Samstagabend, kurz nach sieben, und PayPal hat offenbar beschlossen, mir eine Freude zu machen. Mit gleich vier Emojis im Betreff, zwei Geldsäcken, einer Kreditkarte und einem grünen Haken, verspricht mir die Mail „PayPal Guthaben im Wert von 1000€“. Klingt erst einmal nach einem ziemlich guten Start ins Wochenende. Ein zweiter Blick zeigt allerdings, dass hier nicht PayPal großzügig ist, sondern jemand ziemlich dreist versucht, an Deine Daten zu kommen. Und das Schönste daran: Die Mail verrät sich am Ende sogar selbst. Aber der Reihe nach.
Was die Mail von Dir will
Die Geschichte ist schnell erzählt. „Wir freuen uns, Ihnen mitteilen zu dürfen, dass Sie heute die Chance haben, ein PayPal-Guthaben im Wert von 1000€ zu gewinnen“, heißt es da. Achte auf die Formulierung: Du hast nichts gewonnen, Du hast lediglich „die Chance“. Ein Gewinnspiel, an dem Du nie teilgenommen hast, veranstaltet von einem Zahlungsdienstleister, der solche Verlosungen per Massenmail nicht macht. Danach folgen drei nummerierte „Vorteile“: Das Guthaben lande direkt auf Deinem PayPal-Konto, die „Auszalung“ sei einfach (ja, ohne h), und einlösbar sei das Ganze „in über 500 Shops“. Wer kurz innehält, merkt schon hier, dass etwas nicht passt. PayPal-Guthaben ist Geld auf einem Konto und kein Gutschein, den man in einer begrenzten Zahl von Läden einlösen muss. Da hat jemand offensichtlich einen Textbaustein für Einkaufsgutscheine recycelt.
Und dieser Verdacht bestätigt sich ganz konkret: Am nächsten Tag landete im selben Spamordner eine angebliche ALDI-Mail, die einen 500-€-Einkaufsgutschein verlost, und darin stehen exakt dieselben drei Vorteile, nur mit „ALDI Konto“ statt „PayPal-Konto“. Gleiche Vorlage, anderes Logo. Die Masche ist also eine Fließbandproduktion, bei der nur das Markenetikett ausgetauscht wird.
Dann kommt der eigentliche Kern: „Bestätigen Sie nur noch Ihre Angaben“ mit einem Link dahinter. Das ist der einzige Zweck der ganzen Mail. Kein Gewinncode, keine Teilnahmebedingungen, kein Veranstalter, keine Frist, nur dieser eine Klick.
Warum das garantiert nicht von PayPal kommt
Fangen wir beim Absender an. Als Name steht da zwar brav „PayPal“, aber die Adresse dahinter lautet PayPal@ANWB-client-45872850. Fällt Dir was auf? Da fehlt die Domain. Kein .com, kein .de, nichts, nur eine Kette aus Buchstaben und Ziffern. Echte Mails von PayPal kommen von einer Adresse unter paypal.com oder paypal.de, und nicht von einem „Client“ mit Nummer. Kleiner Bonus: ANWB ist eigentlich der Name des niederländischen Automobilclubs, der mit PayPal ungefähr so viel zu tun hat wie ein Pannenhelfer mit Deinem Kontostand. Exakt dasselbe Muster, Markenname vorne und „ANWB-client“ plus Zufallszahl hinten, taucht übrigens auch bei der ALDI-Mail und bei mehreren Casino- und Abnehm-Spams im selben Ordner auf.
Noch deutlicher werden die technischen Kopfzeilen der Mail, also das, was Du normalerweise gar nicht siehst. Eingeliefert wurde die Nachricht von einem Server namens 7yze.freediving.academy. Richtig gelesen: Die angebliche PayPal-Post kam von einer Adresse unter freediving.academy, also einer Domain, die nach Freitauch-Akademie klingt, aber ganz sicher nicht nach PayPal. Die gängigen Echtheitsprüfungen sind komplett leer: SPF meldet „none“, DKIM sagt „message not signed“, DMARC ebenfalls „none“. Übersetzt heißt das, dass niemand die Mail digital unterschrieben hat und keine Domain sich dafür verbürgt. Eine Rücksendeadresse gibt es auch nicht, das Feld ist leer. Microsofts Filter hat die Mail mit einem Spam-Wert von 6 bewertet und deshalb direkt in den Junk-Ordner verfrachtet, völlig zu Recht. Ein echtes Unternehmen wie PayPal signiert seine Mails selbstverständlich, und zwar von den eigenen Servern aus.
Dann die Links. Egal ob Du auf den Bestätigungslink, auf „Hilfe & Kontakt“, auf die Symbole für Twitter, Instagram, Facebook und LinkedIn, auf „Unsubscribe“ oder sogar auf „Lernen Sie, Phishing zu erkennen“ klickst: Alles führt auf dieselbe Adresse bei einer Domain namens homtail.online. Keine einzige Verlinkung zeigt auf PayPal. Dass ausgerechnet der Link zur Phishing-Aufklärung direkt auf die Phishing-Seite führt, ist schon fast Satire.
Und jetzt mein persönlicher Lieblingsmoment. Ganz unten im Kleingedruckten steht, wörtlich übernommen aus echten PayPal-Mails: „E-Mails von PayPal enthalten immer Ihren vollständigen Namen.“ Und wie beginnt die Mail? Nicht mit meinem Namen. Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name. Die Betrüger liefern Dir also gleich selbst das Prüfkriterium mit, an dem sie durchfallen. Das ist ein bisschen so, als würde ein Taschendieb ein Schild tragen mit der Aufschrift „Achtung, Taschendiebe erkennt man an diesem Schild“.
Auch der Rest des Footers ist liebevoll zusammengeklaubt. Das Copyright reicht von 1999 bis 2025, obwohl die Mail im Oktober 2026 kam. Dazu gibt es einen Hinweis, dass „PayPal Pte. Ltd.“ von der Monetary Authority of Singapore lizenziert sei. Das ist der Rechtshinweis für Kunden in Singapur und hat in einer deutschsprachigen Mail nichts verloren. Ganz am Ende steht noch ein technischer Code mit der Sprachkennung „en_US(en-MA)“, also amerikanisches Englisch, Region Marokko. Kurz gesagt: Da wurde eine echte PayPal-Mail aus irgendeinem Land kopiert, der Text darüber auf Deutsch ausgetauscht und das Ende einfach stehen gelassen. Die doppelte Satzzeichen-Kombination „zu gewinnen! .“ rundet das handwerkliche Gesamtbild ab.
Was passiert, wenn Du klickst
Was genau auf der Seite hinter dem Link wartet, habe ich mir bewusst nicht angesehen, und das solltest Du auch nicht. Das Muster solcher Mails ist aber bekannt. „Bestätigen Sie Ihre Angaben“ bedeutet in der Praxis meist, dass Du auf einer Seite landest, die wie PayPal aussieht und Dich nach Deinen Zugangsdaten fragt. Wer dort E-Mail-Adresse und Passwort eingibt, übergibt sein Konto direkt an Fremde. Andere Varianten wollen Name, Adresse, Telefonnummer und Kreditkartendaten, angeblich für eine kleine „Bearbeitungsgebühr“ oder Versandkosten, und am Ende steht ein teures Abo oder schlicht ein leergeräumtes Konto. Selbst wenn Du nur klickst und nichts eingibst, weiß der Absender dann zumindest, dass Deine Adresse aktiv ist und gelesen wird, und das bedeutet in der Regel noch mehr Spam.
Die 1000 Euro gibt es in keinem dieser Szenarien. Es ist ein reines Fake-Gewinnspiel, und der einzige, der hier etwas gewinnen soll, sitzt am anderen Ende der Leitung.
Was Du tun solltest
Bitte nicht klicken, auf keinen der Links, auch nicht auf „Unsubscribe“. Nicht antworten, nichts bestätigen. Am besten löschst Du die Mail einfach oder lässt sie im Spamordner verschwinden. Wenn Du unsicher bist, ob PayPal Dir wirklich etwas mitteilen will, öffne die App oder tippe die Adresse selbst in den Browser und schau dort in Deine Nachrichten. Was PayPal Dir wirklich mitzuteilen hat, findest Du in aller Regel auch dort. Verdächtige Mails kannst Du außerdem an PayPal weiterleiten, die sammeln solche Phishing-Versuche.
Falls Du doch schon geklickt und Daten eingegeben hast: Sofort das PayPal-Passwort ändern, die Zwei-Faktor-Anmeldung aktivieren, Kontobewegungen prüfen und bei Kreditkartendaten die Bank informieren und die Karte sperren lassen. Je schneller, desto besser.
Und als Faustregel für alle Gewinnmails: Wenn Du an keinem Gewinnspiel teilgenommen hast, hast Du auch nichts gewonnen. Schon gar nicht 1000 Euro an einem Samstagabend, abgeschickt über einen Server mit Freitauch-Namen.
Der Mailtext (ohne Links)
Absender: PayPal <PayPal@ANWB-client-45872850>, Betreff: 💳💰 PayPal Guthaben im Wert von 1000€ zu gewinnen! ✅💰, eingegangen am 10.10.2026 um 19:12 Uhr
[PayPal]
Hallo [E-Mail-Adresse des Empfängers]
PayPal Guthaben im Wert von 1000€ zu gewinnen!
Wir freuen uns, Ihnen mitteilen zu dürfen, dass Sie heute die Chance haben, ein PayPal-Guthaben im Wert von 1000€ zu gewinnen! .
Sie haben folgende Vorteile:
1. Sie erhalten das Guthaben direkt auf Ihr PayPal-Konto!
2. Einfache Auszalung des Guthabens!
3. In über 500 Shops einlösbar!Bestätigen Sie nur noch Ihre Angaben: [Link entfernt]
[PayPal]
Hilfe & Kontakt | (Unsubscribe) | Apps
[Twitter] [Instagram] [Facebook] [LinkedIn]
PayPal setzt sich dafür ein, betrügerische E-Mails zu verhindern. E-Mails von PayPal enthalten immer Ihren vollständigen Namen. Lernen Sie, Phishing zu erkennen
Bitte antworten Sie nicht auf diese E-Mail. Um mit uns in Kontakt zu treten, klicken Sie auf „Hilfe & Kontakt“ .
Sind Sie sich nicht sicher, warum Sie diese E-Mail erhalten haben? Mehr erfahren
Copyright © 1999–2025 PayPal. Alle Rechte vorbehalten.
PayPal Pte. Ltd. ist von der Monetary Authority of Singapore als großes Zahlungsinstitut gemäß dem Payment Services Act 2019 lizenziert.
PayPal RT000093:en_US(en-MA):1.0.0:1fffdfbaab988