Phishing E-Mails – Wie Hacker an meine Daten wollen?

Oft erreichen mich Anrufe von besorgten Kunden, dass sie eine seltsame Mail erhalten haben. Diese beinhalten meist die Aufforderung ein Benutzerkonto zu überprüfen, neue Kontobewegungen anzusehen oder Ähnliches. Auch wenn die meisten E-Mailanbieter viele dieser E- Mails bereits als Spam abfangen, gelangen immer noch viele dieser Phishing Mails in die Postfächer tausender Kunden. Meistens wird in diesen Mails ein Link angeboten auf den der Kunde klicken darf, um doch bitte seine Identität des Pay-Pal Kontos (o.ä.) zu verifizieren. Dieser Link ist oftmals auf den ersten Blick scheinbar wirklich der Verweis eine Pay-Pal Seite. Bei genauerem Hinschauen wird allerdings schnell deutlich, dass dies eben nicht der Fall ist. Wie diese Mails relativ schnell und sicher entlarvt werden können berichte ich am Ende dieses Artikels. Um ein Phishing durch einen Trojaner zu verhindern empfiehlt sich eigentlich fast ausschließlich die Verwendung eines guten und aktuellen Virenprogramms.

IT-Solutions | Grafikdesign Dominik Nagel - Pishing

 

Was ist Phishing?

Phishing ist ein englisches Kunstwort welches das Wort "fishing" engl. für "angeln" enthält. Wenn man vom Phishing spricht, meint man eine Seite die dem User vorgaukelt eine bekannte, vertrauenswürdige Seite zu sein. Dies verleitet den unachtsamen User gerne dazu seine Nutzerdaten und sein Passwort einzugeben. Schon sind die Hacker ohne großes Zutun in Besitz der persönlichen Daten. Oftmals sogar noch viel Schlimmer, zum Zugang für oft sehr sensible Webseiten und Portale. Meistens sind Portale wie PayPal und auch die Online Portale der Banken betroffen - eben überall wo man Geld abzwacken kann. Aber auch Kreditkartennummern inkl. der benötigten Prüfnummer werden gerne auf diese Art und Weise abgefragt.

Während das Phishing von Bankdaten deutlich durch die Einführung des TAN-Verfahrens eingedämmt werden konnte, sind gerade Bezahlportale wie Pay-Pal, oder aber auch Online Kaufhäuser wie eBay und Amazon betroffen. Oft werden die Empfänger für Phishing E-Mails ziellos und großflächig ausgewählt - Wie hoch ist die Wahrscheinlichkeit, dass einige Personen davon auch wirklich ein eBay/PayPal Konto haben? Sehr hoch, meiner Meinung nach - Oftmals findet aber auch ein sogenanntes Spear Phishing statt. Hierbei wird ein bestimmter Personenkreis innerhalb einer Stadt angeschrieben bei der sich eine hohe Trefferwahrscheinlichkeit für das entsprechende Portal/Bank/etc gibt. Auch hier ist die Wahrscheinlichkeit groß, dass z.B. hunderte von 1000 Empfänger beispielsweise bei der Sparkasse sind.

Wie Sicherheitsexperten des auf IT-Sicherheit spezialisierten Unternehmens RSA heraus fanden, gab es allein in den USA im Jahr 2011 etwa 280.000 Phishing-Attacken und damit einen Anstieg um 37 Prozent gegenüber dem Vorjahr. Im Schnitt konnten die Täter mit jedem Angriff ungefähr 4.500 Dollar erbeuten.

Quelle: http://t3n.de/news/schutzt-dich-phishing-e-mails-381701/ Stand: März 2014

Wie erkennt man Pishing-Mails

Waren Phishing E-Mails früher selbst für einen Laien offensichtlich sind diese neuerdings auf den ersten Blick fast nicht mehr zu unterscheiden von richtigen, echten Mails der jeweiligen Unternehmen. Auch ich bekomme noch hin und wieder ein paar solcher Mails und auf den ersten Blick sieht man oftmals wirklich keinen Unterschied. Vor allem auch, wenn man die Mail schnell auf dem Handy anschaut.

Während früher durch gebrochenes Deutsch, fehlende Grafiken sehr schnell, selbst für einen Laien, eindeutig festzustellen war, dass diese E-Mail keine guten Absichten hat, sind die Hacker heute oftmals viel weiter. So stimmen heutzutage Anrede, Coperate Design + Logo der Firma und selbst die Disclaimer, Datenschutz und Impressum Hinweise unter der Mail mit dem echten Vorbild überein. Auch auf die Absendermailadresse kann man sich nicht wirklich verlassen, oftmals schaffen es Hacker diese Mails tatsächlich für einen Laien ausehen zu lassen wie eine "echte" Mailadresse des betroffenen Unternehmens. Der Verweistext innerhalb der E-Mail zeigt die Originaladresse an, während das unsichtbare Verweisziel auf die Adresse der gefälschten Webseite verweist (Link-Spoofing).

 

Meine Checkliste für eine verdächtige E-Mail:

  • Absender prüfen
    Oftmals wird schon am Absender deutlich, dass diese Mail keine echte ist. (max7372679@hotmail.com ist garantiert kein PayPal Mailaccount)
  • Anrede prüfen
    Die meisten Phishing Mails kommen ohne persönliche Anrede daher. (Z.B. nur Sehr geehrter Kunde, anstatt Sehr geehrter Dominik Nagel) Die meisten Anbieter sprechen in E-Mails ihre Kunden mit dem Vor- und Nachnamen an.
  • Text prüfen
    Oftmals sind in Phishing Mails grobe Fehler in Grammatik, Rechtschreibung und Satzbau vorhanden.
  • Integrierte Links prüfen
    Mann mit der Maus über den eingebetteten Link fahren und schauen wohin dieser führt. Dies sieht man dann unten links im Browser bzw. im E-Mailprogramm. Außerdem kann man auch mit der rechten Maustaste auf den Link klicken und die Link-Adresse kopieren. Dieses kann man dann z.B. in Word oder ähnlichen Textprogrammen einfügen und einmal überprüfen, wohin der Link wirklich führt. Wenn diese von den normalen URLs des Anbieters abweicht ist Vorsicht angesagt. Das Aufrufen der Links kann evtl. auch unabhängig von einem Phishingversuch Schadcode ausführen, somit rate ich unerfahrenen Usern hiervon ab, gerade wenn man nicht mit dem besten Virenschutz unterwegs ist.
  • Außerdem kann man unabhängig von allen Prüfungen auch einfach beim angeblichen Absender der E-Mail anrufen. Die Kundenhotlines helfen hier gerne den besorgten Nutzern und auf diese Weise lässt dich ein Phishingversuch sehr schnell erkennen und praktischerweise auch gleich beim Unternehmen melden.
  • Sollte man sich dann immer noch unsicher sein, die offizielle Startseite von der betroffenen Seite aufrufen (z-B. paypal.de), sich einloggen. Zu 99% liegt dann die Benachrichtigung nochmal im Postfach, oder wird als Info angezeigt, sofern die E-Mail echt war.
  • Bei Verdacht den Phishing-Versuch auch bei der zuständigen Verbraucherzentrale melden.

Fazit

Lieber einmal mehr vorsichtig sein und vor allem nicht alles glauben und immer dran denken: Banken fragen wichtige Daten nie per Mail ab. Sensibilisiert auch andere Leute dafür, gerade auch die älteren Generationen, für die das Thema vielleicht noch nicht so bekannt ist.

Update 02/2017:

Ich bin begeistert    Wieder mal ein großartiger Phishing-Versuch.
* Absender passt auf den ersten Blick - bei genauem Hinsehen erkennt man eine völlig andere Mail-Adresse.
* Wer zur Hölle ist Frau Wilke?
* Hoher Rechnungsbetrag und vermeintliche Kundennummer lassen den Empfänger hochschrecken und verleiten evtl. zum schnellen "runterladen" der Rechnung.
* Signatur usw. lassen seriösität vermuten
* ICH BIN KEIN O2-KUNDE ...

Diesen Beitrag teilen:

Noch keine Kommentare bis jetzt

Einen Kommentar schreiben