Phishing mit HTML-Anhang - wenn die SEPA-Rücklastschrift dein Passwort stiehlt

Worum geht es

Gerade läuft eine Betrugswelle, die als Mahnung einer Steuerkanzlei oder als eingescanntes Dokument daherkommt. Betreff und Text drehen sich um eine angeblich offene SEPA-Rücklastschrift: Eine Lastschrift sei nicht eingelöst, ein kleiner Betrag von wenigen Euro sei fällig, bitte dringend zurückmelden. Im Anhang liegt aber keine Rechnung, sondern eine HTML-Datei, und die ist das eigentliche Problem.

Öffnest du diesen Anhang, baut er im Browser eine täuschend echte Login-Seite auf: eine Art Billing- oder Rechnungsportal, das erst deine E-Mail-Adresse und dann dein Passwort abfragt. Beides wandert direkt an einen Server der Täter. Kurz gesagt: Der Anhang ist keine Rechnung, sondern ein Passwort-Dieb. Die wichtigste Regel vorweg lautet deshalb: HTML-Anhänge aus solchen Mails niemals öffnen.

Die Köder-Mail gibt sich als eingescanntes Dokument über eine offene SEPA-Lastschrift aus, mit kleinem Betrag und Zeitdruck. Unten der einzige Anhang: eine HTML-Datei, erkennbar am Symbol mit den spitzen Klammern.

Warum ausgerechnet ein HTML-Anhang

Früher steckte in Phishing-Mails ein Link, den man anklicken sollte. Genau diese Links filtern Mailprogramme und Sicherheitsdienste inzwischen recht zuverlässig heraus, weil sie die Adresse prüfen und mit Sperrlisten abgleichen. Ein HTML-Anhang umgeht das elegant: Die gefälschte Seite steckt komplett in der Datei und öffnet sich lokal in deinem Browser, ohne dass eine verdächtige Adresse in der Mail auftaucht.

Genau deshalb sind Datei-Anhänge im Format HTML zu einem der beliebtesten Phishing-Werkzeuge geworden. Microsoft zählt sie in seinem Bedrohungsbericht für Anfang 2026 zu den häufigsten Anhangs-Typen bei Angriffen, gerade weil sie klassische Link-Prüfungen ins Leere laufen lassen. Das Perfide: Der schädliche Code lag in dem von uns untersuchten Beispiel verschlüsselt in der Datei und wurde erst beim Öffnen im Browser zusammengesetzt. So findet auch ein Virenscanner beim ersten Blick nichts Verdächtiges.

So läuft der Angriff ab

1. Schritt 1. Die Mail kommt von einer echten, aber gekaperten Firmen-Adresse. Dadurch besteht sie technische Prüfungen wie DKIM und landet nicht automatisch im Spam.
2. Schritt 2. Der Text tarnt sich als eingescanntes Dokument eines Kopierers oder Scan-Dienstes und nennt eine offene Lastschrift über einen kleinen, plausiblen Betrag mit knapper Frist. Kleine Beträge werden eher ungeprüft bezahlt oder wecken Neugier.
3. Schritt 3. Du öffnest den HTML-Anhang. Der Browser zeigt eine gepflegte Login-Seite, die wie ein Rechnungs- oder Kundenportal aussieht.
4. Schritt 4. Die Seite fragt in zwei Schritten deine E-Mail-Adresse und dann dein Passwort ab. Sobald du auf Anmelden klickst, gehen die Daten an den Server der Kriminellen, und du siehst nur eine beruhigende Meldung wie Login erfolgreich.

So sieht die gefälschte Seite aus, die sich aus dem Anhang öffnet:

Die HTML-Datei baut im Browser diese Login-Seite auf. Auffällig: Die Köder-Mail ist auf Deutsch, das angebliche Rechnungsportal aber auf Englisch. Der Hinweis Your login credentials are encrypted and secured soll Seriosität vortäuschen, verschlüsselt in Wahrheit aber nur den Abfluss deiner Daten zum Server der Täter.

Der fiese Dreh: Die Absender-Adresse ist echt

Das gemeinste an dieser Masche: Die Mail stammt häufig von einer völlig seriösen Adresse. In dem Fall, den wir uns angesehen haben, war der Absender die gehackte Mail-Domain einer Zahnarztpraxis in Italien, die mit dem Betrug nichts zu tun hat. Die Kriminellen missbrauchen deren Server nur als Versand-Relais. Weil die Mail damit von einem echten, gut beleumundeten Absender kommt, greifen die üblichen Echtheits-Prüfungen nicht.

Die Lehre daraus: Ein technisch korrekter Absender ist kein Beweis für Echtheit. Auch eine Mail von einer real existierenden Firma kann Phishing sein, wenn deren Postfach gekapert wurde. Entscheidend ist nicht, wer draufsteht, sondern was im Anhang oder im Text von dir verlangt wird.

Daran erkennst du die Masche

• Der Anhang ist eine HTML- oder HTM-Datei, oft mit einem rechnungsartigen Namen wie Sepa-Zahlung-1234.html
• Der angezeigte Absender-Name (etwa Steuerkanzlei oder Buchhaltung) passt nicht zur E-Mail-Domain dahinter
• Die gefälschte Login-Seite ist oft englisch, obwohl die Mail auf Deutsch kam
• Vage Formulierungen wie eingescanntes Dokument, Vorgangsnummer, automatisch generiert ohne konkreten Bezug zu einem echten Vertrag von dir
• Ein kleiner Betrag mit Dringlichkeit und Frist: sofort zurückmelden, fristgerecht anweisen
• Die Aufforderung, den Anhang zu öffnen und sich dort einzuloggen oder Bankdaten zu entnehmen

Was tun, wenn du den Anhang geöffnet und Daten eingegeben hast

Die Datei allein anzuschauen richtet noch keinen Schaden an. Kritisch wird es erst, wenn du auf der gefälschten Seite E-Mail und Passwort eingetippt hast. Dann zählt jede Minute.

1. Schritt 1. Ändere sofort das Passwort des betroffenen E-Mail-Kontos. Und überall dort, wo du dasselbe Passwort noch benutzt, ebenfalls.
2. Schritt 2. Schalte die Zwei-Faktor-Authentifizierung ein, falls noch nicht geschehen. Dann nützt ein gestohlenes Passwort allein den Tätern nichts.
3. Schritt 3. Prüfe dein Postfach auf fremde Weiterleitungen und Filterregeln. Angreifer legen gern Regeln an, die eingehende Mails heimlich weiterleiten oder in den Papierkorb schieben.
4. Schritt 4. Informiere deinen Mail-Anbieter, bei einem Firmen-Postfach die IT-Betreuung. Warne Kolleginnen und Kollegen, falls über dein Konto weitere solcher Mails verschickt worden sein könnten.

So schützt du dich

• HTML-Anhänge grundsätzlich nicht öffnen. Es gibt praktisch keinen seriösen Grund, eine Rechnung als HTML-Seite mit Login zu verschicken.
• Bei angeblichen offenen Forderungen den Absender über einen selbst herausgesuchten Kontakt prüfen, etwa die echte Telefonnummer der Firma, niemals über die Mail oder den Anhang.
• Gib Passwörter nur auf Seiten ein, die du selbst in der Adresszeile aufgerufen hast, nicht auf Seiten, die aus einer Datei aufpoppen.
• Nutze für wichtige Konten unterschiedliche Passwörter und einen Passwort-Manager, damit ein einzelner Diebstahl nicht gleich mehrere Konten öffnet.

Auch das BSI und die Verbraucherzentrale raten unmissverständlich: Dateien im Anhang verdächtiger Mails niemals öffnen und persönliche Daten nur auf selbst aufgerufenen, verschlüsselten Seiten eingeben.

Mehr aktuelle Phishing-Warnungen findest du auf unserer Übersichtsseite Phishing.