Phishing erkennen, bevor Sie darauf hereinfallen
Von Konrad Weiss · Subproject Zero
Auf Phishing hereinzufallen hat nichts mit Naivität zu tun. Es hat mit Eile zu tun. Der Trick greift nicht Ihre Intelligenz an, sondern Ihren Moment: Er kommt, während Sie abgelenkt sind, gibt sich als jemand aus, dem Sie vertrauen, und setzt Sie unter Zeitdruck, damit Sie nicht nachdenken.
Was Phishing genau ist
Es ist eine Nachricht – E-Mail, SMS, DM –, die vorgibt, von jemandem Vertrauenswürdigem zu kommen (Ihrer Bank, einem Unternehmen, sogar einem Bekannten), um Sie zu etwas zu bringen: auf einen Link klicken, ein Passwort herausgeben, zahlen. Sie knackt kein Schloss. Sie überredet Sie, es zu öffnen.
Die Zeichen, die nicht lügen
Eile und Angst. "Ihr Konto wird in 24 Stunden gesperrt." Druck ist die Waffe: Sie sollen handeln, bevor Sie denken.
Man verlangt Daten oder Geld. Keine seriöse Bank fragt per E-Mail nach Ihrem Passwort. Wenn doch, ist das schon das verräterische Zeichen.
Der Absender passt nicht. Sehen Sie sich die echte Adresse an, nicht den angezeigten Namen. Ein geändertes Zeichen genügt.
Der Link führt nicht dorthin, wo er behauptet. Fahren Sie mit der Maus darüber (oder halten Sie ihn am Handy gedrückt) und lesen Sie die echte URL, bevor Sie etwas antippen.
Seien wir ehrlich: Man erkennt es nicht mehr so leicht
Der alte Rat "Achten Sie auf Rechtschreibfehler" ist überholt. Heute kann eine Phishing-Nachricht perfekt geschrieben sein, mit dem exakten Logo und einer identisch geklonten Website. Sich auf das Aussehen zu verlassen reicht nicht mehr. Deshalb steht das einzige wirklich verlässliche Zeichen gar nicht in der Nachricht.
Die Regel, die nie versagt: Handeln Sie nie aus der Nachricht heraus. Wenn Ihre Bank "Ihnen schreibt", tippen Sie nicht ihren Link an – öffnen Sie selbst die App oder tippen Sie die Adresse von Hand. Ist es echt, sehen Sie es genauso, wenn Sie sich selbst einloggen.
Was zu tun ist
1. Nicht klicken. Gehen Sie selbst zur Quelle. Öffnen Sie die offizielle App oder Website eigenständig, nicht über den gesendeten Link.
2. Über einen anderen Kanal prüfen. Eine seltsame Nachricht von einem Freund oder der Bank? Rufen Sie an oder fragen Sie über einen Weg, den Sie schon kannten.
3. Zwei-Faktor-Bestätigung aktivieren. So fehlt selbst bei gestohlenem Passwort noch der zweite Schritt zum Einloggen.
4. Falls Sie schon geklickt haben, ändern Sie dieses Passwort sofort (und überall, wo Sie es wiederverwendet haben) und schalten Sie den zweiten Faktor ein.
Das Prinzip dahinter
Phishing existiert, weil es eine Nachricht gibt, durch die man schlüpfen kann. Je weniger Kanäle sich fälschen lassen und je weniger Ihrer Daten verstreut sind, desto weniger hat jemand, um Sie zu täuschen. Es ist dieselbe Idee, Fehlerquellen zu reduzieren: Deshalb sind ein zweiter Faktor, keine wiederverwendeten Passwörter und Werkzeuge, die keine Daten verlangen, die später gegen Sie verwendet werden können, so wichtig.
Es geht nicht darum, allem zu misstrauen. Es geht darum, nie in Eile innerhalb einer Nachricht zu entscheiden, um die Sie nicht gebeten haben.