Phishing – Betrugsmasche übers Internet

Phishing – Was ist das?

Phishing ist ein zusammengesetztes Wort aus „Password“ und „fishing“ und steht für das Stehlen von Passwörtern und Zugangsdaten. Phishing ist eine Form des sogenannten Social Engineering, was für die zwischenmenschliche Beeinflussung steht, mit dem Ziel, bei Personen bestimmte Verhaltensweisen hervorzurufen.

In den Phishing-Mails werden Sie meist über einen Link auf eine täuschend echt (meist sogar vom Original kopierte Homepage) aussehende Internetseite geleitet, auf welcher Sie dann die geforderten Daten eingeben sollen, um bspw. Ihr Konto wieder freizuschalten oder man fordert Sie zur Mitteilung Ihrer Daten auf, da es angeblich ein technisches Problem gibt, oder ein Abgleich Ihrer Zugangsdaten.

Die Datendiebe hängen an ihre Phishing-Mails auch gerne Dateien. Die Phishing-Opfer werden dann zum Runterladen und Öffnen dieser Dateien aufgefordert. Auch hier wird wieder Druck vermittelt und Ängste geschürt, sollte man dem nicht nachkommen.

Diese Dateien sind allerdings mit unterschiedlichsten Schadsoftwares verseucht. Diese Schadsoftwares (Keylogger und Trojaner) erkennen bspw. Ihre Tastenanschläge und übermitteln diese dann an ihren Entwickler/Datendieb.

Wie und wo kann Ihnen Phishing begegnen?

Zum einen gibt es Phishing E-Mails, SMS und App-Nachrichten. Zum anderen gibt es aber auch Phishing-Webseiten (oft in Verbindung mit Downloadangeboten und Erotik-Angeboten).

Um an Ihre Daten zu gelangen, behaupten die Betrüger meist, dass Ihr Konto gesperrt, Ihre Identität geklaut wurde, ein Datenabgleich erfolgen soll, Sie ein Abo abgeschlossen haben, welches Sie unter dem mitgeschickten Link abmelden können, Sie eine angebliche PayPal-Zahlung durchgeführt haben, oder …

Immer häufiger kommt es auch zum Datenklau durch versprochene Gewinne oder Sonderangebote per Mail.

Auch kann es sein, dass Sie zum Öffnen einer mitgeschickten oder zum Download bereit gestellten Datei aufgefordert werden. Diese Datei (die auch Word-Dokumente sein können mit schadhaften Macros) enthält in der Regel ein schädliches Programm (Schadsoftware), wie einen Virus oder ein trojanisches Pferd. Sollten Sie diese Datei heruntergeladen und geöffnet haben, muss sich dies nicht zwingend sofort für Sie bemerkbar machen, da die Schadsoftware im Hintergrund läuft und dort z.B. als Key-Logger (zeichnet alle Tastatureingaben auf) agiert.

Der Key-Logger schickt dann Ihre Zugangsdaten an die Datenbetrüger. Dies ist eine leichte und simple Form einer Schadsoftware. Die Entwicklung solcher Schadsoftware ist rasant schnell. Schon während Sie diesen Blog lesen, könnte in einer dunklen Kammer, eine neue Schadsoftware entwickelt worden sein, die wiederum von keinem Virenscanner erkannt wird.

Wie erkennen Sie den Betrug?

Zunächst sollten Sie sich fragen, ob der vermeintliche Absender überhaupt Ihre E-Mail-Adresse hat. Sollten Sie daher eine E-Mail angeblich von Ihrer Bank erhalten haben, dann wird dies in der Regel für Ihre Bank gar nicht möglich sein, da diese überhaupt nicht über Ihre E-Mail-Adresse verfügt.

Meist verrät auch bereits ein Blick in die Betreffzeile, dass der Absender sich nicht für Ihr Wohl, sondern nur für Ihre Zugangsdaten interessiert. So lautet die Betreffzeile oft „Ihr Konto wird vorübergehend gesperrt“ oder „Gleichen Sie bitte Ihre Zugangsdaten ab“.

Auch hilft der genaue Blick auf den Absender. Steht auch dort zunächst der vermeintlich richtige Absender, sollten Sie sich die Absenderadresse im Ganzen anzeigen lassen. Hier wird nämlich deutlich, dass diese Absenderadresse nichts mit dem vermeintlich richten Absender zu tun hat.

Die für Sie ersichtliche E-Mail-Adresse kann gefälscht werden, so dass Sie auf den ersten Blick denken, dass die E-Mail wirklich von der betreffenden Bank ist (Mail-Spoofing).

Hin und wieder werden Phishing-Mails auch in einer fremden Sprache verfasst. Auch dies sollte sie stutzig werden lassen. Phishing-E-Mails enthalten auch oft kyrillische Buchstaben, falsch aufgelöste oder fehlende Umlaute.

In vielen gefälschten E-Mails werden Sie auch nicht mit Ihrem richtigen Namen angesprochen, sondern mit „Sehr geehrter Kunde“ oder ähnlichem. Hierbei sollten Sie aufmerksam werden. Ihre Bank bspw. würde Sie immer mit Ihrem richtigen Namen ansprechen, da dieser dort auch bekannt ist.

Allerdings finden die Datendiebe häufig auch den richtigen Namen heraus, bspw. durch die E-Mail-Adresse an sich.

Über den mitgeschickten Link allein werden Sie in der Regel den Betrug noch nicht feststellen können, da hier meist die Originaladresse angezeigt wird, die dann auf die Adresse der gefälschten Website verweist.

Sollten Sie nun doch einmal auf den mitgeschickten Link geklickt haben, können Sie auch hier in der Adresszeile Ihres Browsers meist den Betrug enthüllen. Handelt es sich um eine seriöse Seite, befindet sich am Anfang der Adresszeile ein geschlossenes Schlosssymbol (Sicherheitszertifikat). Bei den gefälschten Internetseiten fehlt dies meist oder ist gefälscht.

Zudem beginnt die Adresszeile mit http://, anstatt mit https://. Nur https:// teilt Ihnen mit, dass es sich um eine verschlüsselte Seite/Verbindung handelt. Allerdings gelingt es einigen Datendieben auch dies zu fälschen.

In den gefälschten E-Mails, SMS oder App-Nachrichten wird meist der Druck vermittelt, dass sofort und zeitnah von Ihnen gehandelt werden muss, um eine Kontosperrung oder anderen Schaden abzuwenden. Weder Ebay, noch andere Unternehmen erwarten von Ihnen eine sofortige und kurzfristige Reaktion.

Um den Druck und die Angst zu erhöhen, enthalten die Phishing-Mails oft hohe Rechnungssummen und Gebühren, die den Adressaten dazu animieren sollen, auf den mitgeschickten Link zu klicken oder die angehängte Datei zu öffnen. Sie können sich sicher sein.

Ihre Bank, Ebay, PayPal, Amazon oder sonstige Unternehmen werden Sie NIEMALS zur Preisgabe oder Bestätigung Ihrer Zugangsdaten, PINs oder TANs per E-Mail auffordern. Wichtige Informationen teilt Ihnen Ihre Bank auch heute noch auf dem postalischen Wege mit.

Wie reagieren Sie richtig?

Melden Sie dem richtigen Unternehmen den Erhalt der Phishing-Mail oder im Firmenbereich dem zuständigen Administrator. Nur so können diese zeitnah darauf reagieren und Gegenmaßnahmen ergreifen.

Am besten ist es, solche E-Mails sofort zu löschen. Auf keinen Fall sollten Sie den Link/Datei anklicken/öffnen oder die dort geforderten Daten eingeben.

Sollten Sie sich einmal nicht sicher sein, schreiben Sie direkt dem Unternehmen oder rufen dort an und fragen nach. Meist erhalten Sie von dort eine schnelle Antwort, dass eine solche Aufforderung nicht an Sie verschickt worden ist.

Nutzen Sie hierfür aber AUF KEINEN FALL die Kontaktdaten aus der zweifelhaften E-Mail, sondern suchen Sie diese direkt auf der Unternehmensseite.

Oftmals sind Sie nicht der Erste, der diese bestimmte Phishing-Mail bekommen hat. Googlen Sie daher. Sollte das betroffene Unternehmen bspw. vom aktuellen Phishing bereits Kenntnis erlangt haben, stellt es meist die Phishing-Mail zum Vergleich auf seine Website.

Darauf reingefallen – was nun?

Auf den Link geklickt

Sollten Sie doch einmal der Aufforderung gefolgt sein, den Link angeklickt und dort die gewünschten Daten eingegeben haben, sollten Sie sich umgehend über ein neues Browserfenster bei dem richtigen Unternehmen anmelden (manuelle Eingabe der www-Adresse des betroffenen Unternehmens/Anbieters) und Ihre Zugangsdaten sofort ändern.

Sollte die Phishing-Attacke erfolgreich gewesen und Ihre Zugangsdaten geändert worden sein, beantragen Sie sofort das Zurücksetzen Ihres Passworts (meist ist auf der Login-Seite ein Link dafür). Löschen Sie für die spätere Beweissicherung bitte nicht die Phishing-Mail.

Nachdem Sie Ihr Passwort zurückgesetzt und das neue Passwort vergeben haben, loggen Sie sich bei dem Unternehmen ein und überprüfen Sie Ihre Kontobewegungen oder Bestellungen. Sollten dort Vorgänge vorhanden sein, die Sie nicht ausgeführt haben, stornieren Sie die Vorgänge wenn möglich oder melden Sie sich beim Support und informieren diesen über den Vorfall mit der Bitte, die Vorgänge zu stornieren/rückgängig zu machen.

Betrifft die Preisgabe Ihrer Daten Ihre Bank, sollten Sie dort Ihr Online-Banking vorläufig sperren lassen (WICHTIG: Anruf bei der Sperrhotline). Dies gilt auch für andere Konten, wie bspw. Ebay. Auch hier sollten Sie eine vorläufige Sperrung beantragen. Servicehotlines finden Sie meist auf den Homepages der jeweiligen Unternehmen.

Im Zweifelsfall schreiben Sie dem Unternehmen eine E-Mail und drucken diese am besten aus, um in einem Rechtsstreit den Beweis führen zu können, dass Sie das richtige Unternehmen zeitnah informiert haben.

Datei geöffnet/ausgeführt

Sollten Sie die mitgeschickte Datei geöffnet oder ausgeführt haben, trennen Sie SOFORT Ihren PC vom Internet, damit die Schadsoftware keinen Kontakt zu ihrem Urheber herstellen kann. Sollte das Phishing bezüglich Ihres Bankkontos erfolgt sein, kann es sein, dass Ihre Bank versuchen wird, das Verschulden bei Ihnen zu suchen, um einer Rückzahlungspflicht des entwendeten Betrages zu entgehen.

Hierfür schickt die Bank in der Regel dem Phishing-Opfer einen Fragebogen zu. Sollten Sie einen solchen erhalten haben, raten wir dazu, diesen nur mit anwaltlichem Beistand auszufüllen. Machen Sie daher auch keine vorschnellen Angaben am Telefon gegenüber der Bank, wenn Sie dort die Phishing-Attacke melden und um vorübergehende Sperrung Ihres Kontos bitten.

Seien Sie ebenfalls vorsichtig, wenn Sie zur Polizei gehen und dort eine Strafanzeige stellen. Die Banken beantragen in der Regel Einsicht in die Ermittlungsakten.

Haben Sie daher bei der Polizei leichtfertige Angaben gemacht, kann die Bank dies zu ihren eigenen Gunsten nutzen. Zudem nutzen manche Banken auch mögliche Widersprüche für sich. Lassen Sie sich daher lieber anwaltlich beraten und durch Ihren Anwalt die Strafanzeige für Sie stellen.

Wie können Sie sich schützen?

Leider gibt es keinen 100%igen Schutz. Selbst ein IT-Profi hat heutzutage schon Probleme eine Phishing-E-Mail oder eine gefälschte Website sofort zu erkennen.

Verwenden Sie nicht überall das gleiche Passwort. Sollte es den Datenfängern gelungen sein, Ihr Passwort zu ergaunern, sind wenigstens Ihre anderen Konten weiterhin geschützt. Wählen Sie zudem Ihr Passwort sorgfältig aus.

Dies sollte aus mindestens 12 Zeichen bestehen. Nutzen Sie Zahlen, Buchstaben und Sonderzeichen. Seien Sie hier kreativ und nutzen nicht aus Bequemlichkeit Ihren eigenen oder den Namen Ihres Partners, Teile Ihrer E-Mail-Adresse oder sonstige Informationen/Daten, von denen Dritte Kenntnis erlangen können.

Wenn Ihr E-Mail-Anbieter die Möglichkeit anbietet, eine Alternativ-E-Mail-Adresse anzulegen, nutzen Sie dies. Die Alternativ-E-Mail-Adresse dient zur Passwortwiederherstellung und Information, dass das Passwort geändert wurde, falls der Phishing-Angriff auf Ihren E-Mail-Account erfolgreich gewesen ist.

In diesen Fällen ändern die Datendiebe Ihr Passwort für Ihren Account und ohne Alternativ-E-Mail-Adresse bekommen Sie die erfolgreiche Übernahme Ihres E-Mail-Kontos nicht bzw. erst mit, wenn es zu spät ist (wenn Sie sich in Ihren Account einloggen wollen oder Ihr E-Mail-Client vergeblich versucht, eine Verbindung aufzubauen).

Seien Sie kritisch beim Lesen der E-Mail und lassen Sie sich nicht durch die Formulierung unter Druck setzen. Hat der Absender überhaupt Ihre E-Mail-Adresse?

Öffnen Sie auf keinen Fall die Links oder die angehängten Dateien in verdächtigen E-Mails. Sollten Sie doch solch einen Link oder solch eine Datei geöffnet haben, loggen Sie sich auf keinen Fall danach in Ihr Bank-, Amazon- oder sonstiges Konto ein.

Führen Sie einen gesamten Scan Ihres PCs durch mit einer aktuellen Virenscannersoftware. Sollte dieser keinen Virenfund anzeigen, heißt das nicht, dass keine Schadsoftware auf Ihren PC gelangt ist. Sollten Sie sich daher unsicher sein, lassen Sie Ihren PC von einem Computerspezialisten/IT-Service überprüfen.

Geben Sie die Internetadresse Ihrer Bank, Ebay, Amazon und sonstiger Unternehmen immer direkt in die Adressleiste im Browser ein. Suchen Sie die Seite nicht über Google, speichern Sie die Seiten auch nicht ab oder setzen Sie diese auf Ihre Lesezeichen-Liste.

Legen Sie sich am besten zwei unterschiedliche E-Mail Adressen an. Eine für den Privatgebrauch, die andere für öffentliche Seiten, wie Foren oder Chatrooms. Melden Sie sich bei möglichst wenigen Werbepromotion oder ähnlichem an. So verringern Sie die Chance, dass Ihre E-Mail-Adresse in einen solch kriminellen E-Mail-Verteiler gerät. Zudem ist auch ein aktueller Virenscanner Pflicht.

Halten Sie den Webbrowser, das Betriebssystems und Ihren Virenscanner auf dem aktuellen Stand, indem Sie die angebotenen Sicherheits-Updates durchführen/installieren. Loggen Sie sich immer aus und schließen nicht einfach nur den Webbrowser.

Speichern Sie NIEMALS Ihre Passwörter oder Zugangsdaten. Weder im Browser, noch auf dem PC an sich. Loggen Sie sich nicht über andere Zugänge (öffentliches W-LAN, Internetzugang im Hotel, etc.) auf Ihrer Bank-, Amazon-, Ebay-Seite, etc. ein.

Wir weisen an dieser Stelle noch einmal ausdrücklich darauf hin. Ihre Bank wird Sie NIEMALS um eine Testüberweisung oder um die Eingabe Ihres gesamten TAN-Blocks bitten.

Genauso wenig werden andere Unternehmen Ihre Zugangsdaten per E-Mail von Ihnen anfordern.