Verdächtige E-Mail mit KI prüfen: Wie geht das sicher?

Das Problem

Im Posteingang liegt eine E-Mail, die Ihnen komisch vorkommt: Ihre Bank, ein Paketdienst oder ein angeblicher Kunde verlangt dringend etwas. Sie sind unsicher und möchten eine zweite Meinung. Da liegt der Gedanke nahe, den Text in ChatGPT oder einen anderen KI-Assistenten zu kopieren.

Das kann helfen: Eine KI erkennt typische Muster wie Zeitdruck, Drohungen oder merkwürdige Formulierungen. Es gibt aber zwei Risiken. Erstens geben Sie womöglich vertrauliche Informationen preis, zum Beispiel Kundennamen, Kontonummern oder Betriebsgeheimnisse. Zweitens kann die KI sich irren und eine gefährliche Mail für harmlos halten.

Mit einer einfachen Vorbereitung nutzen Sie die Stärken und umgehen die Risiken. Phishing bedeutet übrigens, dass Täter mit gefälschten Nachrichten an Ihre Daten oder Ihr Geld wollen.

So lösen Sie es mit KI – Schritt für Schritt

1. Öffnen Sie nichts. Klicken Sie keine Links an und öffnen Sie keine Anhänge. Antworten Sie nicht.
2. Kopieren Sie nur den Text. Markieren Sie die Nachricht und fügen Sie sie in ein leeres Dokument ein. Leiten Sie die Mail nicht an die KI weiter und laden Sie keine Anhänge hoch.
3. Schwärzen Sie vertrauliche Angaben. Ersetzen Sie Namen, Firmen, Telefonnummern, Kontonummern, Rechnungsbeträge und Adressen durch Platzhalter wie [NAME], [FIRMA], [BETRAG]. Weitere Hilfe: Daten vor der KI anonymisieren.
4. Ersetzen Sie Links durch Hinweise. Schreiben Sie statt der Adresse «[LINK: wirkt unbekannt]», oder nennen Sie nur den Domainnamen, wenn dieser nicht sensibel ist. Mehr zum Prüfen von Links: Link prüfen ohne Öffnen.
5. Nutzen Sie den Prompt unten. Bitten Sie die KI, Warnzeichen zu nennen und eine Einschätzung mit Unsicherheit zu geben.
6. Prüfen Sie den Absender selbst. Die KI sieht die technische Absenderadresse nicht, wenn Sie nur den Text einfügen. Schauen Sie selbst nach, siehe Echten Absender einer E-Mail prüfen.
7. Bestätigen Sie auf einem zweiten Weg. Rufen Sie die angebliche Absenderin über eine bekannte Nummer an oder loggen Sie sich selbst bei der Bank ein, ohne Mail-Link. Melden Sie echte Phishing-Mails und löschen Sie sie.

Vorlage zum Kopieren

Ich habe eine verdächtige E-Mail erhalten. Ich habe vertrauliche Angaben durch Platzhalter ersetzt.
Beurteile bitte nur anhand des Textes, welche Merkmale auf Phishing hindeuten
(Zeitdruck, Drohung, ungewöhnliche Aufforderung, Rechtschreibung, Anrede, Link-Hinweise).
Gib eine Liste der Warnzeichen und eine Einschätzung «eher verdächtig», «unklar» oder «eher unauffällig».
Weise ausdrücklich darauf hin, was du anhand des Textes nicht beurteilen kannst
(zum Beispiel echter Absender und Linkziele).
Nenne zum Schluss drei sichere nächste Schritte für mich.

E-Mail-Text:
[Text mit geschwärzten Angaben einfügen]

Fügen Sie den Text ohne Namen, Nummern und echte Links ein. Das Ergebnis ist ein Hinweis, keine Entscheidung.

Was die KI kann und was nicht

Worauf Sie achten müssen

• Vertrauliche Daten gehören nicht in öffentliche KI-Dienste. Was Sie eingeben, kann je nach Dienst gespeichert oder verarbeitet werden. Was gar nicht hineingehört, steht unter Welche Daten gehören nicht in eine KI?.
• Die KI kann sich irren. Sie kann eine gut gemachte Fälschung als harmlos einstufen oder eine echte Mail als Betrug. Ihre eigene Prüfung bleibt nötig.
• Keine Anhänge hochladen. Ein Anhang kann Schadsoftware enthalten und enthält oft vertrauliche Daten.
• Firmenregeln beachten. Wenn Ihr Betrieb KI-Nutzung regelt, halten Sie sich daran. Verdächtige Mails melden Sie zusätzlich der IT.
• Datenschutz im Einzelfall klären. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte informiert zu KI und Datenschutz (EDÖB). Das Bundesamt für Cybersicherheit beschreibt Phishing und Meldewege (BACS).

Was, wenn ich die Mail schon geöffnet habe?

Bleiben Sie ruhig. Wenn Sie nur geöffnet, aber nichts angeklickt haben, ist meist nichts passiert. Wenn Sie einen Link geöffnet oder Daten eingegeben haben, lesen Sie Phishing-Link angeklickt und handeln Sie rasch.

Ein Beispiel aus der Praxis

Ein erfundenes Beispiel: Frau Müller arbeitet im Sekretariat einer Schreinerei in Zofingen. Sie erhält eine Mail «Ihre Rechnung ist überfällig, Mahngebühren drohen», mit einem Link. Der Absendername kommt ihr bekannt vor.

Vorher hätte sie auf den Link geklickt, um Schlimmeres zu verhindern. Nachher kopiert sie den Text, ersetzt Namen und Betrag durch Platzhalter und fragt die KI. Diese nennt Zeitdruck und ungewöhnliche Anrede als Warnzeichen. Frau Müller prüft die Absenderadresse, findet eine fremde Domain und meldet die Mail der IT.

So hilft Ihnen Alpasana

Im Kurs Prompt Engineering von absofort lernen Sie, KI klar zu beauftragen, Ergebnisse zu prüfen und dabei den Datenschutz zu berücksichtigen. Das hilft, Vorlagen wie die oben stehende sicher einzusetzen.

Ein Kurs ersetzt kein Schutzprogramm Ihrer IT. Bei Verdacht auf einen Angriff informieren Sie Ihre IT-Verantwortlichen.

Häufige Fragen

Darf ich in ChatGPT eine Kunden-E-Mail einfügen?

Nur ohne vertrauliche Daten und im Rahmen der Regeln Ihres Betriebs. Schwärzen Sie Namen und Zahlen. Wenn Sie unsicher sind, fragen Sie vorher Ihre IT oder Datenschutzverantwortliche.

Reicht die Einschätzung der KI?

Nein. Sie ist ein Hinweis. Prüfen Sie Absender und Link selbst und bestätigen Sie wichtige Anliegen über einen zweiten Kanal.

Kann die KI Links sicher prüfen?

Nicht zuverlässig. Öffnen Sie Links nie zum Testen. Eine Anleitung zum sicheren Prüfen steht unter Phishing-Mail erkennen.