...Phishing?

"Ihr Konto wurde gesperrt, handeln Sie jetzt!" - wer so etwas ähnliches schon einmal im E-Mail-Betreff gelesen hat, der hat höchstwahrscheinlich schon einmal eine sogenannte Phishing-Mail bekommen. Aber was ist eigentlich Phishing und wie kann man sich davor schützen?

Was ist Phishing?

Phishing, ein Wortspiel zum englischen fishing (dt. angeln), beschreibt eine ungezielte Art, Daten abzugreifen, oder Schadsoftware in ein System einzuschleusen. Die Zielgruppe sind meist leichtgläubige, unvorsichtige oder panische Personen, die sich von aggressiv gestalteten und häufig täuschend echt aussehenden E-Mails, Websites oder SMS in die Irre führen lassen. Dabei geht es vor allem um Informationen wie Zugangsdaten oder Kreditkarten-Informationen, oder die Installation von Schadsoftware in einem Netzwerk. Durch dringlich klingende Catch-Phrases ("Ihr Konto wurde gesperrt!", "Nur für kurze Zeit, schlagen Sie JETZT zu!", etc.) sollen potentielle Opfer dazu gebracht werden, ihre Daten auf gefälschten Websites einzugeben oder Dateien zu öffnen, die Schadsoftware aufspielt.

Welche Arten von Phishing gibt es?

Am weitesten verbreitet sind Phishing-Versuche über:

• E-Mail: Häufig geben sich Betrüger hier als Bank oder anderes bekanntes Unternehmen aus, um so an Kontodaten oder andere Zugangsdaten zu gelangen oder Schadsoftware über Anhänge zu verteilen.
• SMS: Von "Ihr Paket konnte nicht zugestellt werden" bis "Hallo Mama, ich habe eine neue Nummer" machen Betrüger mit kurzen SMS den Eindruck, vertrauenswürdig zu sein - Fehlanzeige!
• Websites: Aggressive Pop-Ups und Websites ("Sie haben ein iPhone gewonnen!") sowie nachgemachte Websites von echten Unternehmen zielen auf das erschleichen von persönlichen Daten ab.

Aber auch an anderen Stellen können Phishing-Versuche auftreten. Bspw. in Chat-Nachrichten von bereits gehackten Konten.

Woran kann man Phishing erkennen?

Meist kann man normales Phishing an einigen Anhaltspunkten erkennen:

• Dringlichkeit des Textes: Phrasen wie "Handeln Sie JETZT!", "Mama, ich brauche dringend Geld!" oder "Sie haben gewonnen!" sollen ein Gefühl auslösen, schnell handeln zu müssen - und der betroffenen Person somit Zeit und Konzentration zum checken der Nachricht nehmen.
• Rechtschreibfehler und ungewöhnliche Formulierungen: Auffällig viele Rechtschreib- oder sogar Grammatik-Fehler, sowie seltsame Formulierungen sollten für besondere Vorsicht sorgen.
• Aufforderung zur Eingabe persönlicher Daten: Unternehmen, bei denen man bereits Kund*in ist, sollten die wichtigen Daten bereits haben, alle anderen brauchen diese nicht. Gleiches gilt für Bankdaten.
• Links, die nicht zur offiziellen Domain führen: kleine Fehler in Domains können Fake-Domains täuschend echt aussehen lassen. Beispiel: aus bee-it wird bee-1t oder bee-i7. Auch andere Trennungen, z.B. bee.it sollten skeptisch machen.
• Irrelevanz: angebliche Nachrichten von Unternehmen, mit denen keine Beziehung besteht, sollten behutsam behandelt werden. Beispiel: Man hat nichts bestellt, es kommt aber eine SMS von "DPD", dass ein Paket nicht zugestellt werden könne. Vorsicht!

Hier eine kleine Übung. Erkennen Sie die falsche Domain?

1. www.dhl.de                  oder       www.dhl-kundenservice.de                  - die erste Domain ist echt. Domain-Teile wie "kundenservice" oder "support" werden häufig für gefälschte Domains genutzt.

2. www.apple.com            oder       www.apple.info                                   - die erste Domain ist echt. Seltene Endungen wie .info werden selten von großen Unternehmen genutzt.

3. www.netflikx.com         oder       www.netflix.com                                  - die zweite Domain ist echt. Unauffällige Schreibfehler werden leicht übersehen und führen zu falschen Websites.

4. www.google.com          oder       www.g00gle.com                                 - die erste Domain ist echt. Buchstaben unauffällig durch Zahlen zu ersetzen ist ein beliebter Trick.

5. www.bее-it.de              oder       www.bee-it.de                                    - die zweite Domain ist echt. Die erste wurde unauffällig mit kyrillischem "e" geschrieben. Einige Tricks sind praktisch gar nicht zu erkennen und somit besonders gefährlich.

Ist Phishing immer zufällig?

Nein, Phishing muss nicht zwangsweise zufällig sein. Beim sogenannten Spear-Phishing handelt es sich um einen Phishing-Angriff, der gezielt auf einzelne Personen oder Unternehmen abzielt. Diese Angriffe sind besonders gefährlich, da durch die erhöhte Präzision auch korrekte Namen oder vertrauenswürdige Adressen/Links benutzt werden können.

Was kann man gegen Phishing tun?

Am wichtigsten ist der klare Umgang mit dem Thema Phishing. Für Unternehmen sind regelmäßige Schulungen für die Mitarbeitenden wichtig, damit jeder im Team klar erkennt, wo Gefahren bestehen und wie damit umzugehen ist. Zusätzlich kann ein großer Teil der Gefahren bereits durch technischen Schutz abgewehrt werden. Mit E-Mail- und Spam-Filtern können KI-gestützt bereits viele potentiell gefährliche Nachrichten abgefangen werden. Weitern Schutz gibt es z.B. durch DNS-Filter, DMARC, SPF und DKIM, infizierte Systeme können mit Endpoint Protection ausfindig gemacht werden. Für Nutzer kann eine 2-Faktor-Authentifzierung verhindern, dass, sollten doch einmal fälschlicherweise Daten angegeben werden, die Angreifer sofortigen Zugriff auf das Konto bekommen.

Fazit

Phishing ist so simpel wie effektiv, die größte Sicherheitslücke sowie auch der beste Schutz ist der Mensch vor dem Bildschirm. Wenn man bewusst und präzise gefähliche Mails erkennen kann, dann hilft das sehr, die Gefahr von Datenverlust zu reduzieren.