Gefälschte Bestellbestätigungen per E-Mail: echt oder Betrug? So erkennen Sie den Unterschied

Eine Bestellbestätigung per E-Mail ist nur dann echt, wenn sie zu einem Kauf passt, den Sie wirklich getätigt haben. Am schnellsten prüfen Sie das, indem Sie die Website oder App des Shops selbst öffnen und in Ihrem Bestellverlauf nachsehen, ohne etwas in der E-Mail anzuklicken. In Ihrem Posteingang landet eine E-Mail: „Ihre Bestellung wurde versandt!“ Nur können Sie sich nicht erinnern, etwas bestellt zu haben. Oder Sie haben tatsächlich etwas bestellt, und jetzt sollen Sie in einer Nachricht „Zahlungsdaten bestätigen“, bevor geliefert werden kann. Gefälschte Bestellbestätigungen gehören zu den häufigsten Phishing-Tricks, weil sie zwei starke Reaktionen ausnutzen: die Sorge, dass jemand Ihre Karte belastet hat, und die Vorfreude auf ein Paket, das unterwegs ist.

Die gute Nachricht: Diese E-Mails verraten sich fast immer, wenn man weiß, worauf man achten muss. So unterscheiden Sie eine echte Bestätigung von einem Betrugsversuch, ohne etwas Gefährliches anzuklicken.

Warum gefälschte Bestellbestätigungen funktionieren

Betrüger verschicken diese E-Mails aus verschiedenen Gründen:

• Phishing: Die Schaltfläche „Bestellung ansehen“ oder „Bestellung stornieren“ führt zu einer gefälschten Anmeldeseite, die Ihre Zugangsdaten für Amazon, PayPal oder Ihre Bank stiehlt.
• Rückruf-Betrug: Die E-Mail nennt eine hohe Abbuchung und eine Telefonnummer, unter der Sie diese „reklamieren“ sollen. Die Person am anderen Ende überredet Sie dazu, ihr Fernzugriff auf Ihren Computer zu gewähren oder einer „Rückerstattung“ zuzustimmen, die Ihr Konto leert.
• Schadsoftware: Der Anhang mit der „Rechnung“ oder dem „Versandetikett“ installiert beim Öffnen bösartige Software.
• Gebühren-Betrug: Eine gefälschte Nachricht eines Paketdienstes behauptet, Ihr Paket werde zurückgehalten, bis Sie eine kleine „Zoll-“ oder „Neuzustellungsgebühr“ bezahlen. Das eigentliche Ziel ist Ihre Kartennummer.

In jedem dieser Fälle ist die E-Mail selbst die Falle. Die Bestellung existiert nicht, oder die Nachricht stammt nicht von dem Shop, bei dem Sie tatsächlich gekauft haben.

Sechs Prüfungen, die eine gefälschte Bestätigung entlarven

1. Prüfen Sie die echte Absenderadresse

Tippen oder klicken Sie auf den Namen des Absenders, um die vollständige E-Mail-Adresse anzuzeigen. Echte Shops versenden von ihrer eigenen Domain, etwa amazon.com, apple.com oder ups.com. Betrüger verwenden ähnlich aussehende Domains (amazon-orders-support.net), kostenlose Postfächer (@gmail.com, @outlook.com) oder beliebige Domains, die nichts mit der Marke zu tun haben. Der angezeigte Name bedeutet nichts. Entscheidend ist nur der Teil nach dem @.

2. Achten Sie auf Ihren Namen und echte Bestelldetails

Eine echte Bestätigung spricht Sie mit Namen an und führt genau auf, was Sie gekauft haben, den Preis und die Lieferadresse, die Sie angegeben haben. Fälschungen beginnen mit „Sehr geehrter Kunde“, zeigen vage Artikelangaben („Bestellung #8837-XZ, 1 Artikel“) oder nennen ein Produkt, das Sie nie angesehen haben. Fehlende oder allgemeine Angaben sind ein deutliches Warnsignal.

3. Fahren Sie vor dem Klicken mit der Maus über jeden Link

Fahren Sie am Computer mit der Maus über die Schaltfläche oder den Link und lesen Sie das Ziel in der Ecke Ihres Bildschirms. Auf dem Smartphone halten Sie den Link gedrückt, um eine Vorschau zu sehen. Wenn „Sendung verfolgen“ auf eine gekürzte URL oder eine unbekannte Domain statt auf die Website des Shops verweist, handelt es sich um Phishing. Klicken Sie im Zweifel gar nicht. Im nächsten Abschnitt finden Sie einen sichereren Weg.

4. Prüfen Sie die Sendungsnummer selbst

Eine echte Versand-E-Mail enthält eine Sendungsnummer, die Sie überprüfen können. Geben Sie sie von Hand auf der Website des Paketdienstes ein, etwa ups.com, fedex.com, usps.com oder dhl.com, und niemals über den Link in der E-Mail. Wenn die Nummer nicht existiert, nicht dem Format dieses Paketdienstes entspricht oder die E-Mail überhaupt keinen Paketdienst nennt, behandeln Sie sie als Fälschung.

5. Gleichen Sie sie mit Ihren eigenen Unterlagen ab

Vergleichen Sie die Abbuchung mit Ihrer Karten- oder Kontoabrechnung und mit dem Bestellverlauf Ihres Kontos auf der Website des Shops. Eine beängstigende E-Mail wie „Ihnen wurden $499 berechnet“, zu der es nirgendwo eine passende Transaktion gibt, ist ein Bluff. Sie soll Sie dazu bringen, die angegebene Nummer anzurufen oder auf den Link zu klicken.

6. Achten Sie auf Druck und ungewöhnliche Zahlungsforderungen

Echte Bestell-E-Mails verlangen kein dringendes Handeln. Seien Sie misstrauisch bei Countdown-Timern, Drohungen, Ihr Konto zu sperren, Aufforderungen, Kartendaten „erneut einzugeben“, oder Gebühren, die nur per Geschenkkarte, Überweisung oder Kryptowährung bezahlt werden können. Kein seriöser Paketdienst kassiert Gebühren in Geschenkkarten, niemals.

Der sicherste Weg zur Überprüfung: direkt zum Shop

Überprüfen Sie eine Bestellung niemals über die E-Mail selbst. Gehen Sie stattdessen so vor:

1. Öffnen Sie einen neuen Browser-Tab und geben Sie die Adresse des Shops selbst ein, oder nutzen Sie dessen offizielle App.
2. Melden Sie sich an und öffnen Sie Meine Bestellungen (oder den entsprechenden Bereich). Wenn die Bestellung dort nicht auftaucht, ist die E-Mail gefälscht. Löschen Sie sie.
3. Wenn Sie den Kundendienst kontaktieren müssen, nutzen Sie die Telefonnummer oder den Chat auf der offiziellen Website, niemals die Nummer aus der E-Mail.

Wenn die E-Mail angeblich von einem Shop stammt, von dem Sie noch nie gehört haben, schlagen Sie den Shop auf HasTrust nach, bevor Sie reagieren. Dort sehen Sie, ob die Website etabliert ist und wie andere Käufer sie bewerten. Gefälschte E-Mails geben sich am häufigsten als große Namen wie Amazon, PayPal und bekannte Paketdienste aus, eben weil so viele Menschen tatsächlich ein Paket von ihnen erwarten. Und wenn Sie bei der Nachricht selbst unsicher sind, fügen Sie sie in den HasTrust Scam-Checker ein. So erfahren Sie schnell, ob sie einem bekannten Betrugsmuster ähnelt.

Was tun, wenn Sie bereits geklickt oder bezahlt haben?

Handeln Sie schnell, denn Schnelligkeit begrenzt den Schaden:

• Ein Passwort eingegeben? Ändern Sie es sofort auf der echten Website und überall dort, wo Sie es ebenfalls verwendet haben, und aktivieren Sie die Zwei-Faktor-Authentifizierung.
• Kartendaten eingegeben? Rufen Sie Ihre Bank oder Ihren Kartenherausgeber an, melden Sie die Karte als kompromittiert und lassen Sie sie sperren. Fechten Sie außerdem alle unberechtigten Abbuchungen an.
• Einen Anhang geöffnet? Trennen Sie die Internetverbindung und führen Sie einen vollständigen Virenscan durch, bevor Sie sich irgendwo anmelden.
• Jemandem Fernzugriff gewährt? Schalten Sie den Computer aus, ändern Sie Ihre Passwörter von einem anderen Gerät aus und wenden Sie sich an Ihre Bank.

Melden Sie anschließend die E-Mail: Leiten Sie sie an [email protected] weiter, nutzen Sie die Schaltfläche „Phishing melden“ in Ihrer Mail-App und erstatten Sie in den USA eine Meldung unter reportfraud.ftc.gov. Gefälschte Amazon-E-Mails können an [email protected] gemeldet werden.

Das Fazit

Eine echte Bestellbestätigung passt zu einem Kauf, den Sie getätigt haben, stammt von der eigenen Domain des Shops, nennt Ihren Namen und Ihre Artikel und setzt Sie nie unter Druck. Fehlt eines dieser Merkmale, ignorieren Sie die Links, prüfen Sie Ihr Konto direkt und überprüfen Sie den Absender, bevor Sie irgendetwas anderes tun. Dreißig Sekunden Prüfung sind besser als wochenlanges Beheben der Folgen eines Betrugs.