Sicherheit/Phishing

20min

leicht

• Sicherheit
• Die sichere Passwort-Wahl

Unter dem Begriff Phishing (Neologismus von "password harvesting and fishing", engl. für ‚Passwörter abgrasen und fischen‘) versteht man Versuche, über gefälschte Webseiten, E-Mails oder Kurznachrichten an persönliche Daten eines Internet-Benutzers zu gelangen und damit Identitätsdiebstahl zu begehen. Dadurch entstehen deutschlandweit jährlich wirtschaftliche Schäden in Millionenhöhe.

Wie funktioniert es?

Bei der meistverbreiteten Art von Phishing-Angriffen erzeugt der Angreifer als Vorbereitung eine Webseite, die der einer renommierten Bank, eines vielgenutzten Online-Shops oder eines Social-Media-Dienstes täuschend ähnlich sieht.

Im zweiten Schritt versucht der Angreifer, seine Opfer auf diese präparierte Webseite zu locken und sie dazu zu bringen, dort ihre Zugangsdaten einzugeben. Das erfolgt meist durch eine E-Mail-Nachricht (SPAM oder im Einzelfall auch gezielt). Mit einer erfundenen Begründung wird der Mail-Empfänger dazu gedrängt, einen Link in der Mailnachricht anzuklicken und so die präparierte Webseite aufzurufen. Beispielsweise weil die Organisation ihre IT umgestellt habe und deshalb eine erneute Verifizierung aller Benutzer-Zugänge erforderlich sei.

Haben arglose Nutzer dann auf der gefälschten Webseite tatsächlich ihre Daten eingegeben, kann der Angreifer z.B. deren Bankkonto, deren Account beim Online-Shop oder auch deren E-Mail-Postfach kapern.

Wie kann man Phishing erkennen?

Die schlechte Nachricht ist: Es gibt kein eindeutiges Merkmal, an dem man Phishing-Mails erkennen könnte. Schließlich gibt sich der Betrüger ja alle Mühe, um genau das zu verhindern.

Es gibt aber eine ganze Reihe von Indizien, die dich Verdacht schöpfen lassen sollten:

• Hast du mit dem betroffenen Unternehmen überhaupt Mail-Kontakt gehabt? Sei daher argwöhnisch, wenn du plötzlich eine E-Mail bekommst, ohne diesem Unternehmen je deine Mailadresse mitgeteilt zu haben.
• Ist die Formulierung des Textes irgendwie auffällig? Wirst du plötzlich geduzt, obwohl das Unternehmen dich sonst mit Sie anredet? Ist die Anrede unpersönlich, obwohl du sonst mit Namen angesprochen wirst?
• Enthält der Text übertrieben drängende Aufforderungen?
  Hast du den Eindruck, dass du unter Zeitdruck gesetzt werden sollst?
• Weicht der Absender von anderen Mails ab, die du vom gleichen Unternehmen schon erhalten hast?
• Fallen dir Schreibfehler, Grammatikfehler oder falsch angezeigte Zeichen auf, etwa seltsame Hieroglyphen anstelle von deutschen Umlauten? Das war bis vor wenigen Jahren noch ein häufiges Merkmal von Phishing-Mails, aber die Betrüger werden auch sprachlich immer besser.

Empfehlung: Kontrolliere Links, die in der Nachricht enthalten sind.

• Zeige mit der Maus auf einen Link, ohne ihn jedoch anzuklicken. Die meisten Mailprogramme oder Webmail-Oberflächen zeigen dann das Linkziel in der Statuszeile an.
• Bedenke, dass z.B. meinesuperbank.de und meinesuperbank-kundendienst.de bzw. meinesuperbank.xyz.com zwei völlig verschiedene Domain-Namen sind, die nichts miteinander zu tun haben. Nimm im Verdachtsfall von dir aus Kontakt mit dem entsprechenden Unternehmen auf und frage nach, ob die Mailnachricht echt sein könnte.

Was tun bei Phishing-Verdacht?

Wenn du eine E-Mail erhalten hast, die du für einen Phishing-Versuch hältst, solltest du das betroffene Unternehmen (Bank, Online-Shop o.ä.) umgehend darüber informieren. Leite die mutmaßliche Phishing-Nachricht an die IT-Gruppe des Unternehmens weiter und erläutere deinen Verdacht. Nutze dabei die Funktion Weiterleiten als Anhang oder Forward as attachment, wenn dein Mailprogramm oder Anbieter das zulässt. So bleiben auch alle unsichtbaren Metadaten in der Mailnachricht erhalten und können von Fachleuten forensisch untersucht werden.

Versuche aber bitte nicht, selbst aktiv zu werden, indem du beispielsweise auf die Nachricht antwortest und den Absender aufforderst, mit dem Unfug aufzuhören. Damit machst du dir möglicherweise selbst unnötig Ärger, während die Erfolgschancen nahezu Null sind. Insbesondere verrätst du dem Absender so, dass er ein Postfach erwischt hat, das tatsächlich aktiv genutzt wird. Die Wahrscheinlichkeit ist groß, dass du dann in kurzer Zeit SPAM von vielen weiteren Absendern bekommen.

Was kann man noch tun, wenn's passiert ist?

Wenn du merkst, dass du einem Betrüger auf den Leim gegangen bist, ist noch nicht alles verloren. Nimm so schnell wie möglich mit der betroffenen Organisation (Bank, Online-Shop etc.) Kontakt auf, erkläre die Situation und lass den Online-Zugang sofort sperren. Für Banken gibt es dazu die bundesweit einheitliche Sperr-Notrufnummer 116 116.

In der Regel wird dir dann per Post oder per E-Mail an das beim Anbieter hinterlegte Postfach ein neues vorläufiges Passwort zugewiesen, das du dann bald ändern solltest (aber bitte nicht das alte Passwort wieder einstellen).

Hast du Grund zur Annahme, dass du bereits geschädigt wurdest, z.B. durch unbefugte Abbuchungen von deinem Bankkonto oder Beiträge in deinem Namen auf einer Social-Media-Plattform, die aber nicht von dir stammen, solltest du den Fall unverzüglich der Polizei melden. Eventuell möchtest du auch einen auf Internet-Betrug spezialisierten Anwalt konsultieren.

Fazit

Um die Risiken von Phishing und sorglosem Umgang mit Passwörtern zu minimieren, fordern alle Banken und immer mehr Dienste im Netz eine Zwei-Faktor-Authentifizierung entweder mittels PIN über ein Zweitgerät, ein Hardware-Dongle oder ähnliches.

Weblinks

• Wikipedia: Was ist Phishing?
• betrugstest.com Phishing erkennen