Phishing: gib Trickbetrug via E-Mail & Co keine Chance

Phishing ist Trickbetrug im Internet – was im analogen Leben der Enkel-Trick, Zivilfahnder-Trick & Co die Runde macht, ist auch im Internet leider an der Tagesordnung. Phishing will sich digital dein Vertrauen erschleichen und persönliche Daten abgreifen.

Phishing ist eine der Spielarten von Cybercrimes und setzt sich als Kunstwort Phishing aus den beiden englischen Worten password harvesting – für Passwort sammeln – und fishing, also angeln – zusammen. Das „Ph“ in Phishing stammt dabei aus dem Hacker-Jargon. Gegen den finanziellen Schaden – bist du auf Phishing per E-Mail hereingefallen und hast persönliche Daten an unberechtigte Dritte im guten Glauben weitergegeben – schützt dich eine Hausratversicherung, die Phishing abdeckt. Wie FRIDAY.

Betrug per E-Mail, Website & Messaging: so funktioniert Phishing

Du betreibst Online-Banking, zahlst mit PayPal, bist auf eBay unterwegs oder suchst auf Singlebörsen nach einem Partner? Dann kann dich Phishing betreffen. Fast jeder findet heute Spam-E-Mails in seinem digitalen Postfach – viele davon sind Phishing. Sie fordern dich auf, eine vermeintlich bekannte Website zu besuchen, und dort persönliche Daten wie Passwörter und Zugangsdaten einzugeben.

Diese Zugangsdaten sind eigentlich geheim – und nur dir bekannt. Die heute täuschend echt aussehende Website täuscht allerdings nur vor, sie sei die dir bekannte Website. In Wahrheit ist sie eine Fälschung von Cyberkriminellen – und die Daten, die du dort eingibst, kommen nicht bei der Bank, deinem Bezahldienst & Co an, sondern wandern direkt in die Taschen des Kriminellen. Anschließend nutzt der deine Passwörter und fügt dir Schaden zu.

Große Gefahr besteht heute durch Identitätsdiebstahl. Dafür sind die klassischen Phishing-E-Mails nicht einmal mehr nötig. Es reicht dazu der Besuch einer kriminellen Website mit Schadsoftware. Durch das Einschleusen von trojanischen Pferden auf deinem PC kann es zu einem Identitätsdiebstahl kommen. Und dann werden in deinem Namen Transaktionen im Netz getätigt – Vermögensschäden entstehen. So kann es zur Überweisung von größeren Geldbeträgen kommen. Oder Rufschädigung, durch Versteigerungs-Aktivitäten von Kriminellen in deinem Namen.

Hillary Clinton hat 2016 die Wahl verloren – die Demokraten geben dafür die zahlreich versendeten Phishing-Mails an zahlreiche Vertreter der Demokratischen Partei die Schuld. Weil die Phishing-E-Mail zur Passwortänderung nicht ernst genommen wurde, konnten aus dem demokratischen Lager sieben Monate lang Informationen abfließen. Wikileaks veröffentlichte vor der Wahl solche Daten – und der daraus entstehende Imageschaden gilt Anhängern von Hillary Clinton als Ursache für ihre Wahlniederlage. 

Phishing ist heute also ein weltweites, umfassendes Problem der digitalen Welt. Und leider schon lange keine Randerscheinung mehr.

Beim Skimming geht es um das Abschöpfen deiner Daten am EC-Automaten. Dabei wird der Magnetstreifen deiner Karte ausgelesen – und auf eine falsche Karte übertragen. Meist wird gleichzeitig auch deine PIN ausgespäht. Der Kriminelle hebt anschließend damit Geld ab – von deinem Konto. Beim Deep-Insert-Skimming werden sogar sogenannte Kartenlese-Wanzen in den Kartenschlitz eines Bankautomaten eingeführt – bestehend aus einem Metallplättchen mit Leseeinheit, einer Batteriezelle sowie einem Speicherchip. Eine oben am Automaten angebrachte Kameraleiste zeichnet deine PIN-Eingabe auf. Kommt deine Bank nicht für den Schaden auf, bist du über die FRIDAY Hausrat vor Skimming abgesichert.

Pharming ist eine Form des erweiterten Phishing-Betrugs. Dabei wirst du auf eine gefälschte Website umgeleitet – nachdem dein System manipuliert wurde. So gelangst du auf eine gefälschte Seite – obwohl du zum Beispiel die korrekte Adresse deiner Bank eingegeben hast. Gibst du deine Daten an, werden diese Kriminellen zugestellt. Auch vor solchen Pharming-Attacken schützt dich die FRIDAY Hausratversicherung mit einer Summe bis zu 2.500 €.

Nicht alle Phishing-Botschaften sind von gleicher krimineller Qualität – doch leider lernen auch die Bösewichte täglich dazu. Im Zweifelsfall hilft es, auf der Website des vermeintlichen Absenders selbst ohne Klick auf einen Link in der E-Mail nachzuschauen – und im Zweifel dort Kontakt aufzunehmen, um zu wissen, was Sache ist. Und natürlich generell wachsam zu sein: halte dir vor Augen, dass seriöse Anbieter niemals sensible Daten aus welchem Grund auch immer von dir verlangen werden. Das ist nämlich der Grund, warum diese Daten als sensibel gelten – nur du sollst sie wissen, einsehen und ändern können.

Auch die Technik schützt heute vor Phishing via E-Mail. So identifizieren viele Virenscanner oder E-Mail-Programme automatisch E-Mails als Phishing und warnen dich. Im E-Mail-Programm lässt sich die HTML-Darstellung ausschalten – das bietet zusätzlichen Schutz. Und viele Browser warnen dich eindringlich, wenn sie eine gefälschte Phishing-Seite im Internet erkennen, vor einem Besuch und deiner Interaktion. Der wichtigste Schutz vor Phishing ist und bleibt jedoch die eigene Vorsicht.

Es gibt oft viele Hinweise darauf, dass eine E-Mail Phishing ist. Achte auf diese Anzeichen. Klicke nicht auf Links, öffne keine Dateien und gib keine Passwörter, Konto-Daten oder PINs auf Webseiten ein, wenn du nicht die Sicherheit hast, alles ist korrekt. Der wichtigste Schutz vor dem Phishing-Betrug ist nach wie vor der menschliche Verstand.

Du hast ein Bankkonto im Ausland? Nein? Für gewöhnlich schreibt dir ein deutsches Unternehmen natürlich in der Landessprache: Deutsch. Das erste Indiz auf Phishing via E-Mail ist daher die Sprache. Sei fremdsprachigen Mails von Absendern gegenüber kritisch. Phishing-Mails gehören per Löschtaste ins digitale Jenseits befördert. 

Häufen sich in einer E-Mail die Tipp-, Rechtschreib- und Ausdrucksfehler, deutet alles auf eine Übersetzungssoftware hin. Seriöse Anbieter achten auf eine gute Kundenkommunikation – zerschossene Umlaute oder kyrillische Zeichen deuten auf Unseriösität hin. So sehen Phishing-Mails aus. Drück die Löschtaste. 

Phishing-E-Mails enthalten oft Dateien angehängt. Solche E-Mails fordern dich auf, einen Anhang in der E-Mail zu öffnen. Oder über einen Link downzuloaden. Es handelt sich aber mitnichten um eine Datei mit der Rechnung, Bildern von der Party oder benötigen Infos, sondern um Schadsoftware. Öffne diese auf keinen Fall! Denn damit droht dir die aktive Installation der Software auf deinem System. 

Über ein sogenanntes trojanisches Pferd greifen dann die Versender dieser E-Mails auf sensible Daten zu – entweder auf deinem Rechner. Oder auf die Daten, die du über dein Keyboard eingibst – wie PINS, Kontonummern oder Passwörter. Begegne Anhängen grundsätzlich mit enormem Misstrauen. Falle auch nicht auf Androhung herein – Phishing-Mails behaupten oft, dir drohe eine Kontosperrung oder ein eingeschaltetes Inkasso-Unternehmen. Es ist Phishing per E-Mail – nichts anderes. 

Du hast keinerlei Geschäftsbeziehung mit einem angeblichen Versender einer E-Mail? Vermutlich handelt es sich um Phishing. Solche Phishing-Mails nutzen bekannte Bank-Adressen oder andere bekannte Unternehmen wie PayPal, eBay & Co als falsche Absender. Der Grund: Sie versenden Phishing-E-Mails in Massen. Es gibt immer Empfänger, die mit diesen Anbietern in Kontakt stehen. 

Erhältst du eine E-Mail, ohne Kontakt mit dem Absender zu haben, ist es mit hoher Wahrscheinlichkeit Phishing per E-Mail. Lösche diese E-Mail einfach. Und tue gar nichts. Lösche sie auch vollständig aus deinem Papierkorb deines Systems. 

Alles sieht bei der E-Mail korrekt aus? Du bist Kunde der Bank oder der Website? Die Website sieht korrekt aus, das Deutsch ist flüssig? Trotzdem kann es eine Phishing-Mail sein, die da in dein Postfach eingetrudelt ist. Leider werden die Betrüger immer raffinierter. Und – ja: sogar die Absendeadresse kann heute gefälscht sein.

Wenn selbst die Absendeadresse der E-Mail eine Fälschung ist – wie kann ich dann noch herausfinden, ob ich eine Phishing-Mail vor mir habe? Das ist möglich – erfordert aber Fachwissen. Die IP-Adresse des tatsächlichen Absender-Systems ist im Internet nämlich eindeutig. Und wenn die E-Mail vom PayPal-Kundendienst von einem privaten System in der Ukraine abgesendet wurde, liegt der Verdacht auf Phishing nahe. 

Die wahre IP-Adresse findest du zwar nicht heraus – aber der Vergleich durch eine nslookup-Abfrage von angegebenem Mailserver und physikalischer IP-Adresse des Absenders, gibt dir Aufschluss. Sind diese nicht identisch, gehst du von Phishing aus. Und löschst diese E-Mail. Diese Methode, E-Mails zu checken, ist wie gesagt für Profis. Im Internet findest du dazu sinnvolle Anleitungen – zum Beispiel unter Umgang mit Phishing-Mails.