1. Leben
  2. Internet

Wie Verbraucher Phishing-Mails erkennen

Ratgeber zu Phishing-Mails : Wie Betr?ger nach Daten fischen

Getarnt als Nachricht von der Bankberaterin oder dem Online-Bezahlservice landen t?glich Phishing-Mails im Posteingang von Verbrauchern. Wer genauer hinsieht, kann die Abzocke oft erkennen, bevor ein Schaden entstanden ist.

Gef?lschte Rechnungen, Bank- oder Beh?rdenschreiben: Viele Internetnutzer hatten schon mal eine suspekte E-Mail in ihrem Posteingang. Dahinter verbirgt sich oft eine sogenannte Phishing-Attacke. Kriminelle versuchen mit dieser Online-Betrugsmasche, an sensible Daten zu gelangen, um damit zum Beispiel im Namen des Opfers Bestellungen aufzugeben, dessen Konto zu pl?ndern oder andere Straftaten zu begehen.

Die meisten Phishing-Versuche laufen ?ber E-Mail, SMS oder Nachrichten in sozialen Netzwerken. Aber es gebe auch Versuche per Telefonanruf und sogar per Post, sagt Ralf Scherfling von der Verbraucherzentrale Nordrhein-Westfalen. Kriminelle besorgten sich im Vorfeld einen gro?en Datensatz und testeten ihre Masche meist wahllos ?ber diesen Verteiler. In den Mails behaupteten sie etwa, dass es um die Einf?hrung einer neuen Sicherheitstechnik oder um angebliche Unstimmigkeiten im Kundenkonto gehe, sagt Scherfling.

In den meisten F?llen solle der Empf?nger auf einen Link klicken und auf einer Internetseite seine Daten eingeben. Oder er werde aufgefordert, einen Datei-Anhang zu ?ffnen, der Schadsoftware enth?lt. Bei einer weiteren Variante werde in den Nachrichten gedroht, unliebsame Tatsachen oder Behauptungen ?ffentlich zu machen, wenn eine geforderte Zahlung nicht geleistet werde. ?Einige Betr?ger nutzen auch gegenw?rtige Themen, wie zum Beispiel die Datenschutzgrundverordnung, Corona oder aktuelle Urteile, um die Glaubhaftigkeit der E-Mail zu erh?hen?, warnt Scherfling.

Es gebe auch zielgerichtete Attacken, so Scherfling. Das Vorgehen nennt sich Spear-Phishing (Spear ist die englische Bezeichnung f?r Speer). In einer aktuellen Untersuchung der Forschergruppe ?Security, Usability, Society? (Secuso) am Karlsruhe Institute of Technology (KIT) zu Phishing-Kampagnen wird der gezielte Angriff auf Einzelpersonen oder Unternehmen n?her erl?utert. Die Betr?ger sammelten demnach zun?chst Informationen ?ber die Opfer, entweder ?ber die im Internet frei verf?gbaren Daten oder ?ber Institutionen wie Dienstleister, Kooperationspartner oder Kunden ? zum Teil auch telefonisch. Auf Basis dieser Informationen w?rden dann Phishing-Nachrichten, vermeintlich von einem Kunden oder Dienstleister verfasst. Diese Mails seien deutlich schwerer als Betrug zu erkennen.

Untersuchungsleiterin Professorin Melanie Volkamer hat mit ihrer Forschungsgruppe einen Leitfaden erstellt, wie Nutzer Phishing-Nachrichten erkennen k?nnen. Demnach sollte der Empf?nger die E-Mails zun?chst auf Plausibilit?t pr?fen: Passt der Absender zum Inhalt der Nachricht? Werden sensible Nachrichten abgefragt? Ist die Anrede falsch oder fehlerhaft? ?Je mehr solcher Fragen sich mit ?ja? beantworten lassen, desto wahrscheinlicher handelt es sich um eine betr?gerische Nachricht?, sagt Volkamer. Oft sei schon am Aufbau der Nachricht zu erkennen, ob es sich um einen Phishing-Versuch handelt. Nach der Anrede und der Angabe des Grundes f?r die Mail werde der Nutzer aufgefordert zu handeln. Oft werde Zeitdruck aufgebaut, beschreibt Scherfling. Das Opfer werde gedr?ngt, auf einen Link zu klicken oder einen Anhang zu ?ffnen.

Selbst wenn Inhalt und Absender plausibel erschienen, solle der Empf?nger die Links in der Nachricht ?berpr?fen, sagt Volkamer. Welche Webadresse versteckt sich tats?chlich hinter den Links? Auf dem Rechner k?nnen Nutzer diese sehen, wenn sie mit dem Mauszeiger ?ber den Link fahren, ohne auf diesen zu klicken. Viele Smartphones ?ffneten die Webseite allerdings, wenn der Link l?nger gedr?ckt bleibe. ?Gerade wenn die Domain aus Zahlen, einer IP-Adresse, besteht, handelt es sich h?chstwahrscheinlich um eine gef?hrliche Webadresse?, warnt Volkamer.

Eine weitere Sicherheitsregel des Leitfadens betrifft die E-Mail-Anh?nge. Insbesondere direkt ausf?hrbare Dateiformate wie ?.exe?, ?.bat? oder ?.cmd? seien besonders gef?hrlich. Auch bei Microsoft Office-Dateiformaten wie .docx, .xlsx oder .pptx, die sogenannte Makros enthalten k?nnen, sollten Nutzer vorsichtig sein. Ein Makro ist eine Kette von Befehlen im Programm, die Funktionen automatisieren sollen ? eine Art Unterprogramm. ?Man sollte einen solchen Anhang nur ?ffnen, wenn man ihn genauso von dem Absender erwartet?, r?t Volkamer. Gegebenenfalls sollte der Empf?nger den Absender ? am besten per Telefon?? kontaktieren.

Wer eine Phishing-Mail enttarnt hat, sollte sie l?schen, so Scherfling. ?ber die sozialen Medien k?nnten Nutzer auch andere warnen. Wer dagegen in die Falle getappt ist, sollte seine gesammelten Passw?rter und Sicherheitsfragen ?ndern und die Nachricht unbedingt behalten. Sie sei ein Beweismittel. Dann gelte es, den oder die jeweiligen Dienstanbieter zu informieren und Strafanzeige zu stellen, so der Verbrauchersch?tzer.

Das Bundeskriminalamt (BKA) r?t Opfern von Internet-Straftaten, Strafanzeige zu erstatten und alle Informationen an die Polizei weiterzugeben. Um Internetkriminalit?t wirksam bek?mpfen zu k?nnen, brauche das BKA ein aktuelles und klares Lagebild. Dies gebe es jedoch nur, wenn ?die Sicherheitsbeh?rden in F?llen von Cybercrime m?glichst fr?hzeitig eingebunden werden?, erkl?rt das BKA. Dennoch gelte, dass sich Nutzer in vielen F?llen durch vorbeugende Ma?nahmen und ein angemessenes Risikobewusstsein vor Straftaten im Internet sch?tzen k?nnten. Dazu geh?re neben umsichtigem Verhalten und der genauen Pr?fung verd?chtiger Nachrichten auch Computer und mobile Ger?te immer auf dem neuesten Stand zu halten, r?t Scherfling. Am Rechner sollten insbesondere Virenschutzprogramm, Betriebssystem und der Browser regelm??ig aktualisiert werden.

https://secuso.aifb.kit.edu/642.php

(dpa)