Was tun bei Phishing?

Bei einem „klassischen“ Phishing-Angriff bekommst du eine gefälschte E-Mail beispielsweise im Namen deiner Bank zugeschickt und wirst auf eine vermeintliche Sperre deiner Kreditkarte hingewiesen. Du wirst aufgefordert, diese schnellstmöglich über einen mitgesendeten Link zu reaktivieren. Meist sehen Phishing-Mails sehr professionell aus: Logo, Layout und sogar die Wortwahl gleichen den echten E-Mails. Kriminelle spekulieren darauf, dass viele Menschen zu beschäftigt oder abgelenkt sind und ihre E-Mails nur oberflächlich lesen.

Sie erwecken den Eindruck, es sei dringend, und fordern dich auf, den Anhang zu öffnen oder auf einen Link zu klicken. Dieser führt auf eine manipulierte Webseite, auf der du deine Daten wie Passwörter, PIN oder TAN eingeben sollst. Dabei kommen teilweise auch sogenannte Trojaner zum Einsatz, also Programme, die durch das Öffnen unbemerkt auf deinen Rechner geladen werden und deine Daten ausspähen oder Tastatureingaben mitlesen. Vor allem auf dem Handy oder Tablet kann es schwierig sein, den Phishing-Versuch zu erkennen.

Phishing-Varianten: Neben gefälschten E-Mails sind noch weitere Phishing-Varianten im Umlauf: Smishing, Vishing, Spear-Phishing, Pharming und Devicewechsel-Betrug. Alle der genannten Betrugsmaschen zielen darauf ab, dich zu erleichtern: nämlich um deine Daten und dein Geld.

Beim Smishing – zusammengesetzt aus „SMS“ und „Phishing“ – geht es um das Abfischen von Daten per SMS, WhatsApp oder den Facebook-Messenger. Diese Textnachrichten informieren dich etwa darüber, dass deine Karte oder dein Konto gesperrt wurde. Eine Freischaltung ist angeblich über den mitgeschickten Link oder eine Telefonnummer möglich. Der Link führt dann zu einer gefälschten Webseite oder der Anruf zu einem*einer Kriminellen, der*die sich z. B. als Angestellte*r der Bank ausgibt. Der neueste Trick der Smishing-Betrüger*innen: eine SMS mit einem Link zur Sendungsverfolgung von Paketen. 

Beim Vishing – der Begriff setzt sich zusammen aus „Voice“ und „Phishing“ – sollen Kund*innen am Telefon dazu verleitet werden, ihre Daten herauszugeben oder direkt Geld an die Kriminellen zu überweisen. Die Betrüger*innen recherchieren vorab in den sozialen Medien nach persönlichen Informationen, um sich damit das Vertrauen zu erschleichen. Sie geben sich am Telefon als Mitarbeiter*innen von einem bekannten Unternehmen aus und teilen den Betroffenen mit, dass diese vermeintlich gehackt wurden, eine Datenaktualisierung nötig sei, um beispielsweise das neue Online-Sicherheitssystem zu aktivieren oder ein angeblich gesperrtes Banking wieder freizuschalten.

Teilweise nutzen die Kriminellen sogenanntes Call-ID-Spoofing, das bei Anrufen sogar die Telefonnummer der eigenen Bank anzeigt. Die Betroffenen werden etwa dazu aufgefordert, ihren Bildschirm per Teamviewer zu teilen, um das angebliche Problem gemeinsam mit den falschen Mitarbeiter*innen zu lösen. Als abschließender Test soll der*die Kontoinhaber*in einen geringen Betrag überweisen und mit einer TAN bestätigen. Im Hintergrund werden damit allerdings höhere Zahlungen in Auftrag gegeben. Oder die Kriminellen versuchen, auf diesem Weg Passwörter, PIN oder TAN zu erschleichen.

Spear-Phishing ist eine spezielle Form des Phishing. Die gefälschten E-Mails werden an ausgewählte, lokal begrenzte Empfänger*innen geschickt, etwa an Mitglieder eines Sportvereins oder Studierende einer Universität. Die Chance, dass die Angeschriebenen tatsächlich bei dieser Bank sind, ist sehr hoch. Eine andere Variante von Spear-Phishing ist das Ausspähen persönlicher Informationen, etwa aus Social Media-Profilen. Diese nutzen die Kriminellen dann, um maßgeschneiderte E-Mails von vermeintlichen Geschäftspartner*innen, Freund*innen oder Kolleg*innen vorzutäuschen und so die Empfänger*innen zur Preisgabe sensibler Daten zu bewegen.

Beim Pharming – zusammengesetzt aus „phishing“ und „farming“ – wird das Betriebssystem deines Computers oder Smartphones mithilfe von so genannten Trojanern oder Viren so manipuliert, dass du bei jeder Eingabe automatisch auf gefälschte Webseiten umgeleitet wirst, obwohl du die Internetadresse richtig eingegeben hast. Ist der Trojaner gut gemacht, wird in der Adresszeile trotz Umleitung die korrekt eingegebene Adresse angezeigt. Bei dem Versuch, sich über die gefälschte Seite einzuloggen, gelangen Kriminelle dann an deine persönlichen Daten.

Das funktioniert beispielsweise so: Du tippst in deinem Browser die Adresse deiner Bank ein, um eine Überweisung per Onlinebanking durchzuführen. Du gelangst auf die betrügerische Webseite, die aussieht wie die deiner Bank. Du schöpfst keinen Verdacht und gibst deine Login-Daten ein. Es erscheint eine Fehlermeldung. Du wunderst dich kurz, vermutest aber ein technisches Problem und versuchst zu einem späteren Zeitpunkt noch einmal, die Überweisung vorzunehmen. Die Angreifer konnten jedoch die Login-Daten beim Eintippen abgreifen. Nun verwenden sie diese, um sich Zugang zum Konto zu verschaffen und sich selbst große Summen zu überweisen. Du bemerkst den Angriff erst, wenn du später auf deinem Kontoauszug unbekannte Überweisungen entdeckst.