Phishing-Mails, die aussehen wie eine Portalnachricht

Du hast in den letzten Wochen zwanzig Anfragen geschrieben und drei Antworten bekommen. Dann, morgens um sieben, eine Mail: Logo des Portals, deine Anrede, der richtige Ton. „Sie haben eine neue Nachricht zu Ihrer Anfrage. Bitte melden Sie sich an, um sie zu lesen.“

Du klickst. Natürlich klickst du. Genau dafür ist die Mail gebaut.

Gefälschte Portalnachrichten sind nicht deshalb erfolgreich, weil sie besonders gut gemacht sind. Sie sind erfolgreich, weil sie zu einem Zeitpunkt kommen, an dem du auf genau diese Nachricht wartest.

Warum diese Mails bei Wohnungssuchenden so gut funktionieren

Wer eine Wohnung sucht, hat sein Postfach den ganzen Tag offen. Er rechnet mit Nachrichten von Portalen, Verwaltungen und Maklern. Er hat gelernt, dass Tempo zählt — eine Antwort nach zwei Tagen ist oft zu spät. Und er hat Angst, etwas zu verpassen.

Diese Kombination aus Erwartung und Zeitdruck ist genau das, worauf Phishing baut. Nachdenken kostet Sekunden, und Sekunden fühlen sich an, als könnten sie die Wohnung kosten. Dass Reaktionszeit tatsächlich zählt, macht es nicht leichter — wie viel wirklich, steht in Wie schnell musst du auf ein Inserat reagieren?.

Die fünf Merkmale, die fast immer passen

• Handlungsdruck. „Ihr Konto wird in 24 Stunden gesperrt.“ „Ihre Anfrage läuft ab.“ Echte Portale setzen dir keine Fristen für das Lesen einer Nachricht.
• Anmeldung über einen Link. Du sollst dich einloggen, verifizieren, bestätigen. Immer über einen Knopf in der Mail.
• Zahlungsaufforderung. Angebliche Gebühren für Premium, Verifizierung oder eine Kaution über einen Zahlungslink. Ein Portal verlangt keine Kaution.
• Allgemeine Anrede oder ein Detail zu viel. Entweder „Sehr geehrter Kunde“ — oder umgekehrt auffällig viele richtige Details, die aus einem Datenleck stammen.
• Anhänge. Ein PDF mit dem „Mietvertrag“ oder dem „Exposé“ im Anhang einer Portalmail. Portale verschicken keine Verträge.

Dazu kommt ein sechstes, unauffälliges Merkmal: Die Mail passt nicht zu deiner tatsächlichen Aktivität. Eine Nachricht zu einer Anfrage, die du nie gestellt hast, oder zu einer Stadt, in der du nicht suchst.

Der Absender sagt weniger, als du denkst

Viele verlassen sich darauf, den Absender zu prüfen. Das hilft, aber nur begrenzt. Der angezeigte Name lässt sich frei setzen — dort kann „ImmoScout24“ stehen, während die Adresse dahinter etwas ganz anderes ist.

Aufschlussreicher ist die Domain am Ende der Adresse, also der Teil direkt vor dem letzten Punkt. Betrüger arbeiten mit Varianten, die man beim schnellen Lesen überliest: ein zusätzlicher Bindestrich, ein angehängtes Wort, eine andere Endung, ein vertauschter Buchstabe.

Beim Link gilt dasselbe. Was im Mailtext als Adresse angezeigt wird, muss mit dem Ziel nichts zu tun haben. Auf dem Rechner siehst du das Ziel, wenn du mit der Maus darüberfährst, ohne zu klicken. Auf dem Handy, wenn du lange auf den Link drückst.

Die Variante, die richtig teuer wird

Es gibt einen Fall, der über gestohlene Zugangsdaten hinausgeht. Die Mail kommt scheinbar vom Vermieter oder von der Verwaltung, mitten in einem laufenden Vorgang, und teilt eine geänderte Bankverbindung mit. „Unser Konto hat sich geändert, bitte überweisen Sie Kaution und erste Miete auf folgendes Konto.“

Das trifft Leute, die alles richtig gemacht haben: Wohnung besichtigt, Vertrag unterschrieben, Vermieter bekannt. Nur die Kontonummer ist falsch.

Dagegen hilft nur eines: Bei einer geänderten Bankverbindung rufst du an, unter der Nummer, die du schon hast — nicht unter der aus der Mail. Dreißig Sekunden Telefon gegen mehrere tausend Euro. Warum die Zahlung ohnehin ans Ende der Kette gehört, steht in Wann die Kaution fällig wird und wann du besser nicht zahlst.

Wenn du schon geklickt hast

1. Passwort des Portals sofort ändern, und zwar über die selbst eingetippte Adresse, nicht über die Mail.
2. Dasselbe Passwort überall sonst ändern, wo du es ebenfalls benutzt hast. Das ist der eigentliche Schaden.
3. Wo möglich, die Anmeldung in zwei Schritten einschalten.
4. Falls du Zahlungsdaten eingegeben hast: Bank anrufen, Karte über den Sperr-Notruf 116 116 sperren lassen.
5. Mail nicht löschen, sondern sichern — sie ist später der Beleg. Wie du das sauber machst, steht in Beweise sichern, bevor der Betrüger alles löscht.
6. Die Mail an den Missbrauchskontakt des echten Portals weiterleiten. Die Betreiber lassen gefälschte Seiten abschalten.

Und wenn Geld geflossen ist, zählt jede Stunde. Die Reihenfolge steht in Geld zurückholen, nachdem du überwiesen hast.

Wie du dein Postfach ruhiger bekommst

Ein gut sortierter Suchablauf ist auch ein Schutz. Wer weiß, welche Anfragen offen sind, erkennt eine Mail zu einer Wohnung, die es nie gab, sofort. Wer alle Kontakte in einer einfachen Liste führt, muss nicht raten, ob eine Nachricht plausibel ist.

Dazu gehört auch, Suchaufträge bewusst einzustellen, statt sich von allem benachrichtigen zu lassen. Wie das geht, steht in Suchaufträge richtig einstellen. Und wie du eine Suche so aufbaust, dass du Übersicht behältst statt hinterherzurennen, steht im Kurs für 79 Euro.

Kurz zusammengefasst

• Gefälschte Portalmails wirken, weil sie genau dann kommen, wenn du auf eine Nachricht wartest.
• Typisch sind Zeitdruck, ein Anmeldelink, Zahlungsaufforderungen, unpassende Anreden und Anhänge.
• Der angezeigte Absendername sagt nichts. Entscheidend ist die Domain am Ende der Adresse.
• Nie über den Link in der Mail anmelden, sondern über App oder selbst eingetippte Adresse.
• Bei einer angeblich geänderten Bankverbindung immer anrufen, unter der Nummer, die du vorher schon hattest.

Das passt dazu

• Auskunft nach Datenschutzrecht beim Vermieter verlangen
• Wohnungsbetrug erkennen: die wichtigsten Warnsignale
• Der gefälschte Mietvertrag
• Angebliche Treuhandservices bei Wohnungen
• Du hast überwiesen und wurdest betrogen: Sofortmaßnahmen
• Vermieter oder Makler auf Echtheit prüfen