NumicornNumicornLernen, lösen, weiterkommen

studentenleben-in-deutschland

Phishing und Fake-Mails an Hochschulen erkennen

Phishing und Fake-Mails an Hochschulen erkennen: Uni-Login, Absender, Links, QR-Codes, Anhänge, MFA, Job-Scams und Notfallmaßnahmen richtig prüfen.

Phishing und Fake-Mails an Hochschulen erkennen

Eine E-Mail sieht aus, als käme sie vom Rechenzentrum deiner Hochschule:

„Ihr Uni-Konto wird heute deaktiviert. Jetzt bestätigen.“

Oder du bekommst angeblich eine:

  • SharePoint-Datei
  • Prüfungsinformation
  • Passwortwarnung
  • Stellenanzeige
  • Paketbenachrichtigung
  • Rechnung
  • Cloud-Freigabe

und sollst dafür auf einen Link klicken.

Genau solche Situationen nutzen Phishing-Angriffe aus.

Phishing bedeutet, dass Kriminelle versuchen, dich mit gefälschten Nachrichten auf manipulierte Webseiten zu locken oder zum Öffnen gefährlicher Anhänge zu bewegen. Ziel können sein:

  • Uni-Passwort
  • E-Mail-Zugang
  • Bankdaten
  • persönliche Daten
  • Zwei-Faktor-Codes
  • Geld

Hochschulen sind dafür besonders interessante Ziele, weil ein kompromittierter Uni-Account oft Zugang zu mehreren Diensten ermöglicht.

Die Universität Hamburg weist ausdrücklich darauf hin, dass gestohlene Hochschul-Zugangsdaten unter anderem genutzt werden können, um über echte Uni-Mailserver weitere Spam- oder Phishing-Nachrichten zu verschicken. Genau deshalb ist selbst eine Nachricht von einer echten Hochschuladresse nicht automatisch vertrauenswürdig: Das Konto kann kompromittiert worden sein.

Die Verbraucherzentrale betont 2026 ebenfalls, dass moderne Phishing-Mails täuschend echt aussehen können. Schlechte Rechtschreibung ist deshalb längst nicht mehr das einzige Warnsignal.

Dieser Ratgeber zeigt dir, wie du Phishing und Fake-Mails im Hochschulalltag erkennst, wie du Links und Loginseiten prüfst und was du tun solltest, wenn du bereits Zugangsdaten eingegeben hast.

Warum Studierende besonders häufig passende Köder bekommen

Im Hochschulalltag gibt es viele echte digitale Benachrichtigungen.

Zum Beispiel:

  • Passwort läuft ab
  • Kursmaterial verfügbar
  • Prüfungsanmeldung
  • Cloud-Dokument geteilt
  • Bibliothekskonto
  • Uni-Mail
  • Microsoft 365
  • Moodle
  • Campusportal

Angreifer müssen deshalb keine völlig ungewöhnliche Geschichte erfinden.

Sie imitieren einfach einen vertrauten Prozess.

Typische Betreffzeilen

Zum Beispiel:

  • „Ihr E-Mail-Konto wird geschlossen“
  • „Speicherlimit überschritten“
  • „Passwort verlängern“
  • „Neue Datei wurde mit Ihnen geteilt“
  • „Wichtige Nachricht vom IT-Service“
  • „Prüfungsunterlagen“
  • „Offene Rechnung“
  • „Jobangebot für Studierende“

Genau solche Themen tauchen immer wieder in Hochschul-Phishing-Warnungen auf.

1. Zeitdruck ist ein starkes Warnsignal

Phishing versucht häufig, dein Denken zu verkürzen.

Typische Formulierungen:

  • „sofort handeln“
  • „innerhalb von 24 Stunden“
  • „letzte Warnung“
  • „Konto wird deaktiviert“
  • „Zugang wird gesperrt“

Die Verbraucherzentrale dokumentiert auch 2026 regelmäßig Phishing-Kampagnen, die mit kurzen Fristen und drohenden Kontoeinschränkungen arbeiten.

Die richtige Reaktion ist:

nicht schneller klicken, sondern langsamer prüfen.

2. Absenderadresse vollständig ansehen

Der sichtbare Absendername kann frei gewählt werden.

Eine Mail kann heißen:

„Universitäts-IT“

aber tatsächlich von einer Adresse wie:

security-university@gmail.com

kommen.

Das ist offensichtlich verdächtig.

Aber echte Hochschuladresse ist keine Garantie

Das ist besonders wichtig.

Die Universität Hamburg dokumentierte bereits Phishing-Wellen, die von kompromittierten internen Hochschulkonten verschickt wurden.

Dann kann die Absenderadresse tatsächlich auf:

@uni-hamburg.de

enden.

Deshalb:

Absender + Inhalt + Link + Kontext gemeinsam prüfen.

3. Passt die Nachricht zum Absender?

Die Universität Leipzig empfiehlt ausdrücklich, die Plausibilität von Absender und Inhalt gemeinsam zu prüfen.

Beispiel:

Ein angeblicher IT-Administrator schreibt über eine private:

@gmail.com

-Adresse.

Das passt nicht.

Aber auch bei plausibler Domain solltest du dich fragen:

  • Habe ich diese Nachricht erwartet?
  • Ist das übliche Verfahren meiner Hochschule?
  • Würde die IT mich wirklich so auffordern?

4. Hochschul-IT fragt normalerweise nicht nach deinem Passwort

Seriöse IT-Abteilungen benötigen dein Passwort nicht per E-Mail oder Telefon.

Die Universität Leipzig weist beispielsweise ausdrücklich darauf hin, dass das Rechenzentrum Passwörter nicht per E-Mail abfragt.

Wenn eine Nachricht verlangt:

„Antworten Sie mit Benutzername und Passwort“

ist das ein sehr starkes Phishing-Signal.

Am Desktop kannst du häufig mit der Maus über einen Link fahren, ohne zu klicken.

Dann erscheint die tatsächliche Zieladresse.

Prüfe:

  • Domain
  • Schreibweise
  • ungewöhnliche Zusätze

Beispiel

Echte Adresse:

https://login.uni-beispiel.de

Verdächtig:

https://uni-beispiel.login-security.com

Die echte Domain ist hier:

login-security.com

nicht:

uni-beispiel.de.

Domain von rechts lesen

Bei:

service.uni-beispiel.de

ist die Hauptdomain:

uni-beispiel.de

Bei:

uni-beispiel.de.fake-login.com

ist die Hauptdomain:

fake-login.com

Der Hochschulname wurde nur davor gesetzt.

Hochschulname im Pfad bedeutet nichts

Auch so kann eine Fake-Seite aussehen:

https://evil-example.com/uni-beispiel/login

Der Teil:

/uni-beispiel/login

ist nur der Pfad.

Die Domain bleibt:

evil-example.com.

Die Universität Hamburg warnt genau vor solchen Täuschungen und empfiehlt, vor der Eingabe von Uni-Zugangsdaten die Browser-Adresszeile zu kontrollieren.

6. HTTPS bedeutet nicht automatisch seriös

Ein Schloss-Symbol und https:// zeigen nur:

Die Verbindung zur Webseite ist verschlüsselt.

Sie beweisen nicht:

  • dass der Betreiber seriös ist
  • dass die Seite zur Hochschule gehört

Auch Phishing-Seiten können HTTPS verwenden.

7. Loginseiten lieber selbst öffnen

Wenn eine E-Mail behauptet:

„Melden Sie sich im Campusportal an“

dann öffne nicht unbedingt den Link.

Besser:

  1. Browser öffnen.
  2. bekannte Hochschuladresse selbst eingeben.
  3. von dort zum Dienst navigieren.

Oder:

  • gespeichertes Lesezeichen verwenden

So reduzierst du das Risiko einer gefälschten Loginseite.

Phishing über QR-Codes wird auch:

Quishing

genannt.

Die Verbraucherzentrale warnt davor, dass QR-Codes das eigentliche Ziel einer Webadresse verstecken können.

Ein QR-Code kann führen zu:

  • Fake-Login
  • gefälschter Zahlungsseite
  • Datensammelformular

Hochschulkontext

Verdächtig wäre zum Beispiel:

„Scannen Sie diesen QR-Code, um Ihr Uni-Konto innerhalb von 6 Stunden zu bestätigen.“

Bevor du öffnest:

  • Zieladresse anzeigen lassen
  • Domain prüfen

QR-Code im PDF

Auch ein PDF-Anhang kann nur dazu dienen, dich zu einem QR-Code oder externen Link zu führen.

Ein PDF ist also nicht automatisch ungefährlich.

9. Anhänge nur öffnen, wenn sie plausibel sind

Besonders vorsichtig bei unerwarteten:

  • ZIP-Dateien
  • Office-Dokumenten
  • PDFs
  • HTML-Dateien
  • ausführbaren Dateien

Die Universität Hamburg dokumentierte mehrfach Phishing-Nachrichten, bei denen Anhänge beziehungsweise darin enthaltene Links genutzt wurden, um zu gefälschten Loginseiten zu führen.

Frage:

Erwarte ich diese Datei wirklich?

10. Dateiname ist kein Sicherheitsbeweis

Ein Anhang kann heißen:

Pruefungsplan_WS2026.pdf

und trotzdem problematisch sein.

Der Dateiname lässt sich beliebig wählen.

Deshalb immer auch:

  • Absender
  • Kontext
  • tatsächlichen Dateityp

prüfen.

11. Logos sind leicht kopierbar

Ein Hochschullogo beweist gar nichts.

Angreifer können kopieren:

  • Logo
  • Farben
  • Schrift
  • Signatur
  • Impressum
  • Loginmaske

Eine Phishing-Seite kann deshalb nahezu identisch zum Original aussehen.

Entscheidend bleibt:

die tatsächliche Domain.

12. Rechtschreibfehler sind hilfreich, aber kein zuverlässiger Test

Früher waren Phishing-Mails häufig leicht erkennbar an:

  • schlechtem Deutsch
  • falscher Grammatik
  • merkwürdiger Übersetzung

Heute können Betrugsnachrichten sprachlich sehr überzeugend sein.

Deshalb:

Eine fehlerfreie Mail ist nicht automatisch echt.

13. Persönliche Anrede ist ebenfalls kein Beweis

Kriminelle können deinen Namen kennen aus:

  • Datenlecks
  • öffentlichen Webseiten
  • sozialen Netzwerken
  • kompromittierten Kontakten

„Hallo Max Müller“ ist deshalb kein Echtheitsmerkmal.

14. Vorsicht bei Datei-Freigaben

Typische Nachricht:

„Professor Schneider hat ein Dokument mit Ihnen geteilt.“

Dann folgt:

  • SharePoint-Link
  • OneDrive-Link
  • Google-Drive-Link

Solche Dienste werden real genutzt.

Genau deshalb sind sie ein guter Köder.

Prüfe:

  • kenne ich die Person?
  • erwarte ich die Datei?
  • ist der Link wirklich beim angegebenen Dienst?

Wenn unsicher:

Person über einen separaten Kanal fragen.

Nicht auf die verdächtige Mail antworten

Die Verbraucherzentrale empfiehlt bei Zweifeln, den vermeintlichen Absender über einen unabhängigen Kontaktweg zu erreichen.

Zum Beispiel:

  • bekannte Telefonnummer
  • offizieller Hochschulkontakt
  • persönlich
  • neue Mail an bekannte Adresse

Nicht einfach auf „Antworten“ klicken.

15. Kompromittierte bekannte Accounts

Besonders gefährlich:

Die Mail kommt tatsächlich von:

  • Kommilitonin
  • Professor
  • Hochschulmitarbeiter

Ein gestohlenes Konto kann echte Kontakte anschreiben.

Warnsignale:

  • ungewöhnlicher Ton
  • unerwarteter Link
  • plötzliches Dokument
  • Geldforderung
  • Passwortaufforderung

Wenn es nicht passt:

Nachfragen.

16. Zwei-Faktor-Authentisierung aktivieren

Das BSI empfiehlt, 2FA zu aktivieren, sobald ein Dienst sie anbietet.

Der zweite Faktor erschwert Kontoübernahmen, wenn ein Passwort gestohlen wird.

Mögliche Verfahren:

  • Authenticator-App
  • Sicherheitsschlüssel
  • Push-Bestätigung
  • Einmalcode

2FA macht dich nicht unverwundbar

Das BSI warnt ausdrücklich:

Auch 2FA kann angegriffen werden.

Eine gefälschte Loginseite kann versuchen, gleichzeitig:

  • Passwort
  • Einmalcode

abzufragen.

Oder ein angeblicher Supportmitarbeiter verlangt den Code am Telefon.

Deshalb:

MFA-Code niemals auf Zuruf weitergeben.

17. Unaufgeforderte Push-Anfragen ablehnen

Wenn deine Authenticator-App plötzlich fragt:

„Anmeldung bestätigen?“

obwohl du dich gerade nicht anmeldest:

nicht bestätigen.

Das kann bedeuten, dass jemand bereits dein Passwort kennt.

Dann:

  • Passwort ändern
  • IT-Service informieren

18. Für jeden Dienst eigenes Passwort

Das BSI empfiehlt für jedes Onlinekonto ein eigenes Passwort.

Das ist im Hochschulalltag besonders wichtig.

Verwende dein Uni-Passwort nicht gleichzeitig bei:

  • Streaming
  • Online-Shop
  • Forum
  • privater Mail

Sonst kann ein Datenleck bei einem fremden Dienst deinen Hochschulaccount gefährden.

19. Passwortmanager verwenden

Ein Passwortmanager kann helfen:

  • einzigartige Passwörter
  • lange Passwörter

zu verwalten.

Zusätzlicher Vorteil:

Ein guter Passwortmanager erkennt häufig, dass du dich auf einer falschen Domain befindest und füllt die Zugangsdaten dort nicht automatisch aus.

Das ist kein vollständiger Phishing-Schutz, aber ein nützlicher Hinweis.

20. Uni-Mail besonders schützen

Dein Hochschulpostfach kann enthalten:

  • persönliche Daten
  • Prüfungsinformationen
  • Kontakte
  • Cloudlinks
  • Passwort-Reset-Mails

Wenn jemand dein Uni-Mailkonto übernimmt, kann er möglicherweise weitere Konten angreifen.

21. Verdächtige Jobangebote

Studierende suchen häufig:

  • Werkstudentenjobs
  • Nebenjobs
  • Remote-Arbeit

Das nutzen Betrüger.

Die Verbraucherzentrale warnt 2026 vor sogenanntem:

Job-Scamming.

Warnsignale bei Fake-Jobs

  • extrem schnelle Zusage
  • hoher Verdienst bei kaum Aufwand
  • Kommunikation nur über Messenger
  • Ausweisfoto per WhatsApp
  • Video-Ident vor echtem Arbeitsvertrag
  • Vorauszahlung für Equipment
  • Geld soll über dein eigenes Konto weitergeleitet werden

Niemals Geld für einen „Arbeitgeber“ weiterleiten

Besonders gefährlich sind Angebote, bei denen Geld auf dein Konto eingeht und du es weiterüberweisen sollst.

Die Verbraucherzentrale warnte im August 2026 erneut vor solchen angeblichen Jobs.

Du könntest dadurch in strafrechtlich problematische Finanztransfers verwickelt werden.

22. Paket-SMS und Uni-Alltag

Studierende bestellen häufig online.

Das macht Paket-SMS glaubwürdig.

Die Verbraucherzentrale warnt 2026 weiterhin vor:

Smishing

also Phishing per SMS.

Typisch:

„Ihr Paket konnte nicht zugestellt werden. Adresse hier bestätigen.“

Öffne lieber die offizielle Paket-App selbst.

23. Angebliche Hochschulrechnung

Vorsicht bei Nachrichten wie:

  • Semesterbeitrag offen
  • Bibliotheksgebühr
  • Mahnung
  • Zertifikat bezahlen

Prüfe Zahlung immer im:

  • offiziellen Campusportal
  • Bibliothekskonto
  • bekannten Hochschulservice

nicht über einen überraschenden Mail-Link.

Wenn du lediglich eine Webseite geöffnet, aber:

  • keine Daten eingegeben
  • nichts heruntergeladen
  • nichts installiert

hast:

Seite schließen.

Zusätzlich:

  • Browser aktuell halten
  • Downloads prüfen

Wenn etwas heruntergeladen wurde:

nicht öffnen und IT-Support fragen.

25. Was tun, wenn du dein Passwort eingegeben hast?

Dann sofort handeln.

Schritt 1

Öffne die echte Hochschulseite manuell.

Schritt 2

Passwort sofort ändern.

Schritt 3

Falls dasselbe Passwort woanders verwendet wurde:

dort ebenfalls ändern.

Schritt 4

Hochschul-IT beziehungsweise Rechenzentrum informieren.

Schritt 5

2FA-Sitzungen und aktive Anmeldungen prüfen, wenn möglich.

Schritt 6

Weiterleitungen und Mailregeln kontrollieren.

Warum Mailregeln wichtig sind

Angreifer können in übernommenen Postfächern Regeln anlegen, die:

  • Sicherheitsmails löschen
  • Antworten weiterleiten
  • bestimmte Nachrichten verstecken

Wenn dein Konto kompromittiert war:

Prüfe Filter und Weiterleitungen.

26. Wenn du auch MFA-Code eingegeben hast

Passwort trotzdem sofort ändern.

Zusätzlich:

  • aktive Sitzungen abmelden
  • zweite Faktoren prüfen
  • IT-Service kontaktieren

Angreifer können MFA-Codes in Echtzeit missbrauchen.

27. Wenn du einen Anhang geöffnet hast

Wenn du eine unbekannte Datei geöffnet oder Software ausgeführt hast:

  • Gerät möglichst nicht weiter für sensible Logins nutzen
  • Hochschul-IT kontaktieren
  • Sicherheitsprüfung durchführen

Wenn Schadsoftwareverdacht besteht, kann professionelle Hilfe nötig sein.

28. Wenn Bankdaten betroffen sind

Wenn du:

  • Online-Banking-Daten
  • Kreditkartendaten
  • TAN

eingegeben hast:

Bank sofort über einen offiziellen Kontaktweg informieren.

Nicht bis zum nächsten Tag warten.

29. Phishing melden

Viele Hochschulen haben:

  • IT-Sicherheitskontakt
  • Servicedesk
  • Abuse-Adresse

Leite verdächtige Nachrichten nach den lokalen Vorgaben weiter.

Zusätzlich betreibt die Verbraucherzentrale NRW das Phishing-Radar und nimmt verdächtige Nachrichten unter ihrer dafür vorgesehenen Phishing-Adresse entgegen.

30. Mail nicht wahllos weiterleiten

Wenn ein Anhang potenziell schädlich ist:

Nicht an Freunde weiterleiten mit:

„Schaut mal, ist das Phishing?“

Nutze stattdessen:

  • offiziellen IT-Support
  • Screenshot
  • Meldefunktion

31. Warnungen deiner Hochschule lesen

Viele Hochschulrechenzentren veröffentlichen aktuelle Warnungen.

Beispiele:

  • Passwort-Phishing
  • Fake-Cloud-Freigaben
  • E-Mail-Konto-Schließung
  • interne kompromittierte Accounts

Wenn deine Hochschule eine Sicherheitsseite oder Statusseite hat:

gelegentlich prüfen.

32. Spamfilter hilft, ersetzt aber nicht deinen Blick

Eine Phishing-Mail kann:

  • nicht als Spam markiert werden
  • von einem echten kompromittierten Konto kommen
  • gezielt nur an wenige Personen gesendet werden

Deshalb:

„Nicht im Spamordner“ bedeutet nicht „sicher“.

10-Sekunden-Phishing-Check

Bevor du auf einen Link klickst:

Erwartet?

Habe ich diese Nachricht erwartet?

Absender?

Passt die Adresse wirklich?

Druck?

Werde ich künstlich zur Eile gezwungen?

Welche Domain öffnet sich?

Daten?

Warum soll ich Passwort, MFA-Code oder Bankdaten eingeben?

Wenn nur eine Antwort merkwürdig ist:

nicht klicken.

Typische Fehler

Nur Rechtschreibung prüfen

Moderne Phishing-Mails können perfekt formuliert sein.

Nur auf sichtbaren Absendernamen schauen

Adresse kann etwas anderes zeigen.

Hochschuladresse automatisch vertrauen

Auch interne Konten können kompromittiert sein.

Logo als Echtheitsbeweis ansehen

Logos sind kopierbar.

HTTPS für sicher halten

Auch Phishing-Seiten können HTTPS nutzen.

MFA-Code weitergeben

Zweiter Faktor ist vertraulich.

App oder Datei ungeprüft installieren

Schadsoftware-Risiko.

Verdächtige Nachricht direkt beantworten

Besser unabhängigen Kontaktweg nutzen.

Checkliste: Phishing an Hochschulen erkennen

  • [ ] Nachricht erwartet?
  • [ ] Absenderadresse vollständig geprüft?
  • [ ] Inhalt zum Absender plausibel?
  • [ ] ungewöhnlicher Zeitdruck?
  • [ ] Linkziel vor Klick geprüft?
  • [ ] Domain korrekt?
  • [ ] keine Passwörter per Mail weitergeben
  • [ ] QR-Code-Ziel prüfen
  • [ ] Anhänge nur bei plausibler Erwartung öffnen
  • [ ] 2FA aktivieren
  • [ ] MFA-Codes nie weitergeben
  • [ ] eigenes Passwort pro Dienst verwenden
  • [ ] verdächtige Jobangebote prüfen
  • [ ] bei Vorfall Passwort sofort ändern
  • [ ] Hochschul-IT informieren

Häufige Fragen zu Phishing und Fake-Mails an Hochschulen

Kann eine Phishing-Mail von einer echten Uni-Adresse kommen?

Ja. Ein Hochschulkonto kann kompromittiert worden sein. Deshalb nicht nur die Absenderadresse, sondern auch Inhalt, Link und Kontext prüfen.

Fragt die Hochschul-IT nach meinem Passwort?

Seriöse IT-Stellen benötigen dein persönliches Passwort nicht per E-Mail oder Telefon. Solche Aufforderungen sind ein starkes Warnsignal.

Woran erkenne ich eine gefälschte Loginseite?

Prüfe die Domain in der Browser-Adresszeile. Hochschulname, Logo oder Design allein beweisen nichts.

Ist HTTPS ein Beweis, dass eine Seite echt ist?

Nein. HTTPS bedeutet nur, dass die Verbindung verschlüsselt ist. Auch Betrugsseiten können ein gültiges Zertifikat besitzen.

Schützt Zwei-Faktor-Authentisierung vollständig vor Phishing?

Nein. 2FA erhöht die Sicherheit deutlich, aber Angreifer können versuchen, Passwort und Einmalcode gleichzeitig abzugreifen.

Was mache ich, wenn ich mein Uni-Passwort auf einer Fake-Seite eingegeben habe?

Sofort über die echte Hochschul-Webseite das Passwort ändern, Hochschul-IT informieren und prüfen, ob dasselbe Passwort bei anderen Diensten verwendet wurde.

Sind QR-Codes in Uni-Mails sicher?

Nicht automatisch. Auch QR-Codes können auf Phishing-Seiten führen. Zieladresse vor dem Öffnen prüfen.

Was ist bei einem verdächtigen Studentenjob wichtig?

Keine Ausweiskopien, Bankzugänge oder Video-Ident-Verfahren über dubiose Kontakte durchführen und niemals Geld für einen angeblichen Arbeitgeber über dein eigenes Konto weiterleiten.

Fazit: Bei Uni-Mails zählt die Domain mehr als das Design

Phishing an Hochschulen ist gefährlich, weil die Nachrichten häufig genau so aussehen wie echte digitale Hochschulkommunikation.

Merke dir sechs Regeln:

  1. Zeitdruck ignorieren: erst prüfen, dann handeln.
  2. Domain kontrollieren: Logo und Absendername reichen nicht.
  3. Login selbst öffnen: Campusportal lieber über bekannte Adresse aufrufen.
  4. Passwort und MFA-Code geheim halten: auch gegenüber angeblichem Support.
  5. 2FA aktivieren: zusätzlicher Schutz bei gestohlenen Passwörtern.
  6. Bei Fehlern sofort reagieren: Passwort ändern und Hochschul-IT informieren.

Wenn du dir vor jedem unerwarteten Login-Link nur zehn Sekunden für diese Prüfung nimmst, kannst du einen großen Teil typischer Phishing-Angriffe im Hochschulalltag bereits erkennen, bevor du Zugangsdaten preisgibst.

Quellen

Ähnliche Inhalte

Entdecke weitere passende Themen: