Ist diese E-Mail ein Phishing-Versuch?
Ein Prüfer, der „sicher“ oder „gefährlich“ antwortet, ist schlechter als nichts, denn eine gute Fälschung bekommt ein „sicher“. Hier siehst du die Signale, jedes erklärt, damit das Urteil bei der Person bleibt, die es tatsächlich fällen kann.
- Läuft vollständig in deinem Browser
- Funktioniert offline
- Kein Upload
- Keine Anmeldung
- Kein Wasserzeichen
Werkzeug wird geladen…
So funktioniert es
- Hol dir den Quelltext der Nachricht („Original anzeigen“ in Gmail, Strg+U in Thunderbird) und füg ihn ein. Schon die Kopfzeilen allein sind nützlich.
- Lies die Signale. Es zählen mehrere zusammen, nie ein einzelnes.
- Was auch immer dort steht: Benutze nie einen Link oder eine Telefonnummer aus der Nachricht. Tipp die Adresse ein, die du ohnehin kennst, oder ruf die Nummer auf deiner Karte an.
Warum nichts hochgeladen wird
Alles, was auf dieser Seite passiert, erledigt Code, der im Tab deines Browsers läuft — mit derselben Engine, die auch Webseiten darstellt. Die Datei wird von der Festplatte in den Speicher des Tabs gelesen, dort umgewandelt und als Download wieder herausgeschrieben. Sie wird nirgendwohin geschickt — weder zu uns noch zu Dritten.
Prüf es selbst nach
- Öffne die Entwicklerwerkzeuge deines Browsers (F12) und wähle den Tab „Netzwerk“.
- Lade deine Datei und starte das Werkzeug.
- Die einzigen Anfragen, die du siehst, holen den Code des Werkzeugs selbst — und bei ein paar schweren Werkzeugen dessen Open-Source-Engine von einem öffentlichen CDN — dazu ein kleines Seitenaufruf-Signal an loreatec.jp (Adresse und Titel der Seite, mehr nicht). Keine davon trägt deine Datei.
Häufige Fragen
Warum sagt es mir nicht einfach, ob es Phishing ist?
Weil diese Antwort oft genug falsch wäre, um gefährlich zu sein. Eine gekonnte Fälschung besteht die Authentifizierung auf einer Domain, die dem Angreifer gehört, enthält kein markiertes Wort und sieht genau aus wie das Echte; eine legitime Rechnung von einem kleinen Lieferanten löst hier die Hälfte der Signale aus. Nützlich ist die Begründung, kein Etikett — und die entscheidende Frage ist meist gar nicht technisch: Hast du das erwartet?
Die Authentifizierung ist bestanden. Heißt das, sie ist echt?
Es heißt, dass die Nachricht wirklich von der Domain in der From-Zeile gesendet wurde. Es heißt nicht, dass diese Domain die ist, für die du sie hältst: Jeder kann amaz0n-support.com registrieren, SPF, DKIM und DMARC perfekt einrichten und dir eine vollständig authentifizierte Fälschung schicken. Die Authentifizierung belegt den Absender, nicht seine Ehrlichkeit.
Was sind Lookalike- und Punycode-Domains?
Eine Lookalike-Domain ist ein oder zwei Zeichen von einer echten entfernt — rnicrosoft, amaz0n, paypa1. Punycode geht weiter: Domains mit dem Präfix xn-- lassen nichtlateinische Buchstaben, die von lateinischen nicht zu unterscheiden sind, in der Adresszeile erscheinen. So kann eine Domain optisch identisch mit der echten aussehen und trotzdem ein völlig anderer Name sein.
Wird beim Prüfen hier irgendetwas irgendwohin geschickt?
Nein. Es wird keine Domain aufgelöst, kein Link geöffnet, kein Bild geladen. Das Letzte zählt besonders: Eine Phishing-Nachricht in einem E-Mail-Programm mit aktivierten Bildern zu öffnen, verrät dem Absender bereits, dass deine Adresse benutzt wird.
Ich habe schon geklickt oder etwas eingegeben. Was jetzt?
Ändere sofort das Passwort auf der echten Seite, von einem Gerät, dem du traust, und überall dort, wo du es wiederverwendet hast. Ging es um Karten- oder Bankdaten, ruf zuerst deine Bank an — sie kann sperren. In Japan meldest du es der Polizei unter #9110 und dem Council of Anti-Phishing Japan. Tempo zählt weit mehr als die Frage, wie es passieren konnte.