Datendiebe? Schützen Sie sich vor Phishing-Attacken

Wer sein Konto per Online-Banking führt, muss wachsam sein: Die liebste Beute von Phishing-Betrügern sind PINs und TANs, mit denen sie sich an den Girokonten ihrer Opfer bedienen können.

 Allein in Deutschland werden jährlich mehr als 4.000 Phishing-Fälle zur Anzeige gebracht. Den Opfern entsteht im Schnitt ein Schaden von 4.000 bis 4.500 €.

Doch auch die Zugangsdaten zum Auktionshaus Ebay und seinem Bezahldienst Paypal sind beliebte Angriffsziele.

Die Diebe gehen auf zwei grundsätzlich verschiedene Arten vor, um an die begehrten Daten zu gelangen:

Phishing per Trojaner

Diese Methode ist besonders schwer zu erkennen:

Eine Schadsoftware, die auf unterschiedlichen Wegen auf Ihren Rechner gelangt sein kann, überwacht unauffällig im Hintergrund Ihre Internet-Aktivitäten.

Sobald Sie einen Dienst aufrufen, auf dessen Zugangsdaten es die Programmierer abgesehen haben, beginnt die Software, Ihre Tastatur-Eingaben zu protokollieren – zum Beispiel Kontonummer und PIN.

Wollen Sie beispielsweise eine Überweisung aufgeben, fängt die Schadsoftware auch die dazu verwendete TAN ab, verhindert die Übermittlung und generiert eine Fehlermeldung, die TAN sei bereits verbraucht.

Beim nächsten Versuch mit einer neuen TAN lässt die Schadsoftware ungehindert passieren. Die nun vollständigen Zugangsdaten, Kontonummer, PIN und zumindest eine gültige TAN, schickt die Schadsoftware nun an einen Server im Internet, auf den der Betrüger Zugriff hat.

Ihre Gegenmaßnahmen: Vor solchen Phishing-Attacken können Sie sich nur schützen, wenn Sie ein Virenschutzsystem einsetzen, das – möglichst automatisch – permanent auf den neuesten Stand gebracht wird und Ihren PC in Echtzeit überwacht.

Eine Firewall verschafft Ihnen zusätzliche Sicherheit, weil sie verhindern kann, dass eine trotz aller Vorsicht auf den Rechner gelangte Schadsoftware unbemerkt Daten verschickt.

Phishing per Social Engineering

Das ist die klassische Phishing-Methode:

Dabei versuchen die Betrüger, Sie dazu zu bringen, Ihre Daten freiwillig preiszugeben.

Die Standard-Methode:

Per Email erhalten Sie eine Mitteilung, die angeblich von Ihrer Bank stammt.

Das Sicherheitssystem solle verbessert werden, heißt es darin, und damit Ihr Zugang zum Online-Banking nicht gesperrt wird, müssen Sie sich innerhalb der nächsten 48 Stunden über einen speziellen Link einloggen, der in der Email hinterlegt ist.

Beim Anklicken erscheint eine Website, die der Ihrer Bank zum Verwechseln ähnlich sieht. Neben Kontonummer und PIN müssen Sie, angeblich um das neue Sicherheitssystem zu aktivieren, noch eine oder mehrere TANs angeben. Doch die Website ist eine Fälschung, alle Ihre Eingaben landen direkt auf dem Server der Betrüger.

Ihre Gegenmaßnahmen: Browser wie der Internet Explorer und der Mozilla Firefox verfügen über einen Phishing-Schutz, der Sie beim Aufruf einer als betrügerisch bekannten Website warnt.

Allerdings bleibt das Restrisiko, dass die von Ihnen besuchte Website noch nicht auf der schwarzen Liste steht. Es gibt jedoch eine Reihe von Merkmalen, anhand derer Sie Phishing-Versuche von authentischen Mitteilungen unterscheiden können:

• Keine persönliche Anrede: Phishing-Emails werden in der Regel über Spam-Netzwerke an eine große Menge von Empfängern verschickt, deren Vor- und Zunamen den Betrügern meist unbekannt sind. Eine Mitteilung Ihrer Bank, in der Sie lediglich als „Sehr geehrter Kunde“ angeredet werden, sollte die Alarmglocken klingeln lassen.
  
  Achtung: Manche Phishing-Betrüger versuchen, eine persönliche Anrede aus der Email-Adresse zu generieren. Auch Phishing-Emails enthalten deshalb manchmal eine persönliche Anrede.

• Eile in Verbindung mit einer Drohung: „Wenn Sie sich nicht innerhalb von 48 Stunden über diesen Zugang an Ihrem Konto anmelden, werden wir Ihr Konto für weitere Transaktionen sperren“. Die Betrüger wissen, dass ihre Phishing-Website früher oder später auffliegt und drängen deshalb zur Eile. Würde Ihre Bank Sie tatsächlich derart unter Druck setzen und Ihr Konto sperren, bloß weil Sie zwei Tage lang nicht Ihre Emails gelesen haben?

• Schlechtes Deutsch: Dieses Merkmal trifft nicht auf alle Phishing-Attacken zu, aber doch auf sehr viele. Die meisten Phishing-Emails stammen aus dem Ausland und sind das Produkt einer maschinellen Übersetzung. Mitunter versuchen die Betrüger auch, ihre Nachricht in gestelztem Bürokraten-Deutsch zu gestalten.

• „Software-Updates“ im Anhang: Weder Banken noch andere seriöse Institutionen versenden Software-Updates per Email. Dabei handelt es sich praktisch immer um einen Trojaner. Wenn die Email stattdessen auf einen Link verweist, über den Sie die Software herunterladen sollen, rufen Sie, ohne diesen Link zu benutzen, den Online-Banking-Zugang oder den betreffenden Dienst in Ihrem Browser auf. Wenn es sich tatsächlich um ein wichtiges Update handelt, dann werden Sie auf der Startseite Informationen dazu finden. Wenn nicht, löschen Sie die Email!