Wie jetzt? Phishing?

«Phishing»

Phishing: Das klingt nach fischen gehen – und genauso ist es auch. Das Wort setzt sich aus "Password" und "fishing" zusammen, zu Deutsch "nach Passwörtern angeln". Immer öfter fälschen Phishing-Betrüger E-Mails und Internetseiten und haben damit einen Weg gefunden, um an vertrauliche Daten wie Passwörter, Zugangsdaten oder Kreditkartennummern heranzukommen – die Nutzer geben ihre Daten einfach freiwillig preis.

Meine Hauptempfehlung bei einer verdächtigen E-Mail lautet: Nachdenken, nachdenken und nachdenken! Welches Ziel verfolgt die E-Mail?

Wikipedia, verschiedene Blogs und sogar das Bundesamt für Sicherheit in der Informationstechnik (BSI) wenden grosse Mühen an, um hier für mehr Aufklärung zu sorgen. Folgend wollen auch wir helfen bei diesem wichtigen Thema ein paar Punkte zu schildern womit die Gefahr von Phishing besser erkennt werden kann.

Absender validieren

Häufig ist der Absender, der Ihnen zuerst angezeigt wird, nicht der wahre Absender einer E-Mail. In den Eigenschaften einer E-Mail können Sie jedoch in der Regel den tatsächlichen Absender herausfinden. Unterscheiden sich angezeigter Absender und der Absender in den Eigenschaften, ist das ein verdächtiges Zeichen und weist in der Regel auf eine Phishing-Mail hin. Aber bei unbekannten Absendern gilt grundsätzlich: Vorsicht walten lassen!

Links überprüfen

Phishing Mails enthalten oft Links von der Art „Hier klicken“. Seien Sie hierbei vorsichtig und klicken Sie diesen nicht an! Wenn Sie mit der Maus über die Zeile des Links fahren, ohne es anzuklicken, wird Ihnen in der Regel angezeigt, welche URL sich hinter dem Link verbirgt. Ist dieser Link völlig kryptisch zusammengestellt, lohnt es sich sehr misstrauisch zu sein. Oft wird versucht mittels Banklogin auf gefälschte Seiten zu locken. Im Zweifelsfall lohnt es sich das Login direkt im Browser mit der Ihnen bekannten Adresse der Bank zu tätigen. So kann ein gefälschter Link in einer Mail umgangen werden.

Vorsicht bei persönlichen Daten

Sie sollten immer stutzig werden, wenn Sie aufgefordert werden, persönliche Daten irgendwo einzugeben. Banken zum Beispiel verwenden nie E-Mails, um an Ihre Daten zu kommen. Lassen Sie sich also nicht trügen!

Anrede beachten

In Phishing Mails werden Sie oft nicht persönlich angesprochen, sondern eher in Art „Lieber User“. Dies sollte Ihnen immer verdächtig erscheinen.

Auf Rechtschreibung achten

Oftmals enthalten Phishing Mails eine Menge von Rechtschreibfehlern oder sind in einer Fremdsprache verfasst.

Fristen und Drohungen

Seien Sie immer vorsichtig, wenn eine Mail Drohungen oder Fristen enthält! Das ist in der Regel ein sicheres Zeichen, dass die E-Mail nicht echt ist.

Fazit: Nachdenken!

Im Endeffekt können wir Ihnen keine allgemeingültigen Regeln an die Hand geben, die immer gelten. Vor allem, weil Phishing Mails immer besser werden. Daher kann die Empfehlung nur lauten: Vorsicht walten lassen und nachdenken! Überprüfen Sie immer, ob die E-Mail Sinn macht und überhaupt echt sein könnte. Leider ist heutzutage eine sehr grosse Anzahl solcher gefälschten Daten in unterschiedlichsten Formen unterwegs. Es wird auch nicht mehr zwischen privates oder geschäftliches Email unterschieden, es gilt also überall vorsichtig zu sein.

Zusammenfassung gem. BIS

Woran kann man Phishing-E-Mails erkennen?

• Die Absenderadressen sind zumeist gefälscht. Die Erkennung des gefälschten Absenders ist nur über die Header-Auswertung möglich.

• Die Anrede ist unpersönlich gehalten ("Lieber Kunde der x-Bank!")

• Dringender Handlungsbedarf wird signalisiert ("Wenn Sie nicht sofort Ihre Daten aktualisieren, gehen diese verloren…")

• Drohungen kommen zum Einsatz ("Wenn Sie das nicht tun, müssen wir Ihr Konto leider sperren…")

• Vertrauliche Daten (wie zum Beispiel PINs und TANs) werden abgefragt, etwa in einem Formular innerhalb der E-Mail.

• Die Mails enthalten Links oder Formulare, die vom Empfänger verfolgt beziehungsweise geöffnet werden sollen.

• Die Nachrichten sind manchmal (aber nicht immer!) in schlechtem Deutsch verfasst. Die Gründe dafür: Sie werden manchmal von Computerprogrammen aus anderen Sprachen automatisch übersetzt.

• Die E-Mails enthalten kyrillische Buchstaben oder falsch aufgelöste bzw. fehlende Umlaute (z. B. nur "a" statt "ä" beziehungsweise "ae").

Woran kann man Phishing-Webseiten erkennen?

• Inzwischen werden auch für Phishing-Webseiten häufig gesicherte Verbindungen, zu erkennen an dem "https://" in der Adresszeile des Browsers, eingesetzt, um den potenziellen Opfern Sicherheit vorzugaukeln. HTTPS ist keine Garantie für die Echtheit einer Webseite.

• In der Adresszeile erscheinen Internetadressen, die den echten ähnlich sind, aber unübliche Zusätze enthalten (zum Beispiel Zahlen: www.135x-bank.com oder www.x-bank.servicestelle.de)

• Auf der Login-Seite werden TAN-Codes abgefragt.

• Das Sicherheitszertifikat, erkennbar durch das Schlosssymbol in der Statusleiste, ist kein Schutz mehr gegen Phishing. Die Arbeit von Kriminellen wird immer effektiver, sodass mittlerweile auch eine Vielzahl der Phishing-Seiten mit einem korrekten Zertifikat ausgewiesen sind und somit das Schloss erhalten.