das BlogMagazin

Im Junk-Ordner, Sonntagmorgen, 9. August. Absender: Missionary Carol Mitchell. Betreff in Großbuchstaben: Kannst Du als mein nächster Angehöriger einspringen und den Armen helfen. Outlook hat SCL 6 vergeben und die Mail weggeräumt. Zu Recht.

Die Geschichte ist schnell erzählt. Eine Missionarin, früher bei Saints Peter and Paul in San Francisco, Filbert Street, echte Adresse einer echten Gemeinde. Sechs Millionen Dollar bei Citizens Financial Group. Leukämie, zwei oder drei Wochen noch. Du sollst als Next of Kin herhalten, damit die Bank das Geld überweist. Drei Millionen darfst Du behalten, drei Millionen gehen an irgendein Heim in den USA, Afrika, Kanada, Europa oder Asien, weil sie das Gott versprochen hat, bevor sie Missionarin wurde. Wenn Du Interesse hast, schreibt sie sofort zurück, dann kommt der Anwalt, die Bank, die Anleitung. Danach sterbe ich, steht da, ich habe nur noch zwei Wochen.

Das ist keine Erbschaft. Das ist keine sterbende Missionarin. Das ist die alte Next-of-Kin-Masche, diesmal im Kirchenkostüm. Es gibt kein Konto mit sechs Millionen, das auf Deinen Namen wartet. Es gibt keinen Arzt, der Dir per Rundmail die Frist diktiert. Es gibt keine Gemeinde, die wildfremde Postfachinhaber als Erben einsetzt.

Die Kirche ist echt, die Mail nicht

Saints Peter and Paul in North Beach gibt es. 655 Filbert Street gibt es. Citizens als Bank gibt es auch. Genau deshalb stehen die Namen da: Du kannst sie googeln, und dann fühlt sich der Rest wahrer an. Die Mail klaut die Adresse, nicht die Stimme der Gemeinde. Eine sterbende Frau, die wirklich sechs Millionen vererben will, schreibt nicht „Hello Beloved“ an „Recipients“ und schickt dieselbe Datei in den Junk von Leuten, die sie nie getroffen hat.

Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier nicht mal das. Hier ist nur Beloved, plus ein Tippfehler, der sitzt: formally with, statt formerly. United State, ohne s. Zwei oder drei Wochen, einen Absatz später nur noch zwei. Wer in Eile stirbt, zählt die Tage nicht in zwei Versionen.

Die Adresse vorne ist jesusvalle@movilidapp.com. Dieselbe Adresse steht auch im An-Feld, der eigentliche Empfänger kommt als Kopie. movilidapp.com gehört zu einem spanischen App- und Web-Laden, nicht zu einer Pfarrei in Kalifornien. SPF, DKIM, DMARC: alles fail. Der Server, der die Mail wirklich abgeliefert hat, heißt mailcu04.computersunleashed.store. Antworten sollst Du nicht an die Kirche und nicht an movilidapp, sondern an mitchellmissionarycarol78 auf Gmail. Drei Namen, eine Masche.

Was passiert, wenn Du schreibst

Du antwortest, weil drei Millionen nach Nächstenliebe klingen und die andere Hälfte nach Jackpot. Dann kommt jemand, der sich Anwalt nennt, oder die Bank, oder beide. Irgendwann eine Gebühr, eine Steuer, eine Freigabe, ein Scan vom Ausweis, „sonst kann Citizens nicht überweisen“. Das Geld kommt nicht. Die Gebühr schon, wenn Du zahlst.

Nicht antworten. Nicht dem Gmail. Nicht der Kirche in San Francisco eine Mail schicken, als müsstest Du sie warnen, dass ihr Briefkopf missbraucht wird, das klärt sich ohne Dich. Nichts überweisen, nichts fotografieren.

Kurz: sterbende Missionarin, sechs Millionen, Next of Kin, Reply an Gmail, Versand von computersunleashed.store. Löschen. Es lag kein Erbe bereit.

Der Mailtext (ohne Links)

Absender: MISSIONARY CAROL MITCHELL (jesusvalle@movilidapp.com)
An: Recipients (dieselbe Adresse)
Antworten an: mitchellmissionarycarol78 auf Gmail
Betreff: HELLO BELOVED CAN YOU STAND AS MY NEXT OF KIN TO HELP THE POOR?
Datum: 9. August 2026

Hello Beloved

I am Carol Mitchell a Missionary formally with Saints Peter and Paul Church Catholic North Beach/Telegraph Hill 655 Filbert St San Francisco, CA 94133 USA, I have the Sum of US$6M in Citizens Financial Group, Inc before I was diagnosed with cancer leukemia and according to my doctors I have just two or three weeks to live.
So I want you to help me stand as my Next of Kin to enable Citizens Financial Group, Inc Transfer this US$6M to you, note that you will take US$3M out of this US$6M and give the remaining US$3M to any Charity Home here in United State, Africa, Canada, Europe and Asia because that was the vow I made to my God Almighty before I became a Missionary.

I want you to get back to me immediately if you are interested in standing as my Next of Kin, So that I can introduce you to my Lawyer, Bank and direct you on how to proceed before I pass away in this world because I have only two weeks to live according to my Doctor. I await your urgent response.

Thanks,
Missionary Carol Mitchell.
Saints Peter and Paul Church
North Beach/Telegraph Hill 655 Filbert St San Francisco, CA 94133 USA

Wenn Du die Mail nur überfliegst, steht da Crypto.com Account Services. Klickst Du auf den Absender, ist es at@mercadata.com. Dazwischen, unsichtbar, stecken Unicode-Zeichen in den Buchstaben von Crypto.com, damit Filter und Suche das Wort nicht sauber erkennen. Du liest die Börse. Der Scanner sieht Buchstabensalat. Der Betreff gibt sich als Bestätigung: jemand will Deine Kontaktnummer ändern, Mail#5877142394, klingt nach Ticket. Outlook hat die Sache mit SCL 1 in den Posteingang gelegt. SPF, DKIM und DMARC sind grün, aber für mercadata.com. Die Häkchen gehören zur Absenderdomain, nicht zur App in Deiner Tasche.

Du musst hier nichts bestätigen. Crypto.com hat keine Nummer für Dich umgestellt, und +49 3082 684924 ist kein Support. Die Mail will, dass Du anrufst. Wer das tut, spricht mit Leuten, die Codes abfragen, Login, notfalls die Wiederherstellungsphrase. Vor ein paar Tagen lag in demselben Postfach schon eine Crypto.com-Mail, die eine Abhebung stoppen wollte. Andere Domain, anderer Film, gleiche Marke auf der Stirn. Hier geht es ums Telefon.

Eine Bestätigung, die nicht weiß, von wem sie ist

Crypto.com schreibt nicht von mercadata.com. Die echte Domain ist crypto.com, ohne unsichtbare Zeichen, ohne mail2-Theater. Der Anzeigenname ist extra so gebaut, dass Menschen „Crypto.com“ sehen und Maschinen es schwerer haben. Dieselbe Idee wie bei anderen Mails, in denen mitten im Betreff Zeichen liegen, die Du nicht siehst.

Und dann der Text. Er redet in der Ich-Form: I have submitted a request to update my registered contact number through your call center service. This letter serves as written confirmation. Das ist der Ton eines Kunden, der der Börse einen Brief schickt. Oben steht Account Services. Unten Account Security Team. In der Mitte ein Mensch, der seine eigene Nummer umstellt. Drei Rollen, eine Vorlage. Die Referenz heißt CHG-2026-XXXXX, und XXXXX steht wirklich so da, fünf X, kein Generator hat sich die Mühe gemacht, fünf Ziffern zu würfeln. Date & Time verspricht eine Uhrzeit und liefert nur Wednesday, June 17, 2026. Status ist einmal Pending Review, einmal Verification Required. Beides gleichzeitig, beides dringend.

Der Trick ist alt und funktioniert trotzdem: If you authorized this request, no further action. If you did not, call immediately. Hast Du nichts beantragt, sollst Du anrufen. Bist Du unsicher, auch. Die Nummer ist das eigentliche Ziel, nicht die Tabelle.

Oben Callcenter, unten Justiz und Immobilien

Die Karte selbst ist brav. Weiß, Logo als cid-Anhang (den würde ich nicht öffnen), Dear Valued Customer, gelber Streifen Request Status, eine kleine Tabelle. Call Center Support, rund um die Uhr, die Telefonnummer als tel-Link. +49 3082 684924, Berliner Vorwahl. Crypto.com ist keine Berliner Behörde. Sincerely, Account Security Team. Unten: automated security notification, please do not reply, Copyright 2026, ohne Firmennamen. Wer wirklich die Börse ist, schreibt den Namen ins Copyright.

Dann kommt das Seltsame. Unter der Karte liegen Dutzende leere Zeilen, absichtlich, damit Du im normalen Fenster nur den Crypto-Teil siehst. Scrollst Du weiter, fängt ein zweiter Brief an: United States Department of Justice, Victim Notification System. Du wärst Opfer oder mögliches Opfer in einem Strafverfahren. Bitte E-Mail verifizieren. Der Link geht auf google.com. Danach ein Zillow-Home-Loans-Disclaimer, NMLS, Irvine in Kalifornien, in der Telefonnummer wieder unsichtbare Zeichen. Zum Schluss unterschreiben Adam Mildred als United States Attorney und Laura Nunez als Victim Witness Specialist.

Das hat mit Deiner Mobilnummer nichts zu tun. Das ist Futter für Spamfilter. DOJ, Hypotheken, US-Staatsanwalt, Crypto.com, alles in einer Datei, plus Anhang. Scanner sehen viele harmlose Wörter. Du siehst, wenn Du zu Ende liest, dass jemand drei Briefköpfe in denselben Umschlag gesteckt hat. Ein VNS-Link auf Google ist nicht das US-Justizministerium.

An geht an eine no-reply-Adresse, die wie Crypto.com aussehen soll, wieder mit unsichtbaren Zeichen. In CC steht customer@email2.crypto.com. Bei Dir ist die Mail trotzdem angekommen. Angeredet wirst Du als Dear Valued Customer. Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier nicht mal das, nur die Schablone.

Google-Postfach, zwei Mailprogramme, ein Anhang

Geschickt hat at@mercadata.com. Im Google-Header steht noch dk@mercadata.com als Original-From. Der Weg geht über smtp.gmail.com, davor ein Host namens meocloud. DKIM ist mercadata.com mit Google-Selector, also Workspace auf einer Domain, die nicht der Börse gehört. Die Message-ID kommt von Gmail. Im X-Mailer stehen zwei Namen: Sendgrid Default Mailer, extra mit Zufallsstring, und SaintFelicite Mail Platform. Dazu eine Wolke Tracking-Felder, Kampagne, Batch, Feedback-Loop, sogar ein Abo-Link auf mercadata.com.

Auto-Submitted sagt auto-generated. Lesebestätigungen sollen an im@mercadata.com. Missbrauch an abuse@mercadata.com. Die Domain spielt Newsletter. Eine echte Nummernänderung in der Crypto.com-App braucht keinen Newsletter und keinen Anhang.

Der Anhang ist da. Logo per cid, Outlook sagt hasAttachments. Nicht öffnen, auch nicht „nur das Bild“. Bei den Gehalts- und Rechnungsmails in diesem Postfach gilt dasselbe.

Was passiert, wenn Du anrufst

Du rufst an, weil angeblich jemand Deine Nummer am Call Center umgestellt hat. Ab, es ist das Call Center. Sie müssen nur kurz verifizieren: letzte Bewegung, SMS-Code, Wiederherstellungssatz, Bildschirm teilen. Mail#5877142394 und CHG-2026-XXXXX sind die Stichworte für das Gespräch, damit es nach Vorgang klingt. 24 Hours / 7 Days heißt, irgendwer hebt immer ab.

In der App stellst Du eine Nummer um, wenn Du das wirklich willst. Nicht über diesen Brief. Nicht über diese +49.

Nicht anrufen. Nichts in der Mail antippen. Den Anhang in Ruhe lassen. Dem DOJ-Absatz, Zillow und Laura Nunez musst Du nicht glauben, die gehören zur Verpackung.

Es gab keinen Request. Löschen reicht.

Der Mailtext (ohne Links)

Absender: Crypto.com Account Services, mit unsichtbaren Zeichen im Namen (at@mercadata.com)
An: eine no-reply-Adresse, die wie Crypto.com aussehen soll
Betreff: Confirmation of Your Contact Number Change Request. Mail#5877142394
Datum: 17. Juni 2026
Anhang: ja (nicht öffnen)

Dear Valued Customer,

I am writing to formally notify you that I have submitted a request to update my registered contact number through your call center service. This letter serves as written confirmation of that request and provides the relevant details for your records.

Request Status: Pending Review

Reference Number: CHG-2026-XXXXX
Date & Time: Wed, June 17, 2026
Status: Verification Required

If you authorized this request, no further action is required at this time.

If you did not request this change, please contact our Call Center immediately to prevent unauthorized access to your account.

Call Center Support
Phone: +49 3082 684924
Hours: 24 Hours / 7 Days

Thank you for helping us keep your account secure.

Sincerely,
Account Security Team

This is an automated security notification. Please do not reply to this email.
© 2026 All Rights Reserved.

(Darunter, nach vielen Leerzeilen: DOJ Victim Notification System, Link ohne URL, Zillow-Home-Loans-Disclaimer, Adam Mildred / Laura Nunez.)

Ledger im From-Namen. Die Adresse dahinter: noreply@ auf bilo-4cae2.firebaseapp.com. Betreff: Attention: Device Update Verification Pending. Der Inhalt redet von Uniswap, DEX, unlimited Token Approval. Zwei Kostüme, eine Klickfläche. Ledger schickt keine Firmware-Mails von Firebase, und Ledger überwacht Deine DEX-Trades nicht per Newsletter.

Es gibt kein Device-Update, das Du in dieser Mail bestätigen musst. Es gibt keine verdächtige Uniswap-Transaktion, die Ledger für Dich gefunden hat. Es gibt keine 24 Wörter, die Du irgendwo eingeben sollst. Das ist Wallet-Phishing. Wer klickt, landet auf salomas.cv. Kapverden-TLD, Subdomain touranajafreee. Nicht ledger.com.

Das ist kein Ledger, kein Update, keine DEX-Warnung

Vorweg klar: Ledger SAS schreibt Dir nicht von firebaseapp.com. Die echte Firma sitzt in Paris, die echte Domain ist ledger.com, die echte App ist Ledger Live, die Du selbst startest. Eine Firebase-App mit Zufalls-ID bilo-4cae2 ist ein Wegwerf-Host. Jeder kann dort eine Seite hochladen. Der Display-Name Ledger ist HTML-Theater.

Der Betreff sagt Device Update Verification Pending. Der Körper sagt Potentially Suspicious DEX Activity Identified. Firmware und Dezentrale Börse in einer Mail, als hätte jemand zwei Templates übereinandergelegt. HIGH RISK ACTIVITY. Immediate Action Required. Time Detected Today, 14:32 UTC, ohne Datum. Wallet-Adresse abgeschnitten. Contract Address abgeschnitten. 12.5 ETH nach 38,450 USDC, Gas 0.034 ETH, 120.50 Dollar. Inventar. Wer eine echte On-Chain-Warnung schickt, verlinkt den Tx-Hash auf Etherscan, nicht vier Buttons auf dieselbe Store-Domain.

Die Mail will zwei Dinge, die Ledger nie per E-Mail will: dass Du in Ledger Live gehst (über ihren Link) und dass Du irgendwo eine Recovery Phrase eintippst. Der Satz steht ausdrücklich da: Never enter your 24-word recovery phrase anywhere online. Klingt nach Sicherheitshinweis. Steht in einer Mail, deren einziger Job der Klick ist. Seed-Phishing mit Warnschild.

Was die Karte Dir erzählt

Oben LEDGER. Dann die DEX-Panik. Irregular transaction behavior, connected wallet, prompt review. Uniswap v3 Router Interaction. Network Ethereum Mainnet. Transaction Type Unlimited Token Approval. Eine Tabelle, die wie ein Security-Dashboard aussieht. Status: Pending Approval.

Dann der Absatz, der Ledger-Nutzer als Zielgruppe nennt: This activity pattern matches known phishing attempts targeting Ledger users. Die Phishing-Mail warnt vor Phishing. Danach Recommended Actions: Router-Adresse prüfen, revoke with Revoke.cash or Etherscan, browser extensions, never enter 24-word, consider transferring assets to a new wallet. Alles echte Ratschläge, nur dass Review Activity in Ledger Live und Learn About DEX Security und Security Center und Ledger Support dieselbe URL haben: touranajafreee.salomas.cv/en/

Footer: © 2026 Ledger SAS, 1 Rue du Mail, 75002 Paris. Die Adresse der echten Firma unter einem Firebase-Absender. This is an automated message. Please do not reply. Reply-To ist trotzdem no-reply@ledger.com. Der Header klaut den Namen, der Footer klaut die Straße, der Button klaut die App.

Keine Anrede. Die Empfängerzeile ist die Kontaktadresse der Website, nicht Dein Name. Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name? Hier nicht mal das. Hier ist nur LEDGER und Panik.

Die Absender sind Firebase plus Weiterleitung

From: Ledger, noreply@bilo-4cae2.firebaseapp.com. DKIM: firebaseapp.com, pass. DMARC: permerror. Reply-To: no-reply@ledger.com, als wäre das der Support. Message-ID auf google.com, Nullen und Hex, Firebase-Versand.

Die Mail ist erst an die Website-Adresse gegangen und von dort weiter ins Postfach. Deshalb steht im Return-Path ein SRS-Rewrite über die Website-Domain, SPF pass für diese Domain, HELO ein Outlook-Outbound. SCL −1, Zielordner Inbox, TrustedRecipientList. Die Filter sehen: kommt von uns, Empfänger auf der Vertrauensliste. Sie sehen nicht: Firebase-From, Kapverden-Link, zwei Betreff-Welten.

Genau das ist der Punkt. Wer nur den Ordner prüft, sieht Posteingang und denkt Ledger. Wer From prüft, sieht firebaseapp.com. Wer klickt, sieht salomas.cv. Drei Ebenen, eine Lüge.

Was nach dem Klick passieren soll

Crypto-Drainer. Unlimited Token Approval ist das Stichwort. Die Fake-Ledger-Live-Seite will Connect Wallet, Seed, oder eine Transaktion, die den Vertrag freigibt. Danach ist das Konto leer, nicht „verified“. Transfer to a new secure wallet in der Mail ist die Aufforderung, selbst mitzumachen.

Echtes Ledger Live kommt aus dem Store oder von ledger.com, die Du selbst eintippst. Firmware kommt über die App am USB-Gerät. Niemand schickt 24 Wörter per Formular. Niemand hostet Support auf Firebase-Zufallsprojekten.

Was Du tun solltest

Nichts klicken. Nicht Review Activity. Nicht Security Center. Nicht die Recovery Phrase, auch nicht „nur zum Prüfen“.

Wenn wirklich etwas an der Hardware oder an einer Approval hängt: Gerät per Kabel, App vom Hersteller, Revoke über eine Seite, die Du selbst eintippst, nicht über diese Mail. Ein Device-Update von firebaseapp.com mit Uniswap im Bauch ist kein Update.

Kurz: Ledger-Name, Firebase-From, Betreff Update, Text DEX, Link Kapverden. Löschen. Es gab keine Transaktion um 14:32.

Der Mailtext (ohne Links)

Absender: Ledger (noreply@bilo-4cae2.firebaseapp.com; Reply-To no-reply@ledger.com)
An: die Kontaktadresse der Website
Betreff: Attention: Device Update Verification Pending
Datum: 19. März 2026

LEDGER
Potentially Suspicious DEX Activity Identified
Irregular transaction behavior has been detected on your connected wallet — prompt review is strongly recommended.

Our monitoring system has flagged unusual activity associated with your Ledger-secured wallet while interacting with a decentralized exchange. This could suggest a possible attempt to gain unauthorized access to your assets.

Uniswap v3 Router Interaction
HIGH RISK ACTIVITY
Time Detected Today, 14:32 UTC
Network Ethereum Mainnet
Transaction Type Unlimited Token Approval
Contract Address 0xC36442b4a4522E871399CD717aBD..1a3b
Assets Involved 12.5 ETH → 38,450 USDC
Wallet Address 0x742d35Cc6634C0532925a3b..C891
Gas Fee 0.034 ETH ($120.50)
Status Pending Approval

Immediate Action Required
This activity pattern matches known phishing attempts targeting Ledger users. The transaction requests unlimited token approvals to a suspicious contract address. If you did not initiate this transaction, your assets may be at risk.

Recommended Actions
If you initiated this transaction: Verify that you’re interacting with the legitimate Uniswap v3 router. If unsure, revoke the approval immediately.
If this activity is unexpected: Immediately revoke token approvals using Revoke.cash or Etherscan. Check for suspicious browser extensions or compromised dApps. Never enter your 24-word recovery phrase anywhere online. Consider transferring assets to a new secure wallet address.

Review Activity in Ledger Live
Learn About DEX Security
Need help? Visit our Security Center or contact Ledger Support

© 2026 Ledger SAS. All rights reserved. | 1 Rue du Mail, 75002 Paris, France
This is an automated message. Please do not reply to this email.

COMMUNICATION, communication@lecres.fr, Betreff: Re: Job Offer!!! Drei Ausrufezeichen, Re: als wäre da schon ein Gespräch gewesen. Eine Zeile Text, dann eine Outlook.com-Adresse. Outlook hat SCL 1 vergeben und die Mail in den Posteingang gelegt, nicht in Junk. SPF pass. VadeSecure: legit. Genau das ist der Trick, wenn jemand ein echtes Rathaus-Postfach benutzt.

Es gibt kein Jobangebot. Es gibt keinen Thread. Es gibt keine maßgeschneiderte Lösung, die Du per privater Outlook-Adresse abholen musst. Das ist die Job-Offer-Masche, diesmal aus dem Postfach der Gemeinde Le Crès.

Das ist keine Stelle, keine Antwort, keine Stadtverwaltung

Vorweg klar: Die Ville du Crès stellt Dich nicht per Re: Job Offer!!! ein. Echte Ausschreibungen der Stadt liegen auf lecres.fr unter La Ville du Crès recrute, Kontakt rh@lecres.fr, Telefon der Mairie. Englisch, drei Ausrufezeichen, tailored solutions, utmost satisfaction: das ist Vertriebstext, kein öffentlicher Dienst im Hérault.

Das Re: im Betreff tut so, als hättest Du schon geschrieben. Es gab keine vorherige Mail. Job Offer!!! ist der Köder, Re: ist die Tarnung, die in manchen Filtern weniger aggressiv aussieht als ein kalter Erstkontakt. Der sichtbare Text ist ein Satz, zusammengeschoben:

Hope this message finds you well! please contact us at und dann eine Outlook.com-Adresse. We're here to provide tailored solutions and ensure your utmost satisfaction.

Kein Jobtitel. Kein Gehalt. Kein Ort. Kein Vertrag. Kein PDF. Nur: schreib uns woanders. Der Call to Action ist der mailto-Link. Wer klickt, öffnet ein Fenster an colmk653 auf Outlook.com. Nicht an lecres.fr. Nicht an rh@. An ein freies Microsoft-Konto, das mit der Gemeinde nichts zu tun hat.

An: inf@mail.com. Wieder dieser Catch-all. Die Mail ist trotzdem bei Dir gelandet. Personalisierung: null. Keine Anrede mit Namen. Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name? Hier nicht mal das. Hier ist Hope this message finds you well, der Satz, den Generatoren vor den Pitch setzen.

Die Absender sehen „echt“ aus, und deshalb liegt die Mail im Posteingang

From und Sender: COMMUNICATION, communication@lecres.fr. Return-Path dieselbe Adresse. Message-ID auf lecres.fr. Weg: internes Exchange (EXCH2-CRES, EXCH-LECRES), dann VadeSecure-Relay, dann Microsoft. SPF: pass. CompAuth: pass. DKIM: none. DMARC: bestguesspass. SID: PASS. VadeSecure selbst: X-VRC-SPAM-STATE legit, Score 0. Outlook: SCL 1, Zielordner Inbox. ATP trotzdem SA und SL.

lecres.fr ist die Domain der Ville du Crès, Hôtel de Ville Place Julien Quet, 34920, echte französische Gemeinde. Keine Zufallsdomain. Die Website ist das Rathaus, Newsletter, Médiathèque, Portail famille. COMMUNICATION klingt nach der Pressestelle. Genau deshalb darf die Mail das Relay passieren: der Envelope gehört der Stadt.

x-originating-ip ist eine andere Adresse als das interne Netz. Accept-Language fr-FR und en-US, Content-Language en-US. Die Stadt schreibt Französisch, wenn sie Stellen vergibt. Diese Mail ist Englisch mit Leerzeichen vor please, als hätte jemand zwei Brocken zusammengeklebt.

Die Kombination ist dieselbe wie bei anderen gekaperten Firmenpostfächern: Stempel grün, Inhalt 419. Nur dass Microsoft hier nicht mal Junk draus gemacht hat. SCL 1 statt 6. Wer nur den Ordner prüft, sieht Posteingang und denkt, die Stadt meint es ernst.

Die drei Ausrufezeichen sind keine Begeisterung, sie sind ein Filtertest. Viele Leute haben gelernt, dass !!! Spam ist. Re: davor soll das wieder glätten. Zusammen ergibt das den Ton einer unterbrochenen Bewerbung: Du hattest angeboten, wir antworten. Hattest Du nicht. Die Stadt hatte nicht. inf@mail.com hatte nicht.

VadeSecure sitzt vor dem Ausgang, weil kleine Verwaltungen genau solche Appliances kaufen. Wenn das Konto communication@ einmal offen ist, sieht jede ausgehende Mail aus wie Amtsgeschäft. Der Filter prüft den Absender, nicht ob Job Offer!!! eine Stellenanzeige ist. Microsoft übernimmt den Stempel. SCL 1 heißt: eher ham als spam. In diesem Postfach ist das die Ausnahme. Die anderen Maschen dieser Woche lagen bei SCL 6. Hier hat jemand den teuren Weg genommen, ein Postfach, das schon vertraut ist.

tailored solutions klingt nach Agentur, nicht nach Mairie. utmost satisfaction klingt nach Hotelbewertung. Ein französisches Rathaus schreibt so nicht, schon gar nicht auf Englisch an eine Generic-Adresse. Die Outlook.com-Zahl in der Mitte ist der ganze Deal. Alles davor ist Briefkopf.

Was nach der Outlook-Adresse passieren soll

Job Offer per E-Mail, bitte privat schreiben: Klassiker. Danach kommt fast immer Arbeit von zu Hause, Scheck, Überweisung, Paket weiterleiten, oder eine Gebühr für Visa, Versicherung, Equipment. Manchmal nur: schick Lebenslauf und Ausweis, also Identitätsdiebstahl. Die Mail spart sich den Betrugsteil. Nur Kontakt. Nur satisfaction. Wer antwortet, hat den Thread eröffnet, und der sitzt dann auf Outlook.com, nicht mehr im Rathaus-Postfach.

Die Gemeinde rekrutiert nicht über colmk653. Wer dort arbeiten will, geht auf die Stellenpage und schreibt rh@. Eine Zeile Englisch aus communication@ an inf@mail.com ist keine Ausschreibung.

Was Du tun solltest

Nichts klicken. Die Outlook-Adresse nicht anschreiben. Nicht „nur nachfragen, welche Stelle das ist“. Es ist keine.

Wenn die Ville du Crès wirklich jemanden sucht: lecres.fr, die Seite, die Du selbst eintippst. Nicht diese Re:-Mail. Nicht das freie Microsoft-Konto.

Kurz: echtes Rathaus-Postfach, SCL 1, Job Offer ohne Job, Kontakt über Outlook.com. Löschen. Es gab kein Angebot.

Der Mailtext (ohne Links)

Absender: COMMUNICATION (communication@lecres.fr)
An: inf@mail.com
Betreff: Re: Job Offer!!!
Datum: 18. August 2026

Hope this message finds you well! please contact us at colmk653@outlook.com We’re here to provide tailored solutions and ensure your utmost satisfaction.

Payment Failure Notice, Absender eine Zeichenkette ohne Punkt und ohne echte Domain. Betreff: Final notice: Storage expired and files at risk. Wichtigkeit hoch. Inhalt: Cloud Plus 250GB, Speicher voll, Fotos tot, bitte zahlen. Outlook hat SCL 6 vergeben und Junk draus gemacht. SPF none, DKIM none, DMARC none. Trotzdem sieht die Karte aus wie eine Abrechnung von einem Cloud-Dienst, den Du nie abgeschlossen hast.

Es gibt kein Cloud Plus 250GB, das bei Dir abläuft. Es gibt keine Dateien, die heute gelöscht werden. Es gibt keine Zahlung, die fehlgeschlagen ist. Das ist Speicher-Phishing: Angst um Fotos, ein roter Button, eine Zufallsdomain. Wer klickt, landet nicht bei Google, nicht bei Microsoft, nicht bei Dropbox.

Das ist kein Abo, kein Speicher, keine letzte Mahnung

Vorweg klar: Du hast dort nichts gemietet. Niemand löscht Deine Backups, weil eine Mail Final notice sagt. Cloud Plus 250GB ist ein Produktname aus der Schublade, 250 von 250, 100 Prozent, ALL FILES, FAILED, alles rot. Eine Status-Tabelle, die sich selbst geschrieben hat. Renewing takes less than 60 seconds. Your files will be restored immediately after. Erst sind sie weg, dann sind sie nach dem Klick sofort wieder da. So funktionieren echte Löschfristen nicht. So funktionieren Formulare.

Final notice im Betreff, Action Required in der Headline, immediate attention, without action today, permanent deletion. Fünf Dringlichkeiten, null Konto. Die Mail nennt keinen Dienst, den Du erkennen könntest. Nur Cloud. Nur Plus. Nur 250GB. Generic genug für alle, konkret genug für Panik.

Was die Karte Dir erzählt

Grauer Hintergrund, weiße Karte mit Schatten, Arial. Oben rot: Action Required: Your Cloud Storage. Darunter: Your account requires immediate attention. Gelber Balken mit Warnstreifen: Your subscription renewal has failed. Your files are at risk.

Dann der Absatz mit dem Plan. Storage completely full. Photos, videos, and backups scheduled for permanent deletion. Eine Mini-Tabelle: Plan Cloud Plus 250GB. Storage Used 250GB / 250GB (100%). Renewal Status FAILED. Files at Risk ALL FILES. Die rechten Werte sind alle in derselben Alarmfarbe. Generator-Look. Kein Datum, an dem etwas abgelaufen sein soll. Keine letzte erfolgreiche Zahlung. Keine Kundennummer.

Button: Renew My Storage Now. Darunter: Your payment is 100% encrypted and secured. Wer bezahlen muss, weil der Speicher voll ist, verspricht Encryption im Kleingedruckten. Unsubscribe ganz unten, You are receiving this because your account requires attention. Bulk-Newsletter-Satz, nicht Billing.

Unter der Karte noch Luft, Tracking-Pixel, dann große Bilder von Brevo (früher Sendinblue), Account 11992481. Dieselbe URL wie der Button, nochmal als Bildfläche. Unsubscribe nochmal als Grafik. Die HTML-Seite hat mehrere Klickflächen, alle auf dieselbe Store-Domain.

Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier nicht mal Hello. Hier ist nur die Empfängerzeile die E-Mail Adresse. Kein Vorname, kein Konto, das zu einem Cloud-Dienst gehören würde.

Die Absender sind ein kleines Orchester

Vorne Payment Failure Notice. Die Adresse dahinter ist Zufall ohne TLD, als hätte jemand die Tastatur vergessen. Return-Path: 44s8v.com, irgendein Kurzname. Reply-To: in2.getdrip.com, Newsletter-Werkzeug, Platzhalter in der lokalen Adresse. Precedence: bulk. Message-ID: randomid2 auf einem Host, der wie eine Firmen-Mail-Appliance klingt (esa, iphmx). Complaints-To abuse auf demselben Host. X-Feedback-ID: feedback123:provider. Platzhalter.

SPF für 44s8v.com: none. DKIM: none. DMARC: none. CompAuth fehlt. SID NONE. Outlook: Junk, SCL 6, ATP SA und SL. Der Server, der geliefert hat, steht in den Received-Zeilen mit einer Azure-typischen IP. Der From-Header hat nicht einmal einen Punkt in der Domain. Wer Zahlungsausfälle verschickt, hat normalerweise eine Domain, die man aussprechen kann.

Die Links gehen auf adhocbare.store, Subdomain aus Zufallszahlen. Pfad cl für den Button, un für Unsubscribe, op fürs Pixel. .store, nicht .com eines Cloud-Anbieters. Die Bilder liegen bei img.mailinblue.com. Also: GetDrip zum Antworten, Brevo zum Gestalten, eine .store zum Kassieren. Drei Werkzeuge, ein Fake-Abo.

Dieselbe Sorte Infrastruktur wie andere Bulk-Mails in diesem Postfach: randomid2, GetDrip, hohe Wichtigkeit, Pixel, alles eine Klickfläche. Nur das Kostüm ist diesmal Speicher statt Zoll.

Was nach dem Klick passieren soll

Renew My Storage Now will Kartendaten oder ein Login. 60 seconds, encrypted, files restored immediately: Checkout-Sprache, keine Support-Sprache. Permanent deletion ist die Drohung, die Leute dazu bringt, nicht nachzudenken. Es gibt kein Cloud Plus 250GB bei den großen Anbietern unter genau diesem Namen in genau dieser Mail. Es gibt Dein echtes OneDrive, iCloud, Google One, Dropbox. Die schreiben nicht von einer Domain ohne Punkt, und sie schicken Dich nicht auf adhocbare.store.

Unsubscribe auf derselben Domain ist kein Abmelden. Es ist ein zweiter Klick, derselbe Shop, oder ein Pixel, das merkt, dass die Adresse lebt.

Was Du tun solltest

Nichts klicken. Nicht Renew. Nicht Unsubscribe. Nicht die Bilder.

Wenn wirklich ein Cloud-Abo ausläuft: die App oder die Website, die Du selbst eintippst. Speicheranzeige dort, nicht in dieser Karte. Ein Final notice von Payment Failure Notice ohne Domain ist kein Abo.

Kurz: Zufalls-From, GetDrip, Brevo-Bilder, 250GB voll, Link auf .store. Löschen. Es lag nichts in der Cloud, das heute stirbt.

Der Mailtext (ohne Links)

Absender: Payment Failure Notice (Zufallsadresse ohne echte Domain; Return-Path 44s8v.com; Reply-To GetDrip)
An: die E-Mail Adresse
Betreff: Final notice: Storage expired and files at risk
Datum: 30. August 2026

Action Required: Your Cloud Storage
Your account requires immediate attention

Your subscription renewal has failed. Your files are at risk.

Your Cloud Plus 250GB plan has expired and your storage is completely full. Without action today, your photos, videos, and backups are scheduled for permanent deletion.

Plan Cloud Plus 250GB
Storage Used 250GB / 250GB (100%)
Renewal Status FAILED
Files at Risk ALL FILES

Renewing takes less than 60 seconds. Your files will be restored and protected immediately after.

Renew My Storage Now
Your payment is 100% encrypted and secured.

You are receiving this because your account requires attention. | Unsubscribe

HR Department Manager, contact@spilworld.com, Betreff: Action Required: Payroll Account Update. Eine graue Karte, Hello, Gehaltsabrechnung im Anhang, in 24 Stunden kommt Geld. Outlook hat SCL 6 vergeben und Junk draus gemacht. SPF pass, DKIM pass, DMARC pass. Die Stempel stimmen. Der Inhalt nicht.

Es gibt kein Payroll-Konto bei spilworld.com, das Du updaten musst. Es gibt keine Abrechnung, die Du bestätigen musst. Es gibt keine Support-Adresse in einem Anhang, der zu einer Firma gehört, für die Du arbeitest. Das ist die klassische Lohn-Masche: Du hast angeblich selbst eine Änderung beantragt, das Geld ist schon unterwegs, bitte den Paystub öffnen. Wer öffnet, spielt das nächste Level.

Das ist keine Gehaltsabrechnung, keine HR, kein Update

Vorweg klar: Du hast kein Payroll-Konto bei dieser Domain beantragt. Niemand schreibt Dir von HR Department Manager, wenn Du dort nicht angestellt bist. Die Mail tut so, als wärst Du mittendrin in einem Vorgang, den Du selbst angestoßen hast. We received your request. Account details is being updated. Funds within 24 hours. Drei Behauptungen, null Kontext. Kein Firmenname außer der Signatur. Keine Personalnummer. Kein Monat. Kein Betrag im Text. Nur: Anhang ansehen, und wenn Du das nicht wolltest, die Adresse im Anhang anschreiben. Der Anhang ist die Falle. Die 24 Stunden sind die Eile.

Action Required im Betreff ist die übliche Dringlichkeit. Payroll Account Update klingt nach Direct Deposit, nach neuer IBAN, nach „sonst kommt das Gehalt nicht“. Wer Angst ums Geld hat, öffnet PDFs. Genau darauf ist das gebaut.

Was die Karte Dir erzählt

Grauer Hintergrund, weiße Karte, Helvetica, Abstand wie ein SaaS-Newsletter. Hello, nicht Dein Name. Dann gebrochenes Englisch: Your account details is being updated. Singular, is, obwohl details Plural ist. Please review the paystub enclosed and to confirm your new details are correct. Ein and zu viel, als hätte jemand zwei Satzbausteine zusammengeschoben.

If you did not request this change, please contact the support email listed in the paystub immediately. Also: entweder den Anhang öffnen, oder den Anhang öffnen, um eine Adresse zu finden. Beide Wege gehen durch die Datei. Best regards, fett: HR Department Manager. Kein Vorname. Keine Abteilung einer konkreten Firma. Eine Rolle.

Unten klein, zentriert, grau: eine Copyright-Zeile mit der Domain des Postfachs, nicht mit spilworld.com. Als wäre die HR-Abteilung intern bei Deinem E-Mail-Anbieter. Generator-Müll. Wer wirklich Copyright setzt, setzt den eigenen Namen, nicht die Domain des Empfängers.

Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier nicht mal das. Hier ist Hello. Die Empfängerzeile ist die E-Mail Adresse. Personalisierung: die Adresse, an die gesendet wurde, plus Copyright derselben Domain. Kein Mensch, der Dich kennt.

Die Absender sehen „echt“ aus, und der Anhang ist trotzdem Gift

From und Sender: HR Department Manager, contact@spilworld.com. Return-Path dieselbe Adresse. Message-ID auf spilworld.com. Der Server heißt mail.spilworld.com, IP 5.255.111.96. SPF pass. DKIM pass, Signatur für spilworld.com. DMARC pass. CompAuth pass, reason 100. Microsoft sagt: die Domain darf das. Outlook sagt trotzdem Junk, Zielordner J, SCL 6. ATP-Flags SA und SL, also Spam und etwas, das nach Spoof oder verdächtigem Link/Anhang riecht.

Die Website hinter spilworld.com antwortet mit Serverfehler. Kein Impressum, das man schnell findet, keine Karriereseite, die zu HR Department Manager passt. Ähnliche Namen gibt es (Spil, Spilo, SPI World), keiner davon schickt Dir Deine Gehaltsabrechnung über contact@ an ein privates Postfach.

Genau diese Kombination ist der Punkt. Viele Leute prüfen das Häkchen. Häkchen ist da. DKIM ist da. Der Absender ist keine Zufallszeichenkette. Deshalb landet die Datei im Anhang, und die Datei ist der eigentliche Job. Outlook hat hasAttachments wahr. Die Mail spricht von paystub enclosed. Gehaltsabrechnungen als Köder sind oft HTML, ISO, ZIP, oder ein PDF mit Link. Nicht öffnen, nicht in der Vorschau, nicht „nur mal gucken ob eine IBAN drinsteht“.

Was nach dem Paystub passieren soll

Payroll-Phishing will Kontodaten oder einen Login. Variante eins: der Anhang ist ein Formular, neue Bankverbindung bestätigen. Variante zwei: ein Link auf eine gefälschte HR-Seite, Microsoft- oder Okta-Login. Variante drei: Schadcode, der das erledigt, ohne dass Du ein Formular siehst. Die Mail deckt alle drei ab, ohne sich festzulegen. Support email listed in the paystub: extra Kontakt, extra Domain, extra Gespräch, sobald Du antwortest.

Funds will be credited within 24 hours ist die Belohnung und die Drohung in einem Satz. Entweder Du bestätigst, dann „kommt das Geld“, oder Du widersprichst, dann musst Du sofort die Adresse im Anhang anschreiben. Beides endet bei denen.

Du arbeitest nicht für spilworld.com. Eine HR-Abteilung schreibt nicht Hello und is being updated. Eine echte Abrechnung kommt aus dem System Deines Arbeitgebers, nicht von contact@ einer Domain, deren Website 500 liefert.

Was Du tun solltest

Nichts klicken. Den Anhang nicht öffnen. Nicht die Support-Adresse aus dem Paystub anschreiben. Nicht „nur prüfen, ob das Gehalt umgeleitet wird“. Es wird keins umgeleitet, weil keins unterwegs ist.

Wenn Dein Arbeitgeber wirklich Stammdaten ändert: das Portal, das Du selbst eintippst, die Nummer der Personalabteilung, die Du schon hast. Nicht diese Karte. Nicht diese Datei.

Kurz: HR ohne Firma, Paystub im Anhang, 24 Stunden, Copyright mit der Domain des Postfachs, Auth-Stempel grün, Inhalt Müll. Löschen. Es gab kein Update.

Der Mailtext (ohne Links)

Absender: HR Department Manager (contact@spilworld.com)
An: die E-Mail Adresse
Betreff: Action Required: Payroll Account Update
Datum: 1. September 2026
Anhang: Paystub (nicht öffnen)

Hello,

We received your request to update your payroll account. Your account details is being updated, and your funds will be credited within 24 hours.

Please review the paystub enclosed and to confirm your new details are correct.

If you did not request this change, please contact the support email listed in the paystub immediately.

Best regards,
HR Department Manager

© (die Domain des Postfachs)

Beres Brooks, ihc-geneve.com, Betreff: Award Recipient Confirmation. Eine Zeile Inhalt, dann eine Vertraulichkeitsklausel, die länger ist als die eigentliche Nachricht. Outlook hat SCL 6 vergeben und Junk draus gemacht. Trotzdem wirkt die Karte erstmal seriös: echter Firmenname, SPF pass, AppRiver im Header. Genau das ist der Trick.

Es gibt keinen Award. Es gibt keine Bestätigung. Es gibt keinen Anspruch, den Du über eine Gmail-Adresse „claimen“ musst. Das ist die klassische Preis-/Erbschafts-Masche, nur diesmal aus einem Postfach, das wirklich zu einer Firma gehört.

Das ist kein Preis, keine Auszeichnung, kein Claim

Vorweg klar: Du hast nichts gewonnen. Niemand hat Dich als Award Recipient bestätigt. Die Referenz pfg2026 ist Inventar, kein Aktenzeichen. Die Mail will, dass Du die Gmail-Adresse anschreibst, die mittendrin als mailto-Link hängt. Danach kommt der Rest, den man aus Nigeria-419-Texten kennt: Gebühren, Formulare, Anwalt, Freigabe, Überweisung. Hier steht das noch nicht. Hier steht nur: Du bist Approved Contact. for claims. Der Köder ohne die Angelrute, weil die Angelrute in der Antwortmail steckt.

Was die Mail wirklich sagt

Der sichtbare Text ist ein Satz, gebrochenes Englisch, Großbuchstaben dort, wo keine hingehören:

You are Approved Contact with Reference Number: pfg2026: und dann eine Gmail-Adresse for claims.

Kein Hallo. Kein Name. Kein Betrag. Kein Gremium, das den Award vergibt. Kein Link auf eine Website der Firma. Nur: Du darfst Kontakt sein, Referenz pfg2026, schreib dieser Gmail. Das Anschreiben ist der Call to Action. Wer klickt, öffnet ein Mailfenster an connollyfrancespat auf Gmail. Nicht an ihc-geneve.com. Nicht an eine Claims-Abteilung. An ein freies Gmail-Konto, das mit der Firma nichts zu tun hat.

Darunter die CONFIDENTIALITY NOTICE. Copy-Paste aus einem Kanzlei-Footer: privileged, intended recipient, delete if received in error, scan for viruses, no warranty. Die Klausel tut so, als wäre vorher etwas Vertrauliches gestanden. Es stand nichts Vertrauliches da. Ein Satz über einen Award und eine Gmail. Wer wirklich Privileged Communication schickt, hängt nicht die Claims-Adresse als Gmail in die erste Zeile.

An: inf@mail.com. Nicht Deine Adresse. Ein Catch-all, der klingt wie eine erfundene Info-Box. Die Mail ist trotzdem bei Dir gelandet, BCC oder falsch verdrahtete Verteiler, egal. Personalisierung: null. Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name? Hier nicht mal das. Hier ist gar keine Anrede. Nur Approved Contact, als wäre das eine Rolle in einer Datenbank.

Die Absender sehen „echt“ aus, und genau deshalb ist es gefährlich

From und Sender: Beres Brooks, bbrooks@ihc-geneve.com. Return-Path dieselbe Adresse. Message-ID auf ihc-geneve.com. Der Weg: internes Exchange (Host MONTU), Webmail, dann AppRiver SecureTide, dann Microsoft. SPF: pass. CompAuth: pass. DKIM: none. DMARC: bestguesspass, also kein richtiges Policy-Record, nur geraten.

ihc-geneve.com ist die Mail-Domain der Geneve Corporation in Stamford, Connecticut, Holding rund um Independence Holding / IHC. Keine Zufallsdomain, kein Tippfehler-Genf. Die Website der Domain selbst zeigt aktuell Werbe-Platzhalter, der Mailserver dahinter ist trotzdem Exchange mit AppRiver. Das ist der Unterschied zu den Paket-Mails mit Freediving-Academy: Hier hat jemand ein echtes Firmenpostfach benutzt, oder eines, das so tut.

AppRiver selbst hat die Mail nicht für sauber gehalten. Spam Tests Failed: NONCONTACT. X-Warn: NONCONTACT Contains questionable phrase. Mail Class trotzdem VALID, weil der Absender intern bekannt ist. X-Country-Path: Nigeria, dann USA, dann lokal. X-Originating-IP: 102.90.123.64. Webmail von Nigeria aus, Absender-Domain in den Staaten. Outlook hat das trotzdem als Junk einsortiert, Zielordner J, SCL 6. Die Filter sind sich also nicht einig: Envelope sieht aus wie die Firma, Inhalt sieht aus wie 419.

Genau diese Kombination ist der Punkt. Viele Leute prüfen From und Häkchen. From stimmt. SPF stimmt. Der Name klingt nach Mensch. Der Footer klingt nach Anwalt. Der Award klingt nach Behörde. Die Gmail ist die Stelle, an der das Theater kippt.

Was nach der Gmail passieren soll

Award Recipient Confirmation ist der Betreff, den Vorschussbetrugs-Mails seit Jahren tragen. Lottery, UN, Federal Bureau, Humanitarian, Inheritance, Compensation. IHC und Genf im Domain-Namen tun so, als wäre das humanitär und international. Die Firma dahinter verkauft Versicherungen in den USA, sie verlost keine Awards an Zufallsadressen.

pfg2026 klingt nach Programm und Jahr. Es ist ein Token. for claims heißt: schreib uns, wir brauchen noch Daten. Was dann kommt, ist fast immer dasselbe: Identitätsprüfung, kleine Gebühr, größere Gebühr, Steuer, Courier, Anti-Terror-Clearance, und irgendwann eine IBAN. Manchmal eine PDF-Urkunde. Manchmal ein Anwalt, der auch nur Gmail hat.

Die Mail vermeidet den Betrugs-Teil absichtlich. Kein Dollarzeichen, kein Western Union, kein „do not tell your bank“. Nur Approved. Nur Confirmation. Nur claims. Wer antwortet, hat den Thread eröffnet. Dann kann die Gegenseite in der Konversation bleiben, ohne nochmal durch den Junk-Filter zu müssen.

Was Du tun solltest

Nichts klicken. Die Gmail nicht anschreiben. Nicht „nur kurz nachfragen, ob das ein Award ist“. Es ist keiner.

Wenn eine echte Firma aus Stamford etwas von Dir will: die Domain, die Du selbst eintippst, die Nummer von der Police, nicht eine Award-Mail an inf@mail.com. Eine Zeile gebrochenes Englisch plus Kanzlei-Footer ist keine Auszahlung.

Kurz: echter Firmenabsender, Nigeria im Header, Award ohne Preis, Claims über Gmail. Löschen. Es gab nichts zu bestätigen.

Der Mailtext (ohne Links)

Absender: Beres Brooks (bbrooks@ihc-geneve.com)
An: inf@mail.com
Betreff: Award Recipient Confirmation
Datum: 20. August 2026

You are Approved Contact with Reference Number: pfg2026: connollyfrancespat@gmail.com for claims

CONFIDENTIALITY NOTICE: This electronic mail transmission and any attachments are confidential and may be privileged. They should be read or retained only by the intended recipient. If you have received this transmission in error, please notify the sender immediately and delete the transmission from your system. If you are not the intended recipient, you must not use, disclose, distribute, copy or print this electronic mail transmission. Addressees should scan this electronic mail transmission and any attachments for viruses. No representation or warranty is made as to the absence of viruses in this electronic mail transmission or any attachments.

Display-Name: UPS. Punkt hinten, als wäre das ein Ordner. Absender eine lange Zufallsdomain. Sender-Feld: die E-Mail-Adresse als Name, plus eine zweite Zufallsdomain. Return-Path: noreply@dhlecommerce.nl. Outlook schreibt dazu gern „im Auftrag von“.

Drei Marken in einer Zeile, keine davon hat die Mail geschickt. Betreff: FWD: Barcode 85932449314. Wichtigkeit hoch. Inhalt: Zollkosten. Das ist Paket-Phishing. Es gibt kein Paket, es gibt keinen Zoll, und UPS leitet Dir nichts über eine Freediving-Academy weiter.

Outlook hat SCL 6 vergeben und Junk draus gemacht. SPF scheitert für dhlecommerce.nl. DKIM fehlt. DMARC fehlt. CompAuth: fail. Trotzdem sieht die Karte aus wie eine Zustellbenachrichtigung, komplett mit Postbotenbild und CO2-Danke.

Das ist kein Zoll, kein Paket, keine Weiterleitung

Vorweg klar: Niemand hält ein Päckchen für Dich fest. Es fallen keine Gebühren an. Es gibt kein FWD von einer echten Sendung. Die Mail will, dass Du auf „Paket verfolgen“ gehst und dort zahlst, Adresse bestätigst, Kartendaten angibst. Klassische Zoll-Masche. Der Barcode ist Inventar. Das Datum im Text steht wörtlich als [date]. Platzhalter. Wer eine echte Frist setzt, schreibt ein Datum, keine eckige Klammer.

Was die Karte Dir erzählt

Oben ein grüner Balken, der so tun will wie Outlook: Diese Nachricht wurde von einem vertrauenswürdigen Absender gesendet. Hat sie nicht. Der Balken ist HTML, Farbe #56a659, Text in Segoe. Nachgebautes Vertrauen.

Dann groß: Zollkosten. Daneben ein Postboten-Bild von communicationhubcontent.bpost.be. Belgische Post. Nicht UPS. Nicht DHL. Die Grafiken für Nachhaltigkeit und Häkchen kommen von derselben bpost-Quelle. Jemand hat ein Template geklaut, das mal für bpost gebaut wurde, UPS drübergeschrieben, DHL in den Umschlag gesteckt.

Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Genau so. Duzen und Siezen in einem Absatz: Hallo, dann „für Ihr Paket fallen Zollgebühren an“, bitte zahlen bis [date], sonst geht das Paket zurück.

Eine Karte mit rotem Unterstrich. Barcode 85932449314. Lieferadresse: Die Adresse muss bestätigt werden. Voraussichtliche Lieferzeit: 09:22 – 12:00. Viertel nach neun als Start, nicht 9:00, nicht 9:30. Klingt nach Generator. Grünes DANKE SCHÖN, indem wir an einem sicheren Ort liefern, sparen wir 10 % CO2. Roter Button: Paket verfolgen.

Darunter: Bist du nicht da? Wieder Duzen. Sicherer Ort Deiner Wahl. Noch nachhaltiger, 30 % CO2, Abholpunkt. Lieferpräferenzen anpassen, wieder rot. Frage zu Ihrem Paket, dann eine FAQ-Überschrift ohne Antwort: Können Sie garantieren, dass mein Paket innerhalb des erwarteten Zeitraums zugestellt wird?

Die ganze HTML-Seite ist in einen einzigen Link gewickelt. Karte, Button, Footer, Postbote: alles eine Klickfläche. Ziel: 4kmedia-market.com, langer Pfad. Klingt nach Fernsehern, nicht nach Zoll. Unten ein unsichtbares Pixel auf derselben Domain.

Das soll nach Versanddienst klingen. Es ist ein Formularfang mit Nachhaltigkeit als Dekor.

Die Absender sind ein kleines Orchester

Vorne UPS mit Punkt. Sender-Name ist die Adresse, nicht ein Mensch. Envelope: dhlecommerce.nl, das Outlook als „über“ anzeigt. Der Server, der wirklich geliefert hat: wqxp.freediving.academy. Message-ID: randomid2@ dieselbe Academy. Reply-To: in2.getdrip.com, ein Newsletter-Werkzeug. Precedence: bulk. X-Complaints-To: abuse auf der Freediving-Domain.

SPF für dhlecommerce.nl ist fail. Die Domain darf diesen Server nicht. Trotzdem steht sie im Return-Path, weil der Name DHL in der Übersicht zieht. UPS steht im From, weil UPS in der Übersicht zieht. Die Bilder sind bpost, weil das Template bpost war. Drei Firmen, ein Klick, null Zustellung.

Was nach dem Klick passieren soll

Paket-Phishing dieser Art will selten nur „wo ist mein Karton“. Es will Geld. Zoll, Nachnahme, kleine Summe, Karte, manchmal ein Login bei einem Shop, den Du nie bestellt hast. Die Drohung ist Rücksendung. Die Eile ist das Zeitfenster 09:22 bis 12:00, das schon vorbei sein kann, wenn Du die Mail morgens liest. Die Adresse muss bestätigt werden: also Formular. Lieferpräferenzen: nochmal Formular.

Wer versehentlich irgendwo in die Karte tippt, ist schon auf 4kmedia-market.com. Der vertrauenswürdige-Absender-Balken war die erste Lüge. Der Rest ist nachgeladen.

Was Du tun solltest

Nichts klicken. Nicht verfolgen. Nicht Präferenzen. Nicht den Postboten.

Wenn wirklich Zoll oder UPS oder DHL etwas von Dir wollen: die App oder die Website, die Du selbst eintippst. Sendungsnummer aus dem Shop, nicht aus dieser Mail. Ein FWD mit Platzhalter [date] und drei Marken ist keine Sendung.

Kurz: UPS-Name, DHL-Umschlag, bpost-Bilder, Zoll ohne Datum, Kurz-Domain für Fernseher. Löschen. Es lag kein Paket bereit, und der Barcode gehört zu nichts.

Der Mailtext (ohne Links)

Absender: UPS. (Zufallsdomain; Sender die E-Mail-Adresse; Return-Path dhlecommerce.nl)
Betreff: FWD: Barcode 85932449314
Datum: 1. September 2026

Diese Nachricht wurde von einem vertrauenswürdigen Absender gesendet.

Zollkosten

Hallo (die E-Mail Adresse),
für Ihr Paket fallen Zollgebühren an. Bitte begleichen Sie diese bis zum [date]. Sollte die Zahlung nicht eingehen, wird Ihr Paket an den Absender zurückgeschickt.

Barcode 85932449314
Lieferadresse
Die Adresse muss bestätigt werden.
Voraussichtliche Lieferzeit
09:22 – 12:00

DANKE SCHÖN!
Indem wir Ihr Paket an einem sicheren Ort liefern lassen, sparen wir gemeinsam etwa 10 % CO2.

Paket verfolgen

Bist du nicht da?
Falls Sie zum Lieferzeitpunkt nicht anwesend sind, liefern wir Ihr Paket an einen sicheren Ort Ihrer Wahl. Klicken Sie auf den untenstehenden Link, um Ihre Einstellungen zu ändern.

Noch nachhaltiger?
Lassen Sie sich Ihr nächstes Paket direkt an Ihren bevorzugten Abholpunkt liefern und reduzieren Sie so die CO2-Emissionen um 30 %!

Lieferpräferenzen anpassen

Haben Sie eine Frage zu Ihrem Paket?
Können Sie garantieren, dass mein Paket innerhalb des erwarteten Zeitraums zugestellt wird?

Mitternacht, Junk, Display-Name VolksBank eG. Absender: support@yoo.ses-support.de. Betreff: SecureGo TAN-App – Dienst zu aktivieren, dann ein N° und eine lange Nummer.

Das soll nach Bank klingen. Nach Vorgang, nach Pflicht, nach App, die Du schon hast. Es ist Phishing. Niemand bei einer Volksbank hat Dir um 2:39 Uhr geschrieben, dass Dein TAN-Dienst stirbt, wenn Du nicht bis zum heutigen Kalendertag ein „Web-Sicherheitssystem“ aktivierst.

Outlook hat SCL 6 vergeben. SPF: none. DKIM: none. DMARC: none. Die Domain darf nicht einmal sauber belegen, dass sie sich selbst sein darf. Trotzdem steht oben groß Volksbank eG in Blau.

Das ist keine App-Aktualisierung

Vorweg klar: Das ist kein Update. Kein SecureGo-plus-Rollout. Keine Registrierung, die Du vergessen hast. Die Mail will, dass Du auf „Jetzt aktivieren“ gehst, auf einer fremden Kurz-URL, und dort Zugangsdaten, TAN oder Freigabe abgibst. Oder dass Du eine Seite öffnest, die nach Online-Banking aussieht und es nicht ist.

Banken sperren Dir den TAN-Dienst nicht per Mitternachtsmail mit orangem Ausrufezeichen. Und sie schicken Dich nicht auf scan.page.

Was die Mail behauptet

Oben steht Volksbank eG, Arial, fett, in einem Blau, das ungefähr zur Marke passt. Dann eine Linie, dann orange: Aktivieren sie das neue update ! Kleines s, englisches update, Ausrufezeichen. Schon der erste Satz klingt nach Übersetzer und Frist-Panik, nicht nach Vorstandsstab.

Sehr geehrte(r) Kunde. Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier ist es noch dünner: nur Kunde, in Klammern sogar das (r), falls Du Frau oder Mann bist. Keine Filiale, keine Mitgliedsnummer, kein VR-NetKey.

Du müsstest das neue Web-Sicherheitssystem aktivieren. Die Registrierung habest Du bislang nicht vorgenommen. Frist: 02.09.2026, blau unterlegt. Die Mail ist in der Nacht zu genau diesem Tag angekommen. Also heute, sofort, oder es ist vorbei.

Wenn Du Dich nicht registrierst, werde gesperrt: SecureGo-TAN-SMS-Dienst. Ein Satz später sollst Du die neue SecureGo-Plus aktivieren. Zwei Produktnamen, durcheinandergeworfen. SMS-TAN und SecureGo plus sind nicht dasselbe. Wer beides in einen Absatz kippt, hat eine Liste mit Bank-Vokabeln, kein Wissen über Dein Konto.

Link: Jetzt aktivieren. Ziel: scan.page, kurzer Pfad. Kein volksbank.de, kein banking-url Deiner eigenen Bank, kein Play Store, kein App Store. Ein Kurzlinker. Darunter Mit freundlichen Grüßen, Monika Wexler, und in Grau nochmal Volksbank. Keine Telefonnummer, keine Filiale, keine Fußzeile mit Impressum.

Technisch ist die HTML-Datei ein Durcheinander. Dieselben Blöcke sitzen ineinander, moz-text-html, wieder und wieder, als hätte jemand eine alte Mail durch zehn Weiterleitungen gejagt. Am Ende klebt noch ein kaputtes „div>“. Unten ein unsichtbares 1-Pixel-Bild über SendGrid, das merkt, ob die Nachricht geöffnet wurde.

Das ist keine Kundenkommunikation. Das ist ein Baukasten.

Warum das nichts mit einer Volksbank zu tun hat

Eine Volksbank schreibt nicht von yoo.ses-support.de. Sie schreibt nicht ohne DKIM. Sie schreibt nicht „Aktivieren sie das neue update“. Sie hängt keine Ticketnummer mit französischem N° in den Betreff und nennt das Vorgang.

Die Mail kam über blackforestcloud.de, Postfix, anonyme Annahme. CompAuth geht „pass“, Grund 105: Es gibt keine DMARC-Politik, die scheitern könnte. Das ist kein Vertrauensbeweis. Das ist Abwesenheit von Regeln.

SecureGo plus ist eine echte App der genossenschaftlichen Banken. Genau deshalb steht sie in der Mail. Die Absender klauen den Namen, weil Du ihn kennst. Die echte App aktualisierst Du über den Store oder über den Hinweis in Deinem echten Online-Banking, das Du selbst öffnest. Nicht über scan.page, nicht über eine Orange-Überschrift um halb drei.

Monika Wexler klingt nach Person. Die Nummer 185-54004231764 klingt nach Vorgang. Beides ist Inventar. Die Nummer taucht im Text nicht wieder auf. Ein echter Vorgang würde sie wiederholen.

Was nach dem Klick passieren soll

Der Button führt auf eine Kurz-URL. Dahinter liegt typischerweise eine Seite, die nach Login aussieht: VR-NetKey, PIN, dann TAN. Manchmal eine PDF, die ein „Sicherheitssystem“ installieren will. Manchmal nur Tracking, und die echte Falle kommt in Mail zwei.

Die Drohung ist der Motor. SMS-TAN gesperrt, Registrierung überfällig, Frist heute. Wer Banking braucht, klickt. Genau das soll passieren. Danach gehören Konto und Freigaben nicht mehr Dir.

Was Du tun solltest

Nichts klicken. Nicht aktivieren. Nicht die Nummer googeln über den Link in der Mail.

Wenn Du wirklich unsicher bist, ob Deine Bank etwas von SecureGo plus will: App oder Website Deiner eigenen Volksbank selbst öffnen, nicht über diese Mail. In der echten App siehst Du, ob ein Update ansteht. Tut es nicht, war die Mail Lärm.

Und wenn Du geklickt oder Daten eingegeben hast: Bank sperren lassen, über die Nummer auf der Karte oder der App, nicht über die Mail.

Kurz: Volksbank-Lack, Support-Domain ohne Signatur, Kurzlink, Frist heute. Löschen. Es wurde kein Dienst gesperrt, und Monika Wexler sitzt in keiner Filiale.

Der Mailtext (ohne Links)

Absender: VolksBank eG (support@yoo.ses-support.de)
Betreff: SecureGo TAN-App – Dienst zu aktivieren N°: 185-54004231764
Datum: 2. September 2026

Volksbank eG

Aktivieren sie das neue update !

Sehr geehrte(r) Kunde,

Sie müssen das neue Web-Sicherheitssystem aktivieren.

Sie haben Ihre Registrierung bislang nicht vorgenommen.

Diese Aktualisierung ist bis zum 02.09.2026 durchzuführen.

Wenn Sie sich nicht registrieren, werden die folgenden Optionen gesperrt:

– SecureGo-TAN-SMS-Dienst

Befolgen Sie diese Schritte, um die neue SecureGo-Plus zu aktivieren.

Jetzt aktivieren

Mit freundlichen Grüßen,

Monika Wexler

Volksbank