Phishing-Mails erkennen: Die Tricks der Cyber-Betrüger

Ob im Beruf oder Privatleben: Wir greifen per Computer auf Online-Konten zu, steuern digital unsere Finanzen und tauschen sensible Informationen aus. Mit Phishing-Mails versuchen Cyber-Kriminelle, die empfindlichen Daten abzugreifen – und sich zu bereichern. Oft lässt sich die betrügerische Post problemlos erkennen, doch die Tricks werden immer raffinierter: Hier Tipps, wie Sie Phishing-Mails erkennen.

Phishing-Mails: Misstrauen ist gut, Kontrolle ist besser

Jedes moderne E-Mail-Programm besitzt einen Spam-Filter – und dennoch rutschen regelmäßig Phishing-Mails durch und erscheinen ganz regulär im Postfach.

Deshalb sollten Nutzer immer misstrauisch sein – auch bei E-Mails, in denen sie persönlich mit vollem Namen angesprochen werden.

Das Vorgehen der Trickbetrüger wird immer raffinierter:

Rechtschreib- und Grammatikfehler: Früher wurde Spam meist aus dem Ausland verschickt und mehr schlecht als recht via Google Translate übersetzt. Die Anschreiben waren nur so mit Fehlern gespickt. Das ist zwar auch heute noch ein Warnsignal – denn Banken und große Seiten wie PayPal erlauben sich solche Ausrutscher nicht.

Doch mittlerweile sind viele Phishing-Mails in einwandfreiem Deutsch unterwegs – auch fehlerfrei formulierte Nachrichten sollten auf Authentizität geprüft werden.

Personalisierte Anrede: Wenn eine E-Mail trotz persönlichen Inhalts nur an „Sehr geehrte Dame“ oder „Sehr geehrter Herr“ adressiert ist, sollte man misstrauisch werden.

Doch kriminelle Hacker haben in der Vergangenheit zahlreiche Kundendatenbanken großer Internetanbieter geknackt – und Millionen Datensätze samt Namen, Anschriften und E-Mail-Adressen erbeutet. Diese Daten werden im sogenannten Darknet verkauft und massenhaft für personalisierte Phishing-Attacken verwendet. Auch in Deutschland gehören Phishing-Mails mit direkter Anrede inklusive Unternehmensname und Adresse längst zum Standard-Repertoire der Betrüger.

Populäre Absender wie DHL, Amazon, Google: Oft geben sich die Mail-Betrüger als seriöse Unternehmen aus und machen dabei nicht selten Fehler: Das Logo in den Mails stimmt nicht mit dem Original überein oder die E-Mail wird nicht an die beim jeweiligen Anbieter registrierte Adresse versendet. Doch die gefälschten Mail-Anschreiben werden immer raffinierter, sind in vielen Fällen nur durch genaues Hinsehen identifizierbar.

Unbedingt sollte bei fragwürdigen Mails die E-Mail-Adresse geprüft werden. Ist diese nicht mit der Firmenseite identisch (etwa support@facebook.22.99.co statt support@facebook.com), handelt es sich sehr wahrscheinlich um einen Phishing-Versuch.

Vertrauliche Daten: Oft geben Phishing-Mails vor, dass ein User-Account angegriffen wurde und aus Sicherheitsgründen etwa das Passwort zum Online-Banking geändert werden müsse.

Nach wie vor gilt allerdings, dass weder Banken noch seriöse Webseiten per Mail zur Eingabe persönlicher Daten wie Kreditkarten- oder Kontodaten auffordern.

Fragwürdige Anhänge: Viele Phishing-Mails enthalten Schadsoftware, die als vermeintlich harmlose Anhänge getarnt sind. Wer die Anhänge öffnet oder auf der Festplatte ablegt, fängt sich womöglich einen Trojaner ein. Ob offene Rechnungen, Mahnungen oder Geschäftsanfragen – vor allem bei Anschreiben, die den Empfänger unter Druck setzen, sollten die Anhänge vor dem Öffnen misstrauisch beäugt werden.

Gut gefälschte Webseiten in Phishing-Mails erkennen

Im schlimmsten Fall wirkt eine Phishing-Mail so echt, dass sie auf den ersten Blick kaum als solche erkannt werden kann. Das Schreiben scheint von einem bekannten Dienstleister zu kommen. Was also tun?

Enthaltene Links, die angeklickt werden sollen, führen meist auf manipulierte Webseiten, die entweder Trojaner auf den Computer laden oder zur Eingabe sensibler Daten auffordern. Doch die Betrüger-Webseiten, die den Internetauftritten der Hausbank oder anderen vom Empfänger genutzten Anbietern frappierend ähnlich sehen, lassen sich anhand ihrer Internetadresse leicht erkennen.

Meist genügt es bereits, innerhalb der E-Mail den Mauszeiger über den eingebauten Link zu bewegen (ohne sie anzuklicken), um sich die tatsächliche Zieladresse anzeigen zu lassen. Die Cyber-Kriminellen nutzen deshalb allerdings Internetadressen-Verkürzer wie „bit.ly“. Hier gilt: Banken, seriöse Anbieter, Kanzleien und Geschäftspartner verkürzen ihre Links im Mailverkehr im Regelfall nicht.

Bildquelle: © weerapat1003 – Fotolia.com

Falsche Sicherheit: Darum sind Antiviren-Apps meist unnötig

Ob User ihr Smartphone privat oder geschäftlich nutzen, das System ist voller empfindlicher Daten, ein Verlust kostet Zeit und Nerven. Doch die Installation einer Antiviren-App ist keinesfalls der beste Schutz gegen Malware: Die gut gemeinte Software mindert oft Performance und Akkuleistung, sorgt für ein falsches Sicherheitsgefühl und behindert im schlimmsten Fall den Nutzer bei der Arbeit. Durch die sogenannte Sandbox-Funktion sind aktuelle Smartphones bereits ab Werk gut geschützt.

Warum Virenscanner normales App-Verhalten melden

Schon die Bezeichnung „Antivirus“ weist auf das Problem vieler mobiler Sicherheitsanwendungen hin: Die reale digitale Bedrohung von Smartphones geht gar nicht von Viren aus, sondern von Angriffen via Malware oder Ransomware. Nutzer erhalten gefälschte E-Mails, mit denen sich Betrüger die Kontodaten vom Online-Banking ergaunern wollen. In den Mails heißt es etwa, es müsse ein Fehler nach einer angeblichen Überweisung bereinigt werden, wofür der Nutzer auf einen Link klicken und anschließend sein Zugangspasswort eintippen müsse.

Und dennoch: Die Angst vor Computerviren ist weit verbreitet – auch unter Smartphone-Nutzern.

In Wirklichkeit besteht ein Großteil der Arbeit, die sogenannte Antiviren-Apps auf dem Smartphone erledigen, gar nicht im Aufspüren von Viren – sondern in der Überprüfung von App-Berechtigungen.

Prinzipiell soll die App damit sicherstellen, dass andere Anwendungen keine Daten ins Netz übermitteln oder auf den Inhalt der Speicherkarte und des internen Speichers zugreifen. Gerade dies sind aber die Kernfunktionen vieler Apps, denn anders können weder Fotos noch Tabellen oder Dokumente in der Cloud gesichert werden.

Gerade wer sein Telefon zum Arbeiten nutzt und auf den vollen Funktionsumfang aller Apps angewiesen ist, wird eine Antivirus-App eher als umständlich empfinden.

Ein mögliches Problem bei Unternehmensgeräten: Wird das Mobiltelefon von der IT-Abteilung bereitgestellt und mit Apps versorgt, können zusätzlich installierte Antiviren-Apps Alarm schlagen und die Unternehmens-Apps als Malware einstufen.

Eine echte Prüfung gibt es nur in der Sandbox

Um wirklich festzustellen, ob eine App Malware ist und Fremden Zugriff auf Dateien gewährt oder gar über Root-Zugriff das komplette System lahmlegt, werden diese in einer abgeschotteten, virtuellen Umgebung betrieben – einer sogenannten Sandbox.

Eine Sandbox ist die wirksamste Waffe gegen Viren auf dem Smartphone.

Das Problem der Anbieter von Antiviren-Apps: Die Sandbox-Funktion greift sowohl bei Google als auch Apple bereits standardmäßig, bevor eine App überhaupt in deren Store gelangt.

Experten sind sich sicher: Der Schutzschirm von Antiviren-Apps ist weder schneller noch genauer als der Sandbox-Sicherheitsriegel von Google und Apple.

Antiviren-Apps sorgen aus einem weiteren Grund für ein falsches Sicherheitsgefühl: Sie schützen nur vor Viren und Malware, die ihnen bekannt sind. Gegen unbekannte Schädlinge sind sie machtlos.

Die Sandbox, in der sämtliche installierte Apps – standardmäßig abgeschottet und ohne Systemzugriff – vor sich hin arbeiten, schützt sehr viel zuverlässiger.

Antiviren-Apps? Aufklärung hilft am besten gegen Malware

Wenn private User, Selbstständige oder Arbeitnehmer mit beruflichem Smartphone einigen Sicherheitsregeln im Netz folgen, können sie selbst die Gefahr von Malware minimieren.

Am wichtigsten ist: Apps und andere Daten sollten ausschließlich von vertrauenswürdigen Quellen, den offiziellen Stores von Google, Apple, Amazon und Windows, heruntergeladen werden.

Außerdem sollten verdächtige E-Mails, Datei-Anhänge und Pop-Up-Fenster nicht angeklickt, sondern gelöscht beziehungsweise geschlossen werden.

Und das können auch die teuersten Antiviren-Apps dem Nutzer nicht abnehmen.

Bildquelle: © psdesign1 – Fotolia.com

Zwei-Faktor-Authentifizierung: Doppeltes Schutzschild gegen Hacker

Wer hat fürs Büro ein überflüssiges Soundsystem bestellt? Und warum steht plötzlich ein Posten mit 20 Tablets auf der Kreditkartenabrechnung? Unangenehme Überraschung: Jemand hat sich in den Onlineshop-Account gehackt und unbemerkt auf Firmenkosten allerlei Kostspieliges gekauft. Das Geld ist weg, der Schaden groß, und mal wieder zeigt sich: Die übliche Kombination aus Benutzername und Passwort ist als alleinige Schutzbarriere für wichtige Internetkonten nicht sicher genug.

Die Zwei-Faktor-Authentifizierung (2FA) macht es Gaunern wesentlich schwerer, Zugänge zu knacken.

Was ist eine Zwei-Faktor-Authentifizierung?

Beim 2FA-Prinzip kommt zum Einloggen außer der üblichen Kombination aus Benutzername und Passwort noch ein zweiter Faktor hinzu. Er besteht meist aus einem Code, der bei jedem künftigen Log-in automatisch generiert wird und zusätzlich eingegeben werden muss.

Ein etwas umständlicheres Prozedere, das aber höhere Sicherheit gewährt.

Gerade bei Onlineshops, die mit sensiblen Kontodaten verknüpft werden, ist das 2FA-Vorgehen eine sinnvolle zusätzliche Sicherheitsmaßnahme.

Wie funktioniert 2FA?

Wie kommt der Code bei jedem Log-in zum User? Dafür haben sich im Wesentlichen zwei Systeme etabliert:

1. Entweder registriert man bei der entsprechenden Website über das Benutzerkonto seine Handynummer und erhält bei jedem Log-in-Versuch automatisch einen Code per SMS.
2. Oder man lädt sich eine spezielle Authentifizierungs-App herunter (erhältlich für Android und iOS), die den Code automatisch auf dem Smartphone oder anderen Endgeräten anzeigt.

Noch sicherer, aber derzeit noch wenig verbreitet, ist die Übertragung von Sicherheitsschlüsseln über sogenannte FIDO U2F Security Key-Geräte.

2FA muss vom Nutzer aktiviert werden

Die Zwei-Faktor-Authentifizierung ist nicht überall standardmäßig voreingestellt. Der User muss das zweistufige Sicherheitssystem zuerst bei jedem Anbieter einzeln aktivieren, bevor er es nutzen kann.

Die Aktivierung geht überall anders vonstatten. Der Online-Dienst Turn It On hat eigenen Angaben zufolge Bedienungsanleitungen für Hunderte von Websites erstellt, die sich per Suchfunktion abrufen lassen.

So klappt die 2FA-Aktivierung bei Amazon, Google, Paypal und Apple

• Amazon: Im deutschsprachigen Kundenprofil von Amazon ist es bislang leider nicht möglich, 2FA zu aktivieren. Kunden müssen sich stattdessen mit ihren gewohnten Daten über Amazon.com einloggen und die Einstellungen hier vornehmen. Sie greifen dann auch bei deutschen Accounts. Dazu geht man nach dem Log-in über „Your Account“ auf „Change Account Settings“, klickt im nächsten Fenster auf „Advanced Security Settings“ und dann auf „Edit“. Hier stehen schließlich zwei Wege zur Auswahl: per SMS oder Authenticator-App.

•  Google: Wie gewohnt in den Google-Account einloggen, die gewünschte Handynummer eingeben, den erhaltenen Aktivierungscode aus der SMS eintippen und auf „Aktivieren“ klicken. Neben der SMS-Variante bietet Google noch zwei weitere Methoden an: Authenticator-App und Sicherheitsschlüssel.

• Paypal: Bei Paypal muss zuerst ein Sicherheitsschlüssel angefordert werden. Dazu auf „Einstellungen“ klicken, in der oberen Navigationsleiste auf „Sicherheit“, auf der folgenden Seite den Punkt „Sicherheitsschlüssel“ auswählen und auf „Kostenlos bestellen“ gehen. Im Anschluss daran wird die Handynummer abgefragt, anschließend erhält man eine SMS mit einem Code, der nun auf paypal.de eingegeben werden muss, um 2FA erstmalig zu aktivieren. Bei jedem weiteren Log-in erscheint nun nach dem gewohnten Anmeldefenster ein Link, über den man eine Code-SMS anfordert, die auf das Handy geschickt wird und sich danach zum Log-in verwenden lässt.

• Apple: Die Apple-ID lässt sich mittels 2FA über appleid.apple.com schützen. Bei iOS 9 und OS X El Capitan ist die Methode bereits integriert und wird bei der Erstinstallation mit eingerichtet. Bereits verifizierte Geräte aus der Apple-Familie zeigen den Code daraufhin jedes Mal automatisch an. Apple bietet außerdem die Möglichkeit, eine oder mehrere Handynummern zu hinterlegen und Bestätigungscodes per SMS zu beziehen.

Bildquelle: © bakhtiarzein – Fotolia.com