impressum). Hinweis gemäß Art. 50 der EU-KI-Verordnung (VO (EU) 2024/1689).