HR Department Manager, contact@spilworld.com, Betreff: Action Required: Payroll Account Update. Eine graue Karte, Hello, Gehaltsabrechnung im Anhang, in 24 Stunden kommt Geld. Outlook hat SCL 6 vergeben und Junk draus gemacht. SPF pass, DKIM pass, DMARC pass. Die Stempel stimmen. Der Inhalt nicht.
Es gibt kein Payroll-Konto bei spilworld.com, das Du updaten musst. Es gibt keine Abrechnung, die Du bestätigen musst. Es gibt keine Support-Adresse in einem Anhang, der zu einer Firma gehört, für die Du arbeitest. Das ist die klassische Lohn-Masche: Du hast angeblich selbst eine Änderung beantragt, das Geld ist schon unterwegs, bitte den Paystub öffnen. Wer öffnet, spielt das nächste Level.
Das ist keine Gehaltsabrechnung, keine HR, kein Update
Vorweg klar: Du hast kein Payroll-Konto bei dieser Domain beantragt. Niemand schreibt Dir von HR Department Manager, wenn Du dort nicht angestellt bist. Die Mail tut so, als wärst Du mittendrin in einem Vorgang, den Du selbst angestoßen hast. We received your request. Account details is being updated. Funds within 24 hours. Drei Behauptungen, null Kontext. Kein Firmenname außer der Signatur. Keine Personalnummer. Kein Monat. Kein Betrag im Text. Nur: Anhang ansehen, und wenn Du das nicht wolltest, die Adresse im Anhang anschreiben. Der Anhang ist die Falle. Die 24 Stunden sind die Eile.
Action Required im Betreff ist die übliche Dringlichkeit. Payroll Account Update klingt nach Direct Deposit, nach neuer IBAN, nach „sonst kommt das Gehalt nicht“. Wer Angst ums Geld hat, öffnet PDFs. Genau darauf ist das gebaut.
Was die Karte Dir erzählt
Grauer Hintergrund, weiße Karte, Helvetica, Abstand wie ein SaaS-Newsletter. Hello, nicht Dein Name. Dann gebrochenes Englisch: Your account details is being updated. Singular, is, obwohl details Plural ist. Please review the paystub enclosed and to confirm your new details are correct. Ein and zu viel, als hätte jemand zwei Satzbausteine zusammengeschoben.
If you did not request this change, please contact the support email listed in the paystub immediately. Also: entweder den Anhang öffnen, oder den Anhang öffnen, um eine Adresse zu finden. Beide Wege gehen durch die Datei. Best regards, fett: HR Department Manager. Kein Vorname. Keine Abteilung einer konkreten Firma. Eine Rolle.
Unten klein, zentriert, grau: eine Copyright-Zeile mit der Domain des Postfachs, nicht mit spilworld.com. Als wäre die HR-Abteilung intern bei Deinem E-Mail-Anbieter. Generator-Müll. Wer wirklich Copyright setzt, setzt den eigenen Namen, nicht die Domain des Empfängers.
Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Hier nicht mal das. Hier ist Hello. Die Empfängerzeile ist die E-Mail Adresse. Personalisierung: die Adresse, an die gesendet wurde, plus Copyright derselben Domain. Kein Mensch, der Dich kennt.
Die Absender sehen „echt“ aus, und der Anhang ist trotzdem Gift
From und Sender: HR Department Manager, contact@spilworld.com. Return-Path dieselbe Adresse. Message-ID auf spilworld.com. Der Server heißt mail.spilworld.com, IP 5.255.111.96. SPF pass. DKIM pass, Signatur für spilworld.com. DMARC pass. CompAuth pass, reason 100. Microsoft sagt: die Domain darf das. Outlook sagt trotzdem Junk, Zielordner J, SCL 6. ATP-Flags SA und SL, also Spam und etwas, das nach Spoof oder verdächtigem Link/Anhang riecht.
Die Website hinter spilworld.com antwortet mit Serverfehler. Kein Impressum, das man schnell findet, keine Karriereseite, die zu HR Department Manager passt. Ähnliche Namen gibt es (Spil, Spilo, SPI World), keiner davon schickt Dir Deine Gehaltsabrechnung über contact@ an ein privates Postfach.
Genau diese Kombination ist der Punkt. Viele Leute prüfen das Häkchen. Häkchen ist da. DKIM ist da. Der Absender ist keine Zufallszeichenkette. Deshalb landet die Datei im Anhang, und die Datei ist der eigentliche Job. Outlook hat hasAttachments wahr. Die Mail spricht von paystub enclosed. Gehaltsabrechnungen als Köder sind oft HTML, ISO, ZIP, oder ein PDF mit Link. Nicht öffnen, nicht in der Vorschau, nicht „nur mal gucken ob eine IBAN drinsteht“.
Was nach dem Paystub passieren soll
Payroll-Phishing will Kontodaten oder einen Login. Variante eins: der Anhang ist ein Formular, neue Bankverbindung bestätigen. Variante zwei: ein Link auf eine gefälschte HR-Seite, Microsoft- oder Okta-Login. Variante drei: Schadcode, der das erledigt, ohne dass Du ein Formular siehst. Die Mail deckt alle drei ab, ohne sich festzulegen. Support email listed in the paystub: extra Kontakt, extra Domain, extra Gespräch, sobald Du antwortest.
Funds will be credited within 24 hours ist die Belohnung und die Drohung in einem Satz. Entweder Du bestätigst, dann „kommt das Geld“, oder Du widersprichst, dann musst Du sofort die Adresse im Anhang anschreiben. Beides endet bei denen.
Du arbeitest nicht für spilworld.com. Eine HR-Abteilung schreibt nicht Hello und is being updated. Eine echte Abrechnung kommt aus dem System Deines Arbeitgebers, nicht von contact@ einer Domain, deren Website 500 liefert.
Was Du tun solltest
Nichts klicken. Den Anhang nicht öffnen. Nicht die Support-Adresse aus dem Paystub anschreiben. Nicht „nur prüfen, ob das Gehalt umgeleitet wird“. Es wird keins umgeleitet, weil keins unterwegs ist.
Wenn Dein Arbeitgeber wirklich Stammdaten ändert: das Portal, das Du selbst eintippst, die Nummer der Personalabteilung, die Du schon hast. Nicht diese Karte. Nicht diese Datei.
Kurz: HR ohne Firma, Paystub im Anhang, 24 Stunden, Copyright mit der Domain des Postfachs, Auth-Stempel grün, Inhalt Müll. Löschen. Es gab kein Update.
Der Mailtext (ohne Links)
Absender: HR Department Manager (contact@spilworld.com)
An: die E-Mail Adresse
Betreff: Action Required: Payroll Account Update
Datum: 1. September 2026
Anhang: Paystub (nicht öffnen)
Hello,
We received your request to update your payroll account. Your account details is being updated, and your funds will be credited within 24 hours.
Please review the paystub enclosed and to confirm your new details are correct.
If you did not request this change, please contact the support email listed in the paystub immediately.
Best regards,
HR Department Manager© (die Domain des Postfachs)