Sicherheit/Phishing

Unter dem Begriff Phishing (Neologismus von "password harvesting and fishing", engl. für ‚Passwörter abgrasen und fischen‘) versteht man Versuche, über gefälschte Webseiten, E-Mails oder Kurznachrichten an persönliche Daten eines Internet-Benutzers zu gelangen und damit Identitätsdiebstahl zu begehen. Dadurch entstehen deutschlandweit jährlich wirtschaftliche Schäden in Millionenhöhe.

Wie funktioniert es?

Bei der meistverbreiteten Art von Phishing-Angriffen erzeugt der Angreifer als Vorbereitung eine Webseite, die der einer renommierten Bank, eines vielgenutzten Online-Shops oder eines Social-Media-Dienstes täuschend ähnlich sieht.

Im zweiten Schritt versucht der Angreifer, seine Opfer auf diese präparierte Webseite zu locken und sie dazu zu bringen, dort ihre Zugangsdaten einzugeben. Das erfolgt meist durch eine e-Mail-Nachricht (SPAM oder im Einzelfall auch gezielt). Mit einer erfundenen Begründung wird der Mail-Empfänger dazu gedrängt, einen Link in der Mailnachricht anzuklicken und so die präparierte Webseite aufzurufen. Beispielsweise weil die Organisation ihre IT umgestellt habe und deshalb eine erneute Verifizierung aller Benutzer-Zugänge erforderlich sei.

Haben arglose Nutzer dann auf der gefälschten Webseite tatsächlich ihre Daten eingegeben, kann der Angreifer z.B. deren Bankkonto, deren Account beim Online-Shop oder auch deren e-Mail-Postfach kapern.

Wie kann man Phishing erkennen?

Die schlechte Nachricht ist: Es gibt kein eindeutiges Merkmal, an dem man Phishing-Mails erkennen könnte. Schließlich gibt sich der Betrüger ja alle Mühe, um genau das zu verhindern.

Es gibt aber eine ganze Reihe von Indizien, die Sie Verdacht schöpfen lassen sollten:

• Haben Sie mit dem betroffenen Unternehmen überhaupt e-Mail-Kontakt gehabt? Banken kommunizieren mit ihren Kunden oft nur per Post. Seien Sie daher argwöhnisch, wenn Sie plötzlich eine e-Mail bekommen: Haben Sie diesem Unternehmen je Ihre Mailadresse mitgeteilt?
• Ist die Formulierung des Textes irgendwie auffällig? Werden Sie plötzlich geduzt, obwohl das Unternehmen Sie sonst mit Sie anredet? Ist die Anrede unpersönlich, obwohl Sie sonst mit Namen angesprochen werden?
• Enthält der Text übertrieben drängende Aufforderungen? Haben Sie den Eindruck, dass Sie unter Druck gesetzt werden?
• Weicht der Absender von anderen Mails ab, die Sie vom gleichen Unternehmen schon erhalten haben?
• Fallen Ihnen zahlreiche Schreibfehler, Grammatikfehler oder falsch angezeigte Zeichen auf, etwa seltsame Hieroglyphen anstelle von deutschen Umlauten? Das war bis vor wenigen Jahren noch ein häufiges Merkmal von Phishing-Mails, aber die Betrüger werden auch sprachlich immer besser.

Kontrollieren Sie auch Links, die in der Nachricht enthalten sind. Zeigen Sie mit der Maus auf einen Link, ohne ihn jedoch anzuklicken. Die meisten Mailprogramme oder Webmail-Oberflächen zeigen dann das Linkziel in der Statuszeile an. Bedenken Sie, dass z.B. meinesuperbank.de und meinesuperbank-kundendienst.de zwei völlig verschiedene Adressen sind, die nichts miteinander zu tun haben. Nehmen Sie im Verdachtsfall von sich aus Kontakt mit dem entsprechenden Unternehmen auf und fragen Sie nach, ob die Mailnachricht echt sein könnte.

Was tun bei Phishing-Verdacht?

Wenn Sie eine e-Mail-Nachricht erhalten haben, die Sie für einen Phishing-Versuch halten, sollten Sie das betroffene Unternehmen (Bank, Online-Shop o.ä.) umgehend darüber informieren. Leiten Sie die mutmaßliche Phishing-Nachricht an die IT-Gruppe des Unternehmens weiter und erläutern Sie Ihren Verdacht. Nutzen Sie dabei die Funktion Weiterleiten als Anhang oder Forward as attachment, wenn Ihr Mailprogramm oder Ihr Anbieter das zulässt. So bleiben auch alle unsichtbaren Metadaten in der Mailnachricht erhalten und können von Fachleuten forensisch untersucht werden.

Versuchen Sie aber bitte nicht, selbst aktiv zu werden, indem Sie beispielsweise auf die Nachricht antworten und den Absender auffordern, mit dem Unfug aufzuhören. Damit machen Sie sich möglicherweise selbst unnötig Ärger, während die Erfolgschancen nahezu Null sind. Insbesondere verraten Sie dem Absender so, dass er ein Postfach erwischt hat, das tatsächlich aktiv genutzt wird. Die Wahrscheinlichkeit ist groß, dass Sie dann in kurzer Zeit SPAM von vielen weiteren Absendern bekommen.

Was kann man noch tun, wenn's passiert ist?

Wenn Sie merken, dass Sie einem Betrüger auf den Leim gegangen sind, ist noch nicht alles verloren. Nehmen Sie so schnell wie möglich mit der betroffenen Organisation (Bank, Online-Shop etc.) Kontakt auf, erklären Sie die Situation und lassen Sie den Online-Zugang sofort sperren. Für Banken gibt es dazu die bundesweit einheitliche Sperr-Notrufnummer 116 116. In der Regel wird Ihnen dann per Post oder per e-Mail an das beim Anbieter hinterlegte Postfach ein neues vorläufiges Passwort zugewiesen, das Sie dann bald ändern sollten (aber bitte nicht das alte Passwort wieder einstellen).

Haben Sie Grund zur Annahme, dass Sie bereits geschädigt wurden, z.B. durch unbefugte Abbuchungen von Ihrem Bankkonto oder Beiträge in Ihrem Namen auf einer Social-Media-Plattform, die aber nicht von Ihnen stammen, sollten Sie den Fall unverzüglich der Polizei melden. Eventuell möchten Sie auch einen auf Internet-Betrug spezialisierten Anwalt konsultieren.

Weblinks

• Wikipedia: Was ist Phishing?
• betrugstest.com Phishing erkennen