Phishing

Was bedeutet Phishing
und wie erkennst du es?

Aktualisiert am 28-11-2019

Was ist Phishing?

Die Bezeichnung Phishing ist tatsächlich von dem Wort Fischen / Angeln (engl. fishing) abgeleitet. Das Ersetzen des f im Ursprungswort durch ph ist eine in Computer-Kreisen beliebte Angewohnheit.

Nur dient das Fischen in diesem Fall nicht dem Fangen von im Wasser lebenden Tieren. Sondern beim Phishing geht es um sensible Daten. Jedoch ist das Ziel in beiden Fällen, mit dem Fang Geld zu verdienen. Wobei der Missbrauch und der Verkauf von Daten heute lukrativer ist, als der Handel mit Nahrungsmitteln.

Täter und Opfer

Die Täter sind Betrüger, die vorgeben im Auftrag seriöser Unternehmen zu handeln. Hierzu kopieren sie u. a. die Logos der Firmen, um ihre E-Mails, Kurznachrichten oder gefälschten Webseiten möglichst authentisch erscheinen zu lassen.

Zum Opfer des Phishing kann jeder werden, der E-Mail-Dienste oder Messenger nutzt oder sich im Internet bewegt.

Sensible Daten

Das Interesse der Kriminellen gilt folgenden Informationen:

  • Zugangsdaten zu E-Mails-Diensten / Messenger-Services / Cloud-Computing
  • Namen und Passwörter für Online-Banking / Online-Brokerage
  • Nutzernamen, Passwörter, Adressen, Konto- und Kreditkartendaten im Online-Handel
  • Allen Daten aus elektronischen Steuerklärungen
  • Firmen-Informationen für den Zugriff auf Firmeninterna.

Sind die Betrüger einmal in den Besitz persönlicher Daten gelangt, können sie beispielsweise auf Bankkonten der Opfer zugreifen oder Konten sperren. Darüber hinaus verkaufen sie die Informationen weiter und ermöglichen damit anderen einen weiteren Missbrauch.
Über eingeschleuste Schadsoftware haben sie zudem die Möglichkeit, dauerhaft noch mehr Daten abzugreifen.

Phishing – Methoden

Am häufigsten erfolgt Phishing über der Versand von E-Mails. Eingebettet in eine Erläuterung des besonderen Anlasses für die Benachrichtigung findest du einen Link oder Button. Diesen sollen Sie zur Verifizierung oder Überprüfung Ihrer persönlichen Daten anklicken. Eine andere Variante ist die Aufforderung zum Herunterladen einer angehängten Datei.

Phishing-Links bei Kurznachrichten-Diensten sind meistens in Gewinnspiele oder Videos eingebettet.

Sobald Sie den Link, Button bzw. das Video anklicken oder den Anhang öffnen, hat der Betrüger sein Ziel erreicht. Selbst wenn Sie anschließend die Eingabe Ihrer persönlichen Daten verweigern, haben Sie u. U. bereits mit Öffnen des Anhangs oder der verlinkten Webseite unbemerkt Schadsoftware installiert. Letzteres passiert besonders häufig auf (Android-)Smartphones sowie Computern mit Windows-Betriebssystem.

Erkennen von Phishing-Versuchen

Unabhängig davon, ob es sich um Benachrichtigungen per E-Mail / Messenger oder um gefälschte Webseiten handelt, erkennen Sie Phishing i. d. R. an folgenden Auffälligkeiten:

Absender

Die Absendeadresse unterscheidet sich von der tatsächlichen Unternehmens-E-Mail-Adresse. Vor allem sollten Sie auf den (Provider-)Namen hinter dem @-Zeichen achten. Denn dieser verweist bei Phishing E-Mails nicht auf den Server des echten Unternehmens, sondern auf einen fremden Provider.
Allerdings zeigen die meisten Mail-Clients nur eine Kurzform / den ersten Teil der Adresse an. Um den kompletten Absender zu sehen, klicken Sie entweder …

!

1. auf diese Kurzform
2. auf den kleinen Pfeil rechts daneben

Phishing
Anzeige-Beispiel: Dies ist KEINE Phishing-E-Mail

Inhalt

  • Sofern eine Anrede vorhanden ist, ist diese unpersönlich.
  • Die Erläuterung ist bei genauem Lesen nicht wirklich plausibel und entspricht nicht dem Stil des echten Unternehmens.
  • Sie zielt darauf ab, Sie zu verunsichern und
  • ist mit einer Drohung verbunden: Wenn Sie sich nicht bis zum … meldest, müssen Sie eine Gebühr bezahlen oder Ihr Konto wird gesperrt bzw. gelöscht.
  • Insbesondere Kurznachrichten versprechen, dass Ihnen nach dem Anklicken ein Gewinn sicher ist.
  • Unterschrift, Funktion des Schreibers und Firmenangaben fehlen, sind unvollständig, nur teilweise korrekt oder frei erfunden.

Vorsicht auch bei der sichtbaren Bezeichnung (URL) von Links. Was Sie sehen muss nicht automatisch dem entsprechen, was dahinter verborgen ist. Denn der Urheber kann Verlinkungen einen beliebigen „Klarnamen“ geben. Anschließend sehen Sie als Leser die tatsächliche URL erst, wenn sich der Link im Browser öffnet.

Beispiel:
In der E-Mail erscheint der Link https:// help .paypal .com. Nachdem Sie auf den Link geklickt haben, landen Sie jedoch auf der Seite http:// give -me -your -data .com. Und dann sind Sie schon in die Falle getappt.

Erscheinungsbild

  • Das Schriftbild ist ungleichmäßig und von schlechter Qualität.
  • Innerhalb von Wörtern erscheinen einzelne Buchstaben in einer anderen Schriftart (oft kyrillisch)
  • Manche Buchstaben, vor allem Umlaute, sind durch irgendwelche Zeichen ersetzt.
  • Satzkonstruktionen und Kommasetzung entsprechen nicht dem deutschen Sprachgebrauch (evtl. unprofessionelle Übersetzung).
  • Überdurchschnittlich viele Rechtschreibfehler, die sich nicht mit falscher Autokorrektur oder Flüchtigkeit erklären lassen.

Webseiten

  • Die URL (Adresszeile) enthält Zusätze, die bei der echten Seite nicht vorhanden sind.
  • Sie beginnt zwar mit https://, es gibt jedoch kein oder nur ein gefälschtes / ungültiges Sicherheits-Zertifikat.
  • Die Webseite zeigt keinen Inhalt außer einem Eingabefeld für Ihre Daten oder für eine TAN.
  • Das Design entspricht im Gesamtbild nicht dem der Originalseite (Header, Logo, Farben, etc.)

Was sollten Sie tun?

Misstrauisch werden, wenn Sie eine Benachrichtigung …

  • von einem Unternehmen erhalten, dass Sie nicht kennen,
  • Aussehen und Formulierung der E-Mail nicht dem entspricht, was Sie von E-Mails des genannten Unternehmens gewohnt sind,
  • der Inhalt sich nicht logisch nachvollziehen lässt oder kein Zusammenhang mit Ihren aktuellen Interaktionen mit diesem Unternehmen besteht.

Falls Sie unsicher sind, ob es sich um Phishing handelt, sehen Sie sich immer den Absender genau an.

  • Vergleichen Sie ihn ggfs. mit dem früherer E-Mails des echten Unternehmens.
  • Besuchen Sie im Zweifelsfall direkt die Homepage des jeweiligen Unternehmens.
  • Schaue, Sie nach, ob es dort irgendwelche Hinweise auf das in der E-Mail geschilderte Problem gibt.
  • Vergleichen Sie die Angaben im Impressum des echten Unternehmens mit den Angaben in der E-Mail.

Auf keinen Fall sollten Sie bei fragwürdigen E-Mails Anhänge öffnen oder herunterladen. Außerdem natürlich auch nicht die Links / Buttons / Videos in Nachrichten unbekannter Absender anklicken.

Phishing vorbeugen

Machen Sie es den Urhebern von Phishing E-Mails etc. nicht zu einfach. Denn oft spielt den Betrügern in die Hände, dass …

  • aufgrund der Vielzahl von täglichen E-Mails nicht jede einzelne aufmerksam gelesen wird,
  • das Anklicken von Links und Buttons zur Gewohnheit geworden ist
  • und das Versprechen eines Gewinns einen zusätzlichen Anreiz schafft.

Einerseits haben Sie die Möglichkeit, solche E-Mails als Spam zu markieren oder auf die Blacklist zu setzen. Bei Kurznachrichten können Sie den Absender blockieren. Leider zeigen diese beiden Maßnahmen nur eingeschränkt Wirkung, da sich die Absendeadressen ständig ändern.
Andererseits bringen einige gute Sicherheits-Programme für den PC auch einen Phishing-Schutz mit. Dieser ist aber aus o. g. Gründen jedoch ebenfalls nicht 100 %ig zuverlässig.

Deshalb machen Sie sich mit den „Spielregeln“ des Internets vertraut. Trotz regelmäßiger Informationen über Datenschutz und Sicherheit bewegen sich viele immer noch relativ unbedarft im Netz. Infolgedessen können die Betrüger dieses „Halbwissen“ schamlos ausnützen, indem sie die Empfänger verunsichern und mit Konsequenzen für die „Nachlässigkeit“ drohen.

Grundsätzlich gilt …

  • Seriöse Unternehmen, egal ob Online-Shops, Banken o. ä., versenden keine Verifizierung-Nachrichten ohne vorangegangene Aktionen Ihrerseits.
  • Sollten beispielsweise wirklich einmal Probleme bei diesen Unternehmen auftreten, so werden Sie darüber informiert. Manchmal zwar mit Link, aber immer ohne Drohung. Anschließend besuchen Sie direkt die Homepage des Unternehmens. Dort erhalten Sie echte Hinweise, was zu tun ist.
  • Diese Unternehmen verlangen niemals die Eingabe von persönlichen Daten via E-Mail oder Messenger!
  • Haben Sie beispielsweise auf der Homepage eines Unternehmens Ihr Passwort geändert, so erhalten Sie eine Verifizierung-E-Mail. Diese erreicht Sie aber in direktem zeitlichen Zusammenhang zu Ihrer Aktion. Sie führt Sie sofort zurück auf die Seite, auf der Sie Änderung vorgenommen haben und verlangt dort keine erneute Eingabe Ihrer Daten.

Und zu guter Letzt, informieren Sie sich z. B. auf meiner Webseite über die aktuellen Phishing- und Erpresser-E-Mails sowie gefälschten Textnachrichten.

Von Ellena © Grafiken: eb

android apple apps bloggen browser cloud dsl-wlan e-mail foto google internetsicherheit ios macOS messenger microsoft mobilfunk onlinedienste recht seo social tutorials updates windows wordpress

Schreibe einen Kommentar