Gefälschte Rechnungen per E-Mail erkennen: Warum Spam heute so echt wirkt

Viele gefährliche Spam-Mails sehen heute nicht mehr aus wie offensichtlicher Betrug. Sie enthalten ein bekanntes Logo, eine saubere Gestaltung, eine plausible Betreffzeile, ein Impressum und einen professionellen Button.

Gerade gefälschte Rechnungen sind deshalb so wirksam. Eine E-Mail wirkt auf den ersten Blick wie eine normale Nachricht eines bekannten Anbieters: zum Beispiel Hosting, Telefon, Strom, Versand, Zahlungsdienstleister oder Software-Abo.

Im Betreff steht dann etwas wie „Ihre Rechnung“, „Neue Rechnung verfügbar“ oder „Zahlungsinformation aktualisieren“. Im Inhalt befindet sich ein Button wie „Rechnung anzeigen“, „Dokument herunterladen“ oder „Jetzt prüfen“.

Das Problem: Die E-Mail sieht seriös aus, kommt aber nicht vom echten Anbieter.

Warum gefälschte Rechnungen so gut funktionieren

Rechnungen erzeugen Aufmerksamkeit. Niemand möchte eine Zahlungsfrist verpassen, Mahnkosten riskieren oder den Zugriff auf einen wichtigen Dienst verlieren.

Genau diesen Reflex nutzen Angreifer aus. Sie bauen E-Mails so, dass Empfänger schnell handeln sollen, ohne sorgfältig zu prüfen.

Typische psychologische Hebel sind:

• bekannte Markennamen
• scheinbar dringende Zahlungsfristen
• Hinweise auf offene Beträge
• Buttons mit klarer Handlungsaufforderung
• professionelle Gestaltung
• Angst vor Sperrung, Mahnung oder Zusatzkosten

Für Unternehmen ist das besonders relevant, weil Rechnungen oft schnell nebenbei geprüft werden. Zwischen Kundenterminen, E-Mails und Tagesgeschäft reicht manchmal ein kurzer unaufmerksamer Moment.

Der wichtigste Punkt: Anzeigename ist nicht Absenderadresse

Viele Menschen schauen nur auf den Namen, der im E-Mail-Programm angezeigt wird.

Dort kann zum Beispiel stehen:

Der Anzeigename allein sagt wenig aus. Er kann so gewählt werden, dass er wie ein seriöses Unternehmen wirkt.

Entscheidend ist die tatsächliche E-Mail-Adresse hinter dem Anzeigenamen. Auf dem Smartphone ist diese Adresse häufig nicht sofort sichtbar. Man muss den Absender oft antippen oder aufklappen, um die echte Adresse zu sehen.

Eine betrügerische Nachricht kann also vorne wie „Rechnungen“ oder „Kundenservice“ aussehen, aber technisch von einer völlig anderen Domain stammen.

Woran man eine gefälschte Rechnungs-Mail erkennt

Es gibt nicht das eine sichere Erkennungsmerkmal. Eine gute Prüfung besteht aus mehreren kleinen Kontrollen.

1. Passt die Absenderdomain?

Die Absenderadresse sollte nicht nur nach einem bekannten Unternehmensnamen durchsucht werden. Entscheidend ist, zu welcher eigentlichen Domain die Adresse gehört.

Eine E-Mail-Adresse besteht aus zwei Teilen:

Auf den ersten Blick fällt in der Adresse der bekannte Name „ionos“ auf. Das bedeutet aber nicht, dass die E-Mail von IONOS stammt.

Domains müssen von rechts nach links gelesen werden. Bei:

rechnungen@ionos.xyz.de

ist .de die Domainendung. Die entscheidende registrierte Domain lautet xyz.de. Der Begriff ionos steht lediglich davor und ist eine Subdomain von xyz.de.

Die Adresse gehört damit nicht zu IONOS, sondern zum Betreiber der Domain xyz.de.

Ein Domaininhaber kann grundsätzlich zahlreiche Subdomains anlegen. Wer beispielsweise xyz.de kontrolliert, kann daraus Adressen und Seiten wie diese erstellen:

• ionos.xyz.de
• rechnung.xyz.de
• kundenportal.xyz.de
• login.ionos.xyz.de

Bekannte Unternehmensnamen können dadurch an einer auffälligen Stelle in der Adresse stehen, obwohl die Domain tatsächlich einem völlig anderen Betreiber gehört.

Die wichtigste Prüfregel lautet deshalb:

Nicht nur nach dem bekannten Markennamen suchen, sondern prüfen, welche Domain direkt vor der Domainendung steht.

Weitere verdächtige Beispiele:

• rechnung@ionos.xyz.de – registrierte Domain: xyz.de
• service@paypal.kundenkonto-example.de – registrierte Domain: kundenkonto-example.de
• support@microsoft.login-service-example.com – registrierte Domain: login-service-example.com

Auch Adressen wie rechnung@ionos-rechnung.de sind verdächtig. Hier ist „ionos“ zwar keine Subdomain, die registrierte Domain lautet aber ionos-rechnung.de und nicht die offizielle Domain des Unternehmens.

Wichtig: Eine passend aussehende Absenderadresse ist allein noch kein endgültiger Echtheitsbeweis. Eine offensichtlich falsche Domain oder eine irreführende Subdomain ist jedoch ein sehr starkes Warnsignal.

2. Passt der Rechnungsbetrag?

Viele Phishing-Mails enthalten Beträge, die auf den ersten Blick nicht zum tatsächlichen Vertrag passen.

Ein Hosting-Paket, ein Software-Abo oder ein Telefonvertrag hat normalerweise einen bekannten monatlichen oder jährlichen Betrag. Wenn plötzlich eine Rechnung über einen ungewöhnlich hohen oder ungewöhnlich niedrigen Betrag kommt, sollte man nicht direkt klicken.

Die bessere Frage lautet:

Ergibt diese Rechnung im Kontext meiner bestehenden Verträge überhaupt Sinn?

3. Führt der Button wirklich zum Anbieter?

Buttons sind besonders gefährlich, weil man die Zieladresse nicht sofort sieht.

Am Desktop kann man häufig mit der Maus über den Button fahren, ohne zu klicken. Dann zeigt der Browser oder das E-Mail-Programm unten das Linkziel an.

Auf dem Smartphone ist das schwieriger. Dort sollte man bei verdächtigen Rechnungen lieber nicht auf den Button tippen, sondern die bekannte Website des Anbieters manuell öffnen.

Die sicherere Vorgehensweise ist:

• Browser öffnen
• Adresse des Anbieters selbst eingeben
• im Kundenkonto anmelden
• dort prüfen, ob die Rechnung wirklich vorhanden ist

4. Wird künstlicher Druck aufgebaut?

Phishing-Mails arbeiten häufig mit Zeitdruck.

Beispiele sind:

• „Zahlen Sie innerhalb von 24 Stunden“
• „Ihr Konto wird gesperrt“
• „Letzte Mahnung“
• „Ungewöhnliche Aktivität festgestellt“
• „Bitte sofort bestätigen“

Nicht jede dringende Mail ist automatisch Betrug. Aber künstlicher Druck ist ein klassisches Warnsignal, weil er dazu führen soll, dass Empfänger nicht mehr sorgfältig prüfen.

5. Ist die Anrede oder Kundennummer plausibel?

Viele echte Anbieter nutzen zumindest Kundennummern, Vertragsdaten oder konkrete Angaben aus dem Kundenkonto.

Eine sehr allgemeine Anrede wie „Sehr geehrter Kunde“ ist nicht automatisch Betrug, aber bei einer Rechnung sollte man genauer hinschauen.

Fehlen Kundennummer, Vertragsbezug oder nachvollziehbare Rechnungsdaten, ist Vorsicht angebracht.

Warum ein Impressum in der Mail nicht ausreicht

Viele Nutzer vertrauen einer E-Mail, weil unten ein Impressum, eine Adresse oder ein Copyright-Hinweis steht.

Das ist verständlich, aber gefährlich. Solche Angaben lassen sich einfach kopieren. Betrüger können Logos, Farben, Fußzeilen und Impressumsdaten echter Unternehmen übernehmen.

Ein Impressum in der Mail beweist deshalb nicht, dass die E-Mail echt ist.

Entscheidend sind andere Fragen:

• Stimmt die echte Absenderadresse?
• Passt der Link zum Anbieter?
• Ist die Rechnung im Kundenkonto vorhanden?
• Passt der Betrag zum Vertrag?
• Gibt es ungewöhnlichen Zeitdruck?

Was Unternehmen intern festlegen sollten

Gerade kleine Unternehmen brauchen keine überkomplizierten Sicherheitsprozesse. Aber sie sollten klare Regeln für Rechnungs-Mails haben.

Sinnvoll sind einfache Grundsätze:

• Rechnungen nicht direkt über E-Mail-Buttons öffnen, wenn etwas ungewöhnlich wirkt.
• Bei bekannten Anbietern immer über das offizielle Kundenkonto prüfen.
• Ungewöhnliche Beträge intern kurz gegenprüfen.
• Keine Zugangsdaten eingeben, wenn man über einen Mail-Link auf die Seite gekommen ist.
• Verdächtige Mails nicht weiterleiten, ohne sie als verdächtig zu markieren.
• Im Zweifel lieber einmal intern nachfragen als vorschnell klicken.

Diese Regeln helfen besonders dann, wenn mehrere Personen Zugriff auf Rechnungen, Postfächer oder Kundenkonten haben.

Was tun, wenn man bereits geklickt hat?

Ein Klick allein bedeutet nicht immer, dass sofort ein Schaden entstanden ist. Entscheidend ist, was danach passiert ist.

Wenn nur die Seite geöffnet wurde, sollte man den Tab schließen und die Mail nicht weiter benutzen.

Wenn Zugangsdaten eingegeben wurden, sollte man schnell handeln:

• Passwort des betroffenen Kontos ändern
• wenn möglich Multi-Faktor-Authentifizierung aktivieren
• aktive Sitzungen im Kundenkonto prüfen und abmelden
• Zahlungsdaten und Rechnungen kontrollieren
• bei geschäftlichen Konten intern Bescheid geben
• bei Zahlungs- oder Bankdaten die Bank beziehungsweise den Anbieter kontaktieren

Wenn ein Anhang geöffnet wurde, sollte zusätzlich geprüft werden, ob Schadsoftware ausgeführt wurde. In diesem Fall ist es sinnvoll, das Gerät vom Netzwerk zu trennen und fachlich prüfen zu lassen.

Eine einfache Prüfregel für den Alltag

Für den Alltag reicht oft eine kurze Regel:

Wenn eine Rechnung überraschend kommt, der Betrag ungewöhnlich ist oder ein Button zum Login auffordert: nicht klicken, sondern direkt im Kundenkonto prüfen.

Diese Regel verhindert viele typische Fehler.

Technische Schutzmaßnahmen

Neben Aufmerksamkeit helfen auch technische Maßnahmen.

• Spam- und Phishingfilter aktiv halten
• Multi-Faktor-Authentifizierung für wichtige Konten nutzen
• Passwortmanager verwenden, weil sie Zugangsdaten nur auf passenden Domains ausfüllen
• regelmäßige Updates für Browser und E-Mail-Programme installieren
• zentrale Postfächer und Weiterleitungen bewusst strukturieren
• Domain- und Mail-Sicherheit für eigene Unternehmensmails korrekt konfigurieren

Technik ersetzt aber nicht die Aufmerksamkeit der Mitarbeitenden. Die beste Absicherung entsteht aus beidem: klaren Regeln und sinnvoller technischer Grundlage.

Was eigene Unternehmensmails damit zu tun haben

Wer selbst geschäftliche E-Mails versendet, sollte auch die eigene Mail-Infrastruktur sauber konfigurieren. Denn seriöse Kommunikation hängt nicht nur vom Inhalt ab, sondern auch von technischen Vertrauenssignalen.

Dazu gehören unter anderem SPF, DKIM und DMARC. Diese Verfahren helfen empfangenden Mailservern dabei einzuschätzen, ob eine E-Mail tatsächlich von einer berechtigten Quelle stammt.

Das verhindert nicht jeden Betrugsversuch. Aber es reduziert das Risiko, dass eigene Domains missbraucht werden, und verbessert die Zustellbarkeit seriöser geschäftlicher E-Mails.

Für Unternehmen bedeutet das: E-Mail-Sicherheit betrifft nicht nur eingehende Nachrichten. Auch die eigene Domain sollte technisch so aufgestellt sein, dass Kunden, Partner und Mitarbeitende echten Nachrichten besser vertrauen können.

Fazit

Gefälschte Rechnungs-Mails sind gefährlich, weil sie alltäglich wirken. Genau darin liegt ihre Stärke.

Eine professionell gestaltete E-Mail, ein bekanntes Logo oder ein Impressum reichen nicht aus, um eine Nachricht als echt einzustufen. Entscheidend sind Absenderadresse, Linkziel, Rechnungsbetrag, Kontext und die Prüfung im offiziellen Kundenkonto.

Für Unternehmen ist das Thema nicht nur IT-Sicherheit, sondern Alltagsschutz. Wer klare Regeln für Rechnungs-Mails etabliert, reduziert das Risiko deutlich.

Die wichtigste Gewohnheit lautet: Nicht der Button in der Mail ist entscheidend, sondern die Prüfung über den bekannten, offiziellen Zugang zum Anbieter.