Es ist ja schon fast eine Binsenweisheit, dass die Frage nach Passwörtern und Kontodaten per Mail niemals von seriösen Anbietern gestellt wird. Alle Banken und andere Einrichtungen, genau wie staatliche Stellen weisen immer wieder darauf hin, doch immer wieder tappen Benutzer in diese Falle.
Aber auch die Betrüger werden immer gefinkelter. Internetauftritte werden immer besser nachgeahmt, Logos sind täuschend echt und auf das bekannte Erkennungszeichen einer falschen Grammatik oder von Rechtschreib- fehlern kann man sich auch nicht mehr verlassen.
Aus aktuellem Anlass: Betrugsversuche mit A1 SMS
Seit Ende Mai gibt es wieder eine neue Betrugsmasche: es werden gefälschte SMS des Mobilfunkanbieters A1 versendet. Sie suggerieren, dass Teuepunkte verfallen und verweisen auf eine gefälschte Internetseite.
Auf dieser können die Punkte vermeintlich gegen attraktive Prämien eingetauscht werden. Für die Bezahlung der Versandkosten werden die Kreditkartendaten abgefragt. So bekommen die Betrüger Zugang zu ihrem Konto.
Auf der A1 Security Seite können sie diese und andere Sicherheits-Informationen nachlesen. A1 versendet auch nebenstehende Warnung per SMS von A1 Security. Auch die Polizei warnt eindringlich vor dieser Betrugsmasche und rät zu einigen Vorsichtsmaßnahmen, um sich vor solchen Angriffen zu schützen:
• Achtung bei Angeboten unter Zeitdruck: Lasst euch Zeit und überprüft Mitteilungen und Angebote auf ihre Richtigkeit.
• Schützt eure persönlichen Daten: Egal wie echt und vertrauenswürdig eine Nachricht erscheint, gebt keinesfalls sensible Daten per Mail oder über dubiose Links preis.
• Im Zweifel Vorsicht walten lassen: Solltet ihr euch nicht sicher sein, ob eine Nachricht echt oder gefälscht ist, kontaktiert am besten telefonisch den genannten Anbieter.
(Quelle: A1 und SALZBURG24.at)
Beachte die Mailadresse und prüfe Links
Noch ist die Mailadresse meist ein Indiz dafür, ob eine Mail echt oder betrügerisch ist. Ist ein eigenartiger Suffix (Wortbestandteil, der an das Ende der sonst vertrauten Mailadresse angehängt ist) oder Präfix (das Gleiche am Anfang) zu erkennen, müssen sofort alle Alarmglocken leuten. Links kann man überprüfen, indem man mit der Maus darüber fährt, ohne darauf zu klicken. Ist dieser kryptisch oder sieht er eigenartig aus, ist er mit hoher Wahrscheinlichkeit gefälscht.
Hinterfrage den Grund der Mails kritisch
Erstens sollte man den Inhalt des Mails kritisch hinterfragen, ohne darin verwendete Links anzuklicken. Die Frage, warum diese Informationen gerade jetzt von mir abgefragt werden, sollte man sich ebenfalls sofort stellen. Gibt es dafür keine schlüssige oder eventuell sogar eine zu einfache Erklärung, auf keinen Fall direkt antworten.
Ist das offensichtlich, dann löschen sie die Mail ohne weitere sonstige Aktionen sofort. Ist es nicht ganz so eindeutig, gehen sie zuerst ihre bekannten Wege.
Die betrügerischen Anfragen werden immer persönlicher
Die Betrüger werden aber immer besser in ihren Methoden. Wie die Schweizer Zeitung „Blick“ berichtet, werden derzeit speziell in der Schweiz Mails mit an sich harmlosen Fragen, angeblich von der Bank, zur „Compliance-Aktualisierung“ versendet. Die verlinkte Website wirkt echt, verlangt aber nur scheinbar ungefährliche Daten: Name, Telefonnummer, Vertragsnummer. Keine Passwörter, keine Kreditkartendaten werden angefragt.
In diesem Fall kommt dann wenige Tage später ein Anruf vorgeblich von der Bank (im beschriebenen Fall von der UBS). Sie werden persönlich angesprochen und mit den vor wenigen Tagen preisgegebenen Informationen in Sicherheit gewogen. Dann folgt Stufe 2: Eine verdächtige Überweisung müsse blockiert werden, behaupten sie. Ein QR-Code, gescannt mit der E-Banking-App, soll das Konto «absichern». In Wahrheit ist das Gegenteil der Fall: Die Kriminellen missbrauchen hier die Zwei-Faktor-Authentifizierung und verschaffen sich unerlaubt Zugriff auf das Bankkonto.
Keine Bank verlangt per Mail irgendwelche persönliche Daten, solche Abfragen bekommen sie direkt in der jeweiligen App beim nächsten Aufruf!
Darum zuerst bekannte Kanäle zur Verifizierung verwenden
Ersuchen sie in solchen Fällen um Namen und Telefonnummer, die sie zwecks Überprüfung rückrufen können. Möglicherweise ist das Gespräch hier schon zu Ende, oder Sie bekommen wirklich diese Daten. Sind das keine ihnen bekannten Kontakte, sind auch diese mit Vorsicht zu behandeln. Eine Bemerkung von ihnen, dass sie dazu mit der Polizei in Kontakt sind, könnte das Gespräch aber auch rasch beenden.
Im Normalfall haben sie ja eine ihnen bekannte und immer verwendete Internetseite, die sie normalerweise verwenden, oder eine persönliche Kontaktperson oder es gibt eine Support-Funktion auf der von Ihnen normalerweise verwendeten Seite. Vergewissern Sie sich dort, ob die Anfrage richtig ist. Meist werden Sie die Bestätigung bekommen, dass es sich um ein Fake oder eine Phishingmail handelt.
Meldestellen und Informationsquellen zur Internetkriminalität
Viele Institutionen haben auch bereits eine Supportfuntion, an die man solche Mails weiterleiten kann. Die Firmen sind dankbar über diese Informationen. Es gibt aber auch öffentliche Anlauf- und Meldestellen, die man unbedingt nutzen sollte. Ich liste einige davon mit ihrem Link auf:
https://www.onlinesicherheit.gv.at/Themen/Erste-Hilfe/Meldestellen.html
https://www.bundeskanzleramt.gv.at/themen/cybersicherheit/ansprechstellen.html
https://www.bundeskriminalamt.at/306/start.aspx
https://www.wien.gv.at/menschen/sicherheit/cybercrime-helpline.html
Informationen einholen
Viele gute und weitere Erklärungen gibt auch dieses Video:
https://studyflix.de/allgemeinwissen/phishing-7523
Bauchgefühl und Hausverstand einsetzen
Beides sind ebenfalls gute Helfer. Wenn nur der geringste Zweifel auftaucht, sofort die vorhin angeführten Möglichkeiten nutzen und kritisch hinterfragen. So haben Sie zumindest eine gute Chance, diesen Betrugsversuchen zu entkommen.
Warum wir trotzdem immer wieder in diese und ähnliche Fallen tappen, beschreibt der unten verlinkte Artikel. Um es salopp auf den Punkt zu bringen: Der Mensch selbst mit seiner Gier und Neugier ist das unsicherste Interface.
https://www.tripwire.com/state-of-security/why-phishing-works
New Retired On The Blog 