Fake-Rechnung als Phishing-Mail erkennen (und wie ich eine sicher verfolgt habe)

Letzte Woche landete eine Mahnung in unserem Postfach. "Rechnung RE583492 vom 18.07.2026 ist überfällig, öffnen Sie das Mahnschreiben im Anhang." Höflich, offiziell aussehend, ein bisschen drohend auf diese sehr deutsche Behörden-Art. Es war Phishing. Hier ist genau, was es war, was passiert wäre, wenn jemand geklickt hätte, wie du so eine Mail selbst in zehn Sekunden erkennst, und wie ich das Ganze bis zur Payload verfolgt habe, ohne sie je in einem Browser laufen zu lassen.

Hol dir zuerst die kostenlosen Checklisten, ohne E-Mail und ohne Anmeldung. Eine einseitige Version in einfacher Sprache zum Ausdrucken und Weitergeben an weniger technische Freunde oder Verwandte. Deutsches PDF herunterladen oder das englische PDF.

Vorweg: jede URL in diesem Beitrag ist entschärft (hxxps://, [.]), damit nichts hier anklickbar ist. Füge nie einen echten Phishing-Link in deinen eigenen Browser ein. Das ist eigentlich die ganze Lektion, und wir kommen gleich dazu, warum.

Wie eine Fake-Rechnung als Phishing-Mail wirklich aussieht

Hier die Anatomie von der, die wir bekommen haben:

• Betreff: Fwd: Mahnung-Nr. 68285 RE_54-1895_DE
• Von: Buchhaltung <buchhaltung@moolaah[.]com>
• Text: eine kurze deutsche Notiz, die behauptet, eine Rechnung der "BenBlue GmbH" sei überfällig, mit einem grünen Öffnen-Button, um "Ihre Rechnung anzusehen und das Mahnschreiben herunterzuladen."

Das ist das ganze Spiel. Geld, das du angeblich schuldest, ein Dokument, das du abholen musst, ein Button. Es hat sogar eine weitergeleitete interne Buchhaltungs-Mail gefälscht, samt Header, damit es aussah, als wäre es schon intern in einer Firma herumgereicht worden, bevor es dich erreichte. Das "Bitte bezahlen......." ganz oben ist fast schon faul, und genau diese Faulheit ist der Hinweis, sobald du weißt, worauf du achten musst.

Das ist die häufigste Form von Phishing-Mail, die gerade deutsche Postfächer trifft, weil sie funktioniert. Eine Mahnung löst eine kleine Panik aus, und Panik ist der Feind des Nachprüfens. Niemand will ein Inkasso. Also bewegt sich der Finger zum Button, bevor das Hirn hinterherkommt.

Phishing-Mail erkennen: 5 Anzeichen, für die du keine Tools brauchst

Für den ersten Durchgang musst du nicht technisch sein. Fünf Dinge, ungefähr geordnet nach Zuverlässigkeit.

1. Der Link führt nicht dorthin, wo der Text sagt. Der Button hieß "Öffnen", zeigte aber auf hxxps://mtd.raajrani[.]net/home/pages/hr/phpexcel/vendor/ezyang/htmlpurifier/..., eine zufällige, unzusammenhängende Domain mit einem tief verschachtelten Pfad. Eine echte Rechnung von BenBlue läge auf einer BenBlue-Domain. Fahr über jeden Link, bevor du klickst, und lies das echte Ziel. Am Handy hältst du den Link gedrückt, um ihn anzuzeigen.

2. Der Absender passt nicht zur Firma. Die Mail behauptet, BenBlue GmbH zu sein, wurde aber von moolaah[.]com verschickt, einer Domain ohne jeden Bezug zur genannten Firma. Wenn das "Wer" und das "Von" sich widersprechen, hör auf.

3. Kaputte Details unter der Oberfläche. Die Antwortadresse im gefälschten Weiterleitungs-Header war zusammengematschter Unsinn: eescuol@ee-en.chbuchhaltung@moolaah[.]com. Zwei Adressen ineinandergeschoben. Echte Mailsysteme produzieren das nicht.

4. Dringlichkeit plus ein Dokument, das du holen musst. "Überfällig." "Mahnschreiben im Anhang." "Jetzt öffnen." Der künstliche Druck ist der ganze Sinn. Er ist dazu da, dich davon abzuhalten, genau das zu tun, was ich dir hier sage.

5. Du erkennst die Rechnung gar nicht. Du hast nie bei denen bestellt. Es gibt keine passende Rechnungsnummer in deinen Unterlagen. Betrag und Firma sind fremd. Vertrau darauf. Deine eigenen Unterlagen sind die Wahrheit, nicht die Mail.

Druck diese fünf aus und häng sie an den Kühlschrank. Wirklich. Die Leute, die darauf reinfallen, sind selten unvorsichtig, sie sind nur beschäftigt oder vertrauensvoll, und eine Checkliste neben dem Rechner schlägt jede Belehrung.

"Aber es hat SPF, DKIM und DMARC bestanden" ist kein grünes Licht

Das ist die Falle, in die sogar technische Leute tappen, also aufgepasst.

Diese Phishing-Mail hat alle drei E-Mail-Authentifizierungsprüfungen bestanden. SPF, DKIM, DMARC, alles grün. Und das heißt für deine Sicherheit fast nichts.

Diese Prüfungen beweisen nur, dass die Nachricht wirklich von moolaah[.]com kam und unterwegs nicht verändert wurde. Sie sagen nichts darüber, ob moolaah[.]com vertrauenswürdig ist. Ein Angreifer, der seine eigene Wegwerf-Domain registriert oder über einen legitimen Anbieter wie Amazon SES verschickt (was dieser tat), bekommt bestandene Authentifizierung gratis. Es ist seine Domain. Natürlich kann er Mails von ihr authentifizieren.

"Authentifiziert" ist also nicht "sicher." War es nie. Ein grünes DMARC sagt dir nur, dass der Lügner der ist, der er zu sein behauptet. Wenn deine eigene Domain diese Records nicht korrekt gesetzt hat, ist das ein separates und echtes Problem, das man beheben sollte, und es steht aus gutem Grund auf meiner Checkliste zur Website-Sicherheitshärtung. Aber eine Nachricht zu bekommen, die sie bestanden hat, ist kein Grund, ihr zu trauen.

Was wirklich passiert, wenn du klickst (die zweistufige Cloaking-Falle)

Hier wird es raffiniert und, ehrlich gesagt, ein bisschen unheimlich. Der Link wirft dich nicht direkt auf eine gefälschte Login-Seite. Er fährt eine zweistufige Falle, gebaut, um sich vor Sicherheitsforschern und automatischen Scannern zu verstecken.

Stufe eins ist das Cloaking-Gate. Die Landeseite sieht leer aus. Im Hintergrund fingerprintet verschleiertes JavaScript still deinen Browser: deine Zeitzone und deren Name, dein Betriebssystem und Browser und, entscheidend, ob du ein automatisierter oder Headless-Browser bist (das navigator.webdriver-Flag, über das Sicherheitstools stolpern). Es packt all das in ein verstecktes Formular und schickt es still an den Server zurück. Die Seite war außerdem mit einer Wand aus unsichtbaren, winzigen Zufallswörtern aufgefüllt, ein alter Trick, um Spamfilter zu verwirren.

Stufe zwei ist die Entscheidung. Der Server liest deinen Fingerprint und entscheidet, wer du bist. Siehst du aus wie ein echtes, anvisiertes Opfer, ein echter Windows-Browser im richtigen Land, kein Bot? Dann bekommst du die echte Payload: eine Seite zum Abgreifen von Zugangsdaten, verkleidet als Microsoft-, Bank- oder Rechnungsportal-Login, oder einen Malware-Download getarnt als Mahnung. Siehst du aus wie ein Forscher, ein Scanner oder ein Bot? Dann wirst du still auf eine harmlose echte Website umgeleitet. In unserem Fall adobe[.]com.

Diese Umleitung auf eine legitime Seite ist der Kit, der sich selbst schützt. Genau deshalb ist ein beiläufiges "ich klick mal und schau, was es ist" gefährlich. Der Browser eines echten Opfers sieht eine komplett andere Seite als der eines Analysten. Du könntest klicken, bei Adobe landen, es für einen Blindgänger halten und nie merken, dass deine Oma einen Tag später mit derselben Mail die echte Version bekommt.

Der Nettoeffekt für ein Opfer: es tippt echte Zugangsdaten in eine überzeugende Fälschung oder lädt Malware herunter und führt sie aus, im festen Glauben, es öffne nur eine überfällige Rechnung.

Wem ein Phishing-Angriff wirklich gehört (und warum der Host oft selbst Opfer ist)

Es gibt hier zwei getrennte Infrastruktur-Teile, und sie sind wichtig, weil sie an verschiedene Leute gemeldet werden.

Die Absender-Identität war moolaah[.]com, ausgeliefert über Amazon SES. Das meldet man an AWS Abuse, damit sie sie sperren. Das Hosting, wo der Phishing-Kit tatsächlich läuft, war raajrani[.]net unter 103.174.152.60, in einem Rechenzentrum in Bangladesch. Das ist ein anderes Abuse-Team, und die Seite herunterzunehmen ist deren Job.

Der Teil, den die Leute übersehen: raajrani[.]net ist fast sicher eine kompromittierte legitime Website, nicht der eigene Server des Angreifers. Der Kit war in einem echten PHP-Library-Verzeichnis vergraben, vendor/ezyang/htmlpurifier/…, ein klassischer Ort, um bösartigen Code zu verstecken, nachdem man in eine Seite eingebrochen ist, damit der eigentliche Besitzer es nie bemerkt. Irgendein kleines Unternehmen hat gerade jetzt einen Phishing-Kit auf seinem Server laufen und keine Ahnung davon. Auch sie sind Opfer. Das ist dieselbe Kategorie Problem wie ein kompromittiertes npm-Paket, das still deine Seite vergiftet, nur von der Hosting-Seite statt der Dependency-Seite. Wenn du eine Website betreibst, ist "hoste ich versehentlich den Angriff von jemandem" eine echte Frage, keine paranoide.

Wie du einen verdächtigen Link untersuchst, ohne dir die Finger zu verbrennen

Ich wollte verstehen, wie tief diese Falle geht. Aber ich war nicht bereit, sie in einem echten Browser zu öffnen, denn das würde das JavaScript ausführen, meine Heim-IP leaken und meine Adresse dem Angreifer bestätigen. Also lief jeder Schritt von einem Server über SSH, nur mit Kommandozeilen-Tools.

Lies den Rohquelltext, nicht die hübsche Version. Ich habe die Mail nie in einem normalen Client geöffnet. Ich habe den Rohquelltext gezogen, Header plus das reine HTML. Das ist nur Text. Nichts rendert, nichts läuft. Die Header gaben den echten Absender preis (moolaah[.]com über Amazon SES), und das HTML gab das echte Button-Ziel preis.

Folge dem Link mit curl, nicht mit einem Browser. curl holt eine Seite, führt aber kein JavaScript aus, also sind browserbasierte Exploits wirkungslos. Führ es von einem Server aus, damit der Angreifer die IP des Servers sieht, nie deine persönliche:

curl -sSL -A "Mozilla/5.0 (Windows NT 10.0; Win64; x64)" \
  --max-redirs 15 -D - -o body.html \
  "hxxps://mtd.raajrani[.]net/.../stereotape"

Das -D - gibt jeden Response-Header aus, sodass du jeden Redirect-Hop siehst, -o body.html speichert die Seite zum Offline-Lesen statt sie zu rendern, und --max-redirs deckelt die Redirects, damit du nicht ewig im Kreis geschickt wirst. Das landete auf einer Seite mit einem uralten PHP 7.3.33, passend zu einem kompromittierten Host, den niemand aktualisiert hat.

Lies den Code von Hand. Ich habe das gespeicherte HTML nach den üblichen Redirect- und Formular-Tricks gegrept. Kein sichtbarer Inhalt, nur diese Wand aus unsichtbaren Zufallswörtern und ein Block verschleiertes JavaScript. Durch die Verschleierung zu lesen zeigte genau, was es sammelte, und dass es den Fingerprint per POST an dieselbe URL zurückschickte. Da war klar, dass es ein Cloaking-Gate war, nicht die finale Seite.

Spiel den Fingerprint-POST nach, um Stufe zwei zu enthüllen. Um zu sehen, was der Server nach der Prüfung tut, habe ich den POST mit einem plausiblen "echter deutscher Windows-Browser"-Fingerprint nachgespielt:

curl -sS --data-urlencode 'd={"n":"Europe/Berlin","sp":"Win32","wd":false,...}' \
  -D - -o stage2.html "hxxps://mtd.raajrani[.]net/.../stereotape/"

Der Server antwortete 302 → hxxps://www.adobe[.]com/. Er beurteilte uns als kein echtes Opfer und bounct uns auf eine harmlose Seite, was das Cloaking bestätigte, ohne je die echte Payload auszulösen.

Wisse, wann du aufhören musst. Die finale Seite für Zugangsdaten oder Malware konnte ich nicht sehen, weil sie nur einem Browser ausgeliefert wird, der das Gate vollständig passiert. Sie zu erzwingen hieße, einen voll instrumentierten Headless-Browser zu fahren, der jedes Signal fälscht: mehr Aufwand, mehr Risiko, kaum Mehrwert. Ich wusste, was es war und dass es sich aktiv der Analyse entzieht. Das reicht, um es zu melden und Leute zu warnen. Zu wissen, wann man aufhört, gehört dazu, das sicher zu machen.

Angreifer automatisieren das alles inzwischen übrigens, was der unbequeme Hintergrund davon ist, dass KI es schneller macht, Schwachstellen zu finden und auszunutzen, als sie zu patchen. Der Kit, der meinen Browser fingerprintete und mich in Millisekunden einsortierte, wird nicht von einem Genie betrieben. Es ist ein Produkt, das jemand gemietet hat.

Was tun, wenn eine Phishing-Mail in deinem Postfach landet

Kurzfassung, und das ist der Teil, den du an die Familie weiterleitest:

1. Nicht klicken. Wenn du neugierig bist, ist genau diese Neugier das, worauf die Falle ausgelegt ist.
2. Auf anderem Weg prüfen. Falls die Rechnung wirklich echt sein könnte, kontaktiere die Firma über eine Telefonnummer oder Adresse, die du schon hast, nie über die aus der Mail.
3. Melde es. Schick die Roh-Header, keinen Screenshot, an das Abuse-Team des Absender-Providers und an das des Hosts. Roh-Header sind der Beweis, mit dem sie tatsächlich handeln können.
4. Als Spam markieren und löschen. Das trainiert den Filter deines Providers, den nächsten zu fangen.
5. Falls schon jemand geklickt und etwas eingetippt hat: ändere sofort dieses Passwort, und überall, wo es wiederverwendet wurde, aktiviere Zwei-Faktor-Authentifizierung und führe einen Malware-Scan durch, wenn eine Datei heruntergeladen wurde.

Das Eine, was du dir über Phishing-Mails merken solltest

Eine bestandene SPF/DKIM/DMARC-Prüfung, ein Firmenname, den du halb erkennst, und eine dringende überfällige Rechnung sind kein Beweis, dass eine Nachricht sicher ist. Sie sind genau die Zutaten, aus denen ein guter Phishing-Köder gebaut ist. Was zählt, ist, wohin der Link tatsächlich führt, geprüft über einen Kanal, dem du schon vertraust.

Du kannst mit nichts als dem Rohquelltext der Mail, curl und der Disziplin, sie nie in einem echten Browser laufen zu lassen, erstaunlich tief in einen verdächtigen Link eindringen. Aber die meisten Leute müssten das gar nicht. Die meisten brauchen nur die fünf Anzeichen und die Angewohnheit, vor dem Button kurz innezuhalten.

Wenn dein Unternehmen sowas für ein Team regelt, oder du ältere Familienmitglieder hast, die ständig solche Mails bekommen, und du etwas willst, das du ihnen wirklich in die Hand drücken kannst, genau dafür habe ich die druckbare Checkliste unten gebaut. Häng sie neben den Rechner. Und wenn du lieber jemanden hättest, der deine eigene Seite absichert, damit sie nie zum kompromittierten Host in einer Geschichte wie dieser wird, darüber rede ich jederzeit gern.

Die kostenlose Checkliste zum Ausdrucken

Ich habe die fünf Anzeichen zu einer einseitigen Version in großer, einfacher Schrift gemacht, zum Ausdrucken und neben den Rechner hängen oder den Familienmitgliedern in die Hand drücken, die ständig solche Mails bekommen. Kein Fachjargon, nichts Technisches, nur das, was man vor dem Klick prüfen sollte. Beide sind komplett kostenlos, ohne E-Mail-Angabe.

• Checkliste herunterladen (Deutsch, PDF)
• Checklist in English (PDF)