Phishing

Phishing – Gefälschte Webseiten und E-Mails

Zuletzt bearbeitet: 29 April 2019
Lesezeit: 8 Minuten, 52 Sekunden

In diesem Artikel wird ausführlich das Phänomen Phishing besprochen. Wir erklären, was Phishing genau ist, wie man es erkennt und wie man sich dagegen schützen kann. Was man bei einem akuten Phishingversuch tun muss, erklären wir auch.

Was ist Phishing genau?

Phishing Fishhook with PasswordMit dem Wort Phishing wird eine Art des Internetbetrugs gemeint, wobei man gefälschte Emails empfängt von offiziellen Organisationen und Firmen, die in Wirklichkeit aber von Betrügern stammen. Die Betrüger tun alles dafür, dass der Inhalt so echt wie möglich aussieht, inklusive Logos und allem drum und dran, und fordern einen dann dazu auf, auf den mitgeschickten Link zu klicken oder eine Datei zu öffnen. Wenn man dann auf diese Links klickt, wird man auf eine nachgemachte Webseite weitergeleitet, wo man aufgefordert wird vertrauliche Informationen, wie Bankverbindungen, anzugeben. Aber auch bei mitgeschickten Dateien ist oberste Vorsicht geboten, da diese oftmals Malware oder Spyware enthalten, die unbemerkt vertrauliche Daten von Ihrem Computer speichern.

Das Ziel der Betrüger ist die Geldeinnahme oder das Veröffentlichen von vertraulichen Informationen. Phishing ist leider ein weitverbreitetes Phänomen, da die Betrüger oftmals tausende Emails gleichzeitig verschicken. Wenn auch nur eine Handvoll Menschen auf die Tricks hereinfällt, können sie immer noch mehrere tausend Euros von den Konten abheben und die Leute ausplündern.

Der Nachteil von Phishing ist, dass es jeden treffen kann. Die Betrüger achten auch auf Ängste und Emotionen der Empfänger, zum Beispiel dass man noch ganz schnell mit seiner alten Bankkarte bezahlen muss oder man bekommt eine Strafe. Oder dass das Konto gesperrt wird, wenn man sich nicht rechtzeitig einloggt. Die Menschen, die den Phishingmails zum Opfer fallen, fühlen sich in die Enge gedrängt und bekommen Angst, dass etwas passiert, wenn sie nicht das tun, was in der Mail steht.

Wie erkennt man Phishing?

Phishingmails können von den unterschiedlichsten Absendern (Organisationen und Behörden) kommen. Denken sie an die Bundesregierung, Finanzamt, Webshops, Inkassounternehmen, Versicherungen, Banken oder Seiten wie Ebay. Wenn man den Link in der Mail anklickt, wird man auf eine präzise nachgemachte Seite weitergeleitet und wenn man dann seine Daten eingibt, geht es direkt an die Betrüger. Achten sie auf die folgenden Punkte, wenn ihnen eine E-Mail nicht ganz koscher ist:

Tipp 1. Behandlung, auffälliger Satzbau und Sprachfehler

Welche Anrede und was für ein Tonfall wird in der Email benutzt? Oftmals werden Phishingmails zu Tausenden verschickt, wodurch die persönliche Anrede meist wegfällt und man sofort auf der Hut seien sollte. Auch wenn die E-Mail viele Fehler enthält ist es kein gutes Omen, da die Absender meistens aus dem Ausland kommen und die deutsche Sprache nur ansatzweise können. Allerdings haben auch deutsche Betrüger Schwierigkeiten mit korrektem Satzbau.

Das bedeutet im Umkehrschluss aber nicht, dass jede Phishingmail Fehler enthält. Es gibt genug Beispiele, wo die Mail in perfektem Deutsch geschrieben wurde. Faustregel: Wenn eine große Firma eine E-Mail mit vielen Tippfehlern verschickt ist es garantiert eine Phishingmail. Wenn die Nachricht in gutem Deutsch verfasst ist, achten sie dann auf die folgenden Kriterien um eine Phishingmail zu entlarven.

Tipp 2: Wer ist der Absender?

Ist die E-Mail Adresse der Absenders vertrauenswürdig? Wenn Ihre Bank Ihnen eine E-Mail schickt mit dem Absender deutschebank_@outlook.com, oder commerzbankdeutschland@gmail.com, dann ist Vorsicht geboten. Vielen Banken und Betriebe haben ihre eigene Domain mit dem Namen nach dem @. Zum Beispiel info@dresdnerbank.de oder support@deutschebank.de. Gucken sie also immer kritisch nach dem Absender.

Tipp 3: Verdächtige Anhänge

Phishingmails können auch verdächtige Anhänge haben. Das sind zum Beispiel Malware und Spyware, die Keyloggers und Trojanische Pferde installieren. Achten sie gut auf das Format des Anhangs. Wenn es .exe oder .zip ist, dann sollte man dem Braten nicht trauen. Öffnen sie nur Bestände, denen sie zu 100% vertrauen und mit denen sie auch gerechnet haben, dass sie ihnen zugeschickt werden.

Untenstehend ist eine Tabelle mit verdächtigen Anhangsformaten, denen man bei Phishingmails begegnen könnte. Wenn sie eine Datei empfangen, achten sie dann auf die Buchstaben nach dem Punkt um zu wissen um welche Art es sich handelt.

.bat (Batch) .com (COM file) .cpl (Control Panel)
.docm (Microsoft Word with macros) .exe (Windows Executable file) .jar (Java)
.js (JavaScript) .pif (Programma Information) .pptm (Microsoft PowerPoint with macros)
.ps1 (Windows PowerShell) .scr (Screensaver file) .vbs (Visual Basic Script)
.wsf (Windows Script File) .xlsm (Microsoft Excel with macros) .zip (Compressed)

Ein weiteres Alarmsignal ist, dass der Dateityp anders ist, als man erst vermutet, da der Name ZahlungsübersichtPDF.exe sein könnte. Man denkt, dass es eine PDF Datei ist, aber durch die Verlängerung .exe ist dies nicht der Fall.

Tipp 4: Es wird nach persönlichen Daten gefragt

Werden sie nach persönlichen Daten gefragt? Kein gutes Zeichen! Der Tipp ist, um niemals diese Daten mit Absendern von E-Mails zu teilen. Wird man in einer Mail aufgefordert sich auf einer Webseite einer Firma oder Bank einzuloggen, klicken sie dann NIEMALS auf den Link. Schließen Sie die E-Mail und gehen sie selbst zu der angegebenen Webseite, weil sie dann sicher wissen, kann es die richtiger Seite ist.

Enthalten die Mails auffällige Links/URLs? Dann ist das ein rotes Tuch in Bezug auf Phishing. Manchmal scheinen die Links authentisch zu sein, aber wenn man mit der Maus darüber geht, dann kann man links unten im Browser sehen, welche URL sich wirklich dahinter versteckt. Vertrauen sie der Internetadresse nicht? Klicken sie dann nicht drauf. Achten sie auch mit ihrem Smartphone und Tablet darauf, dass sie nicht seltsame Links anklicken, bevor sie sich nicht sicher sind.

Tipp 6: Hören sie auf ihr Bauchgefühl

Achten sie auf ihr Bauchgefühl, wenn sie denken, dass etwas faul ist. Sein sie lieber einmal zu vorsichtig, als nachher die Konsequenzen zu tragen. Wenn sie Zweifel haben, kontaktieren sie dann die Organisation, Firma oder Behörde mit einer Telefonnummer oder E-Mail Adresse, der sie zu 100% vertrauen und fragen sie nach, ob die fragwürdige E-Mail von denen verschickt wurde.

Phishing per Telefon

Die meisten Betrugsfälle passieren per E-Mail, weil es eine effektive Art ist tausende Menschen gleichzeitig zu erreichen. Aber auch am Telefon kann man Opfer von Phishing werden, vor allem wenn die Betrüger bereits persönliche Informationen im Internet gesammelt haben, wie Nutzerdaten oder Kontonummer. Ein Anruf kann genügen um die TAN-Codes herauszufinden und die Opfer überweisen ohne ihr Wissen Geld an die Betrüger. Achten Sie auf die folgenden Hinweise, wenn Sie von unbekannten angerufen werden:

  • Sie werden von jemandem wie Windows oder den Hersteller ihres Smartphones angerufen. Es gibt ein technisches Problem mit dem man ihnen gerne helfen möchte.
    Das ist ein bekannter Trick, wobei die Opfer sich auf bösartigen Webseiten anmelden müssen. Damit bekommen die Betrüger Zugang auf ihren Rechner, Tablet oder Smartphone um an persönliche Daten zu gelangen. Es kann auch sein, dass ransomware installiert wird, wenn man auf die besagte Webseite geht oder anderen Leuten den Zugriff auf ihren Computer erlaubt. Alle Dateien werden dann verschlüsselt und erst nach Überweisung eines Erpressungsgeldes bekommt man seine Daten zurück. Um den Druck zu erhöhen, kann es sein, dass die ransomware beliebig Dateien löscht. Die Opfer bekommen Panik und sind eher dazu geneigt das Lösegeld zu bezahlen. Falls ihnen das passieren sollte, nehmen sie sofort Kontakt mit der Polizei auf!
  • Sie werden von ihrer Bank oder einem Unternehmen angerufen. Sie haben etwas gewonnen oder es stimmt etwas nicht mit ihrem Konto. Wie dem auch sei, es werden ihre Personaldaten abgefragt per Telefon
    Geben sie niemals einfach so wichtige Informationen weiter, wie ihre Adresse oder die Kontodaten. Sollen sie angerufen werden und jemand möchte das von ihnen wissen, brechen sie das Gespräch dann sofort ab und kontaktieren sie, falls notwendig, die offizielle Nummer ihrer Bank oder des Unternehmens. Dann können sie sicher sein, dass kein Betrüger am anderen Ende der Leitung sitzt.

Weitere bekannte Betrugsformen

Phantom Rechnungen

Es kann sein, dass sie per Mail oder Post eine Mahnung oder eine fällige Rechnung oder einen Strafzettel zugeschickt bekommen. Es wird gefordert, den betreffenden Betrag schnellstmöglich zu überweisen auf das Konto der Betrüger. Sollten sie eine derartigen Rechnung nicht vertrauen, nehmen sie dann Kontakt mit dem Adressaten auf, mit den Kontaktdaten, die sie bereits kennen und nicht die auf dem Brief vermerkten, da diese auch falsch sein könnten. Gehen sie einfach auf die Homepage der Firma und suchen sie die richtigen Kontaktdaten.

E-mails oder Nachrichten von Bekannten über Social Media

spamManchmal verschaffen sich Kriminelle Zugang zu E-Mail oder Social Media Accounts von anderen Leuten, durch die Daten vom Phishing. Stellen Sie sich vor, dass die Betrüger den E-Mail Account von Petra gehackt haben. Von Petras Account verschicken sie Mails an ihre Kontakte mit einer einfachen Nachricht, wie „Hallo, wie geht’s dir?“. Viele Kontakte von Petra reagieren darauf, weil sie denken, dass die Nachricht von Petra ist. Wenn geantwortet wurde, versuchen die Betrüger mit allen Tricks und Mitteln an Geld zu kommen. Hier ein Bespiel:

Petra: „Hallo Truus, wie geht’s dir? Ich hoffe, dass es Dir gut geht?“

Truus: „Hallo Petra, lange nichts gehört! Ja mir geht es gut, ich hoffe Dir auch?“

Petra: „Das freut mich. Mir geht es gerade nicht so gut und könnte deine Hilfe gebrauchen. Ich bin im Urlaub gestrandet, weil mein Portmonee geklaut wurde mit allen Karten. Jetzt bräuchte ich 450€ um nach Hause zu kommen. Könntest du mir helfen?

Es wird eine Dringlichkeit durch die Betrüger kreiert (Petra sitzt im Urlaub fest ohne Geld). Die Hilfsbereitschaft der Leute, die diese Mails erreichen wird getriggert. Die Kontodaten, die Petra dann an angibt, sind natürlich die der Kriminellen. Es kann auch sein, dass man das Geld mit PayPal, Western Union, Moneygram oder Bitcoin überweisen soll. Sollte man einen Versuch dieser Art  bekommen, kann man von Betrug ausgehen. Falls man der Person helfen möchte, sollte man diese versuchen telefonisch zu erreichen.

Derartige Nachrichten können auch über Facebook und andere Social Media Plattformen verschickt werden. Das Fatale ist, dass die Kriminellen dann den ganzen Gesprächsverlauf sehen können und an Hand früherer Unterhaltungen viele Informationen versammeln können. Diese Informationen werden dann missbraucht um authentisch rüberzukommen. Auch hier gilt: Versuchen sie die betreffende Person telefonisch zu erreichen, ob das alles so stimmt.

Phishingopfer geworden! Was Jetzt?

Sind sie Phishingopfer geworden, dann sollten sie folgendes tun:

  • Sperren sie sofort ihr Konto
  • Melden sie den Vorfall der Polizei
  • Informieren sie die Person, die als Lockvogel genutzt wurde
Hauptautor:

Mehr Artikel aus dem ‘Cyberkriminalität’ Dossier

Kommentare
Einen Kommentar verfassen
Einen Kommentar verfassen