Phishing: Lug und Betrug machen das Abfangen von Daten möglich

Was ist Phishing?

Immer wieder versuchen Kriminelle im Internet ihr Glück und hoffen auf das blinde Vertrauen ihrer Opfer: Sie versenden Phishing-Mails und wollen die Auserkorenen auf Seiten locken, auf denen sie normalerweise ihre Daten eingeben, um diese abgreifen und beispielsweise Konten plündern zu können. Das Fatale daran: Beim Phishing sieht das Scrpit, also der Aufbau der Seite dem Original meist zum Verwechseln ähnlich und ist auf den ersten Blick nur schwer davon zu unterscheiden.

Der Begriff „Phishing“ bedeutet „angeln“ im Englischen und ist eine Metapher für das sprichwörtliche Angeln von Zugangsdaten und Identitäten. Hier lesen Sie, wie Sie eine Phishing-Mail erkennen, wie Sie am besten vorgehen, wenn Sie eine solche in Ihrem Posteingang vorfinden und ob es so etwas wie einen Phishing-Schutz gibt.

Woran erkenne ich eine Phishing-Mail und wozu werden die Daten verwendet?

Viele sind sich mittlerweile darüber bewusst, dass Daten so etwas wie die nächste Währung sind. Betrüger, die sich vornehmlich im Internet herumtreiben, wissen das längst. Internetnutzer sollten ihren eigenen Datenschutz also nicht zu klein schreiben und in der Lage sein, eine Phishing-Mail zu erkennen. Denn Mail-Phishing ist die häufigste Methode in diesem Milieu. Sie kann massenhaft erfolgen oder auf eine ganz bestimmte kleinere Gruppe bezogen (dazu später mehr).

Der Zweck einer solchen Mail besteht darin, dass Sie den darin enthaltenen Phishing-Link öffnen. Dann landen Sie auf einer Seite, auf der Sie ihre Zugangsdaten eingeben sollen. Und weil Cyberkriminelle es meist auf Geld abgesehen haben, handelt es sich bei so einer Phishing-Website oftmals um den vermeintlichen Internetauftritt einer Bank.

Sollten Sie dort tatsächlich Informationen eingeben, die Hackern den Zugriff gewähren, können diese die Daten abfischen und sich damit anschließend selbst einloggen. Diese sind dann in der Lage, Geld von Ihrem Konto auf ihr eigenes zu überweisen oder direkt damit online einzukaufen. Auch ein Identitätsdiebstahl ist denkbar.

Damit es gar nicht erst so weit kommt, haben wir im Folgenden einige Merkmale zusammengestellt, an denen Sie eine Phishing-Mail erkennen:

• Rechtschreibfehler: Da die Mails zumeist in Massen versendet werden und dazu oft ein Übersetzungsprogramm genutzt wird, enthält eine Phishing-Mail in den allermeisten Fällen nicht wenige Rechtschreibfehler und zudem oft merkwürdige Zeichen. Umlaute werden nicht umgewandelt, Buchstaben vergessen und Satzzeichen nicht ordnungsgemäß gesetzt.
• Dringend!: Werden Sie in einer Mail dazu aufgefordert, möglichst schnell zu handeln, sollten Sie stutzig werden. Drohen dann noch Konsequenzen, wie beispielsweise das Sperren Ihres Kontos, können Sie sich des Betruges sicher sein und die Mail in den Papierkorb verschieben.
• Fremdsprache: Sind Sie Kunde bei einer ausländischen Bank? Nein? Dann haben Sie vermutlich eine Phishing-Mail erhalten zum Beispiel, wenn diese nicht auf Deutsch verfasst ist. Zudem versenden die wenigsten Banken in Deutschland überhaupt Mail-Nachrichten. Wenn überhaupt landen wichtige Informationen in der Regel in Ihrem elektronischen oder realen Briefkasten. Viele Geldhäuser informieren ihre Kunden außerdem, sobald eine aktuelle Phishing-Mail im Umlauf ist.
• Keine direkte Anrede: Cyberkriminelle, die massenhaftes Phishing betreiben, machen sich meist nicht die Mühe, Nachrichten mit einer persönlichen Anrede wie „Sehr geehrte Frau Mustermann“ zu versehen. Stattdessen werden Sie eher mit „Nutzer“ oder „Kunde“ angesprochen.

Für einen Phishing-Angriff ist fast immer das universelle Merkmal ein Link oder eine Datei, die Sie öffnen sollen. Klicken Sie auf keinen Fall auf so einen Anhang oder einen Link, wenn Sie eine Phishing-Mail geöffnet haben! Denn die Schadprogramme können bereits im Quellcode, also im Phishing-Link, versteckt sein und etwa einen Trojaner auf Ihrem Computer installieren. Allerdings nehmen Spam-Ordner viele Phishing-Mails direkt auf, sodass diese gar nicht erst in Ihrem Posteingang angezeigt werden.

Ein Grundsatz der Datensicherheit ist es, niemals irgendwo persönliche Daten wie den Namen oder die Adresse durchzugeben, wenn Sie sich über die Identität des Gegenübers nicht sicher sind. Es macht einen Unterschied, ob Sie beispielsweise einen Termin zu einem Telefongespräch mit Ihrer Hausbank vereinbart haben oder ob Sie jemand willkürlich anruft und mit Ihnen einmal über einen Kredit sprechen möchte.

Die Spear-Phishing-Mail: Gezielter Angriff statt Massenvernichtung

Beim Spear-Phishing geht es weniger darum, Zugangsdaten von irgendwelchen Menschen abzufangen, als vielmehr darum, einer ganz bestimmten Gruppe, wie zum Beispiel einem Unternehmen zu schaden. Auch hier wird eine Metapher aus der Fischerei angewendet: der Speer. Die Hacker werfen hier sprichwörtlich kein großes Netz aus, sondern konzentrieren sich auf einen bestimmten „Fisch“.

Klickt dann auch nur ein leichtgläubiger Mitarbeiter auf so eine Phishing-Mail, kann der Betrüger dessen Identität nutzen, um auf die Nutzerdaten von Millionen von Kunden zugreifen zu können.

Es werden immer wieder Fälle von solchen Phishing-Attacken bekannt. Beispiele für große Hackerangriffe aus der Vergangenheit sind etwa:

• der Angriff durch den WannaCry-Virus im Mai 2017, der in Deutschland vor allem die Anzeigetafel der Deutschen Bahn lahmlegte oder
• der Hackerangriff auf Sony Pictures im November 2017, bei dem vornehmlich die Veröffentlichung des Films „The Interview“ verhindert werden sollte.

SMS-Phishing: Andere Plattform, selbe Methode

Auch das Phishing per SMS ist möglich. Dieses wird dann Smishing genannt. Dabei wird ein schädlicher Link  oder die Aufforderung zur Eingabe von TANs, PINs etc. eben in eine SMS verpackt. Bei Unsicherheiten über die Echtheit einer solchen Nachricht sollten Sie sich stets an Ihr jeweiliges Kreditinstitut wenden.

Es gibt nicht nur Phishing, sondern auch Pharming – wo ist der Unterschied?

Pharming ist eine besonders gut getarnte Form von Phishing. Dabei werden Nutzer auf gefälschte Webseiten umgeleitet, wenn Sie durch die manuelle Eingabe in der Suchleiste auf eine Domain gelangen wollen. Selbst abgespeicherte Lesezeichen bieten hier keinen ausreichenden Schutz, da die Umleitung trotzdem erfolgen kann. Wie Sie sich vor unsicheren Seiten am besten schützen, lesen Sie weiter unten.

Ein Hinweis auf solch eine Pharming-Seite können Zahlen in der URL sein, die Sie zuvor dort nicht gesehen haben. Auch für den Fall, dass die Domain neue Daten von Ihnen abfragt, die Sie vorher nicht bei der Anmeldung eingeben mussten, kann es sich um eine Betrügerseite handeln.

Sichere Seiten beginnen zumeist mit „https“ und zeigen ein kleines Schloss vor der URL. Bei einem Klick auf dieses zeigen viele Browser an, ob die Website sicher ist, oder ob es sich evtl. um einen Phishing-Link handeln könnte. Stoßen Sie auf einen solchen, können Sie die Phishing-Seite der Suchmaschine melden. Oftmals gibt es dazu ein Formular, das Sie nach einer kurzen Suche im Internet finden.

Gibt es eine Anti-Phishing-software?

Viele Anti-Virenprogramme warnen bereits vor unsicheren Internetseiten. Der wichtigste Punkt, um sich im Internet vor Phishing zu schützen, ist also der Virenschutz auf Ihrem Rechner, der immer aktuell sein sollte. Gleiches gilt für das Betriebssystem des Rechners: Auch hier sollten Sie alle verfügbaren Updates installiert haben.

Auch Browser warnen heute schon vor einem möglichen Phishing-Versuch und empfehlen dann, nicht auf eine bestimmte Seite zu klicken.

Hegen Sie einen Phishing-Verdacht, sollten Sie Ihre jeweilige Anti-Viren-Software den gesamten Computer durchsuchen lassen und ggf. Passwörter ändern. Im Ernstfall sollten Sie sich an einen Fachmann wenden.

(65 Bewertungen, Durchschnitt: 4,38 von 5)

Loading...

Über den Autor

Louisa N.

Louisa hat Informatik an der Hochschule für Technik und Wirtschaft in Berlin studiert und mehrere Jahre im Bereich IT-Sicherheit gearbeitet. Seit 2018 ist sie Redakteurin bei datenschutz.org und unterstützt unser Team mit ihrer Expertise. Ihre Texte befassen sich u. a. mit Themen wie Datenlöschung und Datenrettung.