Phishing: Was ist das und wie kann ich mich schützen?

Grüße der besten Freundin, die Bestätigung der letzten Schuhbestellung, Newsletter, für die Sie sich eingetragen hatten: Tagtäglich trudeln unzählige E-Mails in unseren Postfächern ein. Manche dieser Mails scheinen auf den ersten Blick wichtig und seriös, haben aber betrügerische Inhalte und zielen darauf ab, Ihre persönlichen Daten abzugreifen. In diesen Fällen spricht man von Phishing.

Was bedeutet Phishing?

Anders als der Begriff zunächst vermuten lässt, hat Phishing leider nichts mit einem entspannenden Trip an den See zu tun, sondern ist ein Phänomen aus dem Bereich Cyberkriminalität. Der Ausdruck „Phishing“ ist eine Neuschöpfung aus den Begriffen „Password“ und „Fishing“ (engl. für angeln) und beschreibt damit ziemlich genau das, was sich dahinter verbirgt: Das Angeln Ihrer persönlichen Passwörter. Dabei werden spezielle E-Mails als Köder benutzt, die Nutzer dazu bewegen sollen, Ihre geheimen Daten auf sogenannten Phishing-Websites an- und somit für Dritte preiszugeben.

Welche Methode steckt dahinter?

Über täuschend echt aussehende Mailinhalte geben Betrüger vor, beispielsweise Ihre Bank bzw. andere Zahlungsdienstleister, ein Online-Shop, aber auch eine Dating-Plattform zu sein. Selbst ganz große und bekannte Unternehmen werden immer wieder Opfer krimineller Phishing-Mails. Mit einer Tarnung werden Sie über einen fadenscheinigen Vorwand dazu aufgefordert, sich beispielsweise mit Ihren Zugangsdaten in einem entsprechenden Portal einzuloggen.

Ein Vorwand kann zum Beispiel sein, dass es irgendein Problem mit Ihrem Konto gebe und Sie sich erneut autorisieren müssen.

Meist werden Sie über einen Link auf eine Internetseite gelotst, wo Sie dazu aufgefordert werden, Ihre Daten einzugeben. Obwohl die Webseite häufig dabei der echten Seite des Unternehmens verblüffend ähnlich sieht, handelt es sich dabei um einen Fake, der von Betrügern gebaut wurde, um an Ihre Daten zu gelangen.

Welche Folgen kann Phishing haben?

Ein erfolgreicher Phishing-Angriff hat meist Identitätsdiebstahl zur Folge. Wenn dies geschehen ist, können in Ihrem Namen kriminelle Handlungen getätigt werden. Die wohl bekannteste Folge aus dieser Art von Delikt ist ein finanzieller Schaden: Von Ihrem Konto aus können Überweisungen getätigt, Ihre Kreditkarte kann für von Ihnen nicht autorisierte Zahlungen eingesetzt werden.

Bei Online-Auktionshäusern wie z. B. eBay kann zudem Rufschädigung eine potentielle Folge sein, wenn gestohlene Waren unter Ihrem Namen angeboten werden. Zur Aufklärung eines solchen Falles werden oft nicht nur starke Nerven und viel Geduld benötigt, sondern häufig auch Gebühren wie ggf. Anwaltskosten fällig.

Wie kann ich mich vor Phishing schützen?

Die Methoden der Betrüger werden immer professioneller. Deshalb ist es essenziell, bei wichtig scheinenden E-Mails ein wenig genauer hinzuschauen und auf die folgenden Hinweise Acht zu geben:

Sensible Daten nicht per E-Mail preisgeben

Ihre Daten für das Online-Banking haben Sie meist über zwei verschiedene postalische Schreiben erhalten. Ihre Bank wird daher nicht über eine bloße E-Mail mit Ihnen Kontakt aufnehmen, wenn es um Ihre persönlichen Daten geht. Geben Sie daher nie deine Zugangsdaten, Passwörter oder TANs, wenn Sie per E-Mail dazu aufgefordert werden. Nachrichten mit einem solchen Inhalt können Sie ignorieren, selbst wenn Sie den Absender vermeintlich kennen.

Aktuelle Meldungen überprüfen

Wenn Phishing-Mails im Umlauf sind, dessen vermeintlicher Absender ein großes, bekanntes Unternehmen ist, wird in den Medien zumeist recht schnell darüber berichtet. Sobald man an der Echtheit einer Nachricht zweifelt, kann man z. B. bei der Verbraucherzentrale nachschlagen, ob die Mail bereits als Phishing-Inhalt erkannt wurde. Wenn man selbst eine Nachricht als Fake-Mail identifiziert hat, empfiehlt es sich, die Betrügermails zu melden, um so andere vor Missbrauch zu schützen.

Auffälligkeiten finden

Die wohl klarsten Indizien, die auf eine betrügerische E-Mail hinweisen, können in Sprache und Layout gefunden werden. Eine fremdsprachige Nachricht von einem hiesigen Anbieter, schlechtes Deutsch oder aber plötzlich auftauchende Sonderzeichen, wie z. B. kyrillische Buchstaben, deuten auf einen Betrug hin.

Da die Methode der Cyberkriminellen jedoch immer professioneller wird, können diese Auffälligkeiten heute nicht mehr als eindeutige Hinweise gesehen werden. Es gibt mittlerweile auch fehlerfreie Mails mit einwandfreiem Layout.

Adresse checken

Bevor Sie persönliche Daten im Internet angeben, ist es wichtig, vorher immer die sogenannte URL, also die Adresse der Website, auf der diese angefordert werden, zu überprüfen. Recherchieren Sie den vermeintlichen Absender und vergleichen Sie die „echte“ URL mit der, die hinter dem Link in der E-Mail steckt. Leider weicht diese oft nur minimal von der echten und oft vertrauten Website ab, sodass hier besonders genau hingeschaut werden muss.

Zertifikat prüfen

Ebenfalls wichtig bei der Prüfung von potentiellen Phishing-Mails ist, ob die in der E-Mail verlinkte Seite ein gültiges Zertifikat hat. Dies lässt sich ganz leicht überprüfen. Klicken Sie hierzu einfach auf das Symbol vor der Webadresse. An dieser Stelle finden Sie häufig ein Schloss-Symbol oder auch das Logo des Unternehmens. Beim Klick sollte sich ein Fenster öffnen, über das Sie weiterführende Informationen zur Verschlüsselung der Seite und dem Urheber der Webseite erhalten.

Wie erkenne ich eine Phishing-Mail?

Es gibt ein paar Warnsignale, anhand deren Sie eine Phishing-Mail enttarnen können.

Grammatik- und Rechtschreibung

Phishing-Mails erkennen Sie oftmals an ihrem fehlerhaften Deutsch. Oft werden Übersetzungsdienste eingesetzt, die nicht akkurat übersetzen. Weitere Hinweise sind auch Zeichenfehler oder fehlende Umlaute. Sollten Sie dubiose Mails erreichen, die auf Französisch oder Englisch verfasst worden sind, aber im Namen Ihrer Bank oder Versicherung verschickt werden, können Sie auch hier von Phishing ausgehen. Ihre Bank, soweit in Deutschland ansässig, wird Sie lediglich in deutscher Sprache kontaktieren.

Fehlender Name

Eigentlich konnte man Phishing-Mails daran identifiziert werden können, wenn Sie ohne direkte namentliche Ansprache, also mit „Sehr geehrte*r“ begannen. Heute sind die Phisher allerdings deutlich gewiefter und sprechen Sie auch mit Ihrem Namen an. Dieser Faktor ist also mit Vorsicht zu genießen. Dennoch können Sie davon ausgehen, dass seriöse Dienste, bei denen Sie registriert sind, Sie immer mit ihrem echten Namen nennen.

Dringlichkeit

Werden Sie stutzig, wenn Ihnen in E-Mails harte Deadlines genannt werden. Phishing-Mails fordern Sie fast immer dazu auf, schnell dringend etwas erledigen zu müssen.

Preisgabe von Daten

Die Aufforderung, persönliche Daten, Passwörter oder PINs preiszugeben, ist ein weiterer Hinweis auf gefälschte Mails. Gehen Sie davon aus, dass Ihre Bank Sie per Mail oder Telefon nicht nach solchen Daten fragen würde.

Aufforderung zur Öffnung einer Datei & Eingabe von Daten in ein Formular

Werden Sie in Mails aufgefordert, Anhänge zu öffnen oder Dateien herunterzuladen? Finger weg! Meist sind das schadhafte Programme oder Viren, die sich dann auf Ihrem PC breit machen.

Links oder Daten einfügen

Wenn deutsche Banken Sie kontaktieren, erfolgt das meist über den Postweg. Wenn Sie doch mal eine seriöse Mail von Ihren Banken bekommen, dann meist nur mit einer Ankündigung zur Änderung der AGBs oder einer Mitteilung über andere Veränderungen. Mails, in denen Sie aufgefordert werden, Dinge zu klicken oder einzutippen, sind unseriös und mit hoher Wahrscheinlichkeit Phishing-Mails. Kommen Sie diesen Befehlen keinesfalls nach.

Absender unbekannt

Sie kennen den Absender der Mail gar nicht und haben noch nie etwas von diesem gehört? Löschen Sie die Mail direkt.

Fokus auf den Mailheader

Checken Sie immer den Headerteil der Mail. Von wem stammt die Mail, ist die E-Mail Adresse nur auf den ersten Blick seriös? Mit einem Klick auf Antworten in Ihrem Mailprogramm sehen Sie außerdem, welche E-Mail-Adresse Sie mit einer Antwortmail anschreiben würden. Hier kann aus der vermeintlichen Sparkasse im Ort schnell eine kryptische internationale E-Mail-Adresse  werden – klarer Fall für Phishing! Senden Sie die Antwortmail keinesfalls ab. Um auf Nummer sicher zu gehen, sollten Sie sich auch den Mailheader genauer ansehen. Dort finden Sie die IP-Adresse des Absenders — ein Faktor, der sich nicht fälschen lässt.

Was kann ich tun, wenn ich meine Daten preisgegeben habe?

Wenn Sie eine zweifelhafte Webseite besucht und dort Ihre Daten preisgegeben haben, setzen Sie sich umgehend mit Ihrer Bank bzw. dem vermeintlichen Anbieter in Kontakt, um finanzielle oder Rufschäden gegebenenfalls noch vermeiden zu können. Ihr Account und etwaige PIN bzw. TAN-Nummern sollten in diesem Fall gesperrt werden. Weisen Sie Ihren Ansprechpartner bestenfalls darauf hin, dass Sie Opfer einer Phishing-Mail geworden sind. Da Phishing leider kein Einzelphänomen mehr ist, wird dieser wissen, was zu tun ist.

Sollte bereits ein finanzieller Schaden entstanden und gewisse Summen von Ihrem Konto überwiesen worden sein, melden Sie sich bitte umgehend bei der Polizei und bringen Sie den Fall zur Anzeige.