Phishing

1 Wie funktioniert Phishing?

Eine Phishing-E-Mail ist eine gefälschte E-Mail, die vortäuscht, von einer vertrauenswürdigen Firma zu stammen. Dabei werden meist die Namen von bekannten Unternehmen verwendet und deren Logos und Erscheinungsbild der Internetseiten nachgestellt. Sie als Empfänger werden in der E-Mail aufgefordert, über einen Link oder ein Formular vertrauliche Daten wie z. B. Ihre Kreditkartennummer, Kontodaten, Benutzernamen oder Passwörter einzugeben.

2 Woran erkennt man Phishing-E-Mails?

Es gibt ein paar Haupt-Kriterien, die man immer wieder in den aktuell vorkommenden Phishing-E-Mails findet:

• Allgemeine Grußformel ohne Ihren Namen
  Phishing-E-Mails beginnen oft mit einer unpersönlichen Grußformel wie "Willkommen, eBay-Mitglied!". Da diese Mails unverändert an sehr viele Empfänger gesendet werden, wird die Anrede nicht mit Ihrem korrekten Namen personalisiert.
• Dringlichkeit und Drohung
  In den gefälschten E-Mails werden Sie meist dazu aufgefordert, sich aus dringenden Gründen in Ihrem Benutzerkonto des vorgetäuschten Unternehmens anzumelden. Dabei müssen Sie natürlich Ihre persönlichen Daten eingeben. Oft wird auch damit gedroht, dass Ihre Benutzerdaten "verloren gehen" würden oder Ihr Benutzerkonto gesperrt würde, wenn Sie nicht unverzüglich handeln. Dieser Zeitdruck (der Sie vom Nachdenken abhalten soll) wird dabei perfiderweise oft unter dem Vorwand der Sicherheit aufgebaut.
• Eingabe vertraulicher Daten über Links oder Formulare
  Sie werden in Phishing-E-Mails dazu aufgefordert, vertrauliche Daten wie Benutzername, Passwort, Bankkonto- oder Kreditkartendaten über einen Link oder ein Formular einzugeben. Diese Links führen anschließend auf gefälschte Webseiten ("Spoof-Sites"), die der Webseite eines bekannten Unternehmens optisch gleichen. Von dieser Optik lässt man sich sehr schnell täuschen.

3 Wie können Sie sich vor Betrug schützen?

Lassen Sie sich nicht unter Druck setzen! Sie müssen darüber nachdenken, was Sie machen.

• Seriöse Unternehmen fordern Sie NIE per E-Mail auf, Ihre Daten einzugeben
  Klicken Sie also niemals auf einen Link in einer E-Mail, die Sie auffordert, persönliche Daten einzugeben.
• Geben Sie die Internet-Adresse von Hand ein
  Öffnen Sie ein neues Browser-Fenster und tippen Sie die Ihnen bekannte offizielle Webadresse des Unternehmens selbst von Hand in die Adresszeile ein (z. B.: "http://www.ebay.de"). Danach loggen Sie sich auf dieser offiziellen Seite wie gewohnt ein. Wenn es echte wichtige Mitteilungen von dem Unternehmen an Sie gibt, dann werden Sie diese sicherlich nach dem Einloggen angezeigt bekommen.
• Informieren Sie das betreffende Unternehmen
  Fragen Sie per Telefon oder per E-Mail (Adresse bewusst von Hand eingeben) bei dem betreffenden Unternehmen nach, ob und wie Sie die verdächtige E-Mail an das Unternehmen weiterleiten sollen. Wenn dies gewünscht ist, kann das Unternehmen gegen die Betrüger aktiv werden.
• Konten sperren lassen
  Informieren Sie sofort das betreffende Unternehmen, wenn Sie glauben, dass Sie Ihre Zugangsdaten auf einer gefälschten Webseite (Spoof-Site) eingegeben haben. Haben Sie auch Ihre Daten zu Bankkonto oder Kreditkarte eingegeben? Dann informieren Sie auch Ihre Bank und das Kreditkartenunternehmen!

4 Weitere Tipps

• Absender-Adresse gefälscht
  Das "Von"-Feld in E-Mails lässt keinen verlässlichen Rückschluss auf den tatsächlichen Absender zu, da man den Absender sehr leicht fälschen kann.
• Webadressen täuschend echt
  Lassen Sie sich nicht von scheinbar echten Webadressen täuschen. Die Betrüger verwenden in der Regel Webadressen, die man auch bei genauerer Begutachtung nicht unbedingt als unecht erkennt. Dazu ein paar typische Beispiele:
  
  
  • http://123.456.789.012/cgi.ebay.com/
    Dies führt nicht zu ebay.com, sondern zu 123.456.789.012.
  • http://thunderbird-mail.de/und_ein_paar_worte/um_die_adresse_unkenntlich_zu_machen@google.com
    Dies führt nicht zu thunderbird-mail.de, sondern zu google.com.
  • http://pages-ebay.com
    pages-ebay.com muss nicht eBay gehören. Solche ähnlichen Domains können von jedermann registriert und betrieben werden (also auch von Betrügern).