С аналогичйно ситуацией столкнулся сегодня я, слово в слово.
Сделал скриншоты, чтобы уберечь других.

Вот вся переписка.

Первое подозрение - дважды поздоровался. Ну с кем не бывает
Второе - имя получателя не совпадает с именем пользователя.
Третье - переключается с Sie на du и обратно (понятно, что там заготовки и никто их не правит).
Ну и четвёртое - у него не получилось оплатить (ага-ага, охотно верим).

Когда всё нормально с оплатой, окно в переписке будет выглядеть вот так.

Дальше к нашим баранам. В спаме действительно лежит мыло от "кляйнанцайге".

Только адрес совсем не их, а левое мыло на левом же сервере. Почта от кляйнанцайге будет тоже из домена @kleinanzeige.de и ниоткуда больше
А кнопка Transaktion bestätigen ведёт ещё на один левый адрес

Запустил её в изолированной песочнице.
Во-первых, это короткая ссылка и настоящая ведёт по адресу https://kleinanzeigen.angebotssignal.de/order/какой-то номер для очередного лоха.
А дальше фейковая страница, что надо получить деньги.

Дальше выбор банка, чьи данные они будут красть.

Потом фейковая страница естественно не банка, а мошенников, где они получат логин и пароль.

А потом будет обработка.

Что дальше прозойдёт не знаю, т.к. закончилась сессия в "песочнице".

Если включена двухфайторная авторизация, то далеко они пройти не смогут, возможно колесо будет крутиться и когда-то "вынудит" лоха нажать кнопку поддержка, дальше они спросят номер телефона и начнут обрабатывать его уже устно. Но это не точно, так, предположения.

Раз такая пляска, написал в полицию. Не факт, что это поможет, но может они хоть домен смогут заблокировать и хоть как-то усложнят жизнь мошенникам.
Если кто-то захочет тоже поучаствовать, адреса ответственных отделов в каждой земле https://portal.onlinewache.polizei.de/de/