Phishing

  • Table Of Contents

    "Phishing" ist eine Methode, um Zugangsdaten zu Online-Konten / Benutzer-Konten bei Banken, Auktionshäusern und Online-Händlern zu stehlen. Mit den gestohlenen Daten haben Betrüger die Möglichkeit, alle Aktionen im Namen des eigentlichen Kunden auszuführen. Dies kann der Kauf von Waren sein, Abheben oder Überweisen von Geld-Beträgen von Ihrem Konto etc. Bekannte Beispiele sind die Benutzer-Konten bei eBay, Paypal, Amazon, Postbank, Citibank und andere. Der Begriff "Phishing" ist ein Kunstwort, das sich aus den englischen Worten "Password" und "Fishing" zusammensetzt.

    1 Wie funktioniert Phishing?

    Eine Phishing-E-Mail ist eine gefälschte E-Mail, die vortäuscht, von einer vertrauenswürdigen Firma zu stammen. Dabei werden meist die Namen von bekannten Unternehmen verwendet und deren Logos und Erscheinungsbild der Internetseiten nachgestellt. Sie als Empfänger werden in der E-Mail aufgefordert, über einen Link oder ein Formular vertrauliche Daten wie z. B. Ihre Kreditkartennummer, Kontodaten, Benutzernamen oder Passwörter einzugeben.

    2 Woran erkennt man Phishing-E-Mails?

    Es gibt ein paar Haupt-Kriterien, die man immer wieder in den aktuell vorkommenden Phishing-E-Mails findet:

    Hinweis

    Leider werden betrügerische E-Mails oftmals immer mehr auch mit persönlichen Daten von Ihnen ausgestattet. Es kann also auch sein, dass Sie in den E-Mails direkt mit Namen und korrekter Postadresse angeschrieben werden. Dies liegt daran, dass aus allen möglichen Kunden-Datenbanken von Firmen die entsprechenden Daten entwendet werden, wenn diese (zumindest zeitweise) unzureichend gesichert aus dem Internet erreichbar sind.

    • Allgemeine Grußformel ohne Ihren Namen
      Phishing-E-Mails beginnen oft mit einer unpersönlichen Grußformel wie "Willkommen, eBay-Mitglied!". Da diese Mails unverändert an sehr viele Empfänger gesendet werden, wird die Anrede nicht mit Ihrem korrekten Namen personalisiert.
    • Dringlichkeit und Drohung
      In den gefälschten E-Mails werden Sie meist dazu aufgefordert, sich aus dringenden Gründen in Ihrem Benutzerkonto des vorgetäuschten Unternehmens anzumelden. Dabei müssen Sie natürlich Ihre persönlichen Daten eingeben. Oft wird auch damit gedroht, dass Ihre Benutzerdaten "verloren gehen" würden oder Ihr Benutzerkonto gesperrt würde, wenn Sie nicht unverzüglich handeln. Dieser Zeitdruck (der Sie vom Nachdenken abhalten soll) wird dabei perfiderweise oft unter dem Vorwand der Sicherheit aufgebaut.
    • Eingabe vertraulicher Daten über Links oder Formulare
      Sie werden in Phishing-E-Mails dazu aufgefordert, vertrauliche Daten wie Benutzername, Passwort, Bankkonto- oder Kreditkartendaten über einen Link oder ein Formular einzugeben. Diese Links führen anschließend auf gefälschte Webseiten ("Spoof-Sites"), die der Webseite eines bekannten Unternehmens optisch gleichen. Von dieser Optik lässt man sich sehr schnell täuschen.

    3 Wie können Sie sich vor Betrug schützen?

    Lassen Sie sich nicht unter Druck setzen! Sie müssen darüber nachdenken, was Sie machen.

    • Seriöse Unternehmen fordern Sie NIE per E-Mail auf, Ihre Daten einzugeben
      Klicken Sie also niemals auf einen Link in einer E-Mail, die Sie auffordert, persönliche Daten einzugeben.
    • Geben Sie die Internet-Adresse von Hand ein
      Öffnen Sie ein neues Browser-Fenster und tippen Sie die Ihnen bekannte offizielle Webadresse des Unternehmens selbst von Hand in die Adresszeile ein (z. B.: "http://www.ebay.de"). Danach loggen Sie sich auf dieser offiziellen Seite wie gewohnt ein. Wenn es echte wichtige Mitteilungen von dem Unternehmen an Sie gibt, dann werden Sie diese sicherlich nach dem Einloggen angezeigt bekommen.
    • Informieren Sie das betreffende Unternehmen
      Fragen Sie per Telefon oder per E-Mail (Adresse bewusst von Hand eingeben) bei dem betreffenden Unternehmen nach, ob und wie Sie die verdächtige E-Mail an das Unternehmen weiterleiten sollen. Wenn dies gewünscht ist, kann das Unternehmen gegen die Betrüger aktiv werden.
    • Konten sperren lassen
      Informieren Sie sofort das betreffende Unternehmen, wenn Sie glauben, dass Sie Ihre Zugangsdaten auf einer gefälschten Webseite (Spoof-Site) eingegeben haben. Haben Sie auch Ihre Daten zu Bankkonto oder Kreditkarte eingegeben? Dann informieren Sie auch Ihre Bank und das Kreditkartenunternehmen!

    4 Weitere Tipps

    • Absender-Adresse gefälscht
      Das "Von"-Feld in E-Mails lässt keinen verlässlichen Rückschluss auf den tatsächlichen Absender zu, da man den Absender sehr leicht fälschen kann.
    • Webadressen täuschend echt
      Lassen Sie sich nicht von scheinbar echten Webadressen täuschen. Die Betrüger verwenden in der Regel Webadressen, die man auch bei genauerer Begutachtung nicht unbedingt als unecht erkennt. Dazu ein paar typische Beispiele:

      • http://123.456.789.012/cgi.ebay.com/
        Dies führt nicht zu ebay.com, sondern zu 123.456.789.012.
      • http://thunderbird-mail.de/und_ein_paar_worte/um_die_adresse_unkenntlich_zu_machen@google.com
        Dies führt nicht zu thunderbird-mail.de, sondern zu google.com.
      • http://pages-ebay.com
        pages-ebay.com muss nicht eBay gehören. Solche ähnlichen Domains können von jedermann registriert und betrieben werden (also auch von Betrügern).
    Beteiligte Autoren

    Graba, Thunder