Phishing Angriffe nehmen in den letzten Jahren ständig zu. Kaum ein Unternehmen oder Privatperson hat noch nie davon gehört und die meisten haben bereits solche Angriffe erlebt. Obwohl der Begriff also irgendwie in unseren Köpfen oft präsent ist, scheint es, dass viele Menschen immer noch nicht wissen, was genau es mit Phishing auf sich hat, wie es funktioniert, welche Gefahren es birgt und wie wir uns dagegen schützen können. Das und mehr erklären wir dir in diesem Artikel!
Was ist Phishing?
Ganz grundsätzlich ist Phishing eine Angriffsmethode von Cyberkriminellen. Dabei versuchen diese mittels gefälschter Emails an sensible Daten wie persönliche Daten oder Zugangsdaten, insbesondere Passwörter, zu gelangen. Sie versuchen mit unterschiedlichsten Methoden den Usern diese Informationen heraus zu locken, um damit dann selbst Profite machen zu können, indem beispielsweise das Bankkonto leergeräumt wird. Aber machen wir mal einen SChritt zurück. Wie genau funktioniert Phishing denn eigentlich?
Wie funktioniert Phishing?
Um weniger wahrscheinlich zum Opfer einer derartigen Attacke zu werden ist es wichtig, dass du so viel wie möglich darüber weißt. In der Regel folgen die Angriffe in einem bestimmten Ablauf. Die potenziellen Opfer erhalten dabei eine Email, die einer seriösen Email zum Verwechseln ähnlich sind. Häufig imitieren die Angreifer Banken, Onlineshops oder andere Onlinedienste.
Wenn du diese Mails öffnest und dann noch auf den Link klickst, oder gar Passwörter und Nutzernamen preisgibst, haben die Angreifer gewonnen. Dann haben diese alle nötigen Informationen, um dein Konto zu leeren oder weitere Hackerangriffe zu starten, insbesondere, wenn du dein eigenes Unternehmen hast.
“Phishing” leitet sich vom Englischen Wort für fischen (fishing) ab. Das bedeutet, dass Phishing auf Deutsch etwa angeln bedeutet, denn genau das ist es, was die kriminellen Elemente tun, sie angeln nach Informationen. Sobald sie diese Informationen haben, können sie so tun als wären sie du und können damit jeglichen erdenklichen Schabernak treiben, der gerne auch große Schäden für die Opfer anrichten kann. Das kann finanzieller Schaden sein, Rufschädigung oder der Verkauf von Waren (möglicherweise illegale Produkte) in deinem Namen.
Welche Gefahren birgt Phishing?
Damit sind wir auch bei den Gefahren. Beim Phishing werden diese täuschend ähnlichen Mails versandt, beispielsweise von großen Banken. Ein klassisches Beispiel dafür wäre, dass du vermutlich bereits Emails von Banken erhalten hast, mit denen du keine Geschäfte abschließt. Dann ist die Wahrscheinlichkeit sehr groß, dass es sich hier um einen Phishing Angriff gehandelt hat. Das wirklich Fiese an diesen Mails ist für gewöhnlich, dass sie den Originalen der Händler oder Banken sehr ähnlich sehen und häufig nicht auf den ersten Blick seltsam aussehen. Teilweise sind sie sogar in Angeboten, Kundenansprache und Design sehr ähnlich wie die “echten” Mails von diesen Banken.
Häufig werden User in diesen Mails aufgefordert, auf bestimmte Links zu klicken um sich (vermeintlich) bei dem Onlineshop oder der Bank einzuloggen. Selbst auf diesen gefälschten Seiten fällt vielen Usern nichts ungewöhnliches auf, da auch diese täuschend echt wirken. Wenn du als User nun also auf die Falle hereinfällst und deine Daten in dieser Seite eingibtst, haben die Angreifer schon gewonnen.
Nun stellt sich aber die Frage, warum das immer noch so gut funktioniert, obwohl jeder Phishing kennt? Die Kriminellen verlassen sich darauf, dass es immer wieder Menschen gibt, die unvorsichtig sind. Anstatt also bestimmte Personen anzugreifen, verlassen sie sich auf die Masse. Sie schicken riesige Mengen dieser gefakten Emails aus und durch diese riesigen Mengen steigt die Wahrscheinlichkeit, dass -obwohl die awareness in dem Thema zunimmt - immer noch ausreichend User in die Falle tappen, um das “Geschäft” lohnenswert zu machen.
Was ist Spear Phishing?
Eine Spezialform des Phishing ist Spear Phishing. Auch hier werden Emails versandt, doch im Gegensatz zum gewöhnlichen Phishing werden hier nur relativ wenige Emails verschickt. Dennoch ist diese Art des Angriffes viel gefährlicher, denn während beim Phishing bildlich gesprochen einfach ein Netz ausgeworfen wird, in der Hoffnung, dass einige User in die Falle tappen, werden beim Spear Phishing vergleichsweise Speere benutzt, also einzelne User sehr gezielt angegriffen. Das passiert, indem nur eine Handvoll User als Zielgruppe gelten und damit die Email sehr genau zugeschnitten werden kann. Ein Klassiker hierbei ist der so genannte CEO Fraud, bei dem die Angreifer vorgeben, der oberste Chef zu sein, und dem Mitarbeiter eine Anweisung per Mail zukommen lassen. Damit sollen die Mitarbeiter wiederum dazu verleitet werden, auf besonders präparierte Links zu klicken und wiederum ihre Nutzerdaten freizugeben.
Wie erkenne ich einen Angriff?
Die wohl wichtigste und gleichwohl schwierigste Frage ist, wie erkenne ich einen Angriff. Um nicht in die Falle zu tappen gibt es einige wichtige Punkte, die in jedem Fall gecheckt werden sollten, bevor irgendwelche Links angeklickt oder unbekannte Anhänge heruntergeladen werden. Klassische Hinweise auf einen versuchten Phishing Angriff sind:
Fehlende individuelle Anreden - Ganz allgemeine Anreden wie “Sehr geehrte Damen und Herren” oder “Sehr geehrte/r Kunde/in” können schon auf einen Phishing Angriff hinweisen. Die Angreifer versuchen eine möglichst große Gruppe Menschen zu erreichen, sodass sie in der Regel auf individuelle Anreden verzichten werden. Deine Bank dagegen wird dich in der Regel mit deinem Namen ansprechen, wie “Sehr geehrte Frau Müller”.
Zeitdruck - Angst ist ein sehr mächtiges menschliches Gefühl. Daher versuchen viele Angreifer sich diese Angst zu Nutze zu machen und die Opfer unter Druck zu setzen, nach dem Motto: “Wenn Sie sich nicht binnen x Tagen in Ihr Konto einloggen, werden wir es wegen Inaktivität sperren!”.
Grammatik - Viele der Phishing Mails - obwohl sie zunehmend besser werden - sind voller grammatikalischer Mängel. Vielleicht passen Artikel nicht ganz zusammen, die Anreden wirken seltsam oder der gesamte Text ist eindeutig das Produkt einer Übersetzungssoftware. Dann gibt es nur eins: FINGER WEG!
Daten - Wenn in einer Mail nach persönlichen Daten gefragt werden, sollten ab sofort IMMER die Alarmglocken schrillen. Keine Bank wird dich jemals nach deinen persönlichen Daten via Email fragen. Genauso wird kein Unternehmen oder Onlinehändler jemals deine Daten über Email erfragen wollen. Sobald also in irgendeiner Form persönliche Daten oder Zugangsdaten preisgegeben werden sollen, solltest du die Mail schnellstmöglich löschen, und keinesfalls auf Links oder Anhänge klicken.
