Ratgeber

Dauerbrenner Phishing: So schützen Sie sich

Ein Artikel von , veröffentlicht am 04.09.2015, bearbeitet am26.11.2019

Phishing ist eine altbekannte Methode, die immer wieder in neuem Gewand auftaucht. Dabei werden Nutzer*innen durch gefälschte Nachrichten animiert, Zugangsdaten zu Online-Konten preiszugeben. Wie Sie Phishing-Maschen erkennen und wie Sie am besten damit umgehen, erklären wir hier.

Das ist Phishing

Beim Phishing durchforsten Cyberkriminelle das Internet nach Mobilnummern und E-Mail-Adressen, zum Beispiel von Verkaufsplattformen, Kleinanzeigen, Jobbörsen oder Dating-Portalen. An diese Nummern und Adressen werden dann SMS oder Mails verschickt, die einen Link zu einer Webseite enthalten.

Oft geben sie sich als Nachrichten von einer Bank, von Logistikunternehmen wie DHL oder vom Internet-Provider aus. Wer auf den Link klickt, wird bei einem Phishing-Angriff meistens dazu aufgefordert, geheime Zugangsdaten einzugeben. Folgt man der Aufforderung, haben Kriminelle Zugang zum betreffenden Konto.

Alternativ werden Nutzer*innen per Phishing-SMS oder E-Mail animiert, eine Webseite aufzusuchen und von dort Apps herunterzuladen und zu installieren. Diese Apps können sich auch als Update oder Sicherheitszertifikat ausgeben und enthalten meist Schadprogramme oder Adware.

Wird die App heruntergeladen und installiert, kann das Schadprogramm das Kontaktverzeichnis des Opfers durchgehen und den Schadlink per SMS weiter senden. Weil die SMS dann von einer Person stammt, die dem Empfänger oder der Empfängerin bekannt ist, ist die Erfolgsrate viel höher.

Daneben können die Schadprogramme noch viele andere Dinge tun, zum Beispiel SMS an Premium-Dienste versenden.

Was Schadprogramme sind und wie sie auf Mobilgeräte gelangen, erfahren Sie im Text Schadprogramme auf dem Handy.

Wer, wo, wann?

Die Strategie ist weit verbreitet und wird per SMS, aber auch per E-Mail, Messenger und Facebook praktiziert. Besonders oft werden Nachrichten von Amazon, PayPal und DHL gefälscht. Auch angebliche Nachrichten von WhatsApp, zum Beispiel mit "Ihr Konto wird Kostenpflichtig", oder vermeintliche Gutscheine sind beliebt.

Nutzer*innen von iPhones oder iPads sollten auch bei der Eingabe ihrer Apple-ID und des zugehörigen Passwortes vorsichtig sein. Wie ein IT-Experte 2017 beschrieben hat, ließe sich die typische Systemmeldung von iOS leicht von einer App imitieren. Dieser Trick wurde bisher allerdings nur theoretisch beschrieben.

Das können Sie tun

Klicken Sie niemals auf Links von unaufgefordert zugeschickten Nachrichten per Mail, SMS, Messenger oder aus sozialen Netzwerken. Laden Sie niemals etwas herunter, das Ihnen auf Seiten angeboten wird, die Sie über solche Links erreicht haben.

Achten Sie auf die Absenderadresse. Enthält sie kryptische Namen und Zeichenfolgen wie zum Beispiel "adebolajibolaji@xxx" oder "xxx@infymailz.info"? Dann sollten Sie misstrauisch werden.

Wenn Sie über einen solchen Link auf einer Seite landen, die angeblich der Firma xy gehört, dann können Sie eine Fälschung an der Internetadresse erkennen. Achten Sie dabei auf Tippfehler, Bindestriche, oder ungewöhnliche Endungen wie zum Beispiel .to oder .tz. Im Zweifel tippen Sie den Firmennamen in eine Suchmaschine, und rufen die Seite dann aus den Suchergebnissen auf.

Sonderfall homographisches Phishing

Achtung: Beim sogenannten homographischen Phishing sind die gefälschten Webadressen mit bloßem Auge nicht zu erkennen. Dabei werden sogenannte Unicode-Zeichen verwendet, die für das Auge genauso aussehen, wie ein bestimmter Buchstabe, vom Computer aber als etwas anderes gelesen werden. So kann es passieren, dass Sie zum Beispiel die Adresse www.apple.com lesen, diese aber trotzdem nicht Apple gehört.

Wie Internetadressen aufgebaut sind, und wie Sie Fälschungen erkennen, erklärt die TU Darmstadt auf der Projektseite NoPhish in acht einfachen Schritten. Zu dem Projekt gehört auch eine App, mit der Sie trainieren können, Phishing-Adressen zu erkennen.

Die Autorin

E-Mail

m.ruhenstroth@mobilsicher.de

PGP-Key

0xAC27FCDCF277F1E4

Fingerprint

E479 C1CD 0FC9 E373 A4B3 F5DB AC27 FCDC F277 F1E4

Miriam Ruhenstroth

begleitet mobilsicher.de seit der Gründung – zuerst als freie Autorin, dann als Redakteurin. Seit Januar 2017 leitet sie das Projekt, das 2020 um den AppChecker erweitert wurde. Davor arbeitete sie viele Jahre als freie Technik- und Wissenschaftsjournalistin.

Weitere Artikel

App-Test 

Verkehrs-App Blitzer.de Pro im Test (iOS)

Blitzer.de Pro ist eine kostenpflichtige App, die den Nutzer vor stationären und mobilen Blitzern warnt. Die App ist für iOS und Android (unter dem Namen Blitzer.de Plus) verfügbar. Unser Test auf iOS zeigt, dass die Warnung vor Blitzern und anderen Gefahren erfreulich datensparsam funktioniert.

Mehr
Ratgeber 

App-Test: 2048 Number Puzzle Game

Das Knobelspiel „2048 Number Puzzle game“ ist eine kostenlose App für den kleinen Zeitvertreib zwischendurch. Doch kostenlos heißt nicht gleich umsonst: Die beliebte App blendet Werbung ein und übermittelt sensible Informationen. Welche, zeigen wir im Test.

Mehr
Ratgeber 

Datenschutzrisiken bei Internet-Browsern: Cookies & Caches

Wer Webseiten auf seinem Smartphone oder Tablet ansteuert, macht das mit einem Browser. Hinter den Kulissen sollen Cookies und Caches das Surfen erleichtern. Doch zugleich kann damit das Surfverhalten der Nutzer ausgespäht werden.

Mehr
Ratgeber 

pEp: Sichere Mail-App für iPhones und Android

Mit pEp gibt es endlich eine privatsphärefreundliche Alternative zu Apple Mail. Die quelloffene Mail-App ist werbefrei und trackt nicht, außerdem bietet sie eine automatische E-Mail-Verschlüsselung. Für Android ist sie auch zu haben.

Mehr