Laptoptastatur (Foto: pixabay/stevepb)

Phishing: Woran Sie gefälschte Mails erkennen

Florian Mayer   20.02.2019 | 10:20 Uhr

Jeder mit einer E-Mail-Adresse hat diesen Moment schon mal erlebt: Man schaut in das Postfach, findet jede Menge Werbung, eine wichtige Mail vom Chef und irgendwo dazwischen plötzlich eine Nachricht mit dem Hinweis, dass man ganz dringend etwas tun müsse, damit das Bankkonto nicht gesperrt wird. Die Mail sieht aus wie von der eigenen Bank, der Name oben in der Ansprache stimmt und ja, ein Online-Banking-Konto hat man auch. Aber Vorsicht! Solche Mails sind Fälschungen – sogenannte Phishing-Mails. Wie man sie erkennt, sich dagegen schützt und was man tun sollte, wenn man doch reingefallen ist, erklärt der SR 3-Verbrauchertipp.

Was beudetet Phishing?

„Der Begriff Phishing kommt aus dem Englischen und bedeutet nichts anderes als das ‚Fischen nach Nutzerdaten im Internet‘“, erklärt Stefan Nürnberger, Cybersicherheitsexperte am CISPA-Helmholtzforschungszentrum in Saarbrücken. „Das heißt, ein Krimineller versucht, meine persönlichen Daten zum Beispiel für das Online-Banking abzugreifen, ohne dass ich etwas davon merke“, so Nürnberger weiter. Dafür setzen die Datendiebe zum Beispiel gefälschte E-Mails, Internetseiten oder auch Smartphone-Apps ein.

Phishing-Versuche erkennen

Wenn in ihrem E-Mail-Postfach eine Nachricht von beispielsweise ihrer Bank, ihrem Telefonanbieter oder einem Onlineshop landet, in der sie aufgefordert werden Daten ein- oder weiterzugeben, ist grundsätzlich Misstrauen angesagt. Kein seriöses Unternehmen und keine Bank kontaktiert in heiklen Fällen, die sensible Daten betreffen, Kunden per E-Mail. Sollten Sie trotzdem Zweifel haben, empfehlen Daten- und Verbraucherschützer, einfach bei den Unternehmen oder der Bank telefonisch nachzufragen. Enthalten die Nachrichten Formulierungen, die Druck aufbauen – etwa davor warnen, dass ihr Bankkonto in Kürze gesperrt wird – sollten sie ebenfalls misstrauisch werden und auf keinen Fall ihre Zugangsdaten oder andere Angaben weiterleiten oder eingeben.

Viele Phishing-Mails sind mittlerweile optisch sehr professionell gestaltet. Sie enthalten oft das originale Logo der eigenen Bank oder eines großen Onlineshops. Oft ist selbst die Absenderadresse übereinstimmend mit dem Namen der Hausbank oder anderer Unternehmen. Trotzdem enthalten Phishing-Mails in der Regel Grammatik- und Orthografiefehler, verwenden in der Anrede nicht ihren vollen Namen oder sind sogar in einer fremden Sprache geschrieben. Auch dann gilt: Hier wird versucht, ihre Daten zu stehlen – nicht reagieren!

Keine Links anklicken oder Dateien herunterladen

Gefälschte E-Mails, die es auf ihre sensiblen Daten abgesehen haben, fordern sie meistens dazu auf, auf einen Link oder eine Schaltfläche zu klicken, die sie zu einer Internetseite führen. Diese Seiten gehören dann aber nicht zu einer Bank oder einem Onlinehändler, sondern sind von den Datendieben speziell aufgesetzt und präpariert worden. Die Daten die dort eingegeben werden, landen direkt in den Händen von Kriminellen. Deshalb gilt: keine Links oder Schaltflächen anklicken.

Dateien, die zum Beispiel angebliche Rechnungen enthalten, sollten sie erst recht nicht anklicken. Die Verbraucherzentrale und die Experten des Bundesamtes für Sicherheit in der Informationstechnik (BSI) warnen ausdrücklich davor, Dateien fremder E-Mails herunterzuladen. Denn in den allermeisten Fällen verstecken sich darin Schadprogramme, die ihren Computer, ihr Smartphone oder Tablet infizieren. Dann kann nicht mehr gewährleistet werden, dass all ihre Daten auf dem Gerät noch sicher sind.

Sichere Internetseiten erkennen

Viele Internetseiten verlangen die Eingabe von Zugangsdaten wie beispielsweise Passwörtern. Das heißt nicht, dass hinter jeder dieser Seiten ein Krimineller steckt, der versucht an Daten zu kommen. Es gibt sichere Seiten im Internet und auch sehr deutliche Anzeichen, diese zu erkennen. Wenn eine Internetseite verlangt, dass Sie Daten eingeben, überprüfen Sie vorher die Adresszeile in ihrem Browser. Dort wo die Internetadresse steht, sollte ein grünes Vorhängeschloss-Symbol angezeigt werden. Dieses Symbol signalisiert, dass die Verbindung zwischen ihrem PC, Smartphone oder Tablet und der Internetseite verschlüsselt ist. Das heißt, kein Krimineller kann die Verbindung zwischen Ihnen und der Internetseite „abhören“ und Daten, die darüber versendet werden abfangen.

Zusätzlich zum Vorhängeschloss-Symbol sollten Sie überprüfen, ob vor der eigentlichen Internetadresse die Buchstabenfolge „https“ steht und nicht nur „http“. Auch das „https“ ist ein Hinweis darauf, dass ihre Verbindung verschlüsselt ist. Trotzdem ist auch hier Vorsicht geboten. Die Experten des BSI weisen nämlich darauf hin, das Internetkriminelle in der Lage sind, das „https“ in der Adresszeile zu fälschen und so Nutzer hinters Licht zu führen. Deshalb gilt auch hier – wie in jedem Fall – die Regel: kommt Ihnen irgendetwas verdächtig vor, geben Sie keine Daten ein und laden Sie nichts herunter.

Was tun, wenn man Daten eingegeben hat?

Wurden die Daten auf einer Phishing-Webseite eingegeben, dann müssen diese Daten so schnell wie möglich unbrauchbar gemacht werden, sagt Sicherheitsexperte Stefan Nürnberger. Bei Zugangsdaten für einen Onlineshop beispielsweise sollte dann sofort das Passwort geändert werden. Wird das nicht mehr sichere Passwort für mehrere Zugänge auf verschiedenen Internetseiten genutzt, empfehlen Datenschützer dringend, auch dort die Passwörter umgehend zu ändern. Generell sollte für jeden einzelnen Zugang auf einer Internetseite auch ein eigenes, individuelles Passwort verwendet werden.

Sind die Zugangsdaten zum Online-Banking oder die Kreditkartendaten betroffen, muss sofort die eigene Bank darüber informiert werden. Die Mitarbeiter dort können dann die notwendigen Sicherheitsvorkehrungen treffen.

Sollte bereits Geld vom Bankkonto verschwunden sein, muss auch die Polizei informiert und Strafanzeige gestellt werden, sagen die Sicherheitsexperten vom Bundesamt für Sicherheit in der Informationstechnik. Denn Diebstahl ist Diebstahl, egal ob das Geld aus der Handtasche gestohlen wird oder digital über das Internet. Wichtig im Falle einer Strafanzeige: Die Phishing-Mail, über die man dazu aufgefordert wurde, die Bankdaten ein- oder weiterzugeben, nicht löschen. Die Mail ist dann ein Beweismittel für die Polizei.

Der Tipp, der immer gilt

Kommt Ihnen eine Mail aus irgendwelchen Gründen merkwürdig vor, vertrauen Sie auf ihr Bauchgefühl und klicken Sie nichts an, laden Sie nichts herunter und reagieren Sie nicht auf mögliche Aufforderungen. Im Zweifel genügt ein kurzer Anruf bei der eigenen Bank oder dem Onlinehändler, um zu klären, ob die Nachricht echt ist. Das spart am Ende viel Ärger, Zeit, Geld und Nerven.

Weitere Informationen beim Bundesamt für Sicherheit in der Informationstechnik.

Der Verbrauchertipp: Immer mittwochs in der Sendung "Bunte Funkminuten" auf SR 3 Saarlandwelle.

Artikel mit anderen teilen