Manche Phishing-Mails geben sich richtig Mühe. Diese hier nicht einmal beim Betreff: „saa“. Mehr steht da nicht. Vermutlich ist jemandem beim Testen die Hand über die Tastatur gerutscht, und dann ging die Mail einfach so raus. Drinnen sieht es dagegen erstaunlich ordentlich aus, mit orangefarbenem Kopf im cPanel-Stil, einem Warnkasten und einem großen Button. Gelandet ist das Ganze am Freitagnachmittag im Junk-Ordner.
Was die Mail von Dir will
cPanel ist eine weit verbreitete Verwaltungsoberfläche, über die viele Webhoster ihre Kunden Websites, Mailkonten und Datenbanken verwalten lassen. Genau da setzt die Mail an: Dein cPanel-Konto müsse „synchronisiert“ werden, sonst werde Deine Website gesperrt. Dafür hast Du angeblich 24 Stunden Zeit, und erledigen sollst Du das über den Button „Sync Website“. Unterschrieben hat das „cPanel Security Team“. Eine solche Synchronisation gibt es nicht. Hinter dem Button wartet eine nachgebaute Login-Seite, die Deine Hosting-Zugangsdaten abgreifen will. Wer die hat, kann Deine Website verunstalten, Schadcode einbauen oder über Deine Mailkonten gleich den nächsten Spam verschicken.
Woran man den Fake erkennt
Fangen wir beim Absender an. Als Name steht dort schlicht „CTT“, die Adresse lautet contact@admin-cpanel.com. Mit dem echten cPanel hat diese Domain nichts zu tun, und laut Kopfzeilen hat sie nicht einmal ihre eigene Technik im Griff: SPF ist gar nicht eingerichtet, und die DKIM-Signatur fällt durch, weil es keinen passenden Schlüssel gibt. Die Anrede in der E-Mail ist z.B. ein Stück der E-Mail Adresse und nicht Dein echter Name.
Mein Lieblingsdetail steht ganz unten in der Fußzeile: „© 2026 [Company Name]“, daneben Links mit den Platzhaltern „[UNSUBSCRIBE_LINK]“ und „[WEBSITE_LINK]“. Da hat jemand eine Vorlage aus dem Phishing-Baukasten genommen und vergessen, sie auszufüllen. Passend dazu ist die Mail im Quelltext als französisch markiert, obwohl kein einziges französisches Wort drinsteht.
Der Button führt auch nicht zu einem Hoster, sondern zu einer Adresse bei ipfs.inbrowser.link, einem Zugang zum dezentralen Speichernetz IPFS. Dort abgelegte Seiten lassen sich schwer schnell entfernen, entsprechend beliebt ist das bei Phishern. Hinten an den Link ist außerdem Deine eigene Mailadresse angehängt, damit die Fake-Seite sie gleich vorausfüllen kann und echter wirkt.
Was Du tun solltest
Nicht auf „Sync Website“ klicken und nirgends Zugangsdaten eingeben. Wenn Du wirklich eine Website bei einem Hoster mit cPanel hast, meldest Du Dich wie gewohnt direkt über die Adresse an, die Dir Dein Hoster gegeben hat, oder fragst beim Support nach. Echte Hinweise kommen von Deinem Hoster selbst und nicht von einem „CTT“ mit dem Betreff „saa“. Wer schon etwas eingegeben hat, ändert sofort das Passwort, schaltet die Zwei-Faktor-Anmeldung ein und prüft, ob neue Mailkonten, Weiterleitungen oder fremde Dateien aufgetaucht sind. Die Mail selbst darf ohne Reue in den Papierkorb.
Der Mailtext (ohne Links)
Absender: CTT (contact@admin-cpanel.com), Betreff: saa, empfangen am 16. Oktober 2026 um 17:29 Uhr
cPanel SYNC REQUIRED
Hello [Teil der Empfängeradresse],
Your cPanel account needs to be synced to prevent your website from being suspended.
⚠ Action required: Please sync your website within 24 hours to avoid suspension.
Sync Website
Best regards,
The cPanel Security Team© 2026 [Company Name]. All rights reserved.
Unsubscribe | Visit website