Prime Deal Days: Ist die Mail wirklich von Amazon?

Am Dienstag um 00:01 Uhr starten die Prime Deal Days. 48 Stunden lang verspricht Amazon in Deutschland mehr als eine Million Angebote, parallel laufen die Aktionstage in 21 weiteren Ländern. Für Betrüger ist das die ergiebigste Woche des Herbstes. In diesem Jahr kommt etwas dazu. Seit Ende vergangener Woche verschickt Amazon echte Mails zur Prime-Gebühr, und in denen geht es um Geld.

Warum diese Woche besonders heikel ist

Der Bundesgerichtshof hat am 1. Oktober auf eine Klage der Verbraucherzentrale NRW die Klausel gekippt, mit der Amazon im Herbst 2022 den Prime-Preis erhöht hatte, Aktenzeichen III ZR 205/25. Wer Prime schon vor dem 15. September 2022 hatte und seitdem durchgehend zahlt, bekommt wieder den alten Preis, also 69 Euro im Jahr oder 7,99 Euro im Monat. Amazon nennt die Senkung in seiner Mail ausdrücklich vorübergehend. Eine Erstattung der Mehrbeträge seit 2022 hat das Unternehmen nicht angekündigt. Dafür läuft eine Sammelklage vor dem Oberlandesgericht Hamm, eintragen kannst du dich kostenlos im Klageregister des Bundesamts für Justiz.

Für Phishing-Banden ist das ideal, denn eine echte Nachricht über Geld an Millionen Menschen ist die perfekte Vorlage für eine falsche, in der dann eine Erstattung bereitliegt und nur noch die Bankverbindung bestätigt werden muss. Wie groß der Apparat dahinter ist, zeigt eine Auswertung von Check Point vom 1. Oktober. Im September wurden 1.284 neue Domains mit Bezug zu Amazon oder Prime registriert, 37 Prozent mehr als ein Jahr zuvor. Jede sechzehnte davon stuft Check Point als bösartig oder verdächtig ein, darunter gefälschte Amazon-Shops aus Deutschland und Japan. Die Köder sind altbekannt, mal winkt ein Gratis-Gutschein, mal ist angeblich das Konto gesperrt. In Deutschland kommt Betrug im Namen von Amazon vor allem per Mail. 2025 gingen laut Amazon 46 Prozent der deutschen Meldungen auf E-Mails zurück und 24 Prozent auf Anrufe.

Der sicherste Prüfweg führt durchs Konto

Absender, Logo und Tonfall lassen sich fälschen, das räumt Amazon in seiner Hilfe selbst ein. Verlässlich ist nur, was in deinem Konto steht. Öffne dafür die App oder tippe amazon.de selbst in den Browser, nie über den Link aus der Nachricht. Unter „Mein Konto“ findest du das Message Center. Dort liegt laut Amazon die gesamte E-Mail-Kommunikation, die das Unternehmen verschickt hat. Taucht eine Mail dort nicht auf, stammt sie auch nicht von Amazon.

In einem von uns geprüften Konto zeigt die Seite inzwischen drei Bereiche, nämlich E-Mails, Textnachrichten und Anrufe, getrennt nach Amazon und externen Verkäufern. Die echte Prime-Mail vom 2. Oktober ist dort mit dem Absender prime@amazon.de und dem Betreff „Informationen zur Änderung deiner Prime-Mitgliedsgebühr“ abgelegt. Bei Bestellungen geht es noch schneller. Eine Versandmail für etwas, das du nicht bestellt hast, kommt laut Amazon wahrscheinlich nicht von Amazon, und unter „Meine Bestellungen“ stehen nur echte Käufe. Ob deine Mitgliedschaft läuft und was sie kostet, zeigt „Mein Konto“ unter „Prime-Mitgliedschaft“.

Amazon Verify prüft auch Anrufe

Für Fälle, in denen das Message Center nicht weiterhilft, gibt es ein eigenes Prüfwerkzeug. Es heißt Amazon Verify und steckt in der Hilfe unter „Betrug erkennen“ hinter dem Link „Einen Anruf oder eine Nachricht bestätigen“. Du gibst an, wann die Nachricht kam und ob es eine E-Mail, eine SMS oder ein Anruf war. Älter als 30 Tage darf sie nicht sein. Mails kannst du auch an verify@amazon.de weiterleiten. Laut Amazon fragen jedes Jahr 360.000 Kunden beim Kundenservice nach, ob eine Nachricht echt ist. In den USA beantwortet das seit September auch der Einkaufsassistent Alexa for Shopping, in Deutschland gibt es das noch nicht.

Was Amazon nie von dir will

Am Telefon fragt Amazon laut seiner Hilfe nie nach deinem Passwort, nach Einmalcodes, nach Gutscheincodes oder nach Kartendaten. Bezahlen sollst du nie außerhalb der Amazon-Seite oder der App, auch nicht per Überweisung. Wer dich bittet, eine App für den Fernzugriff zu installieren, ist ebenfalls nicht Amazon. Für Anrufe rät das Unternehmen schlicht, im Zweifel aufzulegen und sich danach selbst über App oder Website beim Kundenservice zu melden.

Für die Prime-Gebühr bedeutet das, dass die echte Mail nur informiert. Amazon schreibt darin, der niedrigere Preis gelte ab der nächsten Zahlung, die Änderung erfolge automatisch und du müsstest nichts weiter tun. Eine Nachricht, die eine Erstattung für die Jahre seit 2022 verspricht und dafür Bank- oder Kartendaten verlangt, passt also nicht zu dem, was Amazon verschickt. Wer sein Geld zurückhaben will, sucht die Seite des Klageregisters beim Bundesamt für Justiz selbst und folgt keinem Link aus einer Mail.

Passkey und zweiter Faktor vor dem Aktionstag

Am besten geschützt ist ein Konto, bei dem ein abgefischtes Passwort allein nichts bringt. Amazon unterstützt Passkeys. Du richtest sie unter „Mein Konto“, „Anmelden und Sicherheit“ beim Punkt Passkey ein und meldest dich danach mit Gesicht, Fingerabdruck oder Geräte-PIN an. Ein Passkey ist an die echte Amazon-Adresse gebunden, auf einer nachgebauten Seite lässt er sich deshalb nicht verwenden. Laut Amazon brauchst du mindestens iOS 16, Android 9, Windows 10 oder macOS Big Sur. Im selben Menü schaltest du die Zwei-Faktor-Authentifizierung ein, die Codes kommen per SMS oder aus einer Authenticator-App. Die App ist die robustere Wahl, weil sich SMS-Codes mit einem SIM-Swap umleiten lassen. Wie Passkey, App-Code und Passwort zusammenspielen, steht in unserem Magazin zur Kontosicherung.

Hast du schon geklickt und dich angemeldet, zählt Tempo. Ändere sofort dein Amazon-Passwort, und zwar auf der echten Seite. Hast du Kartendaten eingegeben, ruf deine Bank oder den Kartenanbieter an. Unter „Einen Betrug melden“ führt dich Amazon danach Schritt für Schritt weiter, je nachdem, ob du Kontodaten, Bankdaten oder Fernzugriff herausgegeben hast. Die Fälschung selbst leitest du als Anhang an reportascam@amazon.com weiter. So bleiben die Kopfdaten erhalten, mit denen Amazon die Herkunft nachverfolgt. Ist schon Geld weg, gehört der Fall zusätzlich zur Polizei. Ein neues Passwort beendet nicht jede Gefahr, wie unser Magazin über gestohlene Sitzungs-Cookies zeigt.