Warum eine E-Mail-Adresse nicht reicht

BundID und Mein Justizpostfach schützen mich davor, dass jemand meine Identität gegenüber Behörden missbraucht. Vor einer ganz anderen Gefahr schützen sie mich nicht: dem Griff in mein Postfach über eine gefälschte Rechnung, eine angebliche Kontosperrung oder eine Paketbenachrichtigung, die nie eine war. Mein wichtigstes Werkzeug dagegen ist unspektakulär und kostet nichts: Ich nutze nie nur eine E-Mail-Adresse.

Das Wichtigste in Kürze

• Phishing bleibt die häufigste Betrugsform gegen Privatpersonen im Netz, unabhängig von BundID, MJP oder anderen Sicherheitsverfahren [1]
• 86 Prozent der Phishing-Mails werden inzwischen KI-generiert, klassische Fehler wie Rechtschreibfehler verschwinden zunehmend [2]
• Neben dem Absender lohnt sich immer auch ein Blick auf die eigene Empfänger-Adresse im An-Feld [3]
• Eigene Domains erlauben beliebig viele themenbezogene Adressen mit automatischer Weiterleitung
• Auch ohne eigene Domain bieten GMX, Posteo, mailbox.org und andere Anbieter kostenlose oder günstige Alias-Adressen an [4] [5]
• Eine themenbezogene Adresse zeigt zusätzlich an, wenn ein Anbieter selbst gehackt wird oder deine Daten weitergibt

Warum digitale Identität allein nicht vor Betrug schützt

Es wäre bequem, zu denken, dass ein gut abgesichertes Konto wie die BundID automatisch auch vor Phishing schützt. Tut es nicht. Die beiden Dinge lösen unterschiedliche Probleme: BundID und MJP stellen sicher, dass ich wirklich ich bin, wenn ich mit einer Behörde kommuniziere. Phishing setzt genau davor an, nämlich bei der Frage, ob eine E-Mail überhaupt von dem stammt, der sie vorgibt zu sein. Laut dem BSI-Cybersicherheitsmonitor 2026 war rund jeder zehnte Internetnutzer in Deutschland allein im vergangenen Jahr Opfer einer Straftat im Netz, Phishing gehört mit 12 Prozent zu den häufigsten Formen [1]. Fast 9 von 10 Betroffenen entstand dabei ein Schaden [1].

Was die Sache zusätzlich erschwert: KI-generierte Phishing-Mails haben die klassischen Erkennungsmuster wie holprige Sprache oder generische Anreden weitgehend abgelegt. 86 Prozent der Phishing-Angriffe nutzen inzwischen generative KI, was gefälschte Nachrichten sprachlich kaum noch von echten unterscheidbar macht [2].

Mein System: eine Domain, viele Adressen

Ich habe mehrere eigene Domains, unter anderem stawi.de, und nutze sie nicht nur für den Blog. Jede Domain lässt sich so einrichten, dass beliebig viele E-Mail-Adressen darauf ankommen und automatisch an ein zentrales Postfach weitergeleitet werden. Kaufe ich zum Beispiel online beim Kaufhof ein, gebe ich dort nicht meine private Hauptadresse an, sondern lege eine eigene Adresse an, etwa kaufhof@stawi.de. Diese Adresse existiert nirgendwo sonst, sie wird ausschließlich für diesen einen Zweck genutzt und automatisch an ein Sammelpostfach wie einkauf@stawi.de weitergeleitet.

Der Vorteil zeigt sich erst beim Lesen der eingehenden Post. Ich schaue bei jeder E-Mail zuerst auf den Absender und dann auf die Empfängeradresse. Wenn beides zusammenpasst, ist das ein gutes Zeichen. Kommt aber eine E-Mail, die vorgibt von „Galeria Kaufhof“ zu stammen, tatsächlich aber von einer Adresse wie galeria-kaufhof@betrug.net an meine allgemeine Adresse stawi@irgendwas.de geschickt wurde, weiß ich sofort: Das kann nicht echt sein. Der echte Kaufhof kennt schließlich nur die eine Adresse, die ich exklusiv für ihn angelegt habe.

Was diese Methode besser abdeckt als reine Absenderprüfung

Die gängigen Empfehlungen zur Phishing-Erkennung konzentrieren sich meist auf den Absender: Stimmt die Domain, gibt es Tippfehler, wirkt die Anrede unpersönlich. Genau das lässt sich aber fälschen, echte Absenderangaben lassen sich technisch nachbauen [3]. Deshalb rät auch die Verbraucherzentrale ausdrücklich dazu, zusätzlich die eigene Adresse im An-Feld zu kontrollieren, denn bei seriösen E-Mails steht dort in der Regel die tatsächlich hinterlegte Adresse [3].

Mein System macht aus dieser Empfehlung eine automatische Routine, statt aus einer Bewusstseinsentscheidung. Ich muss mich nicht jedes Mal aktiv fragen, ob die Empfängeradresse plausibel ist, ich sehe es auf den ersten Blick: Jede meiner themenbezogenen Adressen hat genau einen legitimen Absender. Taucht ein anderer Absender an dieser Adresse auf, ist das ein Widerspruch, der sofort auffällt.

Auch ohne eigene Domain: Alias-Adressen bei gängigen Anbietern

Wer keine eigene Domain betreiben möchte, muss trotzdem nicht auf das Prinzip verzichten. Die meisten großen E-Mail-Anbieter erlauben zusätzliche Adressen im selben Postfach. Bei GMX lassen sich im kostenlosen FreeMail-Tarif bis zu zwei eigene Adressen anlegen, in den kostenpflichtigen Tarifen ProMail und TopMail sogar bis zu 50, alle landen gebündelt im selben Posteingang [4]. Zusätzlich bietet GMX sogenannte FunDomain-Adressen mit besonderen Endungen, mit denen sich weitere thematische Adressen einrichten lassen [4].

Bei den datenschutzorientierten Anbietern Posteo und mailbox.org gehören Alias-Adressen ebenfalls zum Grundangebot: Posteo erlaubt im Standardtarif zwei zusätzliche Adressen, mailbox.org je nach Tarif eine begrenzte Anzahl, in höheren Tarifen deutlich mehr [5]. Beide Anbieter betreiben ihre Server in Deutschland und verzichten auf Werbung und Tracking [5]. Auch Tutanota bietet Alias-Adressen ab dem kleinsten kostenpflichtigen Tarif an, wenn auch mit der Einschränkung, dass sich ein einmal vergebener Alias später nicht mehr durch einen neuen ersetzen lässt [5].

Der Nebeneffekt: Du merkst, wenn ein Anbieter deine Adresse verliert

Eine themenbezogene Adresse verrät dir noch etwas anderes, und das oft früher als jede Datenleck-Meldung in den Nachrichten. Wenn du unter deiner Adresse baumarkt@meinname.de plötzlich Werbung für einen Kredit oder für Medikamente bekommst, weißt du sofort, woher das Leck stammt. Diese Adresse hast du an genau einen Anbieter herausgegeben, also kann sie auch nur von dort stammen, entweder durch einen Hackerangriff oder durch einen Verkauf der Daten an Dritte. In dem Fall lohnt es sich, den Baumarkt direkt anzuschreiben und nachzufragen, wie deine Adresse bei einem völlig anderen Anbieter gelandet ist. Mir ist das selbst schon passiert, das ist allerdings eine andere Geschichte für ein andermal.

Der eigentliche Kniff: Kategorien statt Zufall

Eine einzelne zusätzliche Adresse bringt genauso wenig wie ein starkes Passwort, das für mehrere Dienste gleichzeitig genutzt wird, wie ich es aus meiner alten Sieben-Passwörter-Praxis kenne. Der Nutzen entsteht erst durch konsequente Trennung nach Kategorien. Ich empfehle, mindestens fünf Bereiche auseinanderzuhalten: Behörden, Einkäufe, Banken und private Nachrichten. Wer eine eigene Domain hat, richtet für jede Kategorie eine Weiterleitungsadresse ein, etwa job@, einkauf@, bank@, behoerde@ und privat@, und legt für jeden neuen Anbieter eine eigene, sprechende Adresse an, die dorthin weiterleitet.

Wer stattdessen nur ein Postfach ohne eigene Domain hat, etwa einpostfach@alles.de, kann trotzdem von diesem Prinzip profitieren: Alias-Adressen wie oben beschrieben anlegen und sie ebenso konsequent nach Kategorie vergeben, statt eine einzelne Zusatzadresse wahllos überall einzutragen. Entscheidend ist nicht die Anzahl der Adressen, sondern die Disziplin, mit der jede neue Anmeldung eine eigene, nachvollziehbare Adresse bekommt.

Wie handhabst du deine E-Mail-Adressen?

Mich würde interessieren, ob du schon mit mehreren Adressen arbeitest oder ob bei dir bisher alles in einem Postfach landet. Und falls du selbst schon mal an der Empfängeradresse erkannt hast, dass eine E-Mail nicht echt sein konnte, würde ich diese Geschichte gerne hören.

• ↑ BSI: Cybersicherheitsmonitor 2026
• ↑ Dr. Web Magazin: BSI Cybermonitor 2026 – Jeder Vierte Cyber-Opfer
• ↑ Verbraucherzentrale: Phishing-Mails – Woran Sie sie erkennen
• ↑ GMX: Neue E-Mail-Adresse erstellen
• ↑ EXPERTE.de: Sichere E-Mail-Anbieter im Vergleich
• stawi.de: Passwort-Chaos – 47 Accounts, 7 Passwörter