Millionen Spam-Mails zur WM: Fußballfans verstärkt im Visier von Online-Kriminellen

Wenige Tage vor dem Eröffnungsspiel der Fußball-WM 2026 herrscht nicht nur in Stadien und auf Fanmeilen Hochbetrieb. Auch im E-Mail-Postfach ist das Turnier Thema: Cyberkriminelle versenden gefälschte E-Mails im Namen offizieller WM-Stellen, mit denen die Vorfreude vieler Fans für Betrug und Abzocke ausgenutzt werden soll. In der letzten Maiwoche 2026 sortierten die Spam-Filter von GMX und WEB.DE rund 3,8 Millionen solcher WM-basierter Spam-Mails aus – im Vergleich zum Monatsanfang eine Steigerung um Faktor sechs; Anfang Mai waren es noch 565.000 verdächtige Mails pro Woche.

Auffällig ist dabei die optische Qualität. Anders als bei Spam-Wellen früherer Jahre fehlen die typischen Warnsignale fast vollständig: kein holpriges Deutsch, keine schiefen Logos, keine plumpen Drohformeln. Die aktuellen WM-Spam-Mails kommen in sauberem Layout, mit Rechnungsnummer, vermeintlichem Buchungs-PDF, Verbands-Insignien und mitlaufendem Countdown. Texte und Bilder stammen erkennbar aus generativer KI – eine erwartbare Entwicklung für Arne Allisat, E-Mail-Security-Chef von GMX und WEB.DE:

„Künstliche Intelligenz hat die Text-Qualität von Spam- und Phishing-Mails auf ein neues Level gehoben. Das gilt auch für WM-Spam: KI-Werkzeuge produzieren in Sekunden E-Mails, die wie eine echte Buchungsbestätigung aussehen. Deswegen ist das verlässlichste Warnsignal heute vor allem künstlicher emotionaler Druck: Wenn Elemente wie ein Countdown, ‘letzte Mahnung’ oder ‘drohende Stornierung’ zum schnellen Handeln auffordern, sollte man misstrauisch werden.“

Mahnungen, Gewinne, Sicherheitswarnungen

Die Top 3 der Spam- und Phishing-Maschen zur WM setzen genau auf solche emotionalen Trigger. So versuchen sie, die Vorfreude der Fans auszunutzen:

1. Zahlungserinnerungen oder Mahnungen eines vermeintlich WM-akkreditierten Reisebüros: offene Restbeträge im niedrigen vierstelligen Bereich, knappe Frist, drohende Stornierung. Der Button führt auf eine Seite außerhalb jedes offiziellen Buchungssystems.
2. Gewinnbenachrichtigungen eines vermeintlichen VIP-Fanclubs: Tickets, Reisegutscheine und Fan-Pakete als Belohnung – freizuschalten „ganz schnell und einfach“ über eine kurze Verifizierung.
3. Die Sicherheitswarnung zu einem angeblichen WM-Ticket-Konto: Ein ungewöhnlicher Anmeldeversuch sei erkannt worden, das Konto müsse umgehend bestätigt werden. Ziel ist es, dem ahnungslosen User die Zugangsdaten zu stehlen. Denn viele Menschen nutzen dasselbe Passwort für verschiedene Dienste. Die Täter probieren die erbeuteten Daten dann systematisch bei echten Online-Shops, E-Mail-Anbietern oder Banken aus. Auch ein Verkauf der Daten oder Identitätsdiebstahl ist möglich.

 

WM-Phishing-Mail einfach erkennen

Drei Prüfschritte helfen, auch wenn die Mail täuschend echt wirkt.
Erstens die Absenderadresse: Offizielle WM-Stellen verschicken Buchungs- und Zahlungsinformationen nicht über Freemail-Domains oder leicht abgewandelte Adressen.
Zweitens keine Links aus der Mail anklicken: Buchungen lassen sich auf den offiziellen Seiten des Veranstalters direkt im Browser prüfen.
Drittens Zeitdruck als Warnsignal verstehen: Countdown, „letzte Mahnung“ oder drohende Stornierung sind klassische Phishing-Mechanik. Wer das liest, sollte erst recht innehalten und eigene Bestellungen lieber nochmal manuell im Buchungsportal prüfen.