Tag: 1. September 2026

Man öffnet das Postfach und denkt: wieder eine Rechnung. Display-Name „Rechnungs-informationen“. Betreff: Ihre Zahlung konnte nicht verarbeitet werden. Klingt nach Bank, Shop, Abo, nach etwas, das man lieber nicht ignoriert. Absender: betty mills@momozonoden.com.

Dann passieren zwei Dinge gleichzeitig. Erstens: Zwischen fast jedem Buchstaben im Betreff stecken unsichtbare Steuerzeichen. Du liest einen normalen deutschen Satz. Filter und Spamregeln sehen einen Buchstabensalat. Genau dafür sind die Zeichen da. Zweitens: Du öffnest die Mail und siehst kein Zahlungsproblem. Du siehst Amazon.

Nicht eine Mahnung. Nicht eine Bestellung. Eine angebliche Anfrage, die primäre E-Mail-Adresse Deines Amazon-Kontos zu ändern. Der Betreff war nur der Köder für die Übersicht. Der Inhalt ist klassisches Konto-Hijacking, verpackt in Orange und „Sicherheitsteam“.

Zwei Geschichten, eine Falle

Die Mail vom 22. August arbeitet mit einem kleinen Trick, den man erst merkt, wenn man Betreff und Body nebeneinanderlegt. Oben die Panik um eine Zahlung, die nicht durchging. Unten die Panik um eine E-Mail-Änderung, die Du angeblich nicht selbst ausgelöst hast. Beides zielt auf denselben Reflex: schnell handeln, bevor etwas Schlimmes passiert.

Wer nur die Betreffzeile sieht, erwartet vielleicht eine fehlgeschlagene Lastschrift oder eine Karte, die abgelehnt wurde. Wer klickt, landet in einer ganz anderen Story. Das ist Absicht. In der Übersicht wirkt „Zahlung“ dringender als „E-Mail-Änderung“. Und die unsichtbaren Zeichen sorgen dafür, dass viele Filter die Standardphrase nicht erkennen.

Was die Karte Dir erzählt

Die sichtbare Karte kommt im Amazon-Look daher. Oben das Wort Amazon in Orange, dann die Überschrift „E-Mail-Änderung anfordern“, dann „Hallo Kunde“. Jemand wolle die Hauptadresse Deines Kontos tauschen. In einem grauen Kasten stehen zwei Zeilen: aktuelle E-Mail und neue E-Mail. Die aktuelle ist eine Outlook-Adresse. Die neue ist eine zufällige Hotmail-Adresse, die nach generiertem Lokalteil aussieht, nicht nach einem echten Menschen.

Falls Du das nicht warst, sollst Du die Änderung umgehend stornieren, um Dein Konto zu schützen. Oranger Button: E-Mail-Änderung abbrechen. Darunter Grüße vom Amazon-Sicherheitsteam. Ganz unten noch Datenschutzrichtlinie und Hilfecenter, damit es nach Footer aussieht.

Das wirkt ruhig und offiziell. Kein schreiendes „KONTO GESPERRT!!!“, sondern die sanfte Variante: Bitte stornieren, sonst ist das Konto weg. Genau so sollen Menschen klicken, die gerade eigentlich nur eine fehlgeschlagene Zahlung erwartet haben und jetzt plötzlich denken: Moment, wer ändert hier meine Adresse?

Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier ist es noch dünner: nur „Hallo Kunde“. Kein Vorname, keine Bestellnummer, keine echte Kundenkennung. Dafür genug Details im Kasten, damit es nach Deinem Konto aussieht. Serienbrief mit Amazon-Lackierung.

Was nach dem Klick passieren soll

Der Button führt nicht zu amazon.de und nicht zu amazon.com. Er führt auf Subdomains von austraincrystals.com. Klingt nach Kristallen, nicht nach Versandhandel. Dieselbe Domain steckt hinter den Links zu Datenschutz und Hilfecenter. Wer dort landet, soll sich einloggen, bestätigen, „absichern“. In Wahrheit gibt man Zugangsdaten ab, oder man bestätigt etwas, das den Absendern den Zugang erleichtert.

Das ist die eigentliche Masche: Du denkst, Du brichst einen Angriff ab. Du führst ihn zu Ende. Die Zahlung im Betreff war nur der Anlass, die Mail zu öffnen. Die E-Mail-Änderung ist der Vorwand, Dich auf die fremde Seite zu schicken. Und die fremde Seite ist der Ort, an dem das Konto verloren geht.

Der Hyatt unterm Teppich

Unter dem sichtbaren Amazon-Teil, mit einem absurden Abstand von mehreren tausend Pixeln nach unten geschoben, liegt der Rest einer ganz anderen Mail. Ein Assist. Event Services Manager vom Hyatt Regency Bellevue schickt den Wochenplan und die aktuelle Forecast-Datei bis Mitte Oktober. Carlos Martinez-Prado, Bellevue Way NE, Telefon, Facebook, Instagram, virtueller Rundgang durch die Meetingräume, Think before you print, Green Key, TripAdvisor.

Das hat mit Amazon nichts zu tun. Das hat mit Betty Mills nichts zu tun. Das ist Filterfutter. Die Nachricht soll für Spamfilter und vielleicht auch für Menschen, die ganz nach unten scrollen, nach echter Bürokorrespondenz riechen: Termin, Anhang, Signatur, Hotel. Genau deshalb hat die Mail auch einen Anhang. Auch das gehört zum Look „echte Weiterleitung aus einem Postfach“.

Wer solche Mails baut, stiehlt nicht nur Marken. Er stiehlt auch den Alltag anderer Leute und klebt ihn als Ballast unter die Phishing-Karte.

Warum das nichts mit Amazon zu tun hat

Amazon schreibt nicht als „Rechnungs-informationen“ von momozonoden.com. Amazon schreibt nicht mit unsichtbaren Zeichen im Betreff. Amazon schickt keine Sicherheitswarnung, deren Abbrechen-Button bei austraincrystals.com landet. Und Amazon hängt keine Hyatt-Signatur unter eine Konto-Mail.

SPF, DKIM und DMARC gehen hier durch. Das klingt erstmal nach „echt“ und sagt nur: Die Domain darf über Microsofts Outlook-Infrastruktur versenden. Nicht, dass die Domain Amazon ist. Betty Mills klingt nach einer Person. momozonoden.com klingt absichtlich ein bisschen nach Amazon, wenn man nicht genau hinschaut: das „mozo“ will an „Amazon“ kratzen, ohne es zu sein. Genau das ist der Punkt.

Outlook hat die Mail diesmal nicht als Junk einsortiert. SCL 1, Posteingang. Deshalb lohnt der Blick auf Absender und Linkziel besonders. Die hübschen Authentifizierungs-Häkchen schützen Dich hier nicht. Sie bestätigen nur den Absender der Domain, nicht die Marke auf dem Briefpapier.

Was Du tun solltest

Nichts klicken. Nicht abbrechen. Nicht auf Datenschutz. Nicht auf Hilfecenter. Den Anhang nicht öffnen.

Wenn Du wirklich unsicher bist, ob an Deinem Amazon-Konto etwas läuft: amazon.de oder die App selbst öffnen, nicht über diese Mail. Unter Konto und Login & Sicherheit siehst Du, ob eine E-Mail-Änderung ansteht. Tut sie nicht, war die Mail Lärm. Eine echte Zahlung, die nicht durchging, siehst Du ebenfalls dort oder in Deiner Bank-App, nicht bei betty mills.

Kurz: Rechnungs-Betreff mit unsichtbaren Zeichen, Amazon-Inhalt, Kristall-Domain, Hotel-Ballast darunter. Löschen. Es wurde keine Zahlung verweigert, und niemand hat Deine Amazon-Adresse umgestellt.

Der Mailtext (ohne Links)

Absender: Rechnungs-informationen (bettymills@momozonoden.com)
Betreff: Ihre Zahlung konnte nicht verarbeitet werden. (im Original mit unsichtbaren Zeichen zwischen den Buchstaben)
Datum: 22. August 2026

Amazon
E-Mail-Änderung anfordern

Hallo Kunde,

Wir haben eine Anfrage zur Änderung der primären E-Mail-Adresse für Ihr Amazon-Konto erhalten.

Aktuelle E-Mail: (eine Outlook-Adresse)
Neue E-Mail: (eine Hotmail-Adresse)

Falls Sie diese Änderung nicht selbst veranlasst haben, stornieren Sie die Anfrage bitte umgehend, um Ihr Konto zu schützen.

E-Mail-Änderung abbrechen

Grüße,
Amazon-Sicherheitsteam

Datenschutzrichtlinie • Hilfecenter

dm, Lidl und Beurer in einer Mail. Display-Name: DM Drogerie – Beurer Blutdruckmessgerät. Absender: info@news.lidl.de. Betreff mit „RE:“ und dem Satz, man schenke Dir ein Blutdruckmessgerät, vielen Dank für Vertrauen und Treue.

Drei Marken, die nichts miteinander zu tun haben. Ein „RE:“, als hättest Du schon mal geschrieben. Und ein Gerät, das niemand verschenkt, nur weil eine Mail „Glückwunsch“ sagt.

Das ist ein Fake-Gewinnspiel. Niemand bei dm hat Dich ausgewählt. Lidl verschickt Dir kein Beurer. Beurer verschenkt Blutdruckmessgeräte nicht über einen Lidl-Newsletter. Der Klick geht nicht in den Onlineshop, sondern auf dieselbe fremde Domain wie bei der Rossmann-Chanel-Nummer von vor ein paar Tagen.

Der Look: Drogerie trifft Medizintechnik

Die Mail vom 24. August kommt als schmale Karte daher. Oben die Mahnung: Beeil Dich, die Preise seien begrenzt. Dann „Der Neueste“, ein Button „Hol es dir jetzt!“, ein Produktfoto, darunter in dm-Rot der Name des Geräts. Unten in Dunkelblau: Glückwunsch, Du seist ausgewählt, kostenlos am Treueprogramm teilzunehmen. Dicker Link: Jetzt bestätigen!

Das soll nach Kundenmail aussehen, nicht nach Betrug. Genau das ist der Witz. Es schreit nicht „SIE HABEN GEWONNEN!!!“, es tut höflich und treu. Das Produktbild liegt bei clarpix.com. Weitere Grafiken bei snaparia.com. Der Hintergrund stammt von einer Stockfoto-Seite. So baut man keine echte Markenmail.

Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier ist es noch dünner: nicht mal das. Nur „Sie“. Kein Vorname, keine Kundennummer, kein dm-Konto. Dafür steht die Adresse wieder in An und in CC, als wäre das eine interne Weiterleitung. Ist es nicht.

Was die Masche will

Fake-Gewinnspiele dieser Art verkaufen nicht das Blutdruckmessgerät. Sie verkaufen den Klick. Du wirst ausgewählt, es ist kostenlos, die Preise sind begrenzt, der Preis ist ein Markengerät aus der Drogerie. Wer kurz „warum nicht“ denkt, hat genau so reagiert, wie die Absender es wollen.

Nach dem Bestätigen kommt typischerweise erst ein Formular, das nach Treueprogramm aussieht. Dann die Falle: Kontaktdaten, ein Abo, Kartendaten für die „Zusendung“, oder eine Seite, die weder dm noch Lidl noch Beurer ist. Manchmal reicht den Absendern schon, dass die Adresse klickt. Dann wissen sie: Das Postfach ist wach.

Das „RE:“ im Betreff ist Absicht. In der Übersicht sieht es aus, als würdest Du in einem laufenden Gespräch stecken. Hier gab es kein vorheriges Gespräch.

Warum das nichts mit dm, Lidl oder Beurer zu tun hat

Der Name sagt dm, die Adresse sagt Lidl-Newsletter, der Preis sagt Beurer. Drei Firmen, eine Mail, null Zusammenhang. Eine echte dm-Mail kommt nicht von news.lidl.de. Eine echte Lidl-Mail verschenkt kein Blutdruckmessgerät. Und Beurer schickt keine HTML-Karten mit Stockfoto-Hintergrund.

Technisch ist es dieselbe Infrastruktur wie beim Rossmann-Chanel-Spam. DKIM für news.lidl.de geht schief, DMARC auch. Return-Path: zumgeburtstagtext.info. Server: smtp3.queenpearl.info. Message-ID: fritsch.org. Button, Abmeldelink und Tracking-Pixel: mebeli-za-hotela.info. Outlook hat SCL 6 vergeben und Junk draus gemacht. SPF ist „pass“, aber nur für die Domain hinter dem Vorhang, nicht für Lidl.

Kurz: dieselbe Masche, anderer Preis. Gestern Parfüm, heute Blutdruck. Morgen irgendetwas anderes aus dem Regal.

Was Du tun solltest

Nichts. Nicht bestätigen. Nicht auf das Bild. Nicht auf Abmelden. Auch der Abmeldelink ist hier Teil der Nummer.

Wenn Du wirklich wissen willst, ob dm oder Lidl irgendetwas von Dir wollen: App oder Website selbst öffnen. Nie über einen Link aus so einer Mail. Ein Blutdruckmessgerät kauft man, wenn man eins braucht. Geschenkt wird es nicht, weil eine Mail „Treue“ schreibt.

Kurz: drei Marken, ein erfundenes Treueprogramm, fremde Domain. Löschen. Das Gerät lag nie für Dich bereit.

Der Mailtext (ohne Links)

Absender: DM Drogerie – Beurer Blutdruckmessgerät (info@news.lidl.de)
Betreff: RE: Wir schenken Ihnen ein Beurer-Blutdruckmessgerät. Vielen Dank für Ihr Vertrauen und Ihre Treue.
Datum: 24. August 2026

Beeil dich. Die Anzahl der zu gewinnenden Preise ist begrenzt! Jetzt bestätigen!

Der
Neueste
Hol es dir jetzt!

Beurer-Blutdruckmessgerät

Glückwunsch!

Sie wurden ausgewählt, KOSTENLOS an unserem Treueprogramm teilzunehmen!

JETZT BESTÄTIGEN!

(Fußzeile sinngemäß: Wenn Sie keine weiteren E-Mails mehr erhalten möchten, können Sie sich hier abmelden.)

Jemand hebt gerade von einem neuen Standort Geld von Deinem Crypto.com-Konto ab. So liest sich der Betreff, plus eine künstliche Ticketnummer Mail#1999017190, damit es nach Vorgang aussieht. Display-Name: Crypto.com Account Support. Absender: ar@sevendaysinn.co.ke.

Das ist kein Support. sevendaysinn.co.ke ist ein Hotel in Kenia. Crypto.com schreibt nicht aus der Rezeption.

Die Mail will Panik. Eine Abhebung läuft, Status Pending Review, und wenn Du das nicht warst, sollst Du anrufen. Nicht irgendwo: eine US-Nummer, die in der Mail fett als 24/7 Support steht. Das ist die Falle. Kein Button zu crypto.com, kein Login-Link, den man „prüfen“ könnte. Der Haken ist das Telefon.

So sieht die Nummer aus

Die Mail vom 31. August kommt als schlichte Karte: Logo oben, grauer Kasten, zwei, drei Sätze. Requested Type: Withdrawal. Request Status: Pending Review. Request Date: ##date2##.

Genau so, mit den Rauten. Die haben das Datum im Baukasten vergessen. Eine echte Sicherheitsmail hat ein Datum, einen Betrag, ein Gerät, eine Stadt. Hier steht ein Platzhalter.

Der Text selbst ist Englisch, das auf den ersten Blick fast stimmt. Beim zweiten Blick nicht. Mitten in „We’re writing“ und „confirm“ sitzen kyrillische und griechische Buchstaben, die wie lateinische aussehen. Filter stolpern darüber, Menschen oft nicht. Im Absendernamen steckt zusätzlich ein unsichtbares Zeichen in „Support“, damit die Mail nicht als „Crypto.com Account Support“ erkannt wird. Du siehst Support. Die Software sieht etwas anderes.

Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier ist nicht mal das. Im An-Feld steht „You“. In CC eine Adresse, die nach no-reply von crypto.com klingt. Das soll intern wirken, als hätte die Firma sich selbst ins CC gesetzt. Hat sie nicht.

Unten, in einem versteckten Block, liegt dann noch der Rest einer ganz anderen Mail: eine Care Managerin aus Colorado, die einen Termin in einem Pflegeheim verschieben will. Samstags sei schlecht, Scott könne vielleicht telefonisch dabei sein. Das hat mit Crypto.com nichts zu tun. Das ist Fülltext, damit die Nachricht für Filter nach echter Korrespondenz riecht.

Die Masche dahinter

Klassische Konto-Panik, diesmal für Krypto. Jemand hebt ab, von einem neuen Ort, bitte schnell handeln. Wer ein Konto hat oder mal eins hatte, denkt kurz: lieber checken. Wer keins hat, denkt trotzdem: vielleicht doch.

Der zweite Schritt ist nicht eine gefälschte Login-Seite, jedenfalls nicht in dieser Mail. Der zweite Schritt ist das Telefon. Du rufst an, weil Du die Abhebung nicht ausgelöst hast. Am anderen Ende sitzt jemand, der sich als Account Security Team ausgibt, nach Codes fragt, nach der App, nach einer „Verifizierung“. In dem Moment ist das Konto weg, oder das, was sie daraus machen können.

Deshalb der dringende Betreff, deshalb „from a new location“, deshalb die gebührenfreie 844-Nummer, deshalb „no further action is required“ für den Fall, dass Du es warst. Beruhigen und erschrecken in einem Absatz. Wer beruhigt ist, legt weg. Wer erschreckt ist, wählt.

Warum das nichts mit Crypto.com zu tun hat

Echter Support von Crypto.com kommt nicht von einem kenianischen Hotel. Auch nicht über Gmail, auch nicht mit einem Logo von einer Subdomain desselben Hotels. SPF, DKIM und DMARC gehen hier durch. Das bestätigt nur: Die Domain darf über Google Mail versenden. Nicht, dass die Domain Crypto.com ist.

Outlook hat die Sache trotzdem als Junk einsortiert (SCL 6). Der Versandweg geht über smtp.gmail.com, der Rechner davor sitzt nicht in Kenia. Im Original-From steht eine andere Adresse derselben Hotel-Domain. Lesebestätigung soll an tn@sevendaysinn.co.ke. Das Account Security Team bittet also um eine Lesebestätigung an die Rezeption.

Und ##date2##. Wenn das die einzige Stelle ist, an der Du unsicher bist: Eine Firma, die angeblich gerade Dein Geld bewegt, kennt das Datum.

Was Du tun solltest

Nicht anrufen. Nicht auf das Logo. Nicht antworten. Die Nummer in der Mail ist nicht der Support.

Wenn Du wirklich ein Crypto.com-Konto hast und unsicher bist: die App oder die Website selbst öffnen, nicht über diese Mail. Dort siehst Du, ob eine Abhebung läuft. Tut sie nicht, war die Mail Lärm.

Kurz: Hotel-Absender, unsichtbare Zeichen, vergessenes Datum, Telefon als Falle. Löschen. Es wurde nichts abgehoben.

Der Mailtext (ohne Links)

Absender: Crypto.com Account Support (ar@sevendaysinn.co.ke)
Betreff: A withdrawal has been initiated from your account from a new location. Mail#1999017190
Datum: 31. August 2026

(Im Original stecken in den Wörtern Lookalike-Buchstaben. Hier die lesbare Fassung.)

We’re writing to confirm receipt of a withdrawal request.

Please review the request information below.

Requested Type: Withdrawal

Request Status: Pending Review

Request Date: ##date2##

If you initiated this request, no further action is required at this time. We will notify you if the withdrawal has been completed.

Didn’t make this request?

+1 (844) 757 0154

24/7 Support Available

Yours sincerely,
Account Security Team

Rossmann, Lidl und Chanel in einer Mail. Das allein reicht eigentlich. Trotzdem kommt so etwas nachts ins Postfach, in Rossmann-Rot, mit Parfümflasche, Treueprogramm 2026 und einem dicken Button „Jetzt starten“. Display-Name: Rossmann Treueprogramm. Absender: info@news.lidl.de. Betreff: RE: Ihr Chanel Coco Mademoiselle Parfüm wartet auf Sie!

Drei Marken, die nichts miteinander zu tun haben. Ein „RE:“, als hättest Du schon mal geschrieben. Und ein Gewinn, den es nicht gibt.

Das ist ein Fake-Gewinnspiel. Niemand bei Rossmann hat Dich ausgewählt. Lidl verschickt Dir kein Chanel. Chanel verschenkt Coco Mademoiselle nicht über eine Treue-Mail um halb zwei nachts. Der Klick geht nicht in einen Onlineshop, sondern auf eine völlig fremde Domain.

Der Look: Drogerie trifft Parfümwerbung

Die Mail vom 14. August kommt als hübsche Karte daher. Oben eine rote Leiste: „Hallo, wir haben einige aufregende Neuigkeiten für Sie!“ Dann Rosa, Chanel-Schrift, Rossmann-Logo, eine Flasche, der Satz „Antworten & Gewinnen“, darunter „ein brandneues Coco Mademoiselle Parfüm“. Es sei kostenlos. Es dauere nur eine Minute. Herzlichen Glückwunsch, Du seist ausgewählt, am Treueprogramm teilzunehmen. Groß die Jahreszahl 2026, daneben TREUE PROGRAMM.

Das soll nach Newsletter aussehen, nicht nach Betrug. Genau das ist der Witz: Es schreit nicht „SIE HABEN GEWONNEN!!!“, es tut wie eine Kundenmail. Logos sind einfach von irgendwo ins HTML geklebt, eins von einer PNG-Sammelseite, eins von Wikipedia. Die Flasche liegt auf clarpix.com. So baut man keine echte Markenmail.

Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier ist es noch dünner: nicht mal das. Nur „Hallo“ und „Sie“. Kein Vorname, keine Kundennummer, kein Rossmann-Konto. Dafür steht Deine Adresse in An und in CC, als wäre das eine interne Weiterleitung. Ist es nicht.

Was die Masche will

Fake-Gewinnspiele dieser Art verkaufen nicht das Parfüm. Sie verkaufen den Klick. Du wirst ausgewählt, es ist kostenlos, es dauert eine Minute, der Preis ist ein Markenprodukt, das sich teuer anfühlt. Wer „warum nicht“ denkt, hat genau so reagiert, wie die Absender es wollen.

Nach dem Button kommt typischerweise erst eine Mini-Umfrage oder ein Formular, das nach dem Treueprogramm aussieht. Dann die eigentliche Falle: Kontaktdaten, ein Abo, Kartendaten für die „Zusendung“, oder eine Seite, die weder Rossmann noch Lidl noch Chanel ist. Manchmal reicht den Absendern schon, dass die Adresse klickt. Dann wissen sie: Das Postfach ist wach.

Der Betreff mit „RE:“ ist Absicht. In der Übersicht sieht es aus, als würdest Du in einem laufenden Gespräch stecken. Viele Leute öffnen Antworten eher als Kaltakquise. Hier gab es kein vorheriges Gespräch.

Warum das nichts mit Rossmann, Lidl oder Chanel zu tun hat

Der Name sagt Rossmann, die Adresse sagt Lidl-Newsletter, der Preis sagt Chanel. Drei Firmen, eine Mail, null Zusammenhang. Eine echte Rossmann-Mail kommt nicht von news.lidl.de. Eine echte Lidl-Mail verschenkt kein Chanel-Parfüm. Und Chanel schickt keine HTML-Karten mit Rossmann-Logo von Wikipedia.

Technisch ist die Nummer extra schlampig, sobald man hinter die Karte schaut. DKIM für news.lidl.de geht schief, DMARC auch. Der Return-Path hängt an zumgeburtstagtext.info. Der Server nennt sich smtp3.queenpearl.info. Die Message-ID gehört zu fritsch.org. Der Button, der Abmeldelink und das unsichtbare Pixel führen nach mebeli-za-hotela.info, klingt nach Hotelmöbeln, nicht nach Drogerie. Outlook hat SCL 6 vergeben und die Mail als Junk einsortiert. Zu Recht.

SPF ist übrigens „pass“. Das bestätigt nur, dass zumgeburtstagtext.info diesen Server benutzen darf. Nicht, dass Lidl geschrieben hat.

Was Du tun solltest

Nichts. Nicht starten. Nicht auf das Bild. Nicht auf Abmelden. Auch der Abmeldelink ist hier Teil der Masche.

Wenn Du wirklich wissen willst, ob Rossmann oder Lidl irgendetwas von Dir wollen: die App oder die Website selbst öffnen. Nie über einen Link aus so einer Mail. Chanel-Parfüm kauft man, wenn man will, im Handel. Verschenkt wird es nicht, weil eine Mail um 1:23 Uhr „Herzlichen Glückwunsch“ schreibt.

Kurz: drei Marken, ein erfundenes Treueprogramm, fremde Domain. Löschen. Das Parfüm lag nie für Dich bereit.

Der Mailtext (ohne Links)

Absender: Rossmann Treueprogramm (info@news.lidl.de)
Betreff: RE: Ihr Chanel Coco Mademoiselle Parfüm wartet auf Sie!
Datum: 15. August 2026, nachts

Hallo, wir haben einige aufregende Neuigkeiten für Sie!

CHANEL
ANTWORTEN & GEWINNEN
EIN BRANDNEUES COCO MADEMOISELLE PARFÜM
JETZT STARTEN
ES IST KOSTENLOS

HERZLICHEN GLÜCKWUNSCH!
Sie wurden ausgewählt, um kostenlos an unserem Treueprogramm teilzunehmen!
Es dauert nur eine Minute, um diesen fantastischen Preis zu erhalten.

2026
TREUE
PROGRAMM

Abmelden

Manche Spam-Mails wollen Deine Kartendaten. Diese hier will etwas Gemütlicheres: Deine Angst um den eigenen Namen. Absender Albert Liu, Domain cnnethost.com, Betreff so karg, dass man erstmal denkt, da habe jemand den Namen falsch in die Betreffzeile geklebt. Dann der erste Satz, noch vor „Dear CEO“:

It’s very urgent, so we kindly ask you to pass this email to your CEO.

Sehr dringend. Bitte an den Chef. Und falls es die falsche Person erwischt hat: einfach ignorieren. Höflich, fast schon zu höflich. Genau so fängt diese Masche seit Jahren an.

Was sie Dir erzählen

Die Mail vom 28. Juli kommt angeblich vom „China domain name registration center“ in Shanghai. An dem Tag, an dem sie geschrieben wurde, soll eine Firma namens Baoming Ltd. den Namen aus Deiner Mailadresse als Internet-Keyword und als chinesische Domains anmelden wollen: .cn, .com.cn, .net.cn, .org.cn. Nach einer angeblichen Prüfung stelle man fest, das kollidiere mit Deinem Firmen- oder Markennamen. Deshalb diese Nachfrage: Ist Baoming Ltd. vielleicht Dein Geschäftspartner in China?

Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier sogar noch ein Stück dreister: Der Betreff ist genau dieser Teil vor dem @, und „Dear CEO“ sitzt darunter, als wärst Du Vorstand einer Holding. Kein Vorname, keine Firma, kein „Sehr geehrte Damen und Herren“. Nur der Lokalteil, ein Titel und die Bitte, das bitte ganz schnell nach oben weiterzuleiten.

Dann die Signatur, die nach Büro aussehen soll: Albert Liu, General Manager. Telefon, Fax, Mobil, alles mit +86. Eine Adresse in der Hongmei Road in Shanghai. Ein Logo, das nicht bei cnnethost.com liegt, sondern bei inboxcn.com. Foxmail als Mailprogramm. Fertig ist der kleine Behörden-Look.

Die Masche dahinter

Das ist kein Phishing-Button und kein Gewinnspiel. Das ist die China-Domain-Masche, und sie ist älter als manch ein Startup, das sie heute im Postfach findet. Die Idee ist simpel und ziemlich fies, weil sie an etwas Wahres andockt: Cybersquatting gibt es. Marken werden in anderen Ländern als Domain geparkt. Wer eine Website hat, kennt die Sorge, dass jemand den Namen woanders wegschnappt.

Genau da setzen sie an. Sie tun so, als wären sie die Stelle, die das verhindern kann. Nicht als Verkäufer, sondern als Registry. Jemand Drittes will Deinen Namen. Sie fragen nur nach. Du musst nur antworten.

Antwortest Du, beginnt der zweite Akt. Plötzlich kann man die Anmeldung „anhalten“, natürlich nur in einer kurzen Frist. Dann kommt das Angebot, die vier chinesischen Endungen selbst zu registrieren, „zum Schutz der Marke“. Die Preise, die dabei genannt werden, haben mit einer normalen .cn-Domain nichts zu tun. Statt ein paar Euro redet man von Hunderten, manchmal Tausenden. Manche, die mitgeschrieben haben, bekamen hinterher sogar Rechnungen, nur weil sie nachgefragt hatten.

Oft spielt noch eine zweite Figur mit: Erst der freundliche Registry-Mensch, ein paar Tage später eine andere Mail, in der die angebliche chinesische Firma droht, die Domains jetzt wirklich zu nehmen. Guter Cop, böser Cop. Albert Liu darf dann der Retter sein.

Warum das nichts mit einer Registry zu tun hat

Die echte Vergabestelle für .cn ist das CNNIC. Die schreibt keine Kaltakquise an irgendwelche Postfächer im Ausland, nicht an „Dear CEO“, und nicht mit der Bitte, die Mail intern weiterzuleiten. Eine echte Registry muss auch niemanden fragen, ob Baoming Ltd. Dein Partner ist. Wenn eine Domain frei ist, kann sie jemand anmelden. Wenn sie Deine Marke verletzt, gibt es dafür Verfahren, nicht Albert aus dem Junk-Ordner.

cnnethost.com ist auch nicht das CNNIC. SPF, DKIM und DMARC gehen hier sogar durch. Das klingt erstmal nach „echt“, sagt aber nur: Die Mail kommt wirklich von dieser Domain. Nicht, dass die Domain eine Behörde ist. Outlook hat trotzdem SCL 6 vergeben und die Sache als Junk einsortiert. Der Versandweg führt über mx.cnnethost.com, der Server steht nicht in Shanghai, und das Logo hängt an einer zweiten Domain. Derselbe Albert Liu, dieselben Shanghai-Nummern, dieselbe Hongmei-Road-Adresse tauchen seit Jahren in Warnungen auf, nur die Absenderdomain rotiert.

Und Baoming Ltd.? In der nächsten Welle heißt die Firma Hongbo, Hongshun, Kangwei oder irgendetwas mit Bao. Immer Ltd., immer genau an dem Tag der Mail, immer genau Dein Name als Keyword. Das ist kein Zufall und keine Recherche. Das ist eine Vorlage.

Was Du tun solltest

Nichts antworten. Nicht anrufen. Nicht faxen. Nicht „nur kurz Bescheid geben, dass es nicht unser Partner ist“. Genau das ist der Haken, an dem die nächste Mail hängt.

Wenn Du wirklich eine .cn-Domain willst, gehst Du zu einem normalen Registrar und meldest sie selbst an. Das ist weder dringend noch teuer und braucht keinen General Manager in Calibri-Blau. Ob Baoming Ltd. irgendwo in China existiert, musst Du nicht klären. Die Firma in dieser Mail existiert für Dich nur als Köder.

Kurz: alte Masche, neuer Absender, gleicher Satz mit dem CEO. Löschen. Den Namen hat trotzdem niemand in Shanghai geklaut.

Der Mailtext (ohne Links)

Absender: Albert Liu (albert@cnnethost.com)
Betreff: (nur der Teil vor dem @ der Mailadresse)
Datum: 28. Juli 2026

(It’s very urgent, so we kindly ask you to pass this email to your CEO. In case you consider this has been sent to you wrongly, please disregard it. Thanks.)

Dear CEO,

This email is from China domain name registration center in Shanghai, China. On July 28, 2026, we received a request from Baoming Ltd. They want to register „…“ as their internet keyword and Chinese domain names (….cn, ….com.cn, ….net.cn, ….org.cn). But after we review it, we find this name conflicts with your business name or brand name. In order to deal with this situation better, it’s necessary to send this email to you and confirm whether this firm is your business partner in China?

Best regards

Albert Liu
General Manager
Tel: +86-2161918696 | Fax: +86-2161918697 | Mob: +86-13816428671
12F Kaike Building, No. 1801 Hongmei Road, Shanghai 200233, China

Die Bahn schenkt Dir keine 100 Euro, nur weil eine Mail so freundlich drängelt. Trotzdem sieht genau so etwas regelmäßig im Postfach aus, als wäre es fast echt: Display-Name „Kundenservice Bahn“, goldenes Badge, Gutschein-Motiv, dicker Button, drei Minuten Umfrage, und am Ende winkt angeblich ein DB-Gutschein.

Ist es nicht. Es ist ein Fake-Gewinnspiel. Der Preis existiert nicht, die Umfrage ist nicht von der Bahn, und der Klick geht nicht nach bahn.de. Die ganze Nummer ist dazu da, dass Du mitmachst und dabei entweder Daten hinterlässt oder auf einer fremden Seite landest.

Der Look: extra einladend

Die Mail vom 28. August kommt als hübsche Karte daher. Heller Hintergrund, weiche Schatten, goldener Rand, Emojis. Oben steht „100 € Gutschein“, mittendrin ein großes Bahn-Gutschein-Bild, darunter die Anrede und der Button „Jetzt teilnehmen“. Das soll nach Kundenclub aussehen, nicht nach Betrug. Genau das ist der Witz an aktuellen Gewinnspiel-Mails: Sie schreien nicht mehr „GEWINNEN SIE JETZT!!!“, sie tun höflich und exklusiv.

Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Das wirkt personalisiert und ist in Wahrheit nur ein Serienbrief: Die Software nimmt, was vor dem @ steht, und schreibt „Hallo …,“ davor. Ein echter Kundenservice hätte einen Namen. Oder wenigstens „Sehr geehrte Damen und Herren“. Nicht den Lokalteil Deines Postfachs.

Was sie Dir erzählen

Du seist ausgewählt. Es gebe eine kurze Kundenumfrage, inklusive Gewinnspiel. Das dauere nur drei Minuten. Am Ende winke ein 100-Euro-Gutschein der Deutschen Bahn, flexibel für die nächste Reise. Jetzt sei der Moment. Kostenlos, keine Kaufverpflichtung, angeblich bis Ende September. Und zur Beruhigung: schon über 2000 zufriedene Teilnehmer.

Das ist die komplette Standardpackung für ein Fake-Gewinnspiel. Bekannte Marke. Kleiner Aufwand. Großer Preis. Künstliche Frist. Sozialer Beweis, den niemand prüfen kann. Wer das liest und kurz „warum nicht“ denkt, hat genau so reagiert, wie die Absender es wollen.

Ein echtes Gewinnspiel in Deutschland hat einen Veranstalter, Teilnahmebedingungen, ein Impressum und eine nachvollziehbare Ziehung. Hier steht nichts davon. Nur der Köder.

Warum das nichts mit der Bahn zu tun hat

Der Absendername sagt „Kundenservice Bahn“. Die Absenderadresse klebt an deutschebahn.com einen Buchstaben-Zahl-Salat. So sieht keine Bahn-Adresse aus. SPF geht schief, DKIM fehlt, der Return-Path hängt an freediving.academy. Eine Tauch-Domain. Keine Deutsche Bahn.

Der Button, das Bild und sogar der Abmeldelink führen über Umwege nach sugar-b.com. Die Grafiken liegen bei sendsfx.com. Zusätzlich sitzt ein unsichtbares Pixel auf derselben Fremdseite. Wer klickt, sagt den Absendern vor allem eines: Diese Adresse ist aktiv, die Person ist neugierig, nächste Welle bitte.

Outlook hat die Mail als Junk einsortiert. Zu Recht.

Was nach dem Klick passiert

Bei solchen Fake-Gewinnspielen kommt nach dem Button oft erst eine harmlos wirkende Umfrage. Ein paar Fragen zu Reisen, zu Zügen, zu „Wie zufrieden sind Sie?“. Dann die eigentliche Falle: Kontaktdaten, ein Abo, Kartendaten für die „Zusendung“ des Gutscheins, oder eine Seite, die nicht die Bahn ist und es auch nicht werden will.

Der Gutschein ist nicht das Produkt. Der Gutschein ist der Grund, warum Du überhaupt klickst.

Was Du tun solltest

Nichts. Nicht teilnehmen. Nicht auf den Button. Nicht auf das Bild. Nicht auf Abmelden – auch der Abmeldelink ist hier Teil der Masche und bestätigt oft nur, dass das Postfach lebt.

Wenn Du wirklich wissen willst, ob die Bahn irgendetwas von Dir will: bahn.de oder die App selbst öffnen. Nie über einen Link aus so einer Mail.

Kurz: hübsche Einladung, erfundenes Gewinnspiel, fremde Domain. Löschen und die 100 Euro nicht vermissen. Die gab es nie.

Der Mailtext (ohne Links)

Absender: Kundenservice Bahn (Adresse: zusammengeklebte Attrappe auf Basis von deutschebahn.com)
Betreff: Du hast es verpasst? 100€ für dich – nur 3 Min.
Datum: 28. August 2026

🚂 100 € Gutschein

Hallo …

✨ exklusive Einladung

Sie wurden ausgewählt, an unserer kurzen Kundenumfrage teilzunehmen – inklusive Gewinnspiel.

🎟️ 100 € Bahngutschein (DB)

Die Umfrage dauert nur 3 Minuten – und am Ende winkt Ihnen ein 100 € Gutschein der Deutschen Bahn, flexibel für Ihre nächste Reise.

🚄 Jetzt ist der Moment!

» Jetzt teilnehmen «

🔹 kostenlos · keine Kaufverpflichtung · bis 30.09.2026

✅ schon 2.000+ zufriedene Teilnehmer

Sie erhalten diese Einladung, weil Sie sich für attraktive Angebote interessieren.
Abmeldung: hier klicken

here to remove yourself from our emails list

Eine Follow-up-Mail, die so tut, als hätte man bereits eine seriöse Geschäftskorrespondenz. Hat man nicht. Absendername: „benjamin oliver“. Absenderadresse: thijs.mensink@kemari.digital. Betreff: „Following Up on My Previous Message“.

Das ist die höfliche Variante der alten Advance-Fee-Masche: erst eine vage „Geschäftsgelegenheit“, dann die Nachfrage, ob man die erste Mail denn auch wirklich gelesen habe. Ziel ist nicht der Klick auf einen Button, sondern eine Antwort. Sobald man schreibt, kommt der nächste Schritt: Konto, treuhänderische Abwicklung, irgendein Fonds, der angeblich nur noch eine kleine Gebühr braucht.

Was die Mail behauptet

Die Nachricht vom 25. August 2026 geht an streetart@severint.net und klingt absichtlich nach Smalltalk unter Geschäftsleuten:

• Absender heiße Benjamin Oliver und sei „Financial Advisor Manager“ bei einer Credit Union.
• Er frage nach, ob die vorherige Mail angekommen und gelesen worden sei.
• Falls nicht, schicke er sie gerne noch einmal.
• Es gehe um einen „business proposal“, der für beide Seiten vorteilhaft sein könne.
• Man möge sich bitte melden, wenn es passe.

Kein Link, kein Anhang, keine Zahlungsaufforderung. Genau das macht die Mail auf den ersten Blick harmlos.

Warum das trotzdem Fake ist

Mehrere Punkte reichen:

1. Name und Adresse passen nicht zusammen. Display-Name Benjamin Oliver, Mailkonto thijs.mensink@kemari.digital. Dazu Reply-To benjaminoliver.a@outlook.com. Wer antwortet, landet nicht bei einer Credit Union, sondern bei einer privaten Outlook-Adresse.
2. Kein Institut, keine Details. „a credit union bank“ ohne Namen, ohne Land, ohne Mandat. Ein echter Vermögensberater schreibt so nicht.
3. Die Anrede. „Dear Friend“ ist der Klassiker. Niemand, der ein reales Mandat hat, redet einen unbekannten Empfänger so an.
4. Der Inhalt ist Absicht. Es gibt nichts zu klicken, also fühlt sich die Mail sicherer an als ein ChatGPT-Phishing mit Zahlungsbutton. Der Köder ist die Antwort.
5. Outlook hat sie als Junk erkannt (SCL 6). Der Weg über Google-Relay und eine Domain wie kemari.digital ändert daran nichts.

Was man tun sollte

Nicht antworten. Nicht „zur Sicherheit“ nachfragen, ob da wirklich etwas an einem vorbeigegangen ist. Genau das will die Mail.

Wer so etwas bekommt: löschen. Eine echte Bank oder Credit Union hat weder eine Outlook-Antwortadresse noch einen Drittanbieter-Absender für Vermögensberatung.

Kurz: höflich, vage, Betrug. Keine Antwort, kein Weiterleiten, weg damit.

Der Mailtext (ohne Links)

Absender: benjamin oliver <thijs.mensink@kemari.digital>
Betreff: Following Up on My Previous Message
Datum: 25. August 2026

Dear Friend,

My name is Benjamin Oliver, and I work as a Financial Advisor Manager at a credit union bank. I am writing to follow up on my previous email and to ask whether you had the opportunity to receive and review it.

If you did not receive my earlier message, please let me know, and I would be happy to resend it for your consideration. The matter concerns a business proposal that I believe may be mutually beneficial and worth discussing.

I would appreciate hearing from you when convenient. Thank you for your time and consideration, and I look forward to your response.

Regards,
Benjamin Oliver

Wieder einmal eine Mail, die auf den ersten Blick wie ein offizieller Hinweis von ChatGPT bzw. OpenAI aussieht und genau deshalb gefährlich ist. Betreff: „Aktion erforderlich: Zahlungsmethode aktualisieren, um Ihre ChatGPT Plus-Mitgliedschaft zu reaktivieren“. Absendername: „Support-ChatGPT“. Inhalt: dunkles Design, großes Logo, Dringlichkeit, ein dicker Button.

Nur: Die Absenderadresse lautet support@hennatuurlijk.nl. Das ist weder openai.com noch chatgpt.com, sondern eine völlig andere Domain. Wer hier klickt, aktualisiert keine Zahlungsmethode bei ChatGPT – er landet bei den Absendern dieser Masche.

Was die Mail behauptet

Die Nachricht vom 24. August 2026 kommt im typischen „Abonnement pausiert“-Look daher. Sinngemäß heißt es:

• Das ChatGPT-Plus-Abo sei vorübergehend pausiert.
• Die letzte Rechnung habe nicht eingezogen werden können (unzureichende Deckung oder abgelehnte Zahlung, z. B. abgelaufene Karte).
• Der Plus-Zugang sei deshalb eingeschränkt, Daten und Verlauf bleiben aber erhalten.
• Man müsse nur die Zahlungsmethode aktualisieren, dann werde das Abo automatisch reaktiviert.
• Bei Fragen solle man sich an support@chatgpt.com wenden.
• Unten steht sogar „© 2026 OpenAI … San Francisco, CA“.

Das wirkt bewusst sauber und ruhig. Kein grober Rechtschreibchaos-Spam, sondern eine Nachahmung der Optik, die viele von echten Produktmails kennen.

Warum das trotzdem Fake ist

Mehrere Punkte reichen völlig:

1. Falsche Absenderdomain. hennatuurlijk.nl hat mit OpenAI nichts zu tun. Authentifizierungsprüfungen (SPF/DKIM/DMARC) können hier sogar „pass“ anzeigen – sie bestätigen nur, dass die Mail wirklich von dieser Domain kommt, nicht dass sie von ChatGPT kommt.
2. Der eigentliche Link. Der große Button „Zahlungsmethode aktualisieren“ führt nicht zu chatgpt.com, sondern über einen Redirect zu einer fremden Kurz-URL. Genau dort soll man vermutlich Kartendaten oder Login-Daten hinterlassen.
3. Das Design ist Absicht. Dunkler Hintergrund, Logo, serifenlose Schrift, ruhige Typografie: Die Mail soll Vertrauen erzeugen, nicht Panik. Das ist bei aktuellen Phishing-Wellen oft wirksamer als schreiende „ACHTUNG KONTO GESPERRT“-Texte.
4. Outlook hat sie als Junk erkannt (Spam-Confidence hoch). Trotzdem landet so etwas manchmal im Posteingang oder wird weitergeleitet – deshalb lohnt der Blick auf Absender und Linkziel immer.

Was man tun sollte

Nichts anklicken. Nicht auf den Button. Nicht „zur Sicherheit“ die Karte irgendwo neu hinterlegen, weil eine Mail das verlangt.

Wer ein echtes ChatGPT-Plus-Abo hat und unsicher ist, öffnet die offizielle Website oder die App selbst (nicht über den Mail-Link) und prüft dort unter Konto bzw. Abrechnung. Offizielle Zahlungsprobleme werden nicht über eine Domain wie hennatuurlijk.nl abgewickelt.

Kurz: hübsch gemacht, inhaltlich Betrug. Löschen und weitermachen.

Der Mailtext (ohne Links)

Absender: Support-ChatGPT <support@hennatuurlijk.nl>
Betreff: Aktion erforderlich: Zahlungsmethode aktualisieren, um Ihre ChatGPT Plus-Mitgliedschaft zu reaktivieren
Datum: 24. August 2026

Abonnement pausiert

Ihr ChatGPT Plus Abonnement
wurde vorübergehend pausiert

Lieber Kunde,

leider konnten wir die letzte Rechnung für Ihr ChatGPT Plus Abonnement nicht einziehen. Als Grund wurden entweder unzureichende Deckung oder eine abgelehnte Zahlung (z. B. abgelaufene Kreditkarte) gemeldet.

Aus diesem Grund ist Ihr Zugang zu ChatGPT Plus derzeit eingeschränkt. Ihre Daten und Ihr Verlauf bleiben selbstverständlich erhalten – Sie müssen lediglich Ihre Zahlungsmethode aktualisieren, um Ihr Abonnement zu reaktivieren.

Zahlungsmethode aktualisieren

Nach erfolgreicher Aktualisierung wird Ihr Abonnement automatisch reaktiviert.

Sollten Sie Fragen haben, wenden Sie sich an unseren Support unter support@chatgpt.com

Diese E-Mail wurde automatisch an die mit Ihrem Konto verknüpfte Adresse gesendet.
Bitte antworten Sie nicht auf diese E-Mail.

© 2026 OpenAI. Alle Rechte vorbehalten. · ChatGPT Plus · San Francisco, CA

Sie erhalten diese E-Mail, weil Sie ein ChatGPT Plus Abonnement besitzen. Abmelden oder E-Mail-Einstellungen verwalten: E-Mail-Einstellungen