Freitagabend, kurz nach sieben, und gleich zweimal innerhalb einer Sekunde im Junk-Ordner: „Please confirm to continue“. Drinnen steht in großen Lettern „Your Password Has Expired“. Welches Passwort? Das verrät die Mail nicht. Und genau das ist schon der halbe Witz an diesem Phishing-Versuch.
Was die Mail von Dir will
Dein Passwort sei angeblich abgelaufen, laufe aber gleichzeitig erst am 20. Oktober 2026 ab. Beides zugleich geht nicht, aber egal, Hauptsache Druck. Die Lösung wird gleich mitgeliefert: ein Button „Keep Same Password“. Du sollst also gar kein neues Passwort vergeben, sondern Dein altes „bestätigen“. Das ist die bequemste Art, Betrügern Deine Zugangsdaten zu schenken, denn hinter dem Button wartet natürlich eine nachgebaute Login-Seite.
Woran man den Fake erkennt
Der Absendername ist besonders frech: Dort steht „noreply@“ plus die Domain Deines eigenen Postfachs, damit die Mail wie eine interne Systemnachricht wirkt. Die echte Adresse dahinter lautet aber noreply@resetpassword-expired.com, ein Name, den sich kein seriöser Anbieter geben würde. Die Anrede in der E-Mail ist z.B. die E-Mail Adresse und nicht Dein echter Name, und direkt dahinter steht in Klammern „{companyname}“. Da hat jemand vergessen, den Platzhalter für den Firmennamen auszufüllen. Peinlich, aber für uns sehr praktisch.
Der Link führt auf resetpassword-expired.com zu einer PHP-Datei mit einem endlosen Buchstabensalat im Pfad, und ganz hinten hängt Deine eigene Mailadresse dran. So kann die Fake-Seite sie schon vorausfüllen und wirkt gleich viel echter. Die Kopfzeilen runden das Bild ab: Verschickt wurde über einen gemieteten Server bei inmotionhosting, eingeliefert von einem Rechner namens „DESKTOP-7BQ96MS“, also einem Windows-PC mit Standardnamen. Die DMARC-Prüfung ist durchgefallen, und signiert hat eine Domain namens rnailzoom.com. Schau genau hin: Da steht „rn“ statt „m“, ein alter Trick, um wie „mailzoom“ auszusehen.
Was Du tun solltest
Nicht klicken und auf keinen Fall irgendwo ein Passwort eintippen. Echte Anbieter sagen Dir, um welches Konto es geht, und Du kannst Dein Passwort jederzeit selbst ändern, indem Du die Seite direkt im Browser aufrufst. Wer schon etwas eingegeben hat, ändert das Passwort sofort überall, wo es benutzt wird, und schaltet die Zwei-Faktor-Anmeldung ein. Die Mail selbst kannst Du getrost löschen.
Der Mailtext (ohne Links)
Absender: noreply@resetpassword-expired.com, Betreff: Please confirm to continue, empfangen am 16. Oktober 2026 um 19:21 Uhr
Do not reply this automation messages
Your Password Has Expired
Dear [E-Mail-Adresse des Empfängers] ( {companyname} )
Your Password is due to expire on 20 October 2026,
Please kindly use the below to continue with the same password.Keep Same Password