Phishing-Warnung: Die gefälschte „Ihre Domain läuft ab“-Mail im Namen deines Hosters

Vor Kurzem hat mir ein Kunde eine E-Mail weitergeleitet, die ihn ziemlich verunsichert hat. Absender: angeblich sein Hosting-Anbieter. Betreff: seine Domain sei abgelaufen und alles gehe gleich offline. Optisch sah die Mail täuschend echt aus, mit Logo, Fristen und einem freundlichen Angebot, gegen eine Zahlung sofort alles zu reaktivieren.

Das Ganze war ein Phishing-Versuch. Und weil so etwas jeden treffen kann, der eine Website betreibt, zeige ich dir hier an einem nachgebauten Beispiel, wie du solche Mails erkennst.

Was ist Phishing überhaupt?

Phishing ist der Versuch, dich mit einer gefälschten Nachricht zu einer unüberlegten Handlung zu bewegen, meistens zu einer Zahlung oder zur Eingabe deiner Zugangsdaten. Die Nachricht gibt sich als vertrauenswürdiger Absender aus, zum Beispiel als dein Hosting-Anbieter, deine Bank oder ein bekannter Dienst. Das Ziel ist immer dasselbe: Du sollst in Panik klicken, statt in Ruhe zu prüfen.

Warum die Mail so persönlich wirkt

Viele denken, Phishing sei leicht zu erkennen, weil es plump und allgemein ist. Das stimmt oft nicht mehr. Die Angreifer können erstaunlich viel über dich herausfinden, ganz ohne dich zu hacken:

• Deine Domain steht öffentlich im Netz, jeder kann sie sehen
• Über eine einfache DNS- oder WHOIS-Abfrage lassen sich die Server-IP und oft der Hosting-Anbieter ermitteln
• Aus diesem Anbieter basteln sie eine Mail, die genau dessen Logo und Sprache nachahmt und deine echte Domain einbaut

So entsteht eine Nachricht, die auf den ersten Blick wirkt, als käme sie wirklich von deinem Hoster. Bei meinem Kunden stand sogar seine richtige Domain drin. Genau das macht die Masche so gefährlich.

Schau sie dir kurz an

So sah die gefälschte Mail aus, hier als nachgebaute Version:

Logo, Dringlichkeit, ein ablaufendes Konto, ein Rabatt und ein großer Button. Alles ist darauf ausgelegt, dass du schnell zahlst. Nimm dir einen Moment und überlege: Woran könnte man den Betrug festmachen?

Die Warnsignale, markiert

Hier ist dieselbe Mail, diesmal mit den entscheidenden Stellen markiert:

• Absenderadresse (Signal 0): Der wichtigste Check. Die echte Adresse endet auf der offiziellen Domain des Anbieters. In der Fälschung steht eine fremde Domain, die nur ähnlich aussieht, zum Beispiel mit einem zusätzlichen Wort wie -kundenportal. Prüfe immer die komplette Adresse hinter dem angezeigten Namen.
• Unpersönliche Anrede (Signal 1): „Sehr geehrte/r Kunde/r“. Dein echter Anbieter kennt deinen Namen und deine Kundennummer.
• Künstlicher Zeitdruck (Signal 2): „Nur noch heute“, „wird in 30 Tagen gelöscht“, „jede Sekunde zählt“. Panik ist das Werkzeug. Ein seriöser Anbieter droht dir nicht mit sofortigem Datenverlust.
• Der Kleingedruckte-Hinweis (Signal 3): Ganz unten steht oft, dass die Mail von einem „unabhängigen Partner“ stammt und nicht vom echten Anbieter. Das ist im Grunde das Eingeständnis, dass es eben nicht dein Hoster ist.

Warum das mit jedem Anbieter passieren kann

Diese Masche ist nicht auf einen Hoster beschränkt. Sie funktioniert mit jedem, weil die öffentlichen Informationen bei jeder Domain verfügbar sind. Ob dein Anbieter All-Inkl, IONOS, Strato, Hetzner oder ein anderer ist, spielt für die Angreifer keine Rolle. Sie tauschen einfach Logo und Namen aus. Viele meiner Kunden bekommen regelmäßig solche Mails, mal im Namen des Hosters, mal im Namen einer Domain-Registrierungsstelle.

So schützt du dich in 30 Sekunden

• Nie über den Link in der Mail einloggen oder zahlen. Öffne die Seite deines Anbieters immer selbst, indem du die echte Adresse direkt in den Browser tippst.
• Absenderadresse komplett prüfen, nicht nur den angezeigten Namen. Achte auf zusätzliche oder vertauschte Wörter in der Domain.
• Ruhe bewahren. Zeitdruck ist ein Warnsignal, kein Grund zur Eile. Deine Domain wird nicht in Sekunden gelöscht.
• Im Zweifel direkt beim Anbieter nachfragen, über die offizielle Telefonnummer oder das echte Kundencenter.
• Zwei-Faktor-Authentifizierung aktivieren. Selbst wenn ein Passwort abgefischt wird, kommt niemand ohne den zweiten Faktor hinein.
• Nichts anklicken, wenn du unsicher bist. Lieber einmal zu vorsichtig als einmal zu leichtgläubig.

Häufige Fragen

Woran erkenne ich die echte Absenderadresse?

Klick oder tippe den Absender an, sodass die vollständige E-Mail-Adresse sichtbar wird. Vergleiche die Domain nach dem @ mit der offiziellen Domain deines Anbieters. Schon ein zusätzliches Wort wie -kundenportal oder eine andere Endung ist ein klares Warnzeichen.

Was, wenn ich schon geklickt oder gezahlt habe?

Ändere sofort dein Passwort beim echten Anbieter, aktiviere die Zwei-Faktor-Authentifizierung und kontaktiere bei einer Zahlung deine Bank oder deinen Kreditkartenanbieter, um die Buchung zu stoppen.

Ist meine Domain wirklich in Gefahr?

Deine Verlängerung läuft ganz normal über deinen echten Vertrag. Solche Mails erzeugen künstliche Angst. Den echten Status prüfst du einfach in deinem offiziellen Kundencenter.

Warum bekommen gerade Selbstständige und kleine Betriebe diese Mails?

Weil ihre Domain öffentlich ist und oft eine einzelne Person direkt dahintersteht, die schnell reagiert. Genau darauf zielen die Angreifer.

Fazit

Phishing lebt von Eile und Nachahmung. Wenn du eine Mail bekommst, die dich unter Druck setzt und zu einer Zahlung drängt, halte kurz inne und prüfe die Absenderadresse. Diese wenigen Sekunden schützen dich vor den allermeisten dieser Betrugsversuche.

Wenn du unsicher bist, ob eine Mail zu deiner Website oder Domain echt ist, schreib mir kurz. Ich schaue mir das an und sage dir ehrlich, ob es Phishing ist. Und wenn du deine Website ohnehin auf ein sicheres Fundament stellen willst, melde dich für eine kostenlose Erstanalyse.