Gmail liest deine Quittungen, bevor du sie öffnest – und Betrüger wissen das

Diese übersichtliche Karte oben in deinem Posteingang, die zeigt, dass deine Amazon-Bestellung am Donnerstag ankommt, wurde nicht von einer KI erfunden, die deine Gedanken liest. Gmail hat einen Block aus schema.org-Markup gefunden, den der Absender im HTML der E-Mail versteckt hatte, geparst ihn und hat die Karte für dich gezeichnet. Das bedeutet, dass ein Betrüger, der dasselbe Markup einfügt, eine gefälschte Bestellung genauso bestätigt aussehen lassen kann wie eine echte.

Woher weiß Gmail, dass ein Paket kommt, bevor du die E-Mail liest?

Der Absender sagt es ihm – in einer maschinenlesbaren Sprache, die Gmail ihn sprechen bittet. Googles Entwicklerdokumentation für E-Mail-Markup ist eindeutig: Einzelhandelsbetriebe und Fluggesellschaften betten strukturierte Daten mithilfe des schema.org-Vokabulars ein, entweder als JSON-LD oder Microdata, im HTML der Nachricht. Eine Bestellbestätigung enthält ein Order-Objekt mit Feldern wie orderNumber, orderStatus und einen verschachtelten ParcelDelivery mit expectedArrivalUntil und einer Tracking-URL. Ein Flug enthält eine FlightReservation mit dem Abflughafen, dem Gate und der Boardingzeit.

Gmails Parser liest diese Felder und rendert sie als Hervorhebungen oben im Posteingang und innerhalb der Nachricht. Keine KI „versteht" deine Reisepläne. Sie liest beschriftete Daten genauso wie ein Browser ein Adressfeld liest. Die Intelligenz steckt fast vollständig im HTML des Absenders, nicht in Googles Black Box.

Warum macht das gefälschte Bestellungen überzeugender, nicht weniger überzeugend?

Weil das Markup einfach nur Text ist, und Text kopiert sich. Es gibt keine kryptografische Verbindung zwischen „diese Karte sagt, deine Bestellung wurde versendet" und „diese Bestellung ist echt". Googles Schema-Registrierungsprozess überprüft das Volumen und die Formatierung eines Absenders, bevor er Rich Cards im großen Stil aktiviert, aber das zugrunde liegende JSON-LD sitzt offen sichtbar in jeder legitimen Bestätigung, die du je erhalten hast. Öffne eine, schau dir den Quelltext an, und dort ist es.

Ein Betrüger kratzt diesen Block ab, tauscht seinen eigenen Tracking-Link und eine gefälschte Bestellnummer aus und sendet es. Wenn die Nachricht die Authentifizierung besteht, kann Gmail glücklich eine ordentliche „kommt bald an"-Karte über eine E-Mail zeichnen, die reine Köder ist. Das visuelle Vertrauen, das du über hundert echte Lieferungen aufgebaut hast, wird kostenlos ausgeliehen. Die Karte sieht offiziell aus, weil das Format offiziell ist. Der Inhalt ist das, was der Absender getippt hat.

Was unterscheidet eine echte Bestätigung wirklich von einer gefälschten?

Nicht die Karte. Die Authentifizierungs-Header darunter. Drei Kontrollen entscheiden, ob ein Absender wirklich der ist, für den er sich ausgibt: SPF bestätigt, dass der sendende Server für die Domain autorisiert ist, DKIM ist eine kryptografische Signatur auf dem Nachrichtentext, und DMARC sagt den Empfängern, was zu tun ist, wenn SPF oder DKIM fehlschlagen. Google und Yahoo machten das ab Februar 2024 für jeden obligatorisch, der mehr als 5.000 Nachrichten pro Tag an ihre Nutzer sendet. Massenversender ohne gültiges DMARC werden abgelehnt oder in den Spam verschoben.

Das ist die Schicht, der es wert ist zu vertrauen, und es ist die, die dir keine Karte anzeigt. In Gmail öffnest du die Nachricht, klickst auf das Drei-Punkte-Menü, wählst „Original anzeigen" und suchst nach PASS bei SPF, DKIM und DMARC. Eine gefälschte E-Mail zum Thema „Bestellung versendet", die einen echten Einzelhändler nachahmt, wird normalerweise DKIM fehlschlagen oder von einer Domain kommen, die sich nicht deckt. Die hübsche Karte kann über Lieferterminen nicht lügen; die Header können über den Absender nicht lügen. Tools, die diese Header für dich lesen, einschließlich der Betrugserkennung in KI-E-Mail wie xmail, überprüfen dasselbe, nur schneller, als du es von Hand tun würdest.

Was solltest du tun, wenn eine überraschende Paketkarte auftaucht?

Vertraue der Verfolgung, die du eingeleitet hast, nicht der Verfolgung, die unangemeldet ankam. Wenn eine Karte eine Lieferung ankündigt, die du nicht zu bestellen erinnerst, klick nicht auf ihren Link. Die Tracking-URL im gefälschten Markup ist der ganze Punkt des Betrugs, führt oft zu einer Seite „zahle diese Zollgebühr" oder „bestätige deine Adresse", die Kartendaten sammelt. Der U.S. Postal Inspection Service und die FTC haben beide wiederholt vor gefälschten Lieferungstexten und E-Mails gewarnt, die genau das tun.

Geh stattdessen direkt zum Einzelhändler oder Kurierdienst, gib die Adresse selbst ein und füge die Verfolgungsnummer dort ein. Wenn die Bestellung in deinem echten Konto nicht existiert, war die Karte Theater. Und wenn du ein Erkennungszeichen haben möchtest, bevor du überhaupt klickst: Eine echte Versand-E-Mail kommt fast immer von einer Domain, mit der du schon transagiert hast und besteht DMARC. Eine gefälschte wird häufig von einer ähnlichen Domain gesendet, die sich nicht deckt, mit einer Karte oben drauf wie eine ausgeliehene Uniform.