Sie öffnen Ihr Postfach, und da ist sie: eine schmucklose, ungestylte E-Mail von [email protected], die Ihnen mitteilt, dass sich jemand aus einem Land, in dem Sie noch nie waren, in Ihr Microsoft-Konto eingeloggt hat. Oder es ist [email protected], die warnt, dass gerade ein neues Gerät auf Ihr Gmail-Konto zugegriffen hat. Oder es ist eine japanische Noreply-Adresse von Amazon, die meldet, dass sich Ihr Prime-Abo bald verlängert. Drei Gedanken kommen in etwa dieser Reihenfolge: Ist das echt, was passiert, wenn ich es ignoriere, und was passiert, wenn ich klicke.
Das Suchinteresse an genau diesen Fragen ist so hoch wie seit fünf Jahren nicht mehr. Die Google-Trends-Daten für „noreply“ erreichten Anfang 2026 einen neuen Höchststand, und die dahinterliegenden, steigenden Suchanfragen werden von bestimmten Adressen zur Kontosicherheit dominiert: [email protected], [email protected], [email protected]. Der Grund für den Anstieg: Alle drei werden gerade aktiv missbraucht, und die oberflächlichen Unterschiede zwischen einer echten und einer gefälschten Nachricht sind kleiner als je zuvor.
Das ist ein Praxisleitfaden für Empfänger: wie Sie 2026 die echten von den gefälschten unterscheiden, warum der alte Rat („Prüfen Sie die Absenderdomain“) nicht mehr ausreicht, und was Sie tun, wenn Sie es wirklich nicht erkennen können.
Warum „einfach die Domain prüfen“ nicht mehr funktioniert
Die klassische Checkliste zum Erkennen einer Phishing-E-Mail — Absenderdomain prüfen, über Links hovern, auf Tippfehler achten — stammt aus einer Zeit, in der Betrüger noch keine Mails von einer echten @microsoft.com- oder @google.com-Adresse verschicken konnten. Diese Zeit ist vorbei.
Zwei aktuelle Angriffe zeigen das deutlich.
Der DKIM-Replay-Angriff auf Google. Im April 2025 dokumentierten Sicherheitsforscher eine Phishing-Kampagne, die vollständig DKIM-signierte Nachrichten von der echten Adresse [email protected] zustellte. Der Mechanismus: Ein Angreifer registrierte in seinem eigenen Google-Konto eine OAuth-App mit der Phishing-Botschaft im App-Namen, wodurch eine echte Google-Sicherheitswarnung an ihn selbst ausgelöst wurde. Da die kryptografische Signatur zwar den Nachrichtentext, aber nicht die Empfängerliste oder den Sendezeitpunkt abdeckt, konnte der Angreifer diese signierte Nachricht anschließend an Tausende Opfer weiterleiten, ohne die Signatur zu brechen. SPF, DKIM und DMARC bestanden alle Prüfungen. Gmail zeigte die Nachricht als authentifiziert an. Das Absenderfeld war echt.
Der Missbrauch von Microsofts Domain accountprotection.microsoft.com. Im Mai 2026 berichtete TechCrunch, dass Betrüger monatelang ein internes Microsoft-Konto ausgenutzt hatten, um Spam-Links von einer Domain zu versenden, die Microsoft selbst für legitime Zwei-Faktor-Codes und Bestätigungen von Passwortänderungen nutzt. Die Absenderadresse — genau die, der Millionen Nutzer beigebracht wurde zu vertrauen — war die echte.
Die Konsequenz für alle außerhalb von Sicherheitsteams: Die Frage „Stimmt die Absenderdomain?“ ist inzwischen notwendig, aber nicht mehr ausreichend. Eine perfekt passende, vollständig authentifizierte Noreply-E-Mail von einer Fortune-500-Domain kann trotzdem Betrug sein. Sie müssen sich ansehen, wozu die Mail Sie auffordert.
Ein Missverständnis vorab: „Noreply“ ist keine Firma, kein Dienst und keine Website. Es gibt kein noreply.com zum Einloggen und kein „Noreply“-Konto, auf das man zugreifen könnte. Es ist lediglich eine Namenskonvention — ein Postfach-Präfix, das Unternehmen für automatisierte Mails verwenden, die sie nicht auf Antworten überwachen. Jeder Absender hängt es an die eigene Domain an (noreply@, no-reply@, notify-noreply@, microsoft-noreply@), weshalb genau die Domain nach dem @-Zeichen — und nicht das Wort „Noreply“ — verrät, wer die Nachricht tatsächlich verschickt hat.
Die meistgesuchten Noreply-Adressen im Moment
Jede der meistgegoogelten Noreply-Adressen ist für genau einen engen Zweck legitim, und dieser Zweck ist der Schlüssel, um Fälschungen zu erkennen.
| Adresse | Wofür sie legitim genutzt wird | Häufiges Betrugsmuster |
|---|---|---|
[email protected] | 2FA-Codes, Bestätigungen von Passwortänderungen, Warnungen bei ungewöhnlichen Anmeldungen für Microsoft-/Outlook-/Xbox-Konten | Gefälschter Druck à la „Ihr Konto wird geschlossen“, Spam-Links, die über die echte Adresse eingeschleust werden, Lookalike-Domains wie accountprotection.microsoft.com.xyz |
[email protected] | Allgemeine Benachrichtigungen zu Microsoft-Konto und -Produkten — Quittungen, Updates zu Abonnements und Prämien | Gefälschte „Sicherheitswarnungen“ von dieser Adresse; echte Microsoft-Sicherheitsmails kommen von der oben genannten Adresse accountprotection.microsoft.com, weshalb eine Anmeldewarnung von der allgemeinen Adresse selbst ein Warnsignal ist |
[email protected] | Sicherheitswarnungen, Anmeldungen neuer Geräte, Passwort-Zurücksetzungen für Google/Gmail/Workspace | Per DKIM-Replay verschickte „Vorladungs“- oder „Legal-Hold“-Nachrichten mit Links zu Phishing-Seiten auf sites.google.com |
[email protected] / [email protected] | Bestellbestätigungen, Versandbenachrichtigungen, Prime-Verlängerungen | Gefälschte Verlängerungs-/Zahlungsproblem-Mails über Lookalike-Domains (amaz0n.co.jp, amazon-billing.com), Druck à la „Ihr Konto wurde gesperrt“ |
Achten Sie darauf, was die legitimen Verwendungen gemeinsam haben: Jede von ihnen ist eine passive Benachrichtigung oder ein Einmalcode. Microsoft nutzt die Adresse zur Kontosicherheit, um Ihnen mitzuteilen, dass etwas passiert ist — nie, um Sie über einen Link in der E-Mail zum Handeln aufzufordern. Googles [email protected] verschickt 2FA-Codes und Anmeldewarnungen, niemals Rechnungen oder Vorladungen. Amazons Noreply-Adressen bestätigen Bestellungen und Versand, fordern Sie aber niemals über einen eingebetteten Link auf, „Ihre Zahlungsmethode zu bestätigen“.
Diese Asymmetrie ist das verlässlichste Signal, das Sie haben.
Die Verifizierungs-Checkliste für 2026
Prüfen Sie jede Noreply-E-Mail der Reihe nach anhand dieser Punkte. Sobald einer davon nicht besteht, ist die Entscheidung gefallen.
1. Fordert sie zu etwas Dringendem auf? Echte Noreply-Nachrichten von Microsoft, Google und Amazon sind fast immer rein informativ. „Hier ist Ihr Code.“ „Wir haben eine neue Anmeldung bemerkt.“ „Ihre Bestellung wurde versendet.“ Wenn die E-Mail Druck aufbaut — „Bestätigen Sie innerhalb von 24 Stunden, sonst wird Ihr Konto gesperrt“, „Klicken Sie hier, um die Zahlung zu bestätigen“, „Es folgen rechtliche Schritte“ —, handelt es sich fast sicher um Betrug, egal von wem sie zu stammen scheint. Seriöse Sicherheitsteams drohen Ihnen nicht in transaktionalen E-Mails.
2. Fragt sie nach Zugangsdaten, Zahlungsinformationen oder Codes? Microsoft, Google und Amazon werden Sie niemals auffordern, Ihr Passwort über einen E-Mail-Link einzugeben. Sie werden Sie nie bitten, einen 2FA-Code zu „bestätigen“, den Sie nicht angefordert haben. Sie werden Ihnen nie einen Link per E-Mail schicken, um Zahlungsdaten zu aktualisieren. Der legitime Ablauf ist immer: Sie gehen selbst auf die Website, loggen sich ein und aktualisieren, was aktualisiert werden muss. Eine Noreply-E-Mail, die danach fragt, ist gefälscht — selbst wenn jeder Header sauber aussieht.
3. Wohin führt der Link tatsächlich? Fahren Sie mit der Maus darüber (nicht klicken) und lesen Sie die URL-Zeile. Eine echte Microsoft-Mail verlinkt auf microsoft.com, live.com oder office.com. Eine echte Google-Mail verlinkt auf google.com oder accounts.google.com. Eine echte Amazon-Mail verlinkt auf amazon.com oder die Amazon-Domain Ihres Landes. Führt der Link zu microsoft-verify.com, google-secure.net, amazon-prime-billing.co oder einem beliebigen URL-Kürzer, hören Sie auf. Der DKIM-Replay-Angriff auf Google leitete Opfer insbesondere auf eine Seite unter sites.google.com — technisch eine Google-Domain, aber das tatsächliche Ziel war vom Angreifer kontrollierter Inhalt. Wirkt die URL untypisch für das normale Muster dieses Anbieters, behandeln Sie sie als feindlich.
4. Haben Sie etwas getan, das dies ausgelöst hat? Eine echte Noreply-Warnung entspricht fast immer einer Aktion, die Sie tatsächlich vorgenommen haben oder überprüfen können. Eine Microsoft-Anmeldewarnung sollte zu einem Gerät passen, das Sie tatsächlich benutzt haben. Eine Amazon-Versandbenachrichtigung sollte zu einer Bestellung passen, die Sie tatsächlich aufgegeben haben. Eine Google-Warnung zu einem „neuen Gerät“ sollte zu einer Anmeldung an einem neuen Computer passen. Bezieht sich die E-Mail auf eine Aktion, die Sie nicht ausgeführt haben, lautet die Antwort nicht, auf den Link „Das war ich nicht“ in der E-Mail zu klicken — sondern direkt auf die Website des Anbieters zu gehen und dort nachzusehen.
5. Verifizieren Sie über die Quelle, nie über die E-Mail. Das ist der universelle Notausgang. Öffnen Sie einen neuen Tab, tippen Sie microsoft.com / google.com / amazon.com selbst ein, loggen Sie sich ein und schauen Sie nach. Jede echte Noreply-Warnung dieser Anbieter hat einen entsprechenden Eintrag in Ihrem Konto: die letzten Aktivitäten bei Microsoft, die Sicherheitsüberprüfung bei Google, den Bestellverlauf oder das Nachrichtencenter bei Amazon. Existiert die E-Mail, aber nicht der Eintrag im Konto, ist die E-Mail gefälscht.
Dieser letzte Schritt ist der, den Sie sich zur Gewohnheit machen sollten, denn es ist die einzige Prüfung, die auch dann funktioniert, wenn die E-Mail technisch authentisch ist — wie im Fall des DKIM-Replay-Angriffs auf Google.
Was zu tun ist, wenn es sich um Betrug handelt
Antworten Sie nicht. Klicken Sie nicht auf „Abbestellen“ (echte Phishing-Mails werten den Abbestellen-Link als Bestätigung einer funktionierenden Adresse). Leiten Sie sie nicht mit einer Warnung an Freunde weiter — das verbreitet nur die eingebetteten Links.
Melden Sie sie über den offiziellen Kanal des jeweiligen Anbieters:
- Microsoft: weiterleiten an
[email protected], danach löschen. - Google / Gmail: Nachricht öffnen, auf das Drei-Punkte-Menü klicken, „Phishing melden“ auswählen.
- Amazon: als Anhang weiterleiten an
[email protected], danach löschen.
Haben Sie bereits geklickt, ist die Reihenfolge: Ändern Sie das betroffene Passwort von einem bekanntermaßen sauberen Gerät aus, aktivieren Sie 2FA, falls noch nicht geschehen, und prüfen Sie dann die letzten Aktivitäten und autorisierten Geräte des Kontos auf alles, was Sie nicht wiedererkennen.
Was das für Unternehmen bedeutet, die Noreply-E-Mails versenden
Wenn Sie selbst auf der versendenden Seite stehen — Bestellungen bestätigen, Quittungen versenden, Kontowarnungen verschicken —, ist die Zunahme von Noreply-Phishing auch Ihr Problem. Jede legitime Noreply-E-Mail, die Sie versenden, ist eine Vorlage, die ein Betrüger klonen kann, und jeder Kunde, der von einer Fälschung getäuscht wurde, wird der echten Mail langsamer wieder vertrauen. Der Schaden ist asymmetrisch: Ein schlechter Tag durch Nachahmer kann das Vertrauen untergraben, das Ihre echten Transaktionsmails über Jahre aufgebaut haben.
Es gibt zwei Dinge, die wirklich helfen. Das eine ist technisch: Bringen Sie Ihre DMARC-Richtlinie auf p=reject, damit nicht authentifizierte Mail von Ihrer Domain gar nicht erst in Postfächern ankommt. Das stoppt keine Lookalike-Domains, unterbindet aber das direkte Spoofing Ihrer echten Domain. Das andere ist verhaltensbezogen: Bringen Sie Ihren Kunden über Tausende legitime Kontaktpunkte hinweg bei, zu erkennen, wozu Ihre echten Noreply-Mails auffordern — und wozu nicht.
Beim Verhaltensaspekt geben die meisten Absender auf, weil es sich anhört wie „weniger E-Mails versenden“ — was sie nicht können. Tatsächlich geht es aber um Konsistenz. Wenn jede echte Noreply-Mail Ihres Unternehmens Kunden bei einer Frage immer an genau eine Stelle verweist, lernen Ihre Kunden dieses Muster. Die Phishing-Mails — die zwangsläufig auf gefälschte Login-Seiten oder Zahlungsformulare verlinken — beginnen sich offensichtlich falsch anzufühlen.
Das ist die Umkehrung des Noreply-Problems aus Markensicht: Statt zu fragen, wie Sie die Antworten einfangen, die Kunden an Noreply-Adressen schicken, fragen Sie sich, wie Sie ihnen einen so klaren, konsistenten und markenkonformen Handlungsweg geben, dass die gefälschten Versionen nicht mithalten können. Beide Ansätze führen zum selben Ziel — einem einzigen, eigenen, vertrauenswürdigen Kanal, der an jede echte E-Mail geknüpft ist, die Sie versenden.
Phishing ist ein Vertrauensproblem, und Vertrauen entsteht Kanal für Kanal. Die Marken, die 2026 gut dastehen, sind die, deren Kunden — aus Gewohnheit, durch Wiederholung, durch Konsistenz — genau wissen, welcher Kanal ihrer ist und welcher nicht.
Erstellen Sie Ihren Chatbot kostenlos →
Keine Kreditkarte erforderlich.
