Phishing: So erkennt man gefälschte E-Mails, SMS und Webseiten
Immer häufiger versuchen Betrüger per E-Mail, SMS, WhatsApp oder Telefon an persönliche Daten wie Passwörter und Kreditkartennummern zu gelangen und diese zu missbrauchen. Wie kann man sich schützen?
Die Masche wird Phishing genannt - das Kunstwort leitet sich von den englischen Begriffen "password harvesting" (Passwörter ernten) und "fishing" (Angeln) ab. Phishing bezeichnet den Diebstahl persönlicher Daten mit Hilfe gefälschter Webseiten, E-Mails oder Kurznachrichten. Erbeutete Daten werden oft an andere Betrüger weiterverkauft, die dann etwa Bankverbindungen oder Kreditkartennummern für Käufe auf Rechnung der Opfer missbrauchen. Die betrügerischen Versuche der Kriminellen und gängige Phishing-Tricks lassen sich aber an bestimmten Anzeichen erkennen.
Phishing per E-Mail: Links, Anhänge und gefälschte Webseiten
An die E-Mail-Adressen der potenziellen Opfer gelangen die Täter häufig über Adresshändler. Dann schicken sie manipulierte Dateianhänge oder Links, die nach dem Anklicken unerkannt Spionageprogramme auf dem Rechner installieren oder auf gefälschte Webseiten bekannter Unternehmen leiten, etwa von einer Bank oder Behörde oder auch von Streamingdiensten wie Netflix und Disney+. Auf den gefälschten Seiten werden Betroffene beispielsweise aufgefordert, ihre Zugangsdaten einzugeben.
Phishing-Mails: Worauf achten?
Verbraucher sollten lieber einmal öfter misstrauisch sein als einmal zu wenig. Mit einigen Grundregeln kann man sich schützen.
- Seien Sie misstrauisch bei E-Mail-Absendern, die Sie nicht kennen. Doch auch E-Mails von bekannten Absendern können manipuliert sein - wenn die Absender selbst Opfer einer Phishing-Attacke geworden sind.
- Lassen Sie sich nicht unter Druck setzen.
- Klicken Sie nicht auf Links von unbekannten Absendern oder wenn Sie unsicher sind.
- Öffnen Sie keine Anhänge von unbekannten Absendern oder wenn Sie unsicher sind.
- Geben Sie grundsätzlich nicht leichtfertig persönliche Daten wie Geburtsdaten, Adressen und Bankverbindungen an.
- Antworten Sie nicht auf verdächtige Mails, Betrüger wissen sonst, dass Sie die E-Mail-Adresse nutzen und schicken womöglich noch mehr Spam- oder Phishing-Mails.
- Staatliche Institutionen, Banken, Finanzdienstleister, Fluglinien oder Online-Shops fordern ihre Kunden niemals unaufgefordert auf, Zugangsdaten oder Kontoverbindungen einzugeben oder zu ändern. Rufen Sie im Zweifel das Unternehmen an, von dem die E-Mail angeblich kommt.
Anzeichen von Phishing erkennen
Typische Merkmale einer Phishing-Mail sind:
- fehlende persönliche Anrede
- Rechtschreibfehler, seltsamer Satzbau, schlechter Schreibstil
- Drohungen und gesetzte Fristen, die dringenden Handlungsbedarf suggerieren
- Aufforderung, persönliche Daten einzugeben
- Aufforderung, Anhänge oder Links anzuklicken
- unaufgeforderte Mails in englischer Sprache
- Absender ist ein unbekanntes Unternehmen
- Absender ist ein bekanntes Unternehmen, das bisher nie per E-Mail Kontakt mit Ihnen aufgenommen hat
Betrüger gehen immer professioneller vor, um an persönliche Daten zu gelangen. Gefälschte E-Mails sind oft kaum von echten zu unterscheiden. Sie können eine namentliche Anrede enthalten oder bekannte Logos. Deswegen sollte man auch den technischen Aufbau wie folgt prüfen.
Absender und Links überprüfen
Phishing-E-Mails lassen sich meist mit einem genauen Blick auf den Absender oder auf die enthaltenen Links erkennen. Kriminelle arbeiten oft mit Verschleierungstechniken wie Buchstabendrehern oder Subdomänen und nutzen die Namen bekannter Unternehmen. Verbraucher sollten Internet-Links von links nach rechts bis zum dritten Schrägstrich lesen und auf den Bereich mit dem letzten Punkt achten. Hier wird die tatsächliche Ziel-Adresse angezeigt. So führt zum Beispiel https://www.amazon.mybiz.com/ zu mybiz.com und nicht zu amazon.com. Tipp: Mit der Maus über verlinkte Texte oder Buttons fahren, die Ziel-Adresse wird dann unter der Maus oder am unteren Bildschirmrand angezeigt.
E-Mail-Header mit IP-Adresse prüfen
Auch wenn die E-Mail-Adresse des Absenders vertrauenswürdig erscheint, kann sie gefälscht sein. Deshalb sollte der sogenannte Header (deutsch: Kopfzeile) geprüft werden. Dort steht auch die IP-Adresse des tatsächlichen Absenders. Sie lässt sich nicht manipulieren. Die Verbraucherzentrale erklärt, wie der E-Mail-Header gelesen wird.
E-Mails in HTML können Schadprogramme enthalten
Reine Text-E-Mails können keinen Schaden anrichten, sofern keine Links angeklickt oder Anhänge geöffnet werden. Anders sieht es bei E-Mails im HTLML-Format aus. Diese sind oft farbig sowie mit verschiedenen Schriften und Grafiken gestaltet. Im sogenannten Quellcode der Mails können Schadprogramme versteckt sein, die beim Öffnen der Mail ausgeführt werden, ohne dass dafür ein Anhang oder eine Grafik angeklickt wurde. Deshalb sollten Verbraucher immer prüfen, wie sie ihre E-Mails empfangen und gegebenenfalls die Anzeige der E-Mail im HTML-Format deaktivieren. Bei vertrauenswürdigen Absendern kann diese jederzeit wieder aktiviert werden.
Phishing-Mail geöffnet - was tun?
Wird eine Phishing-Mail als solche erkannt, sollte sie gelöscht werden. Wer allerdings Opfer einer Phishing-Attacke geworden ist, sollte die Mail behalten, denn sie ist ein wichtiges Beweismittel für die Polizei. Verbraucher sollten in jedem Fall schnell handeln und ihre Bank informieren. Um sich vor Abbuchungen zu schützen, sollten der Online-Zugang, das Konto sowie Kredit- und EC-Karte (Girocard) gesperrt werden - das geht rund um die Uhr unter der bundesweiten Telefonnummer 116 116.
Phishing-Mail melden
Die Verbraucherzentrale rät, Phishing-Mails vor dem Löschen an die Mailadresse phishing@verbraucherzentrale.nrw weiterzuleiten. Die Verbraucherzentrale Nordrhein-Westfalen wertet eingehende E-Mails aus und informiert auf ihrer Seite "Phishing-Radar" über aktuelle Fälle von Betrug. Außerdem sollte die Mail - wenn möglich - auch an den echten Anbieter geschickt werden. Dadurch erfährt dieser vom Phishing-Versuch und kann Schritte gegen den Betrugsversuch unternehmen.
Smishing: Phishing per SMS
Kriminelle verschicken auch falsche Kurznachrichten aufs Handy, um Kasse zu machen. Vorsicht ist geboten, wenn man eine SMS erhält, die sich auf den Mobilfunkanschluss bezieht und einen Link erhält. Bei der Masche handelt es sich um angebliche Mailbox-Nachrichten, Probleme mit dem Mobilfunkvertrag und beim Online-Banking oder Käufe im Google Play Store. Keinesfalls sollte man auf den Link klicken. Er führt zu einer Seite, die dazu auffordert, eine App zu installieren. Grundsätzlich gilt: keine Apps aus unbekannten Quellen herunterladen. Außerdem sollte man, um Nachrichten abzuhören, selbst seine Mailbox anrufen oder dafür die App des Mobilfunkanbieters verwenden.
SIM-Swapping: Handynummer wird übernommen
Bei der Betrugsmasche SIM-Swapping erhalten Kriminelle Zugriff auf die Handynummer des Opfers, indem sie eine zweite SIM-Karte beantragen oder eine eSIM aktivieren. Anschließend nutzen sie die Nummer für Phishing-SMS oder Online-Einkäufe, greifen PIN- und TAN-Nummern ab und können somit weitere Konten übernehmen, vom E-Mail-Account bis zum Online-Banking.
Phishing per WhatsApp
Ebenso wie SMS nutzen Betrüger auch WhatsApp oder andere Messenger-Dienste. Sie verschicken Nachrichten, in denen sie zum Beispiel für ein Gewinnspiel werben. Um an dem Gewinnspiel teilzunehmen, soll auf einen Link geklickt werden. Am Ende steht ebenfalls die Aufforderung, eine App zu installieren oder persönliche Daten einzugeben. Häufig nutzen die Kriminellen auch Kettenbriefe, in denen sie dazu aufrufen, die Nachricht mit Bekannten zu teilen. In den Kettenbriefen wird oft vor Betrug gewarnt oder eine Notlage vorgegeben und ein betrügerischer Spendenlink mitgeschickt.
Phishing per Telefon: Kriminelle geben sich als Mitarbeiter aus
Phishing per Telefon geht oft von professionell ausgestatteten, illegalen Callcentern aus, die ihren Sitz im Ausland haben. An den Telefonen arbeiten geschulte Mitarbeiter, die auf jeden Einwand der Angerufenen plausible Antworten haben. So geben sie sich als Mitarbeiter großer Unternehmen wie Microsoft, Apple, Sparkassen, Netflix, Gewinnspiel-Anbietern oder Paypal aus, um an Daten oder Passwörter zu kommen. Auch staatliche Behörden wie Staatsanwaltschaften oder Finanzämter werden vorgetäuscht.
Dabei setzen die Betrüger die Angerufenen unter Druck, verleiten sie zu schnellen Entscheidungen. Entweder, um angeblich größeres Übel abzuwenden. Oder um vermeintlich große finanzielle Gewinne zu erhalten.
Phishing-Anrufe: So kann man sich schützen
Diese Maßnahmen können vor Phishing-Angriffen per Telefon schützen:
- Vertrauen Sie nicht der im Display angezeigten Telefonnummer. Sie könnte so manipuliert sein, dass sie wie die echte aussieht, beispielsweise der Bank.
- Lassen Sie sich nicht unter Druck setzen.
- Geben Sie niemals persönliche Daten am Telefon an.
- Fordern Sie schriftliche Unterlagen an, bevor Sie Geld überweisen.
- Legen Sie auf und melden Sie den Vorfall etwa bei der Bank.
- Wenn Sie mehrfach angerufen werden: Sperren Sie die Telefonnummer in Ihrem Telefon.
