Phishing

Der Begriff „Phishing“ leitet sich vom englischen Wort „fishing“ - zu Deutsch „angeln“ - ab. Die Ersetzung des Buchstaben „F“ durch „Ph“ deutet hierbei auf eine Hacking Technik hin. Bei Phishing Attacken versucht der Angreifer, sich als die angegriffene Partei auszugeben, um so Endnutzern wichtige Informationen zu entlocken. Häufige sind Banken, Bezahldienste und Soziale Plattformen das Ziel von Phishing Attacken.

Funktionsweise eines Phishing Angriffs

Zur Einleitung der Attacke wird dem Nutzer eine E-Mail zugesandt, welche von der angegriffenen Organisation zu stammen scheint. Sehr häufig wird auf diesem Wege beispielsweise eine offizielle Mitteilung des Dienstleisters PayPal nachgeahmt. Diese fordert ihn oder sie auf, sich so schnell wie möglich bei PayPal anzumelden. Gängige Vorwände sind Wartungsarbeiten, Betrungsvorwürfe oder Überprüfungen der Aktivität. Die gleiche E-Mail enthält zudem einen Link, welcher vermeintlich auf die Webseite des Dienstes (in unserem Fall PayPal) verweist.
Die Aufgerufene Webseite gehört jedoch keinesfalls zum angegriffenen Dienstleister sondern wurde vom Angreifer originalgetreu kopiert. Gibt ein Endnutzer seine Daten auf dieser gefälschten  Seite ein, so können sie missbraucht werden, um Unbefugten Zugang zu den entsprechenden Diensten zu verschaffen. Hieraus kann der Diebstahl großer Geldmengen oder der Missbrauch der eigenen Identität resultieren. So kann sich beispielsweise ein Angreifer, der die Kontrolle über Ihr Konto besitzt, bis zu einem gewissen Grad als Sie ausgeben.

Wie kann man sich vor Phishing schützen?

Phishing lässt sich verhindern. Jedoch müssen dazu einige Grundregeln genau eingehalten werden. Die meisten Nutzer versuchen, die Authentizität einer E-Mail oder Webseite am Absender, der URL oder dem professionellen Aussehen festzumachen. Derartige „Schutzmaßnahmen“ sind jedoch nicht zu empfehlen, da sie gegen einen versierten Angreifer absolut nichts ausrichten können.

  1. Vertrauen Sie keinen E-Mails. Der Absender einer E-Mail lässt sich leicht manipulieren. Selbst wenn die entsprechende Nachricht daher von einer vertrauenswürdigen Quelle zu stammen scheint, wurde sie doch all zu oft von einem Angreifer versendet. Ähnlich verhält es sich mit firmeneigenen Grafiken oder einem professionellen Layout. Beide lassen sich in Sekundenschnelle fälschen.
  2. Ignorieren Sie Mitteilungen mit Angst einflößenden Inhalten. Seriöse Dienstleister werden den Sachverhalt stets objektiv darlegen und Ihnen ein weites Zeitfenster zum Handeln lassen. Weiterhin verfügen alle Finanzdienstleister über Backups ihrer Daten und werden Sie daher nie wegen eines „Datenverlustes“ zur erneuten Eingabe Ihrer PIN oder gar einer TAN auffordern.
  3. Achten Sie bei allen wichtigen Transaktionen auf die URL und ein gültiges Zertifikat. Nur weil die betrachtete Webseite genau so aussieht, wie die des Anbieters, muss es sich noch lange nicht um die gleiche Seite handeln. Stimmt das Zertifikat nicht mit der angeforderten Seite überein, so wird Sie der Browser über den angetroffenen Fehler informieren. Sollte die Seite über kein Sicherheitszertifikat verfügen, oder dieses ungültig sein, so brechen Sie den Verbindungsaufbau unverzüglich ab.
  4. Loggen Sie sich immer selbst auf der Seite Ihres Dienstleisters ein. Selbst wenn Sie davon ausgehen, dass die E-Mail authentisch ist, so ist es doch immer sicherer, in ihr enthaltene Links nicht zu öffnen, sondern die vertraute URL selbst in den Browser einzugeben.