Tag: 2. September 2026

Display-Name: UPS. Punkt hinten, als wäre das ein Ordner. Absender eine lange Zufallsdomain. Sender-Feld: die E-Mail-Adresse als Name, plus eine zweite Zufallsdomain. Return-Path: noreply@dhlecommerce.nl. Outlook schreibt dazu gern „im Auftrag von“.

Drei Marken in einer Zeile, keine davon hat die Mail geschickt. Betreff: FWD: Barcode 85932449314. Wichtigkeit hoch. Inhalt: Zollkosten. Das ist Paket-Phishing. Es gibt kein Paket, es gibt keinen Zoll, und UPS leitet Dir nichts über eine Freediving-Academy weiter.

Outlook hat SCL 6 vergeben und Junk draus gemacht. SPF scheitert für dhlecommerce.nl. DKIM fehlt. DMARC fehlt. CompAuth: fail. Trotzdem sieht die Karte aus wie eine Zustellbenachrichtigung, komplett mit Postbotenbild und CO2-Danke.

Das ist kein Zoll, kein Paket, keine Weiterleitung

Vorweg klar: Niemand hält ein Päckchen für Dich fest. Es fallen keine Gebühren an. Es gibt kein FWD von einer echten Sendung. Die Mail will, dass Du auf „Paket verfolgen“ gehst und dort zahlst, Adresse bestätigst, Kartendaten angibst. Klassische Zoll-Masche. Der Barcode ist Inventar. Das Datum im Text steht wörtlich als [date]. Platzhalter. Wer eine echte Frist setzt, schreibt ein Datum, keine eckige Klammer.

Was die Karte Dir erzählt

Oben ein grüner Balken, der so tun will wie Outlook: Diese Nachricht wurde von einem vertrauenswürdigen Absender gesendet. Hat sie nicht. Der Balken ist HTML, Farbe #56a659, Text in Segoe. Nachgebautes Vertrauen.

Dann groß: Zollkosten. Daneben ein Postboten-Bild von communicationhubcontent.bpost.be. Belgische Post. Nicht UPS. Nicht DHL. Die Grafiken für Nachhaltigkeit und Häkchen kommen von derselben bpost-Quelle. Jemand hat ein Template geklaut, das mal für bpost gebaut wurde, UPS drübergeschrieben, DHL in den Umschlag gesteckt.

Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Genau so. Duzen und Siezen in einem Absatz: Hallo, dann „für Ihr Paket fallen Zollgebühren an“, bitte zahlen bis [date], sonst geht das Paket zurück.

Eine Karte mit rotem Unterstrich. Barcode 85932449314. Lieferadresse: Die Adresse muss bestätigt werden. Voraussichtliche Lieferzeit: 09:22 – 12:00. Viertel nach neun als Start, nicht 9:00, nicht 9:30. Klingt nach Generator. Grünes DANKE SCHÖN, indem wir an einem sicheren Ort liefern, sparen wir 10 % CO2. Roter Button: Paket verfolgen.

Darunter: Bist du nicht da? Wieder Duzen. Sicherer Ort Deiner Wahl. Noch nachhaltiger, 30 % CO2, Abholpunkt. Lieferpräferenzen anpassen, wieder rot. Frage zu Ihrem Paket, dann eine FAQ-Überschrift ohne Antwort: Können Sie garantieren, dass mein Paket innerhalb des erwarteten Zeitraums zugestellt wird?

Die ganze HTML-Seite ist in einen einzigen Link gewickelt. Karte, Button, Footer, Postbote: alles eine Klickfläche. Ziel: 4kmedia-market.com, langer Pfad. Klingt nach Fernsehern, nicht nach Zoll. Unten ein unsichtbares Pixel auf derselben Domain.

Das soll nach Versanddienst klingen. Es ist ein Formularfang mit Nachhaltigkeit als Dekor.

Die Absender sind ein kleines Orchester

Vorne UPS mit Punkt. Sender-Name ist die Adresse, nicht ein Mensch. Envelope: dhlecommerce.nl, das Outlook als „über“ anzeigt. Der Server, der wirklich geliefert hat: wqxp.freediving.academy. Message-ID: randomid2@ dieselbe Academy. Reply-To: in2.getdrip.com, ein Newsletter-Werkzeug. Precedence: bulk. X-Complaints-To: abuse auf der Freediving-Domain.

SPF für dhlecommerce.nl ist fail. Die Domain darf diesen Server nicht. Trotzdem steht sie im Return-Path, weil der Name DHL in der Übersicht zieht. UPS steht im From, weil UPS in der Übersicht zieht. Die Bilder sind bpost, weil das Template bpost war. Drei Firmen, ein Klick, null Zustellung.

Was nach dem Klick passieren soll

Paket-Phishing dieser Art will selten nur „wo ist mein Karton“. Es will Geld. Zoll, Nachnahme, kleine Summe, Karte, manchmal ein Login bei einem Shop, den Du nie bestellt hast. Die Drohung ist Rücksendung. Die Eile ist das Zeitfenster 09:22 bis 12:00, das schon vorbei sein kann, wenn Du die Mail morgens liest. Die Adresse muss bestätigt werden: also Formular. Lieferpräferenzen: nochmal Formular.

Wer versehentlich irgendwo in die Karte tippt, ist schon auf 4kmedia-market.com. Der vertrauenswürdige-Absender-Balken war die erste Lüge. Der Rest ist nachgeladen.

Was Du tun solltest

Nichts klicken. Nicht verfolgen. Nicht Präferenzen. Nicht den Postboten.

Wenn wirklich Zoll oder UPS oder DHL etwas von Dir wollen: die App oder die Website, die Du selbst eintippst. Sendungsnummer aus dem Shop, nicht aus dieser Mail. Ein FWD mit Platzhalter [date] und drei Marken ist keine Sendung.

Kurz: UPS-Name, DHL-Umschlag, bpost-Bilder, Zoll ohne Datum, Kurz-Domain für Fernseher. Löschen. Es lag kein Paket bereit, und der Barcode gehört zu nichts.

Der Mailtext (ohne Links)

Absender: UPS. (Zufallsdomain; Sender die E-Mail-Adresse; Return-Path dhlecommerce.nl)
Betreff: FWD: Barcode 85932449314
Datum: 1. September 2026

Diese Nachricht wurde von einem vertrauenswürdigen Absender gesendet.

Zollkosten

Hallo (die E-Mail Adresse),
für Ihr Paket fallen Zollgebühren an. Bitte begleichen Sie diese bis zum [date]. Sollte die Zahlung nicht eingehen, wird Ihr Paket an den Absender zurückgeschickt.

Barcode 85932449314
Lieferadresse
Die Adresse muss bestätigt werden.
Voraussichtliche Lieferzeit
09:22 – 12:00

DANKE SCHÖN!
Indem wir Ihr Paket an einem sicheren Ort liefern lassen, sparen wir gemeinsam etwa 10 % CO2.

Paket verfolgen

Bist du nicht da?
Falls Sie zum Lieferzeitpunkt nicht anwesend sind, liefern wir Ihr Paket an einen sicheren Ort Ihrer Wahl. Klicken Sie auf den untenstehenden Link, um Ihre Einstellungen zu ändern.

Noch nachhaltiger?
Lassen Sie sich Ihr nächstes Paket direkt an Ihren bevorzugten Abholpunkt liefern und reduzieren Sie so die CO2-Emissionen um 30 %!

Lieferpräferenzen anpassen

Haben Sie eine Frage zu Ihrem Paket?
Können Sie garantieren, dass mein Paket innerhalb des erwarteten Zeitraums zugestellt wird?

Mitternacht, Junk, Display-Name VolksBank eG. Absender: support@yoo.ses-support.de. Betreff: SecureGo TAN-App – Dienst zu aktivieren, dann ein N° und eine lange Nummer.

Das soll nach Bank klingen. Nach Vorgang, nach Pflicht, nach App, die Du schon hast. Es ist Phishing. Niemand bei einer Volksbank hat Dir um 2:39 Uhr geschrieben, dass Dein TAN-Dienst stirbt, wenn Du nicht bis zum heutigen Kalendertag ein „Web-Sicherheitssystem“ aktivierst.

Outlook hat SCL 6 vergeben. SPF: none. DKIM: none. DMARC: none. Die Domain darf nicht einmal sauber belegen, dass sie sich selbst sein darf. Trotzdem steht oben groß Volksbank eG in Blau.

Das ist keine App-Aktualisierung

Vorweg klar: Das ist kein Update. Kein SecureGo-plus-Rollout. Keine Registrierung, die Du vergessen hast. Die Mail will, dass Du auf „Jetzt aktivieren“ gehst, auf einer fremden Kurz-URL, und dort Zugangsdaten, TAN oder Freigabe abgibst. Oder dass Du eine Seite öffnest, die nach Online-Banking aussieht und es nicht ist.

Banken sperren Dir den TAN-Dienst nicht per Mitternachtsmail mit orangem Ausrufezeichen. Und sie schicken Dich nicht auf scan.page.

Was die Mail behauptet

Oben steht Volksbank eG, Arial, fett, in einem Blau, das ungefähr zur Marke passt. Dann eine Linie, dann orange: Aktivieren sie das neue update ! Kleines s, englisches update, Ausrufezeichen. Schon der erste Satz klingt nach Übersetzer und Frist-Panik, nicht nach Vorstandsstab.

Sehr geehrte(r) Kunde. Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier ist es noch dünner: nur Kunde, in Klammern sogar das (r), falls Du Frau oder Mann bist. Keine Filiale, keine Mitgliedsnummer, kein VR-NetKey.

Du müsstest das neue Web-Sicherheitssystem aktivieren. Die Registrierung habest Du bislang nicht vorgenommen. Frist: 02.09.2026, blau unterlegt. Die Mail ist in der Nacht zu genau diesem Tag angekommen. Also heute, sofort, oder es ist vorbei.

Wenn Du Dich nicht registrierst, werde gesperrt: SecureGo-TAN-SMS-Dienst. Ein Satz später sollst Du die neue SecureGo-Plus aktivieren. Zwei Produktnamen, durcheinandergeworfen. SMS-TAN und SecureGo plus sind nicht dasselbe. Wer beides in einen Absatz kippt, hat eine Liste mit Bank-Vokabeln, kein Wissen über Dein Konto.

Link: Jetzt aktivieren. Ziel: scan.page, kurzer Pfad. Kein volksbank.de, kein banking-url Deiner eigenen Bank, kein Play Store, kein App Store. Ein Kurzlinker. Darunter Mit freundlichen Grüßen, Monika Wexler, und in Grau nochmal Volksbank. Keine Telefonnummer, keine Filiale, keine Fußzeile mit Impressum.

Technisch ist die HTML-Datei ein Durcheinander. Dieselben Blöcke sitzen ineinander, moz-text-html, wieder und wieder, als hätte jemand eine alte Mail durch zehn Weiterleitungen gejagt. Am Ende klebt noch ein kaputtes „div>“. Unten ein unsichtbares 1-Pixel-Bild über SendGrid, das merkt, ob die Nachricht geöffnet wurde.

Das ist keine Kundenkommunikation. Das ist ein Baukasten.

Warum das nichts mit einer Volksbank zu tun hat

Eine Volksbank schreibt nicht von yoo.ses-support.de. Sie schreibt nicht ohne DKIM. Sie schreibt nicht „Aktivieren sie das neue update“. Sie hängt keine Ticketnummer mit französischem N° in den Betreff und nennt das Vorgang.

Die Mail kam über blackforestcloud.de, Postfix, anonyme Annahme. CompAuth geht „pass“, Grund 105: Es gibt keine DMARC-Politik, die scheitern könnte. Das ist kein Vertrauensbeweis. Das ist Abwesenheit von Regeln.

SecureGo plus ist eine echte App der genossenschaftlichen Banken. Genau deshalb steht sie in der Mail. Die Absender klauen den Namen, weil Du ihn kennst. Die echte App aktualisierst Du über den Store oder über den Hinweis in Deinem echten Online-Banking, das Du selbst öffnest. Nicht über scan.page, nicht über eine Orange-Überschrift um halb drei.

Monika Wexler klingt nach Person. Die Nummer 185-54004231764 klingt nach Vorgang. Beides ist Inventar. Die Nummer taucht im Text nicht wieder auf. Ein echter Vorgang würde sie wiederholen.

Was nach dem Klick passieren soll

Der Button führt auf eine Kurz-URL. Dahinter liegt typischerweise eine Seite, die nach Login aussieht: VR-NetKey, PIN, dann TAN. Manchmal eine PDF, die ein „Sicherheitssystem“ installieren will. Manchmal nur Tracking, und die echte Falle kommt in Mail zwei.

Die Drohung ist der Motor. SMS-TAN gesperrt, Registrierung überfällig, Frist heute. Wer Banking braucht, klickt. Genau das soll passieren. Danach gehören Konto und Freigaben nicht mehr Dir.

Was Du tun solltest

Nichts klicken. Nicht aktivieren. Nicht die Nummer googeln über den Link in der Mail.

Wenn Du wirklich unsicher bist, ob Deine Bank etwas von SecureGo plus will: App oder Website Deiner eigenen Volksbank selbst öffnen, nicht über diese Mail. In der echten App siehst Du, ob ein Update ansteht. Tut es nicht, war die Mail Lärm.

Und wenn Du geklickt oder Daten eingegeben hast: Bank sperren lassen, über die Nummer auf der Karte oder der App, nicht über die Mail.

Kurz: Volksbank-Lack, Support-Domain ohne Signatur, Kurzlink, Frist heute. Löschen. Es wurde kein Dienst gesperrt, und Monika Wexler sitzt in keiner Filiale.

Der Mailtext (ohne Links)

Absender: VolksBank eG (support@yoo.ses-support.de)
Betreff: SecureGo TAN-App – Dienst zu aktivieren N°: 185-54004231764
Datum: 2. September 2026

Volksbank eG

Aktivieren sie das neue update !

Sehr geehrte(r) Kunde,

Sie müssen das neue Web-Sicherheitssystem aktivieren.

Sie haben Ihre Registrierung bislang nicht vorgenommen.

Diese Aktualisierung ist bis zum 02.09.2026 durchzuführen.

Wenn Sie sich nicht registrieren, werden die folgenden Optionen gesperrt:

– SecureGo-TAN-SMS-Dienst

Befolgen Sie diese Schritte, um die neue SecureGo-Plus zu aktivieren.

Jetzt aktivieren

Mit freundlichen Grüßen,

Monika Wexler

Volksbank

Die 0TT0-Mail von heute Nacht tut nicht nur Otto. Sie tut Verlauf.

Mitten im Text steht der Satz, man habe bemerkt, dass Du Dein Geschenk noch nicht beansprucht hast, sogar nach drei Benachrichtigungen. Deshalb ein letztes Mal. Seltener Preis, nur einmal im Jahr, 12 Stunden Frist. Wer das liest, denkt: Aha, die ersten zwei habe ich wohl übersehen. Junk, Vorschau, anderes Gerät. Irgendwo müssen die liegen.

Liegen sie nicht.

Im Postfach, im Junk, im Papierkorb: eine Mail. 2. September, kurz vor fünf, Absender t.bswu@epopuga.com, Display-Name mit Nachname und Zeitstempel. Keine zweite. Keine dritte. Die „drei Benachrichtigungen“ sind Teil des Templates, nicht Teil Deiner Inbox.

Warum der Satz so gut funktioniert

Eine Verlosung aus dem Nichts klingt nach Betrug. Eine Verlosung, an die man Dich schon zweimal erinnert hat, klingt nach unerledigter Post. Du bist nicht mehr der, dem man etwas andreht. Du bist der, der zu spät dran ist.

Deshalb die Gewinnerliste mit zwei Initialen, die schon abgeholt haben, und Deinem Namen in Rot: NICHT BEANSPRUCHT. Deshalb „letztes Mal“. Deshalb 12 Stunden. Alles sagt: Der Zug fährt, Du sitzt noch am Bahnsteig.

Dass vorher nie ein Zug da war, merkt man nur, wenn man nachschaut. Die Mail rechnet damit, dass Du das nicht tust. Drei klingt nach Geduld. Eine klingt nach Spam.

Was Du tun solltest

Nichts nachklicken, um die fehlenden Mails zu finden. Es gibt sie nicht. Die eine 0TT0-Karte reicht als Beleg: Fake-Verlosung, fremde Domain, erfundener Verlauf.

Die längere Version zu genau dieser Mail liegt schon da: Spam: 0TT0 hat dir gerade eine Nachricht geschickt, inklusive Logo-Klau und Ticketnummer aus der Uhrzeit. Hier nur der kleine Nachtrag, weil der Satz mit den drei Benachrichtigungen so überzeugend klingt, dass man ihn für Fakt halten kann.

Kurz: Eine Mail, drei erfundene Erinnerungen. Löschen. Es gab kein erstes Mal und kein zweites.

Der Mailtext (ohne Links)

Absender: tatarczyk/1788316945 (t.bswu@epopuga.com)
Betreff: 0TT0 hat dir gerade eine Nachricht geschickt
Datum: 2. September 2026

Erinnerst du dich daran, bei uns während des Frühjahrsverkaufs eingekauft zu haben, (Vorname)?

Das war ein kluger Schachzug. Warum? Weil deine Ticketnummer 1788316946 in unsere vierteljährliche Tech-Verlosung eingegeben wurde.

Aber wir haben bemerkt, dass du dein Geschenk noch nicht beansprucht hast, sogar nach 3 Benachrichtigungen.

Wir können uns einfach nicht vorstellen, dass du einen seltenen Preis verpasst, den wir nur einmal im Jahr anbieten, deshalb melden wir uns ein letztes Mal.

Diese Gewinner haben ihre Preise bereits beansprucht:
C. Laurent
N. Martin
(Vor- und Nachname) (NICHT BEANSPRUCHT)

Beanspruche deinen (1) hochwertigen Artikel hier

Frist: 12 Stunden

Display-Name: tatarczyk/1788316945. Absender: t.bswu@epopuga.com. Betreff: 0TT0 hat dir gerade eine Nachricht geschickt.

Zwei Nullen statt Buchstaben. Otto-Rot. Ein Logo, das nicht von Otto kommt. Und eine Zahl hinter dem Schrägstrich, die sich anfühlt wie Kundennummer, Ticket, Geheimcode. Ist sie nicht. Es ist im Wesentlichen ein Unix-Zeitstempel. Die Mail ist in der Nacht zum 2. September rausgegangen, und die Zahl im Absender ist genau diese Sekunde. Der „persönliche Code“ im Text ist dieselbe Zahl plus eins. So persönlich ist das.

Outlook hat SCL 6 vergeben und die Nachricht in den Junk gelegt. Trotzdem sieht sie aus wie ein Kundenmail. Genau das ist der Job.

Das ist eine Fake-Verlosung

Vorweg, klar: Du hast nichts gewonnen. Es gibt keinen hochwertigen Artikel, der auf Dich wartet. Es gab keinen Frühjahrsverkauf, in den Deine Ticketnummer gerutscht ist. Niemand bei Otto hat Dich dreimal angeschrieben und wartet jetzt 12 Stunden auf Deinen Klick. Das ist eine erfundene Verlosung, gebaut wie ein Mahnschreiben: Du hast schon gewonnen, Du hast es nur noch nicht abgeholt, die anderen Gewinner waren fleißiger, Frist heute.

Solche Mails verkaufen nicht den Toaster. Sie verkaufen den Klick. Danach kommt, wie die Mail selbst verrät, ein „Lieferformular“. Adresse, Telefon, oft Karte für die Versandkosten, manchmal ein Login, das nach Otto-Konto aussieht. Der Preis ist der Vorwand. Das Formular ist die Falle.

Was die Karte Dir erzählt

Die HTML-Mail kommt als schmale weiße Karte auf grauem Grund. Oben ein roter Balken, darin ein Otto-ähnliches Logo, gehostet bei channelx.world, Dateiname otto-1.png. Nicht otto.de, nicht ein CDN von Otto. Eine fremde WordPress-Seite, die das Bild irgendwann mal abgelegt hat. Wer Marken klaut, klaut auch Dateinamen.

Darunter ein grauer Kasten, der nach Kundenkonto aussieht. Kunde: Vor- und Nachname. Persönlicher Code: 1788316946. Nicht beanspruchte Belohnung: Hochwertiger Artikel. Der Artikelname fehlt. Es ist ein Link, der nach epopuga.com führt. Du sollst klicken, um zu sehen, was Du „gewonnen“ hast. Klassiker.

Dann der weiche Einstieg: Erinnerst Du Dich, beim Frühjahrsverkauf eingekauft zu haben? Duzen, Vorname, ein kluger Schachzug, weil die Ticketnummer in die vierteljährliche Tech-Verlosung gewandert sei. Drei Benachrichtigungen hättest Du schon ignoriert. Ein seltener Preis, nur einmal im Jahr, letztes Mal, dass sie sich melden.

Darunter eine Gewinnerliste. C. Laurent. N. Martin. Und dann Dein Name in Rot, mit dem Stempel NICHT BEANSPRUCHT. So baut man sozialen Druck. Zwei Initialen, die nach echten Menschen klingen, und Du als der eine, der zu blöd war abzuholen.

Roter Button über die volle Breite: Beanspruche deinen (1) hochwertigen Artikel hier. Die Eins in Klammern soll nach Lagerbestand aussehen. Frist: 12 Stunden. Wichtig: Wenn Du gesehen hast, was Du gewonnen hast, kommt das Lieferformular, damit das Geschenk sicher ankommt.

Fußzeile: Mit freundlichen Grüßen, Vorname Schmidt, O𝗧𝗧O Team. Die Ts im Markennamen sind Unicode-Buchstaben, keine normalen T. Der Betreff schreibt 0TT0 mit Nullen. Oben das echte-ish Logo, unten eine Signatur, die Vorname und Schmidt zusammenklebt. Drei Schreibweisen für eine Firma, die das nicht geschrieben hat.

Outlook zeigt außerdem einen Anhang. Nicht öffnen. Auch der gehört zum Look „da ist etwas für Dich“.

Warum das nichts mit Otto zu tun hat

Otto schreibt nicht als t.bswu@epopuga.com. Otto schreibt nicht 0TT0 in den Betreff, um Filter zu täuschen. Otto hängt kein Logo von channelx.world in eine Verlosungsmail. Und Otto erfindet keine Ticketnummer aus der Uhrzeit.

Die Absenderzeile klebt den Nachnamen an denselben Zeitstempel. Das soll nach internem Vorgang aussehen: Name, Aktenzeichen, fertig. In Wahrheit hat jemand eine Liste mit Namen, eine Domain, die SPF, DKIM und DMARC sauber durchbekommt, und ein HTML-Template in Otto-Rot. Die Häkchen sagen: epopuga.com darf über relay.sender.epopuga.com versenden. Sie sagen nicht: Das ist Otto.

Die Zahl im Display-Namen und der Code im Text sind um eins versetzt. Wer eine echte Kundennummer vergibt, rutscht nicht um eine Sekunde daneben. Wer einen Timestamp in zwei Felder kopiert, schon.

Der Link und was danach kommt

Button, Belohnung, alles führt auf epopuga.com, kurzer Pfad, zufällige Zeichen. Kein otto.de, kein otto.market, kein HTTPS, das nach Versandhandel riecht. Die Domain ist der Absender und das Ziel. Das ist bequem für die Absender und ein Alarmsignal für Dich.

Was hinter dem Klick liegt, ändert sich. Mal eine Seite, die nach Gewinnausschnitt aussieht. Mal ein Formular. Mal Weiterleitung. Die Mail nimmt das Ende schon vorweg: Lieferformular. Also Adresse, vielleicht Ausweis, vielleicht „Zoll“ oder „Versandpauschale“. Fake-Verlosung plus Nachnahme-Feeling, nur digital.

Die Gewinnerliste, die 12-Stunden-Frist, die drei vorherigen Benachrichtigungen, die Du nie bekommen hast: alles Druck. Wer kurz denkt „vielleicht war da wirklich was im Frühjahr“, hat genau so reagiert, wie das Template es will.

Was Du tun solltest

Nichts klicken. Nicht den hochwertigen Artikel. Nicht den Button. Den Anhang nicht öffnen.

Wenn Du wirklich wissen willst, ob Otto etwas von Dir will: otto.de oder die App selbst öffnen, Bestellungen und Nachrichten dort. Nicht über epopuga.com. Eine echte Verlosung von Otto kommt nicht als 0TT0 um halb fünf in der Früh, mit Unicode-Ts und einem Zeitstempel als Ticket.

Kurz: Fake-Verlosung im Otto-Look, fremde Domain, erfundener Preis, Lieferformular als nächster Schritt. Löschen. Es wurde kein hochwertiger Artikel für Dich zurückgelegt, und C. Laurent hat auch nichts abgeholt.

Der Mailtext (ohne Links)

Absender: tatarczyk/1788316945 (t.bswu@epopuga.com)
Betreff: 0TT0 hat dir gerade eine Nachricht geschickt
Datum: 2. September 2026

Kunde: (Vor- und Nachname)
Persönlicher Code: 1788316946
Nicht beanspruchte Belohnung: Hochwertiger Artikel

Erinnerst du dich daran, bei uns während des Frühjahrsverkaufs eingekauft zu haben, (Vorname)?

Das war ein kluger Schachzug. Warum? Weil deine Ticketnummer 1788316946 in unsere vierteljährliche Tech-Verlosung eingegeben wurde.

Aber wir haben bemerkt, dass du dein Geschenk noch nicht beansprucht hast, sogar nach 3 Benachrichtigungen.

Wir können uns einfach nicht vorstellen, dass du einen seltenen Preis verpasst, den wir nur einmal im Jahr anbieten, deshalb melden wir uns ein letztes Mal.

Diese Gewinner haben ihre Preise bereits beansprucht:
C. Laurent
N. Martin
(Vor- und Nachname) (NICHT BEANSPRUCHT)

Beanspruche deinen (1) hochwertigen Artikel hier

Frist: 12 Stunden

Wichtig: Nachdem du gesehen hast, was du gewonnen hast, senden wir dir ein Lieferformular, um sicherzustellen, dass dein Geschenk sicher ankommt.

Mit freundlichen Grüßen,
(Vorname) Schmidt
OTTO Team

Sechs Uhr morgens, Postfach, Wichtigkeit „hoch“. Display-Name: Mr.Punter. Absender: notifications@lendix.space. Betreff: Bestätige dein Konto und sicher dir deinen Willkommensbonus von € 1.450 !

Kein Ausrufezeichen zu wenig. Kein Euro zu wenig. Und „bestätigen“ klingt, als hättest Du schon ein Konto, das nur noch einen Klick braucht. Hast Du nicht. Das ist eine kalte Casino-Einladung, die so tut, als wärst Du VIP.

Outlook hat sie diesmal als Junk erkannt. SCL 6. Trotzdem lohnt ein Blick, weil die Mail ziemlich genau zeigt, wie so eine Masche 2026 aussieht: dunkles Neon, große Zahl, persönlicher Vorname, der keiner ist, und ein Link, der nicht zum Casino führt.

Kein Gewinn, kein Konto, kein Punter, der Dich kennt

Das muss vorweg klar sein. Niemand hat Dich ausgewählt. Niemand hat Dein Profil verifiziert. Es gibt keinen Willkommensbonus von 1.450 Euro, der auf Deinem Bankkonto landet, nur weil eine Mail „Premium Einladung“ sagt. Das ist Spam für Glücksspiel, oft der Einstieg in Registrierung, Einzahlung, Datenabgriff oder schlicht Tracking: Wer klickt, dessen Adresse ist warm.

Es gibt im Netz tatsächlich Marken, die „Mr Punter“ heißen, Offshore-Casinos mit Willkommenspaketen. Deren öffentliche Angebote liegen eher bei ein paar Hundert Euro plus Freispielen, nicht bei einer glatten 1.450-Euro-Direktüberweisung ohne Einsatz. Und echte Casinos schreiben nicht als lendix.space mit Reply-To auf digi-flow.fit und einem Tracking-Link auf trust-us.uk. Der Name auf der Karte ist nur Lack.

Was die Karte Dir erzählt

Die HTML-Mail kommt als dunkle Neon-Karte daher. Hintergrund fast schwarz, Kanten türkis, Schrift fett und in Versalien. Oben „MR. PUNTER“, daneben ein Badge „Premium Einladung“. Dann ein Banner von imgur, zweimal hintereinander, als hätte jemand Copy-Paste gemacht und den gleichen Screenshot nochmal eingefügt.

Darunter die Anrede: Bereit zu starten, und dann Dein Name in Türkis. Nur dass es kein Name ist. Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier wird der Lokalteil der Adresse als Vorname benutzt, in der Überschrift, im unsichtbaren Preheader, sogar im technischen Header X-Mailer. Das soll nach persönlichem Zugang klingen. Es ist Serienbrief.

Der Text behauptet, Dein persönliches Zugangsprofil sei erfolgreich verifiziert. Registriere Dich noch heute, sichere Dir 1.450 Euro Spielguthaben, Gewinne gingen direkt und sicher aufs Bankkonto. Zwei Kästen: „€ 1.450 / Maximaler Saldo“ und „Direkt / Banküberweisung“. Button: Registrieren und Bonus sichern. Darunter Schloss-Emoji und der Satz, die Verbindung sei verifiziert, Aktivierung sofort nach der Registrierung.

Unten das übliche Feigenblatt: nur für ausgewählte Empfänger, 18+, Überprüfungsverfahren, Konto erst anlegen, dann Auszahlung. Spiele verantwortungsvoll. Copyright 2026 Mr. Punter Digital Group. Adresse in Valletta, Malta. Abmelden extra. Postfach in Berlin. Alles da, was eine seriöse Glücksspiel-Mail so ungefähr braucht, plus ein paar Tippfehler im Betreff („sicher dir“ statt „sichere Dir“).

Das wirkt teuer. Genau so soll es wirken. Wer morgens halb wach auf Türkis und 1.450 Euro starrt, soll nicht nach der Domain schauen.

Der ganze Brief ist ein Button

Wer irgendwo in die Karte klickt, nicht nur auf den Button, landet auf trust-us.uk, Pfad fwd, danach eine lange ID. Dieselbe Domain steckt hinter Abmelden, hinter den „Kundenpräferenzen“ und hinter einem unsichtbaren 1-Pixel-Bild, das merkt, ob die Mail geöffnet wurde.

Die komplette HTML-Seite ist in einen einzigen Link gewickelt. Karte, Banner, Text, Footer: alles eine große Klickfläche. Das ist kein Versehen. Wer versehentlich tippt, hat schon getrackt. Wer den Abmeldelink nutzt, bestätigt ebenfalls, dass die Adresse lebt.

trust-us.uk klingt nach Vertrauenssiegel. Es ist ein Weiterleitungsserver. Von dort geht es weiter, wohin die Kampagne gerade will: Registrierungsseite, Fake-Login, anderes Casino, irgendetwas mit Formular. In der Mail selbst steht keine echte Casino-URL.

Die Bilder liegen bei imgur. So versendet keine lizenzierte Marke ihr Logo. So versendet jemand, der HTML in einem Baukasten zusammenklickt und die Grafik öffentlich hostet.

Die Absender sind ein kleines Orchester

Vorne steht Mr.Punter. Die From-Adresse ist notifications@lendix.space. Reply-To zeigt auf notifications@champlin.digi-flow.fit. Der Server, der die Mail wirklich abgeliefert hat, heißt champlin.digi-flow.fit. Envelope-From und Return-Path: bounce@clearpathe.net. List-Unsubscribe zeigt auf unsubscribe@maiilvelocity.space, mit zwei i in „maiil“. Message-ID steckt den Lokalteil Deiner Adresse in die Domain lendix.space, als wärst Du dort ein Konto.

SPF, DKIM und DMARC gehen durch. SPF bestätigt clearpathe.net, DKIM und DMARC bestätigen lendix.space. Das heißt: Diese Domains dürfen so versenden. Es heißt nicht, dass Mr. Punter, Malta oder irgendein Casino hinter der Mail steht. Outlook hat sie trotzdem mit SCL 6 in den Junk gelegt. Die Häkchen haben nicht gereicht. Gut so.

Die Mail kam als Importance high, X-Priority 1, extra Flag. Auch das gehört zum Theater: Wichtig, schnell, persönlich. In Wahrheit ist es Massenversand aus einem Affiliate- oder Spam-Setup, das Domain, Absendername und Tracking-IDs durcheinanderwürfelt, damit Filter und Menschen verschiedene Geschichten sehen.

Was nach dem Klick passieren soll

Casino-Spam dieser Art will selten nur „viel Spaß beim Spiel“. Er will, dass Du Dich anmeldest. Danach kommt typischerweise eine Einzahlung, oft klein, oft mit Karte oder Wallet, manchmal mit KYC-Fotos. Der Bonus von 1.450 Euro ist der Köder, nicht die Auszahlung. In den Bedingungen der Mail selbst steht schon, dass erst ein Konto her muss und „Überprüfungsverfahren“ laufen. Das ist die Tür, durch die Daten und Geld rausgehen.

Selbst wenn irgendwo am Ende eine echte Offshore-Seite steht: Du hast sie nicht gesucht. Du hast auf eine Mail reagiert, die Deine Adresse aus einer Liste gezogen hat, Dir einen Vornamen angedichtet hat und Dir verspricht, Gewinne landeten direkt auf der Bank. Das ist die Sprache von Gewinnspiel-Spam, nur mit Neon statt Luftballons.

Und wenn Du unsicher bist, ob jemand wirklich Dein Konto kennt: Es gibt keins. Die Mail sagt „bestätige dein Konto“, obwohl Du keines hast. Das ist der Trick. Bestätigen fühlt sich nach Absichern an. Registrieren ist das Gegenteil.

Was Du tun solltest

Nichts klicken. Nicht den Button. Nicht das Banner. Nicht Abmelden. Nicht die Kundenpräferenzen. Die Mail nicht als gelesen-Pixel füttern, soweit es geht: Vorschau zu, fertig.

Wenn Du wirklich irgendwo bei einem Anbieter namens Mr Punter spielst, gehst Du über die Adresse, die Du selbst im Browser gespeichert hast, nicht über lendix.space und nicht über trust-us.uk. Und Du erwartest keinen nächtlichen Brief mit 1.450 Euro Direktüberweisung.

Kurz: Fake-Casino-Einladung, erfundener Bonus, fremde Tracking-Domain, Absender-Orchester. Löschen. Es wurde kein Konto verifiziert, und die 1.450 Euro lagen nie für Dich bereit.

Der Mailtext (ohne Links)

Absender: Mr.Punter (notifications@lendix.space)
Betreff: Bestätige dein Konto und sicher dir deinen Willkommensbonus von € 1.450 !
Datum: 2. September 2026

MR. PUNTER
PREMIUM EINLADUNG

Bereit zu starten, (die E-Mail Adresse)?

Willkommen an der absoluten Spitze. Ihr persönliches Zugangsprofil wurde erfolgreich verifiziert. Registrieren Sie sich noch heute und sichern Sie sich einen hervorragenden Willkommensbonus von € 1.450. Dieses exklusive Spielguthaben wird sofort aktiviert und etwaige Gewinne können direkt und sicher auf Ihr Bankkonto überwiesen werden.

€ 1.450
MAXIMALER SALDO

DIREKT
BANKÜBERWEISUNG

Registrieren & Bonus sichern

Verifizierte sichere Verbindung. Sofortige Aktivierung nach der Registrierung.

Aktionsbedingungen: Diese Registrierungsaktivierung ist ausschließlich für ausgewählte Empfänger der Plattform bestimmt, die mindestens 18 Jahre alt sind. Der Willkommensbonus von € 1.450 unterliegt den standardmäßigen Überprüfungsverfahren der Plattform und erfordert die erfolgreiche Erstellung eines Kontos, bevor der Auszahlungsprozess gestartet werden kann.

SPIELE VERANTWORTUNGSVOLL. 18+
© 2026 MR. PUNTER DIGITAL GROUP

Mr. Punter Systems Architecture Ltd, Network Operations Hub, Building 4, Valletta, Malta.

Möchten Sie diese Mr. Punter-Benachrichtigungen nicht mehr erhalten?
Abmelden

Ändern Sie Ihre Kommunikationseinstellungen im Kundenpräferenzen-Zentrum.
Mr. Punter Communications Desk, Postfach 2108, 10115 Berlin, Deutschland