Lohnabrechnung-Phishing: Die gefälschte HR-Mail zum 'neuen Gehaltsportal'

Woran erkennst du sie?

• Absender wirkt wie die interne Personalabteilung, IT-Abteilung oder ein bekanntes Lohnabrechnungs-Tool des Arbeitgebers
• Betreff bezieht sich direkt auf die aktuelle Gehalts- oder Lohnabrechnung, etwa ein angebliches Update oder eine wichtige Mitteilung dazu
• Text erzeugt Druck mit der Drohung, die nächste Gehaltszahlung falle andernfalls aus oder werde verzögert
• Enthaltener Link führt auf eine externe Domain außerhalb der echten Unternehmens- oder Hochschul-Domain, etwa auf ein No-Code-Formular-Tool
• Verlinkte Seite fragt nach den regulären Anmeldedaten für das interne Mitarbeiterportal
• E-Mail stammt oft von bereits kompromittierten, aber echt wirkenden Adressen aus dem eigenen oder einem befreundeten Unternehmen
• Optisch schlichtes, aber glaubwürdiges Layout ohne das übliche Corporate Design des eigenen Arbeitgebers

Was dazu belegt ist

Die Verbraucherzentrale Nordrhein-Westfalen verzeichnete 2025 in Deutschland 382.470 Phishing-Mails. Das sind rund 10 Prozent weniger als 2024, das Niveau bleibt damit hoch. Quelle: Bundeskriminalamt, Bundeslagebild Cybercrime 2025

Das Ausspähen und Abfangen von Daten einschließlich Datenhehlerei kam 2025 auf 9.403 Fälle, aufgeklärt wurden davon 22,9 Prozent. Quelle: Bundeskriminalamt, Polizeiliche Kriminalstatistik 2025

Fälschung beweiserheblicher Daten und Täuschung im Rechtsverkehr bei Datenverarbeitung zählten 2025 zusammen 10.618 Fälle, bei einer Aufklärungsquote von 46,0 Prozent. Quelle: Bundeskriminalamt, Polizeiliche Kriminalstatistik 2025

Typischer Ablauf

1. Beschäftigte erhalten eine E-Mail, die angeblich von der Personal- oder IT-Abteilung stammt und sich auf die Gehaltsabrechnung bezieht
2. Nachricht behauptet ein Problem, ein Update oder eine notwendige Bestätigung im Zusammenhang mit der Lohnabrechnung
3. Ein Link führt zu einer gefälschten Login-Seite außerhalb der echten Unternehmensdomain
4. Opfer gibt dort seine regulären Zugangsdaten für das Mitarbeiterportal ein
5. Täter nutzen die abgegriffenen Zugangsdaten, um sich in echte Firmensysteme einzuloggen, weitere Konten zu übernehmen oder Gehaltszahlungen umzuleiten
6. Betroffene bemerken den Missbrauch oft erst bei der nächsten Gehaltszahlung oder durch ungewöhnliche Kontoaktivitäten

Typische Formulierungen der Täter

Sinngemäß wiedergegeben, keine wörtlichen Originalzitate.

• "Ihre Gehaltsabrechnung für diesen Monat konnte nicht zugestellt werden. Bitte bestätigen Sie Ihre Zugangsdaten im neuen Portal, um die Auszahlung nicht zu gefährden."
• "Wichtiges Update zur Lohnabrechnung: Bitte melden Sie sich über den folgenden Link erneut an, sonst wird Ihre nächste Zahlung ausgelassen."
• "Zur Migration auf unser neues HR-System bitten wir alle Mitarbeitenden, ihre Kontodaten und ihr Passwort bis Freitag im verlinkten Portal zu bestätigen."