Phishing

Was heißt Phishing? Wie funktioniert Phishing? Warum wird es verwendet? Woher kommt der Begriff und wie spricht man ihn aus und ist es gefährlich? Diese und viele weitere Fragen werden auf dieser Seite einfach und verständlich beantwortet und erklärt, damit es jeder verstehen kann und sich zukünftig vor entsprechenden Angriffen schützen kann. Der Begriff „Phishing“ kommt aus dem Englischen, wie viele der Begriffe für die auf diesen Seiten eine Erklärung zu finden sind. Es handelt sich um eine neue Wortschöpfung, die bisher eigentlich in der englischen Sprache nicht existierte, und ist an das Wort „fishing“ angelegt, welches man mit „Angeln“ oder „Fischen“ übersetzen kann. Die Aussprache ist daher auch relativ simpel: an das deutsche Wort „Fisch“ wird noch die Silbe „-ing“ angehängt, es wird also [fisching] ausgesprochen. Doch wer angelt beim Phishing nun wen?

Was ist Phishing?

Beim Phishing versucht ein krimineller Betrüger über E-Mails, Webseiten, Anrufe, SMS oder WhatsApp Nachrichten an vertrauliche und geheime Informationen seines Opfers zu gelangen, er fischt also nach Informationen. Phishing verheißt also nichts Gutes und als Oper einer Phishing Attacke muss man sofort handeln, eine eventuelle Warnung von seinem E-Mail Anbieter oder E-Mail Programm sollte man daher sehr ernst nehmen. Doch wie funktioniert nun das Phishing an sich?

In den meisten Fällen sendet ein Betrüger eine E-Mail, die so aussieht, als würde sie zum Beispiel von Ihrer Bank, Sparkasse, Online Banking, eBay, Facebook, Amazon, PayPal oder WhatsApp kommen. In der E-Mail steht ungefähr der Text, dass dringend Ihre mithilfe benötigt wird, da ihr Konto oder Account sonst gesperrt wird. Selbstverständliche können auch andere dringende Gründe genannt werden, die Sie dazu bewegen sollen, geheime Informationen preiszugeben. Falls Sie nun auf den Link in der E-Mail klicken gelangen Sie auf eine Webseite des Anbieters, auf welcher Sie sich einloggen sollen. Was Sie jedoch nicht sofort sehen ist, dass diese Webseite nicht von dem vertrauenswürdigen Anbieter ist, sondern von einem Betrüger und alle Daten die Sie auf dieser Webseite eingegeben haben, werden direkt an den Betrüger übermittelt. Häufig leitet die Seite dann direkt zu der richtigen Seite des Anbieters weiter und für Sie sah es lediglich nach einem fehlerhaften Login aus, wie er ja häufig einmal vorkommt.

Doch das birgt selbstverständlich Gefahren: Der Angreifer ist nun in der Lage Ihre korrekten Daten zu verwenden, um sich wiederrum selber mit Ihren Zugangsdaten beim Anbieter einzuloggen. Oft werden auch nur personenbezogene Daten abgefragt, wie der Name, Anschrift und Geburtsdatum, um an einem vermeintlichen Gewinnspiel teilzunehmen. Diese Daten können im besten Fall nur verkauft werden, im schlimmsten Fall jedoch benutzt werden, um Ihre Identität zu stehlen und sich im Internet als Sie auszugeben, denn alle privaten Daten sind dem Angreifer nun bekannt. Die Gefahren des Phishing sind also:

Offenlegung Ihrer Passwörter
Zugang zu E-Mail, Chat oder Shopping Accounts
Zugriff auf Ihr Online Banking oder Paypal Account
Identitätsdiebstahl, Veröffentlichung privater Daten

Alle diese Gefahren können natürlich großen Schaden beim Opfer hevorrufen und man muss daher daher unbedingt aktiv werden, falls man doch einmal auf Phishing hereingefallen ist und vertrauliche Daten auf einer verdächtig aussehenden Seite eingegeben hat.

Was tun, wenn man darauf reingefallen ist?

Doch was ist zu tun, wenn man doch einmal Opers eines Angriffs geworden ist, auf einen Link geklickt hat und vertrauliche Daten auf einer fremden Seite eingegeben hat? Es gibt leider keine perfekte Schritt für Schritt Anleitung, wie Sie vorgehen müssen. Es gibt jedoch einige empfehlenswerte Maßnahmen die Sie durchführen können, um einen eventuellen Schaden zu minimieren. Erst einmal sollte man ruhig bleiben und überlegen, welche Daten man genau preisgegeben hat. Sie sollten jedoch nicht mehr auf der Webseite weiter herumklicken oder noch mehr Daten eingeben! Falls Sie Zugangsdaten (Benutzername oder Passwort) eingegeben haben sollten, ist es ratsam, sich auf einem anderen Computer, zumindest aber mit einem anderen Browser auf der echten Seite noch einmal einzuloggen und sofort sein Passwort zu ändern. Falls ein Login nicht mehr möglich ist und fehlschlägt hat der Betrüger inzwischen wahrscheinlich Ihr Passwort geändert. In diesem Fall müssen Sie den Betreiber kontaktieren und eine umgehende Deaktivierung Ihres Accounts beantragen. Ein hilfereicher Tipp: auch wenn es nichts bringt, versuchen Sie sich mehrfach hintereinder mit dem falschen Passwort einzuloggen. Der Betreiter sperrt eventuell aufgrund der hohen Anzahl der Fehlversuche Ihren Account und ein potentieller Angreifer erhält auch keinen Zugriff auf Ihr Konto.

Zusätzlich müssen Sie überlegen, auf welchen Webseiten Sie das Passwort außerdem verwenden, denn auch dort müssen Sie das Passwort sofort ändern. Hacker kennen die häufigsten Accounts und wenn z.B. Ihre E-Mail-Adresse und Instagram Passwort gestohlen wurde, versucht der Angreifer sofort den Login mit dieser Kombination von Zugangsdaten bei Twitter, Facebook und Ihrem E-Mailanbieter. Diesen Vorgang nennt man „credential stuffing“.

Sollten Zugangsdaten zu Ihrer Bank oder zum Online Banking in die Hände von kriminellen gelangt sein, müssen Sie sofort Kontakt mit Ihrer Bank aufnehmen und den Zugang zum Online Banking und eventuell vorhandene Kreditkarten sperren lassen. Diese Daten werden von Angreifern häufig verwendet um Geld zu entwenden oder Bestellungen auf andere Kosten durchzuführen.

Beispiele für Phishing

Wie erkennt man Phishing?

Schutz vor Phishing

Wie kann man sich effektiv vor Phishing schützen?

Gegen Phishing wehren

Phishing zu betreiben, oder die durch den Angriff gewonnene Daten zu verwenden ist selbstverständlich strafbar, es bestehen sowohl strafrechtliche als auch zivilrechtliche Möglichkeiten, gegen den Angreifer vorzugehen. Leider ist es jedoch extrem schwierig, die Hintermänner ausfindig zu machen, da häufig gestohlene Zugangsdaten verwendet werden um wiederum neuen Spam oder Phishing-E-Mails zu versenden. In der Praxis ist es daher sogut wie nie möglich, die korrekten Drahtzieher ausfindig zu machen und zu belangen.

Hijacking, Hacking, Phishing, Spam und Trojaner

Wo liegt genau den Unterschied zwischen den genannten Begriffen?
Phishing: Wie hier beschrieben versucht ein krimineller Betrüger mithilfe von Nachrichten und gefälschten Webseiten an vertrauliche und geheime Informationen seines Opfers zu gelangen.
Spam: Unerwünschte E-Mails, zum Beispiel: Werbung oder Phishing.
Hijacking: Bezeichnet die Übernahme eines zugangsbeschränkten Accounts, zum Beispiel Facebook, oder des E-Mail Accounts.
Hacking: Umgehung eines Sicherheitssystem um Zugriff auf ein fremdes geschütztes Computersystem zu erhalten.
Trojaner: Eine Software die sich harmlos ausgibt und kriminellen Angreifern Zugriff auf das System gewährt, auf welchem der Trojaner installiert ist.