Phishing Emails: "Du kommst hier net rein!" oder MailGuard – Der Türsteher für Ihr Postfach

Wie ein kleines Programm auf Ihrem Windows-Rechner Phishing-Mails erkennt, bevor Sie darauf hereinfallen – und warum es dafür nur manchmal eine KI fragt.

Es ist Dienstagmorgen, der Kaffee ist noch zu heiß, und im Postfach wartet eine Nachricht von „PayPal“: Ihr Konto sei eingeschränkt, bitte bestätigen Sie umgehend Ihre Daten. Das Logo stimmt, der Ton ist dringend, der Knopf ist schön blau. Nur: Die Mail kommt nicht von PayPal. Sie kommt von jemandem, der sehr gern Ihr Passwort hätte.

So eine Mail nennt man Phishing – vom englischen fishing, angeln. Jemand wirft einen Köder aus und hofft, dass jemand anbeißt. Und weil die Köder jedes Jahr besser aussehen, genügt der gute alte Spamfilter des Mailanbieters längst nicht mehr.

Genau dafür gibt es MailGuard. In diesem Artikel erkläre ich, wie MailGuard aufgebaut ist und wie es arbeitet – so, dass man dafür kein Informatikstudium braucht.

Was MailGuard ist – in einem Satz

Getreu dem berühmten Satz „Du kommst hier net rein!“ der Kultfigur Hakan, dem strengen und sarkastischen Türsteher (gespielt von dem deutschen Comedian Kaya Yanar), übernimmt MailGuard genau diese Rolle für Ihr Postfach: MailGuard ist ein Programm für Windows, das Ihre Postfächer im Hintergrund beobachtet, jede neue Mail prüft und Phishing kennzeichnet – auf Wunsch verschiebt es die Mail gleich in einen eigenen Ordner „Phishing“. Es funktioniert mit den Postfächern, die Sie schon haben: GMX, WEB.DE, iCloud, AOL, Outlook.com/Hotmail, dem Postfach Ihrer eigenen Domain und so ziemlich allem, was IMAP spricht. Sie müssen nichts umziehen und kein neues Mailprogramm lernen. Ihr Outlook, Thunderbird oder die Mail-App auf dem Handy bleiben, wie sie sind – die Kennzeichnung sehen Sie dort einfach mit.

Die drei Teile von MailGuard

Man kann sich MailGuard wie einen kleinen Sicherheitsdienst vorstellen, der aus drei Leuten besteht.

1. Der Nachtwächter: der Hintergrunddienst

Der wichtigste Teil sieht man gar nicht. Er läuft als Windows-Dienst – also als Programm, das mit Windows startet und auch dann arbeitet, wenn niemand angemeldet ist. Er hält die Verbindung zu Ihren Postfächern, merkt sofort, wenn eine neue Mail ankommt, prüft sie und setzt die Kennzeichnung.

Wie merkt er das so schnell? Er fragt nicht alle paar Minuten nach („Ist was Neues da? Und jetzt? Und jetzt?“), sondern bittet den Mailserver, sich zu melden, sobald etwas eintrifft. Bei IMAP heißt das IDLE – der Server tippt MailGuard sozusagen auf die Schulter.

2. Das Büro: die Einstellungen

Das Fenster, das Sie öffnen, wenn Sie etwas einrichten oder nachsehen möchten. Hier fügen Sie Postfächer hinzu, sehen die gefundenen Phishing-Mails, wählen die KI, legen fest, was mit Phishing passieren soll, und lesen im Protokoll nach, was der Dienst getan hat.

Wichtig: Das Fenster ist nur das Büro. Wenn Sie es schließen, arbeitet der Nachtwächter einfach weiter.

3. Die Türklingel: das Symbol im Infobereich

Unten rechts neben der Uhr sitzt das MailGuard-Schild. Es zeigt auf einen Blick, ob alles läuft (blaues Schild), ob die Überwachung ausgeschaltet ist (rotes Ausrufezeichen) oder ob der Dienst gerade nicht erreichbar ist (graues Ausrufezeichen). Findet MailGuard eine Phishing-Mail, meldet es sich hier mit einer kurzen Windows-Benachrichtigung.

Mit einem Rechtsklick auf das Symbol öffnen Sie die Einstellungen, sehen die gefundenen Mails oder schalten die Überwachung aus und wieder ein. Damit niemand das versehentlich tut, fragt MailGuard vor dem Ausschalten noch einmal nach.

Für Neugierige: Die drei Teile reden über eine sogenannte Named Pipe miteinander – eine Art interner Telefonleitung, die nur auf Ihrem Rechner existiert und von außen nicht erreichbar ist. Das Büro und die Türklingel fragen den Nachtwächter, und der antwortet. Nichts davon läuft über das Internet.

Wie eine Mail geprüft wird

Jetzt wird es spannend. Was passiert eigentlich, wenn die angebliche PayPal-Mail eintrifft?

Schritt 1: Die festen Prüfungen

Zuerst schaut MailGuard sich die Mail mit einer Reihe fester Regeln an. Das sind Prüfungen, die immer gleich ablaufen, nichts kosten und keine Daten irgendwohin schicken. Für jede Auffälligkeit gibt es Punkte – je mehr Punkte, desto verdächtiger.

Stimmt der Absender? Mails tragen eine Art Echtheitsstempel, den der Mailserver des Absenders anbringt. Die Fachbegriffe sind SPF, DKIM und DMARC – Sie müssen sie sich nicht merken. Wichtig ist nur: Wenn eine Mail behauptet, von paypal.de zu kommen, aber der Stempel fehlt oder gefälscht ist, gibt es kräftig Punkte. Ist der Stempel dagegen einwandfrei, gibt es sogar Punkte abgezogen.

Sieht der Absender nur so aus wie jemand? Betrüger lieben Adressen wie paypa1-sicherheit.com (mit einer Eins statt einem L) oder sparkasse-online-service.info. MailGuard erkennt solche Doppelgänger-Adressen, auch die gemeinen, bei denen ein kyrillisches „а“ aussieht wie ein lateinisches „a“.

Führt der Link dorthin, wo er behauptet? Im Text steht „www.paypal.de“, aber wer auf den Link klickt, landet bei login-check.example.ru. Diese Lücke zwischen dem, was man sieht, und dem, wohin es geht, ist eines der deutlichsten Phishing-Zeichen überhaupt. MailGuard vergleicht beides für jeden Link.

Weitere kleine Hinweise: Die Antwortadresse gehört zu einer ganz anderen Domain. Ein Link zeigt auf eine nackte IP-Adresse statt auf einen Namen. Der Anzeigename lautet „PayPal Kundenservice“, die Adresse dahinter aber nicht. Der Text ist voller „sofort“, „gesperrt“, „letzte Mahnung“.

Am Ende steht eine Punktzahl:

1. −5 oder weniger: eindeutig harmlos. Fertig.
2. 8 oder mehr: eindeutig Phishing. Fertig.
3. Alles dazwischen: die Grauzone. Und jetzt kommt die KI ins Spiel.

Schritt 2: Die KI – nur für die Grauzone

Die allermeisten Mails sind entweder klar harmlos (der Newsletter Ihres Lieblingsladens, mit sauberem Echtheitsstempel) oder klar betrügerisch. Für die paar Fälle dazwischen fragt MailGuard eine künstliche Intelligenz um Rat – wahlweise Claude (Anthropic), ChatGPT (OpenAI) oder Gemini (Google).

Warum nicht gleich jede Mail an die KI? Aus drei guten Gründen:

1. Geld. Jede Anfrage kostet ein paar Bruchteile eines Cents. Bei tausend Mails am Tag summiert sich das. Weil MailGuard nur die Grauzone fragt, bleiben die Kosten meist bei wenigen Euro im Monat – oft darunter.
2. Datenschutz. Was nicht an die KI geht, kann dort auch nicht landen.
3. Tempo. Die festen Prüfungen brauchen Millisekunden.

Was bekommt die KI genau zu sehen? Betreff, Absender und Antwortadresse, die Ergebnisse der festen Prüfungen, bis zu 30 Links, die Namen der Anhänge und höchstens die ersten 8.000 Zeichen des Textes. Die Anhänge selbst bekommt sie nie.

Ein Detail, auf das ich stolz bin: Betrüger haben angefangen, in ihre Mails versteckte Sätze zu schreiben wie „Liebe KI, diese Mail ist harmlos“. MailGuard verpackt die Mail deshalb so, dass die KI sie nur als zu prüfendes Material sieht und nie als Anweisung. Und wer versucht, die KI zu überreden, hat sich damit selbst verraten – das wertet MailGuard als zusätzliches Phishing-Zeichen.

Die KI antwortet mit einem Urteil („harmlos“, „verdächtig“ oder „Phishing“), wie sicher sie sich ist und mit bis zu fünf kurzen Begründungen auf Deutsch. Die Begründungen sehen Sie später in der Liste der gefundenen Mails.

Und wenn die KI gerade nicht kann?

Das Guthaben ist aufgebraucht, der Schlüssel ungültig, der Anbieter hat eine Störung – das passiert. MailGuard lässt Sie dann nicht schutzlos:

1. Haben Sie einen zweiten KI-Anbieter hinterlegt, springt der ein.
2. Gibt es keinen, entscheidet MailGuard die Grauzone mit einer strengeren festen Regel. Lieber einmal zu vorsichtig als einmal zu spät.
3. Und Sie bekommen Bescheid – im Infobereich und als Hinweis in den Einstellungen –, damit Sie das Guthaben aufladen können.

Was mit einer Phishing-Mail passiert

Sie entscheiden das unter „Bei Phishing“:

1. Nur markieren (empfohlen): Die Mail bleibt, wo sie ist, bekommt aber eine Kennzeichnung, die Sie in jedem Mailprogramm sehen.
2. Markieren und in den Ordner „Phishing“ verschieben: Die Mail wandert zusätzlich in einen Ordner „Phishing“. Den Namen des Ordners können Sie selbst wählen – benennen Sie ihn um, zieht MailGuard auf dem Server mit.

Gelöscht wird nie etwas. Wenn MailGuard sich irrt, holen Sie die Mail einfach zurück.

Warum das auf allen Geräten funktioniert

Hier steckt ein kleiner Trick: MailGuard merkt sich nicht auf Ihrem Rechner, welche Mail geprüft ist, sondern im Postfach selbst. Bei IMAP sind das unsichtbare Schlagworte an der Mail, bei Microsoft-Konten eine Kategorie. Das hat zwei Vorteile:

1. Ihr Handy, Ihr Tablet und Ihr Webmail sehen die Kennzeichnung sofort mit.
2. Laufen mehrere MailGuards auf verschiedenen Rechnern, prüft trotzdem jede Mail nur einer.

Ein paar Anbieter (AOL zum Beispiel) erlauben keine eigenen Schlagworte. Für die führt MailGuard zusätzlich eine kleine Liste auf Ihrem Rechner und markiert Phishing mit dem üblichen Fähnchen.

Rundgang durch das Programm

Postfächer

Oben sehen Sie auf einen Blick, wie viele Postfächer überwacht werden, wie viele Mails geprüft wurden und wie viele davon Phishing waren. Darunter die Postfächer selbst, jedes mit seinem Zustand: „Aktiv“, „Anmeldung erforderlich“ oder „Keine Verbindung“ – und dann immer mit einem Satz, was zu tun ist.

Ein Postfach hinzufügen ist erfreulich unspektakulär: Sie geben Ihre Mailadresse ein, und MailGuard ermittelt die Servereinstellungen selbst – aus seiner eigenen Liste bekannter Anbieter, aus den Einstellungen, die viele Anbieter dafür veröffentlichen, oder notfalls durch vorsichtiges Ausprobieren.

Zwei Hinweise aus der Praxis:

1. iCloud und AOL verlangen ein sogenanntes app-spezifisches Passwort statt Ihres normalen Passworts. MailGuard sagt Ihnen, wo Sie es bekommen.
2. Outlook.com, Hotmail und Live melden Sie über das echte Microsoft-Anmeldefenster im Browser an. MailGuard sieht Ihr Passwort dabei nie, es bekommt von Microsoft nur eine Erlaubnis, Ihre Mails zu lesen und zu kennzeichnen. Die können Sie in Ihrem Microsoft-Konto jederzeit wieder entziehen.

Passwörter, die MailGuard doch speichern muss (bei IMAP), liegen verschlüsselt auf Ihrem Rechner – mit der Verschlüsselung, die Windows selbst dafür anbietet. Sie verlassen den Rechner nie, außer auf dem direkten Weg zu Ihrem Mailserver.

Gefundene Mails

Hier steht jede Mail, die in Ihren Postfächern als Phishing markiert ist – egal, ob MailGuard sie gerade erst gefunden hat, ob sie schon im Ordner „Phishing“ liegt oder ob Sie sie selbst markiert haben. Denn eine Phishing-Mail wird nicht harmlos, nur weil sie verschoben wurde. Die Zahl in Klammern im Menü zeigt, wie viele es gerade sind.

Zu jeder Mail sehen Sie, warum sie verdächtig ist: „Der Link-Text zeigt eine andere Adresse als das tatsächliche Ziel“, „Die Absenderadresse ähnelt paypal.de“ und so weiter. Ich finde das wichtig, denn so lernt man nebenbei, worauf man achten muss.

KI

Hier wählen Sie den Anbieter und das Modell. MailGuard holt die aktuelle Modellliste direkt beim Anbieter und markiert die empfohlenen mit Preis. Sie brauchen einen eigenen API-Schlüssel des Anbieters – das ist so etwas wie eine Kundennummer mit Passwort, mit der der Anbieter Ihre Anfragen abrechnet. Der Schlüssel liegt verschlüsselt auf Ihrem Rechner.

Optional legen Sie einen zweiten Anbieter als Ersatz fest. Und weil KI-Anbieter alte Modelle regelmäßig in Rente schicken, sagt MailGuard Ihnen rechtzeitig Bescheid, wenn Ihr Modell bald abgeschaltet wird, und schlägt einen Nachfolger vor.

Erstprüfung

Neue Mails prüft MailGuard immer. Aber was ist mit den Hunderten oder Tausenden, die schon im Postfach liegen? Dafür gibt es die Erstprüfung. Bevor sie startet, schätzt MailGuard, wie viele Mails es sind, wie viele davon wohl in die Grauzone fallen und was das ungefähr kosten wird. Erst wenn Sie zustimmen, geht es los – und Sie können jederzeit pausieren. Ein Monatslimit für die KI-Kosten sorgt dafür, dass keine Überraschung auf der Rechnung steht.

Protokoll

Das Protokoll zeigt, was der Dienst getan hat: welche Mail in welchem Ordner wann geprüft wurde und mit welchem Ergebnis, wann ein Postfach nicht erreichbar war, wann die Überwachung ein- oder ausgeschaltet wurde – und von wo. Betreff, Absender oder Inhalt der Mails stehen hier nie drin. Das Protokoll ist für die Frage „Was ist passiert?“, nicht für „Was stand drin?“.

Updates

MailGuard schaut einmal am Tag auf geekinfinity.net nach, ob es eine neue Version gibt. Gibt es eine, erscheint ein Hinweis – installiert wird aber erst, wenn Sie auf „Jetzt aktualisieren“ klicken. Das dauert dann rund eine Minute, der Schutz ist dabei nur ein paar Sekunden unterbrochen.

Jedes Update ist digital signiert. MailGuard prüft vor der Installation, ob die Signatur stimmt und das Paket genau das ist, was angekündigt wurde. Selbst wenn jemand meinen Server übernähme, könnte er Ihnen kein gefälschtes Update unterschieben.

Sprache

MailGuard spricht Deutsch, Englisch, Französisch, Italienisch, Spanisch und Polnisch. Voreingestellt ist die Sprache Ihres Windows; umschalten wirkt sofort – im Fenster, im Infobereich und im Protokoll.

Info

Version, Lizenz, die Hinweise zu den verwendeten Fremdbibliotheken – und wer das Ganze gebaut hat.

Was MailGuard nicht ist

Ehrlich gesagt gehört auch das in einen Artikel wie diesen:

1. Kein Ersatz für gesunden Menschenverstand. MailGuard fängt sehr viel ab, aber nicht alles. Wenn Ihnen eine Mail komisch vorkommt, ist sie es wahrscheinlich.
2. Kein Virenscanner. MailGuard öffnet keine Anhänge und prüft sie nicht auf Schadsoftware. Es achtet darauf, ob eine Mail Sie zu etwas verleiten will.
3. Kein Cloud-Dienst. Es gibt keinen MailGuard-Server, der Ihre Mails liest. Alles passiert auf Ihrem Rechner. Ins Internet geht es nur zu Ihren Mailservern, zur KI Ihrer Wahl (nur für die Grauzone) und einmal am Tag zu geekinfinity.net, um nach Updates zu sehen.

Für Technik-Interessierte: die Zutaten

1. Hintergrunddienst: .NET 10, Windows-Dienst
2. Einstellungen und Infobereich: WPF
3. Postfächer: IMAP (MailKit) und Microsoft Graph
4. Daten auf dem Rechner: SQLite; Passwörter und Schlüssel mit Windows-DPAPI verschlüsselt
5. Verständigung der Teile: Named Pipe, nur lokal, nur für angemeldete Benutzer
6. KI: Claude, ChatGPT oder Gemini über die offiziellen Schnittstellen
7. Updates: MSI-Pakete, mit eigenem Schlüssel signiert (ECDSA)
8. Tests: gut 2.100 automatische Tests

Phishing wird nicht verschwinden. Aber es wird ein ganzes Stück langweiliger für die Angler, wenn am anderen Ende jemand sitzt, der die Köder kennt.

Marcus Pock, MSc – Sr. Software Architect

Updates

2026-10-07 – Version 0.3.1

1. Kontakt aus dem Programm: Auf der Seite „Info“ gibt es jetzt zwei Schaltflächen. „Kontakt“ öffnet ein kleines Fenster, in dem Sie mir direkt schreiben können, ohne Ihr Mailprogramm zu öffnen. „Webseite“ führt Sie zu geekinfinity.net.

2. Gmail-App-Passwort mit einem Klick: Die Adresse der Google-Seite für App-Passwörter ist jetzt ein Link, der die Seite gleich im Browser öffnet.

3. Klarere Beschriftung: In „Gefundene Mails“ heißt die Schaltfläche, mit der Sie eine Mail freigeben, jetzt schlicht „Kein Phishing“.

2026-10-07 – Version 0.3.0

1. Gmail: MailGuard überwacht jetzt auch Gmail-Postfächer. Sie melden sich entweder über das echte Google-Anmeldefenster im Browser an, wobei MailGuard Ihr Passwort nie sieht, oder mit einem App-Passwort. Die Kennzeichnung sehen Sie wie gewohnt in Gmail im Browser, auf dem Handy und in jedem anderen Mailprogramm.

2. Yahoo: Yahoo Mail ist als Anbieter dazugekommen, ebenfalls mit App-Passwort.

3. Update-Suche beim Start: MailGuard sucht neue Versionen jetzt nicht nur einmal am Tag, sondern auch gleich beim Programmstart. Wer das nicht möchte, schaltet es auf der Seite „Updates“ ab.

4. Logos: In der Liste der Postfächer und beim Hinzufügen erkennen Sie die Anbieter jetzt an ihren Logos.

2026-10-07 – Version 0.2.9

1. Verständliche Begründungen: „Gefundene Mails“ erklärt jede Mail in einem Satz. Auf Klick gibt es die ausführliche Erklärung: was gefunden wurde, was es bedeutet und woran Sie es beim nächsten Mal selbst erkennen.

2. Genaueres Protokoll: Jede verschobene Phishing-Mail steht einzeln im Protokoll, mit Ordner und Empfangszeit.

2026-10-07 – Version 0.2.8

1. Fehlalarme bei Outlook.com behoben: Microsoft schreibt Links in Mails auf eigene „Safe Links“ um. Das sah für MailGuard aus wie ein Link, der woandershin führt, als er vorgibt. MailGuard prüft jetzt das echte Ziel dahinter, und harmlose Mails bleiben im Posteingang.

2. Irrtümer zurücknehmen: In „Gefundene Mails“ gibt es eine Schaltfläche, mit der Sie eine fälschlich erkannte Mail zurück in den Posteingang holen. MailGuard merkt sich das und markiert diese Mail nie wieder.

3. Benachrichtigungen mit Namen: Windows-Benachrichtigungen tragen jetzt den Namen MailGuard und das MailGuard-Symbol.

4. Barrierefreiheit: Bildschirmleser nennen Fenster, Listen und Tabellenzeilen mit sinnvollem Text. Die Gründe zu nachgeahmten Absendern erscheinen in der gewählten Sprache.

2026-10-06 – Version 0.2.6

1. Sechs Sprachen: Der neue Menüpunkt „Sprache“ stellt MailGuard auf Deutsch, Englisch, Französisch, Italienisch, Spanisch oder Polnisch um, für Einstellungen, Infobereich und Protokoll.

2. Seite „Updates“: Sie zeigt die installierte Version, wann zuletzt gesucht wurde und welche neuen Versionen es gibt.

3. Lesbares Protokoll: Das Protokoll nennt Ordner und Empfangszeit statt interner Kennungen und zeigt, von wo die Überwachung ein- oder ausgeschaltet wurde.

2026-10-06 – Version 0.2.5

1. Microsoft-Konten: Outlook.com, Hotmail und Live lassen sich jetzt anmelden und prüfen, über das echte Microsoft-Anmeldefenster.

2. Seite „Info“: Sie zeigt jetzt das GeekInfinity-Logo und den Autor.

2026-10-06 – Version 0.2.4

1. Automatische Updates: MailGuard sucht einmal am Tag nach neuen Versionen und aktualisiert sich auf Ihren Klick selbst.

2. Seite „Info“: neu, mit Version, Lizenz und Hinweisen zu den verwendeten Fremdbibliotheken.

3. Übersicht: „Gefundene Mails“ zeigt die Anzahl im Menü, und die Navigation lässt sich einklappen.

4. AOL: AOL-Postfächer werden jetzt zuverlässig geprüft.

5. Sicherheitsfrage: „Überwachung stoppen“ im Infobereich fragt vorher noch einmal nach.

2026-10-05 – Version 0.2.0

Die erste Fassung von MailGuard: Hintergrunddienst, Einstellungen und Symbol im Infobereich. Dazu IMAP-Postfächer mit selbst ermittelten Servereinstellungen, die festen Prüfungen, die KI für die Grauzone und der Ordner „Phishing“.

Wer MailGuard schon installiert hat, bekommt jedes Update über den Hinweis im Programm. Ein Klick auf die Schaltfläche „Jetzt aktualisieren“ genügt.