Beweise sichern nach Betrug: Screenshots, E-Mail-Header, Chats und Anrufe richtig dokumentieren

Beweise sichern nach Betrug: Screenshots, E-Mail-Header, Chats und Anrufe richtig dokumentieren

Ohne Beweise kann die Polizei kaum ermitteln, und Bank oder PayPal lehnen Erstattungen ab. Dieser Ratgeber zeigt Schritt für Schritt, wie Sie E-Mails, SMS, Chats, Anrufe, Websites und Zahlungen so dokumentieren, dass sie vor Bank, Plattform und Gericht Bestand haben.

Von der Betrugs-Checker-Redaktion · Aktualisiert:

Das Wichtigste in Kürze

  • Nichts löschen, nichts antworten, nichts verändern – die Originalnachricht ist der wichtigste Beweis.
  • E-Mails als Quelltext (.eml) speichern oder als Anhang weiterleiten: Nur so bleiben die Kopfzeilen mit dem echten Absendeserver erhalten.
  • Screenshots immer mit Absender, Datum, Uhrzeit und vollständiger URL aufnehmen; bei Chats zusätzlich den Verlauf exportieren.
  • Ein Gedächtnisprotokoll direkt nach einem Anruf (Uhrzeit, Nummer, Aussagen, Forderung) hat vor Gericht Gewicht.
  • Legen Sie einen Ordner mit allem an und übergeben Sie Kopien an Polizei und Bank – die Originale behalten Sie.

Warum Beweise so wichtig sind

Nach einem Betrug entscheiden drei Stellen, ob Sie Geld zurückbekommen oder Täter ermittelt werden: die Polizei, Ihre Bank oder Ihr Zahlungsdienst und – bei Verträgen – ein Gericht. Alle drei brauchen Nachweise: Wer hat wann was geschrieben, welcher Link wurde geklickt, wohin ist das Geld geflossen?

Die Regel lautet: Original erhalten, Kopie weitergeben. Löschen Sie keine Mails, Chats oder SMS, auch nicht aus Ärger. Antworten Sie den Tätern nicht – jede Antwort verändert den Verlauf und bestätigt, dass Ihre Adresse aktiv ist. Legen Sie einen Ordner (digital und, falls Briefe im Spiel sind, physisch) an, in dem alles chronologisch gesammelt wird.

Was Sie sammeln sollten, hängt vom Kanal ab. Die folgenden Abschnitte zeigen für jeden Kanal, welche Angaben zählen und wie Sie sie mit Bordmitteln sichern.

E-Mails: Quelltext und Kopfzeilen sichern

Ein Screenshot der Mail zeigt nur den Anzeigenamen des Absenders – der ist gefälscht. Beweiskräftig sind die Kopfzeilen (Header): Sie enthalten den tatsächlichen Absendeserver, IP-Adressen und die Zustellkette. Sichern Sie deshalb die Mail als Datei oder Quelltext.

So geht es in gängigen Programmen

  • Gmail (Browser): Mail öffnen → Drei-Punkte-Menü → „Original anzeigen“ → „Original herunterladen“ (.eml).
  • Outlook (Windows): Mail in einen Ordner ziehen (wird als .msg gespeichert) oder Datei → Speichern unter → Format „Outlook-Nachrichtenformat“. Kopfzeilen: Datei → Eigenschaften → „Internetkopfzeilen“.
  • Outlook.com / Web.de / GMX (Browser): Mail öffnen → Menü → „Quelltext anzeigen“ oder „Nachrichtenquelle“ → Text kopieren und als .txt speichern.
  • Apple Mail: Mail auswählen → Ablage → „Als Datei sichern“ (.eml); Kopfzeilen über Darstellung → E-Mail → „Alle Header“.
  • Thunderbird: Mail → Rechtsklick → „Als Datei speichern“ (.eml).
  • iPhone / Android: Auf dem Handy lässt sich der Quelltext meist nicht anzeigen. Leiten Sie die Mail als Anhang an Ihre eigene Adresse weiter (Gmail-App: Drei-Punkte → „Als Anhang weiterleiten“) und sichern Sie sie am PC.

Zusätzlich sichern

  • Screenshot der Mail mit sichtbarem Absender, Datum und Betreff
  • Screenshot des Link-Ziels (Maus über den Link, Statuszeile sichtbar) – niemals den Link anklicken
  • Anhänge nicht öffnen; die .eml-Datei enthält sie bereits

Für die Meldung an den Phishing-Radar der Verbraucherzentrale leiten Sie die Mail ebenfalls als Anhang weiter. Was eine Phishing-Mail ausmacht, lesen Sie im Ratgeber Phishing-Mails erkennen.

SMS, WhatsApp und andere Messenger

SMS

  • Screenshot der Nachricht mit Absendernummer, Datum und Uhrzeit (bei Bedarf auf die Nachricht tippen, damit die Zeit erscheint).
  • Screenshot des Links ohne ihn zu öffnen. Am iPhone: Link gedrückt halten, Vorschau zeigt die URL. Bei Android: Nachricht kopieren und in eine Notiz einfügen.
  • Nachricht nicht löschen. Falls das Handy gewechselt wird: SMS vorher exportieren (Android: Backup-App; iPhone: iCloud-Backup).

WhatsApp

  • Chat exportieren: Chat öffnen → Kontaktname antippen → nach unten scrollen → „Chat exportieren“ → „Ohne Medien“ oder „Mit Medien“. Sie erhalten eine Textdatei mit Zeitstempeln, die Sie per Mail an sich selbst senden.
  • Screenshots zusätzlich, mit Nummer und Datum. Bei langen Verläufen die Bildschirmaufnahme-Funktion des Handys nutzen und langsam scrollen.
  • Profilinfo sichern: Screenshot der Kontaktinfo (Nummer, Profilbild, Info).
  • Erst nach dem Export melden und blockieren – blockierte Kontakte lassen sich schwerer dokumentieren.

Telegram, Signal, Facebook Messenger, Instagram

  • Screenshots mit Profilname, Nutzername (@…) und Datum; bei Telegram zusätzlich die Nutzer-ID über die Profilansicht.
  • Bei Facebook und Instagram: Profil-URL kopieren (Teilen → Link kopieren) – Profilnamen ändern sich, die ID nicht.
  • Verläufe per Bildschirmaufnahme sichern; Telegram bietet auf dem Desktop „Chatverlauf exportieren“.

Typische Messenger-Maschen und ihre Erkennungsmerkmale beschreibt der Ratgeber WhatsApp-Betrug.

Anrufe: Gedächtnisprotokoll und Rufnummer

Anrufe hinterlassen keine Nachricht – umso wichtiger ist Ihre eigene Dokumentation. Schreiben Sie direkt nach dem Gespräch ein Gedächtnisprotokoll auf:

  • Datum, Uhrzeit, Dauer des Anrufs
  • Angezeigte Rufnummer (Screenshot der Anrufliste) – auch wenn sie gefälscht sein kann
  • Wie sich der Anrufer vorgestellt hat (Name, Behörde, Firma, Dienstgrad, Aktenzeichen)
  • Was behauptet und was gefordert wurde – möglichst wörtlich
  • Ob weitere Personen am Telefon waren („weinendes Kind“, „Staatsanwalt“)
  • Was Sie gesagt oder preisgegeben haben
  • Wenn ein Bote kam: Aussehen, Kleidung, Fahrzeug, Kennzeichen, Uhrzeit

Solche Protokolle gelten vor Gericht als Beweismittel, wenn sie zeitnah entstanden sind. Aufzeichnen dürfen Sie ein Gespräch ohne Zustimmung des Gesprächspartners nicht (§ 201 StGB) – ein Protokoll ist der rechtssichere Weg. Sagen Sie dem Anrufer nicht, dass Sie mitschreiben.

Melden Sie die Nummer bei der Bundesnetzagentur; sie kann Nummern abschalten lassen. Die Muster hinter den häufigsten Anrufmaschen finden Sie unter Enkeltrick und Schockanruf und Falsche Polizisten.

Websites, Shops und Anzeigen

Betrügerische Seiten verschwinden oft nach Tagen. Sichern Sie sie, solange sie erreichbar sind:

  • Vollständige URL aus der Adresszeile kopieren – nicht nur die Domain, sondern den gesamten Link inklusive Parametern.
  • Screenshots der Startseite, des Angebots, des Impressums (oder des fehlenden Impressums), der AGB, der Zahlungsseite und der Bestellbestätigung. Datum und URL müssen sichtbar sein (Browserfenster ganz aufnehmen).
  • Seite speichern: Strg+S → „Webseite, komplett“ oder „Als PDF drucken“ (Strg+P → Ziel „Als PDF speichern“). PDFs enthalten in der Kopfzeile automatisch URL und Datum.
  • Domain-Daten: Whois-Abfrage (DENIC für .de, who.is für andere) als Screenshot – sie zeigt Registrierungsdatum und Registrar.
  • Kleinanzeigen und Marktplätze: Anzeigen-Nummer, Profil-URL, Nutzernamen, Datum der Anzeige. Die Plattform kann gelöschte Anzeigen für Ermittler wiederherstellen, wenn Sie die ID kennen.
  • Social-Media-Anzeigen: Anzeige über die Drei-Punkte-Funktion melden und vorher screenshotten; bei Facebook und Instagram die „Anzeigen-ID“ über „Warum sehe ich diese Werbung?“ notieren.

Ob ein Shop oder eine Seite überhaupt echt ist, prüfen Sie vorab mit dem Link-Check – auch der Prüfbericht lässt sich als Beleg speichern.

Zahlungen, Briefe und Ausweisdaten

Überweisungen und Kartenzahlungen

  • Überweisungsbeleg oder Screenshot aus dem Online-Banking mit Empfänger, IBAN, Betrag, Datum, Verwendungszweck
  • Bei Echtzeitüberweisung: Uhrzeit auf die Minute
  • Kartenumsatz mit Händlerbezeichnung und Autorisierungsdatum
  • PayPal: Transaktionscode aus der Zahlungsdetails-Seite
  • Krypto: Transaktions-ID (TxID), Wallet-Adresse des Empfängers, Börse, über die eingezahlt wurde
  • Gutscheinkarten: Kartennummer, Kaufbeleg, Foto der Karte

Briefe

Brief samt Umschlag aufbewahren – Poststempel, Frankierung und Absenderangaben sind Beweismittel. Nichts abheften, was Löcher in Stempel oder Barcodes stanzt; besser in eine Klarsichthülle. Zusätzlich Vorder- und Rückseite scannen oder fotografieren.

Preisgegebene Daten

Notieren Sie, welche Daten die Täter erhalten haben: Kartennummer mit Prüfziffer? Online-Banking-Zugang? Ausweiskopie? Passwörter? Diese Liste bestimmt, welche Sperren und Schutzmaßnahmen nötig sind – siehe Identitätsdiebstahl.

Der Beweis-Ordner: So übergeben Sie alles an Polizei und Bank

Legen Sie einen Ordner „Betrugsfall JJJJ-MM-TT“ an und benennen Sie Dateien mit Datum und Inhalt („2026-09-20_sms-dhl-screenshot.png“, „2026-09-20_mail-original.eml“). Ergänzen Sie eine kurze Chronologie als Textdatei: Was ist wann passiert, in Stichpunkten.

  • Polizei: Bei der Online-Anzeige laden Sie Screenshots, PDFs und Belege direkt hoch; .eml-Dateien werden nicht überall angenommen – dann als PDF ausdrucken und die Kopfzeilen als Textdatei beilegen. Vor Ort nehmen Sie den Ordner auf einem USB-Stick und die Chronologie ausgedruckt mit.
  • Bank / PayPal / Kreditkarte: Vorgangsnummer der Anzeige, Zahlungsbelege, Screenshots der betrügerischen Nachricht und Ihre Chronologie. Reklamationen schriftlich (E-Mail oder Formular), damit der Eingang belegbar ist.
  • Verbraucherzentrale, Bundesnetzagentur, Plattform: Nur die relevanten Screenshots und Kopfzeilen.

Behalten Sie die Originale, geben Sie Kopien. Löschen Sie den Ordner erst, wenn Verfahren und Erstattungen abgeschlossen sind – Nachfragen kommen oft Monate später. Welche Stelle wofür zuständig ist, steht im Ratgeber Betrug melden.

Warnzeichen auf einen Blick

  • Sie werden aufgefordert, Nachrichten zu löschen oder Chats zu beenden, „damit nichts nachverfolgt werden kann“
  • Der Kontakt drängt auf Kanäle ohne Verlauf (Telefon, selbstlöschende Nachrichten)
  • Nach dem Vorfall verschwinden Anzeige, Profil oder Website innerhalb von Stunden
  • Eine „Bank“ oder „Polizei“ bittet Sie, Screenshots oder Beweise an eine unbekannte Adresse zu senden
  • Belege oder Bestätigungen kommen nur als Bild, nicht als offizielle Buchung im Konto

So schützen Sie sich

  • Machen Sie Screenshots bereits beim ersten Verdacht, bevor Sie reagieren oder blockieren
  • Speichern Sie verdächtige E-Mails immer als .eml-Datei oder leiten Sie sie als Anhang weiter
  • Exportieren Sie Chatverläufe, bevor Sie Kontakte melden oder blockieren
  • Schreiben Sie nach jedem verdächtigen Anruf sofort ein Gedächtnisprotokoll mit Uhrzeit und Nummer
  • Bewahren Sie Briefe mit Umschlag auf und fotografieren Sie beide Seiten
  • Legen Sie einen Beweis-Ordner mit Chronologie an und benennen Sie Dateien mit Datum
  • Nehmen Sie Telefongespräche nicht heimlich auf – ein Protokoll ist rechtssicher, eine Aufnahme nicht

Betroffen? Das sollten Sie jetzt tun

  1. Nichts löschen, nicht antworten, nicht blockieren, bevor alles gesichert ist
  2. E-Mail als .eml speichern oder als Anhang weiterleiten; Screenshots mit Absender, Datum und Link-Ziel
  3. Chats exportieren und Profilinfos screenshotten; SMS mit Nummer und Uhrzeit fotografieren
  4. Gedächtnisprotokoll zu Anrufen und Übergaben schreiben; Anrufliste screenshotten
  5. Zahlungsbelege, Transaktions-IDs, Briefe samt Umschlag sichern
  6. Beweis-Ordner mit Chronologie anlegen und Kopien an Polizei, Bank und Fachstellen geben

Verwandte Ratgeber

Aktuelle Warnungen zum Thema

Häufige Fragen

Reicht ein Screenshot einer Phishing-Mail als Beweis?

Als Ergänzung ja, allein nicht. Ein Screenshot zeigt nur den gefälschten Anzeigenamen. Beweiskräftig sind die Kopfzeilen mit dem echten Absendeserver. Speichern Sie die Mail deshalb als .eml-Datei oder leiten Sie sie als Anhang weiter – dann bleiben die Kopfzeilen erhalten.

Wie zeige ich den Quelltext einer E-Mail an?

In Gmail über das Drei-Punkte-Menü → „Original anzeigen“, in Outlook über Datei → Eigenschaften → Internetkopfzeilen, bei Web.de/GMX über „Quelltext anzeigen“, in Apple Mail über Darstellung → E-Mail → Alle Header. Auf dem Handy leiten Sie die Mail als Anhang an sich selbst weiter und öffnen sie am PC.

Wie exportiere ich einen WhatsApp-Chat als Beweis?

Chat öffnen → Kontaktnamen antippen → „Chat exportieren“ → mit oder ohne Medien. Sie erhalten eine Textdatei mit Zeitstempeln, die Sie per E-Mail an sich selbst senden. Machen Sie zusätzlich Screenshots mit Nummer und Datum, bevor Sie den Kontakt blockieren.

Darf ich einen Betrugsanruf aufnehmen?

Nicht ohne Zustimmung des Gesprächspartners – das heimliche Aufzeichnen ist nach § 201 StGB strafbar. Schreiben Sie stattdessen direkt nach dem Anruf ein Gedächtnisprotokoll mit Uhrzeit, Nummer, Namen und Forderungen. Zeitnahe Protokolle sind als Beweismittel anerkannt.

Welche Beweise braucht meine Bank für eine Erstattung?

In der Regel die Vorgangsnummer der polizeilichen Anzeige, den Zahlungsbeleg, Screenshots der betrügerischen Nachricht oder Seite und eine kurze Schilderung des Ablaufs. Reichen Sie alles schriftlich ein und bewahren Sie Kopien auf.

Wie lange sollte ich die Beweise aufheben?

Mindestens bis Ermittlungsverfahren, Rückforderungen und mögliche Zivilverfahren abgeschlossen sind – oft ein bis drei Jahre. Nachfragen von Polizei, Bank oder Versicherung kommen häufig Monate später.

Quellen und weiterführende Informationen