Phishing-Mails: So angeln Betrüger Ihre Daten

Wer kennt es nicht: Im E-Mail-Postfach ist eine Menge los. Nachrichten von Amazon, PayPal oder vom Paketdienst. Dazwischen noch Werbung und diverse Newsletter, schon ist das Sammelsurium perfekt. Wie soll man da erkennen, ob sich eine Mail mit betrügerischen Absichten eingeschlichen hat?

So gehen Betrüger vor

Durch sogenannte Phishing-Mails versuchen Betrüger, an persönliche Daten von Internetnutzern zu gelangen. Zugangs- und Abrechnungsdaten werden abgefragt und im Anschluss missbraucht. Für Opfer bedeutet das oft hohe finanzielle Verluste. Die E-Mails machen oft einen seriösen Eindruck, sodass Empfänger auf den ersten Blick keinen Verdacht schöpfen. Phishing-Mails werden in das Gewand bekannter Unternehmen gekleidet. Dabei kann es sich sowohl um Banken, Onlineshops oder Paketdienste handeln.

Geben sich Betrüger zum Beispiel als Bank aus, verschicken sie die Phishing-Mail nicht nur in ihrem Namen, sondern stützen die Glaubwürdigkeit zusätzlich mit dem passenden Layout. Typische Farben, Logos und Schriftzüge finden sich in den Mails wieder, sodass Empfänger auf den vermeintlichen Wiedererkennungswert hereinfallen. Das Ganze geht sogar über das Erscheinungsbild der einzelnen Phishing-Mails hinaus. Zusätzlich werden Referenz-Webseiten angegeben, die täuschend echt aussehen. Sie werden den originalen Webseiten nachgebaut und auch die URL, also die Webadresse, wirkt auf den ersten Blick wie das Original. Meist sind die gefälschten Webseiten nur wenige Stunden oder Tage online. Doch in dieser kurzen Zeit fallen ihnen viele Menschen zum Opfer.

Wie erkenne ich die Täuschung?

Phishing-Mails sind deshalb so trickreich, weil sie neben der seriösen Aufmachung auch explizit auf Sicherheitsmaßnahmen hinweisen und das Gefühl vermitteln, dass mit Daten sehr sorgsam umgegangen wird.

Internetnutzer sollten gewisse Warnsignale beachten, die auf eine Phishing-Mail hindeuten. Dazu zählt in erster Linie die Aufforderung, persönliche und vertrauliche Daten wie Passwort, PIN, TAN oder andere Zugangsdaten preiszugeben. Besonders, wenn Daten innerhalb einer zeitlichen Frist eingetragen werden sollen, handelt es sich wahrscheinlich um eine Phishing-Masche. Auch Hinweise auf Änderungen der Abrechnungssysteme oder bestimmte Updates sollten kritisch betrachtet werden. Solche Inhalte sind meist mit weiterführenden Links verbunden, welche zunächst echt aussehen. Wer aber genauer hinsieht, wird beispielsweise im Vergleich zum originalen Link einer Bank ungewöhnliche oder falsche Schreibweisen der URL feststellen. Webseiten, auf die eine Phishing-Mail weiterleitet, sehen zwar zunächst genauso echt aus wie die Mail selbst. Doch bei genauerem Betrachten fällt meist auf, dass Menüpunkte nicht funktionieren. Fehlermeldungen auf einer Webseite sind in diesem Zusammenhang ein deutliches Warnsignal.

Außerdem sollten Empfänger misstrauisch werden, wenn die Anrede nicht personalisiert ist. „Sehr geehrte Damen und Herren“ oder „Lieber Deutsche Bank Kunde“ lassen darauf schließen, dass der Absender nicht seriös ist. Gleiches gilt, wenn Schriftart und Größe des Textes innerhalb einer Mail unterschiedlich sind und Grammatik- und Rechtschreibfehler auftauchen.

Aber Achtung: Die Betrüger werden immer besser im perfekten Nachahmen. Mittlerweile ist auch die persönliche Anrede immer verbreiteter beim Phishing und nicht alle Phishing-Mails und Webseiten sind in schlechtem Deutsch verfasst. Nur weil auf den ersten Blick keine Fehler zu entdecken sind, handelt es sich nicht automatisch um eine sichere E-Mail.

Besondere Vorsicht ist geboten, wenn sich Anhänge in E-Mails befinden. Wer sich nicht sicher ist, dass der Absender vertrauenswürdig ist, sollte unbedingt die Finger davon lassen. Es können sich Programme darin befinden, die gespeicherte Passwörter auf dem Computer auslesen.

Übrigens: Auch im Berufsleben ist Vorsicht geboten. Es werden immer mehr Unternehmen Opfer von Phishing-Attacken. Die Betrüger geben sich als Kollegen aus und fordern so sensible Daten. Gucken Sie also auch bei eigentlich bekannten E-Mail-Adressen genau hin und sprechen Sie vorher mit den Kollegen, der die Mail angeblich geschickt hat, bevor Sie Links oder Anhänge öffnen.

Eine Phishing-Mail im Posteingang – was nun?

Wer eine Phishing-Mail als solche erkennt, kann einfach und schnell handeln: Den Absender auf die Spamliste setzen und die Nachricht löschen. Wenn die Phishing-Mail sehr gut getarnt ist und man davon ausgehen kann, dass viele Empfänger auf die hinterlistige Masche hereinfallen, bietet es sich an, das betroffene Unternehmen zu informieren. Wurde der Name einer Bank oder eines Onlineshops für die Phishing-Mail missbraucht, kann das jeweilige Unternehmen weitere Schritte einleiten und zum Beispiel seine Kunden warnen und für das Thema sensibilisieren. Eine schnelle Reaktion kann viele Empfänger vor den Folgen einer Phishing-Mail bewahren.

Und wenn man schon hereingefallen ist?

Wer auf einer Phishing-Webseite seine Daten eingegeben hat, hat erst einmal schlechte Karten. Denn sobald die Angreifer über Kontodaten oder andere Transaktionsdaten verfügen, können sie innerhalb von wenigen Minuten Geld transferieren oder Käufe tätigen. Meist werden die Zugangsdaten schnell geändert, damit das Opfer nicht mehr auf seinen eigenen Account zugreifen kann.

Kommt es zu verdächtigen Abbuchungen, sollten Betroffene ihre Bank anrufen, das Konto sperren und versuchen, das Geld zurückzuholen. Da Abbuchungen durch Phishing-Angriffe jedoch meist ins Ausland gehen, ist es unwahrscheinlich, dass sie rückgängig gemacht werden können.

Vorsichtshalber sollten Betroffene auch andere Accounts sperren, etwa bei PayPal, eBay, Amazon und so weiter.

Scheitert die Rückbuchung, ist das Geld weg

Wenn es nicht gelingt, das Geld zurückzuholen, können Kontoinhaber sich in der Regel nicht darauf verlassen, dass die Bank haftet. In den Allgemeinen Geschäftsbedingungen können Kontoinhaber die jeweiligen Regelungen ihrer Bank nachlesen. Für gewöhnlich wird darauf verwiesen, dass die Bank nicht für Schäden haftet, die der Kunde durch eine Verletzung seiner Sorgfaltspflicht verursacht hat. Wer also seine Daten in ein gefälschtes Formular eingibt, muss den Schaden selbst tragen. Trifft die Bank eine Mitschuld, kann es in Einzelfällen dazu kommen, dass sie für einen Teil des entstandenen Schadens aufkommen muss.