Beim Phishing versucht ein Angreifer über gefälschte Nachrichten, Links zu Webseiten oder sogar per Telefon an deine (Login)Daten zu kommen. Oft versucht der Angreifer eine gewisse Dringlichkeit zu erzeugen, um dich in Panik zu versetzen und zum schnellen, unüberlegten Handeln zu bringen. Hier erfährst du etwas über typische Angriffe und wie du dich schützen kannst.

E-Mails

Ein einfaches Beispiel einer Phishing E-Mail könnte z.B. so aussehen:

Betreff: Bitpanda Account

Hallo Bitpanda User,
wir haben ungewöhnliche Aktivitäten in deinem Konto festgestellt und deinen Account aus Sicherheitsgründen gesperrt. Logge dich innerhalb der nächsten 2 Stunden in deinen Account ein. Ansonsten wird dein Account für immer gesperrt.

LOGIN BUTTON

Dein Bitpanda Team

Klickt man nun auf den Login Button, landet man auf einer gefälschten Internetseite, die der von Bitpanda sehr ähnlich sieht. Gibt man dort seine Daten ein, landen diese direkt beim Angreifer.

Gegenmaßnahme

Es gibt viele technische Möglichkeiten, diesen Phishing Versuch zu erkennen. Das ist aber für den normalen Benutzer nicht immer möglich und auch gar nicht nötig.

Die einfachste Maßnahme ist in diesem Fall ziemlich simpel:
NICHT DEN LINK ANKLICKEN

Wenn die Nachricht aber besonders echt klingt, möchte ich vielleicht trotzdem wissen ob alles in Ordnung ist mit meinem Account. Wie finde ich das am einfachsten heraus?
Gehe selbst auf die Seite, ohne den Link zu nutzen. Entweder hast du sowieso ein Lesezeichen in deinem Browser gespeichert, oder du gibst von Hand www.bitpanda.com in die Adresszeile deines Browsers ein.

Domains

Damit es nicht sofort auffällt, dass man auf eine gefälschten Seite landet, ist es bei Angreifern sehr beliebt ähnliche Domains wie z.B. bitpända.com oder bitpanda.app zu kaufen. Dann fällt im Zweifel nach dem Klick auf den Link nicht einmal auf, dass es nicht die richtige Seite ist. (Die beiden genannten Domains sind übrigens momentan noch tatsächlich zu kaufen 😉 )

Diese Seiten werden dann nicht nur in Phishing E-Mails genutzt, sondern z.B. schlicht und einfach durch bezahlte Werbung ausgespielt. Dies ist schon genau so mit einer gefälschten myetherwallet.com Webseite passiert. Die Betrüger haben einfach Google AdWords gebucht und allen Leuten, die sich über den Link eingeloggt haben, das Wallet leer geräumt.

Gegenmaßnahmen

Ihr ahnt es vielleicht schon:
NICHT DEN LINK ANKLICKEN

Außerdem sollte man sich abgewöhnen Seiten über die (Google/Web) Suche zu öffnen. Viele Benutzer geben aus Bequemlichkeit in die Adressleiste bitpanda ein, drücken Enter, klicken das erste Ergebnis der Google Suche an um dann die Seite aufzurufen. Hätte man einfach vier Zeichen mehr getippt (.com), wäre man direkt auf der Seite angekommen. Bonus: je nach Browser dann sogar ohne Google mitzuteilen auf welchen Internetseiten man gerade surft.

Browser Empfehlung für sicheres Surfen ohne Tracking: Brave Browser

Telefonanrufe

Immer häufiger versuchen Betrüger es auch per Telefonanruf. Wenn z.B. mal wieder bei einem Anbieter sämtliche Kundendaten inklusive Telefonnummer „weggekommen“ sind, werden diese gerne für betrügerische Anrufe genutzt. Dabei gibt sich der Angreifer dann als Mitarbeiter aus und „überprüft“ nur nochmal eben die Login Daten, damit man auch in Zukunft einen sicheren Account hat. Die verwendeten Geschichten sind unterschiedlich kreativ und teilweise auch nicht so einfach zu erkennen. Was kann man also tun?

Gegenmaßnahme

NICHT DEN LINK ANKLICKEN..
äh moment, nein! So schnell wie möglich auflegen!
Am besten ohne überhaupt irgendetwas zu sagen.

Denn auch unwichtig erscheinende Informationen können später genutzt werden, um erneut einen besseren Angriff durchzuführen. Vielleicht weiß der Angreifer noch gar nicht, dass du tatsächlich einen Coinbase-Account hast, stellt aber die unverfängliche Frage: „Wie zufrieden sind sie mit ihrem letzten Bitcoin Kauf bei Coinbase gewesen?“ Antwortet man nun etwas wie „Geht so, aber wieso wollen Sie das wissen?“, weiß der Angreifer schon zwei (vielleicht neue) Informationen über dich:
1. Du hast einen Coinbase-Account
2. Du hast damit mal Bitcoins gekauft

Hat der Angreifer deine Neugier geweckt und du kannst nicht ausschließen, dass tatsächlich etwas unternommen werden muss? Lege auf, suche die Supportnummer selber raus und rufe von dir aus an.

Beachte dabei bitte, dass es Sinn macht die Nummer von der offiziellen Webseite zu nutzen. Falls du nur eine Nummer aus anderer Quelle findest, versuche diese zu überprüfen. Es gab nämlich schon erfolgreiche Betrüger die z.B. einen passenden Google Maps Eintrag mit ihrer eigenen Nummer veröffentlicht haben.

Kombinationen

Es ist auch möglich Angriffe zu kombinieren. So kann es z.B. sein, dass einem die Login Daten zu einer Crypto Börse per Phishing Mail geklaut werden. Hat man aber sicherheitsbewusst die 2-Faktor-Authentifizierung aktiviert, nützen die Login Daten alleine noch nicht viel. Sie geben dem Angreifer aber die Möglichkeit einen echt klingenden Anruf nach z.B. diesem Schema durchzuführen:

Hallo, hier ist der Crypto Börsen XY Support, gut dass ich Sie erreiche. Wir sind gerade dabei ihr Konto mit tatsächlich@deineemail.de zum Premium Super Account hochzustufen. Damit zahlen Sie dann ab sofort keine Gebühren mehr. Aus technischen Gründen müssen Sie das aber bestätigen. Dazu bekommen Sie gleich eine SMS mit dem Login Code. Sobald Sie mir diesen zur Verifizierung nennen, stelle ich ihr Konto um.

Gleichzeitig startet der Angreifer eine Anmeldung mit den zuvor geklauten Login Daten, die Crypto Börse XY schickt ein SMS Code, du nennst ihn am Telefon und dein Wallet auf der Börse wird leer geräumt.

Fazit

Gib so wenig Informationen wie möglich über dich preis. Kommt dir eine Situation komisch vor, höre auf dein Bauchgefühl. Auch vermeintlich unverfängliche Fragen (z.B. nach dem Namen deines Haustieres) können in Kombination mit anderen Daten wertvoll sein, um ein Konto zu übernehmen. Am besten ist es solche Sicherheitsfragen mit falschen Informationen auszufüllen und sich diese an einem sicheren Ort (z.B. Passwortmanager) zu speichern. Dabei nutzt du am besten für jede Seite unterschiedliche Daten!

Am meisten wird es helfen sich über erfolgreiche Angriffe zu informieren, indem man nicht nur die reißerische Überschrift liest, sondern das genaue Vorgehen nachvollzieht, um dann in Zukunft nicht auf ähnliche Angriffe hereinzufallen.

Die hier genannten Beispiele sind nur kleine Auszüge aus möglichen Angriffen. Es gibt viele weitere Arten wie z.B. per Brief, (Fake) Socialmedia-Accounts, Videoanrufe (verfälscht mit Masken oder künstlicher Intelligenz), um nur ein paar zu nennen.

Autor

Geboren in Münster, hat er immer noch keinen überzeugenden Grund gefunden, diese tolle Stadt zu verlassen. Als Programmierer macht er technisch alles möglich, was du hier so findest. Du willst dich bei mir bedanken? Dann guck doch mal in meine Amazon Wunschliste