Phishing ist nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) ein Kunstwort aus „Passwort“ und „Fishing“, denn Kriminelle fischen dabei nach Zugangsdaten und persönlichen Angaben. Getarnt als seriöse Bank, Internetanbieter oder anderer Dienstleister fordern E-Mails mit gefälschtem Absender etwa zu einer angeblich notwendigen Aktualisierung persönlicher Daten auf. Ein Link in der Nachricht, oft hinter einer sorgfältig gestalteten Schaltfläche verborgen, führt anschließend auf die gefälschte Webseite einer Organisation, der die Empfänger vertrauen.
Nach Angaben der Polizeilichen Kriminalprävention nutzen Täter die erbeuteten Daten für einen Identitätsdiebstahl, mit dem sie im Namen der Geschädigten Geld überweisen oder online einkaufen. Auch Unternehmen sind nach ihrer Beobachtung vermehrt betroffen, wobei die Angreifer an Unternehmensdaten oder an den Zugang zum Firmennetzwerk gelangen wollen. Bei Betreibern einer Webseite zielen solche Nachrichten häufig auf die Zugänge zu Domain, Hosting und Google-Konto, wie der Ratgeber zu Phishing rund um die Webseite an Beispielen zeigt.
Formen von Phishing
Neben der E-Mail nennt das BSI weitere Kanäle mit eigenem Namen, darunter das Smishing per SMS, meist im Namen angeblicher Paketdienste, und das Vishing, bei dem sich ein Anrufer am Telefon etwa als Bankmitarbeiter oder IT-Support ausgibt. Quishing setzt QR-Codes ein, die auf schädliche Webseiten oder gefälschte Eingabemasken führen und die Virenscanner nach Angaben des BSI als harmloses Bild einstufen. Die Polizei beschreibt außerdem offiziell aufgemachte Briefe mit den Logos von Kreditkartenunternehmen, die zur Eingabe der Kartendaten im Internet auffordern.
Gezielter geht das Spear-Phishing vor, benannt nach dem englischen Wort „spear“ für Speer. Solche Nachrichten richten sich nach Darstellung des BSI gegen bestimmte Firmen oder Organisationen und sind mit hohem Aufwand auf einen konkreten Empfänger zugeschnitten. Häufig bilden sie den Auftakt einer gestaffelten Angriffskette, an deren Ende Finanzbetrug oder das Abschöpfen von Geschäftsgeheimnissen steht.
Woran Sie Phishing erkennen
Das BSI nennt mehrere Merkmale, die einzeln oder gemeinsam auf Phishing hindeuten. Dazu zählen ein behaupteter dringender Handlungsbedarf, die Drohung mit einer Kontosperre und die Aufforderung zur Eingabe vertraulicher Daten wie PIN oder Kreditkartennummer. Verdacht verdienen außerdem Links, Formulare oder Dateianhänge in der Nachricht sowie Anliegen, die für eine vermeintlich bekannte Person oder Organisation ungewöhnlich wirken.
Den tatsächlichen Absender einer HTML-Mail zeigt ein Bewegen der Maus über die Absenderzeile, bei dem Sie nicht klicken, und auf dieselbe Art verrät ein Link seine echte Zieladresse. Microsoft nennt als Warnzeichen abweichende Domains mit kleinen Tippfehlern, etwa „micros0ft.com“ mit einer Null anstelle des Buchstabens o. Auf gefälschten Webseiten weisen nach Angaben des BSI ungewöhnliche Zahlenkombinationen in der Adresse sowie eine unaufgeforderte Abfrage einer TAN auf Betrug hin. Das Kürzel https bedeutet laut BSI keine Entwarnung mehr, da ein SSL-Zertifikat lediglich die Verbindung verschlüsselt.
Verdächtige Nachrichten prüfen und melden
Am besten öffnen Sie bei einer zweifelhaften Nachricht weder Link noch Anhang und rufen die Webseite des angeblichen Absenders über eine selbst eingegebene Adresse oder ein gespeichertes Lesezeichen auf. Die Polizei empfiehlt, ständig benötigte Internetadressen in die Favoritenliste des Browsers aufzunehmen und die Adressleiste bei jedem Besuch auf Abweichungen zu prüfen. Kreditinstitute fordern nach ihren Angaben grundsätzlich keine vertraulichen Daten per E-Mail, Telefon oder Post an, sodass bereits eine solche Aufforderung Anlass zur Rückfrage bei der Bank gibt.
In Gmail melden Sie eine Nachricht über das Menü mit den drei Punkten neben „Antworten“ und den Eintrag „Phishing melden“, woraufhin Google eine Kopie der E-Mail samt Anhängen erhält und auswertet. Outlook bietet mit „Phishing melden“ eine entsprechende Funktion, deren Meldungen nach Angaben von Microsoft in die Verbesserung der Filter einfließen. Die Verbraucherzentrale Nordrhein-Westfalen nimmt Phishing-Mails für ihr Phishing-Radar unter der Adresse phishing@verbraucherzentrale.nrw oder als hochgeladene EML-Datei bis 2 MB entgegen und beantwortet die Einsendungen wegen ihrer Menge nicht. Aus diesem Material veröffentlicht sie laufend Warnungen vor aktuellen Maschen.
Phishing mit der eigenen Domain erschweren
Gefälschte Absenderadressen mit der exakten Domain eines Unternehmens erschwert der Standard DMARC, während optisch ähnliche Domains und irreführende Anzeigenamen vor der Adresse nach RFC 9989 außerhalb seines Geltungsbereichs liegen, weshalb die beschriebenen Merkmale beim Lesen weiterhin zählen. Ein erbeutetes Passwort allein genügt bei einer Zwei-Faktor-Authentifizierung für die Anmeldung nicht, weil sie neben dem Passwort einen zweiten Nachweis verlangt. Ein Passwort-Manager verwahrt für jeden Zugang ein eigenes Passwort, sodass ein auf einer gefälschten Seite eingegebenes Passwort auf diesen einen Dienst beschränkt bleibt.