Phishing im Namen des Hosters: echte Rechnung oder Betrug?

Eine Mail vom Hoster, die eine offene Rechnung, eine auslaufende Domain oder ein gesperrtes Postfach meldet, prüft man nicht in der Mail. Man öffnet den Kundenbereich des Hosters über ein eigenes Lesezeichen oder die selbst eingetippte Adresse und sieht nach, ob dort dieselbe Rechnung oder dieselbe Frist steht. Steht sie dort nicht, ist die Mail Betrug, egal wie echt sie aussieht.

Logo, Anzeigename und Tonfall beweisen nichts. Alle drei lassen sich in einer Minute kopieren. Was sich nicht kopieren lässt, sind der Inhalt deines Kundenkontos und, bei den meisten großen Hostern, die eigene Absenderdomain: Wer sie fälscht, wird vom Empfänger abgewiesen. Deshalb kommen solche Mails von einer anderen Domain, und genau dort verraten sie sich.

Wie diese Mails aussehen#

Die Muster sind seit Jahren dieselben. Die Watchlist Internet meldete am 13.05.2026 eine Mail im Namen von easyname mit dem Betreff „Dringend: Zahlung erforderlich zur Aufrechterhaltung Ihrer Domain“. Das Portal onlinesicherheit.gv.at beschrieb Mails im Namen von World4You, nach denen eine Domain in zwei Tagen ablaufe und für 6 € verlängert werden müsse. Auf der gefälschten Zahlungsseite wurden daraus 600 €, und der Verweis, der wie my.world4you.com aussah, führte auf my.world4you.pay.association-c4.org.

Typisch sind:

• Eine kurze Frist: zwei Tage, 24 Stunden, „heute noch“.
• Ein kleiner Betrag, damit niemand lange nachdenkt.
• Keine Kundennummer und keine persönliche Anrede. Die Betrüger kennen nur die Mailadresse.
• Ein Knopf wie „Rechnung ansehen“ oder „Jetzt verlängern“, der auf eine fremde Domain führt.

Die Prüfung in vier Schritten#

Der Weg dauert drei Minuten und braucht keinen Mail-Header.

1. Nicht klicken, sondern den Kundenbereich selbst öffnen. Gibt es dort die Rechnung, die Mahnung oder die auslaufende Domain? Bei World4You zeigt das Security-Center im Kundenbereich zusätzlich, welche Mails World4You in den letzten 60 Tagen tatsächlich verschickt hat und mit welchem Betreff. easyname schreibt, dass Rechnungen im Controlpanel erst nach Zahlung, Kauf oder Verlängerung entstehen und dass sich jede echte Zahlungsaufforderung auf ein Produkt bezieht, das im Konto wirklich vorhanden ist.
2. Die Adresse in spitzen Klammern lesen. Im Mailprogramm steht oft nur der Anzeigename, „World4You“ oder „IONOS Rechnungsstelle“. Entscheidend ist, was in <…> dahinter steht. Laut World4You gehören nur Adressen mit @world4you.com und @feedback.world4you.com zu World4You. easyname schreibt, die Absenderadresse ende „immer auf @easyname.com“, warnt aber zugleich, dass man eine Mail nicht allein am angezeigten Absender als echt einstufen solle.
3. Die Kennzeichen des Hosters suchen. IONOS nennt für echte Mails die persönliche Anrede mit Namen und die Kundennummer, bei Rechnungen zusätzlich die Vertragsnummer im Betreff. STRATO schreibt, dass es keine Mail ohne persönliche Anrede verschickt und nie auffordert, Daten zu „validieren“. World4You nennt die Kundennummer in der Fußzeile vertragsrelevanter Mails.
4. Das Ziel jedes Verweises ansehen, bevor man draufklickt: am Computer mit der Maus darüber, am Handy lange drücken. Steht dort nicht die Domain des Hosters, sondern etwas wie hoster.zahlung-domain.example oder eine ganz fremde Adresse, ist die Sache erledigt.

Wer es genauer wissen will, öffnet den Header und liest die Zeile Authentication-Results des eigenen Mailanbieters. Steht dort dmarc=pass und dahinter header.from= mit der echten Domain des Hosters, kommt die Mail von dessen Servern. Wie man die Zeile findet und liest, steht in E-Mail-Header lesen.

Was der DMARC-Eintrag des Hosters dabei verrät#

Ein Hoster mit p=reject sagt allen Empfängern: Mails, die angeblich von meiner Domain kommen, aber nicht von meinen Servern, bitte abweisen. Gmail hält sich daran, Microsoft 365 je nach Einstellung der empfangenden Organisation, wie in DMARC-Policy beschrieben. Wer dann im Namen dieses Hosters betrügen will, kann dessen Domain nicht ins From: schreiben und weicht aus: auf eine ähnliche Domain, auf eine beliebige fremde mit dem richtigen Anzeigenamen oder auf ein gekapertes Postfach irgendwo.

Ein p=reject beim Hoster schützt dich deshalb nur vor genau einer Sorte Fälschung, der mit seiner exakten Domain. Gegen die Mail von rechnung-domain-service.example mit dem Namen „IONOS“ davor hilft es nichts. Das ist kein Mangel des Hosters, sondern der Grund, warum Schritt 2 oben die wichtigste Prüfung ist. Warum das Mailprotokoll den Absender überhaupt nicht prüft und was DMARC daran ändert, steht in E-Mail-Spoofing.

Messung: 35 Hoster- und Anbieterdomains#

In eigener Sache: Am 05.10.2026 um 08:08 UTC habe ich die DMARC-Einträge von 35 Domains abgefragt, von Hostern, Domain-Registraren und Zugangsanbietern, die Kunden in Österreich und Deutschland Rechnungen schicken, dazu vier große internationale. Passiv per DNS-over-HTTPS, ohne Verbindung zu einem Mailserver.

• 16 stehen auf p=reject, 4 auf p=quarantine. Dazu gehören die Versanddomains der vier im Titel: ionos.de und strato.de mit reject, world4you.com mit reject, easyname.com mit quarantine. Auch die Registrierungsstelle nic.at steht auf reject.
• 11 stehen auf p=none, 4 haben gar keinen Eintrag. Eine Fälschung genau ihrer Domain kommt beim Empfänger an, sofern kein anderer Filter greift.
• Von den 9 .at-Domains auf der Liste haben nur 2 reject. Mehrere Anbieter schützen ihre Hauptdomain, aber nicht die Länderdomain daneben, und zwei der 16 mit reject setzen sp=none, lassen also ihre Subdomains offen.

Für dich heißt das: Kommt eine Mail scheinbar von der .at- oder einer Nebendomain deines Hosters, ist die Absenderadresse allein kein Beleg. Der Kundenbereich bleibt die einzige Prüfung, die immer stimmt. Namen der schwächer geschützten Anbieter veröffentliche ich nicht. Den Stand jeder Domain, auch der eigenen, zeigt der E-Mail-Check.

Wenn du schon geklickt hast#

1. Passwort des Kundenkontos sofort ändern, über die selbst eingetippte Adresse, und überall dort, wo dasselbe Passwort verwendet wurde.
2. Zwei-Faktor-Anmeldung einschalten, falls der Hoster sie anbietet.
3. Kartendaten eingegeben? Sofort die Bank oder das Kreditkarteninstitut anrufen, Karte sperren lassen und nach einer Rückbuchung fragen.
4. Im Kundenbereich nachsehen, ob Domains, Weiterleitungen oder Mailpostfächer verändert wurden. Mit einem gekaperten Konto lässt sich eine Domain umleiten oder wegtransferieren.
5. Den Hoster informieren. IONOS und STRATO haben dafür eigene Prüfseiten, phishing-contact.ionos.com und phishing-contact.strato.de. easyname bittet darum, die Mail als .eml-Datei oder mit vollständigem Header an support@easyname.com zu schicken.

Was nicht hilft#

Auf den Spamfilter vertrauen. Er kennt die echte Domain des Hosters, aber nicht jede neue Fälschung. Was im Posteingang liegt, ist nicht geprüft.

Antworten und nachfragen. Die Antwort geht an die Betrüger und bestätigt, dass die Adresse gelesen wird.

Die Telefonnummer aus der Mail anrufen. Sie gehört zur Mail, also zu den Betrügern. Die echte steht im Impressum des Hosters.

Häufige Fragen#

Wenn du die eigene Domain gleich mit absichern willst#

In eigener Sache: cyberscale bin ich, Stefan Haun aus Tirol. Was die großen Hoster für ihre Domain getan haben, braucht jede Firmendomain auch, sonst kommen gefälschte Rechnungen eben mit deinem Namen bei deinen Kunden an. Das Paket E-Mail-Schutz richtet SPF, DKIM und DMARC beim bestehenden Hoster ein und stellt die Richtlinie Stufe für Stufe bis reject um. Wie weit deine Domain ist, zeigt kostenlos der E-Mail-Check.

Stand 05.10.2026. Quellen an diesem Tag abgerufen, DNS-Messung am 05.10.2026.