E3 | Social Engineering

Hier dreht sich alles um Social Engineering und Phishing. Du erfährst auch, woran du Phishing erkennst und wie du damit umgehen solltest.

• 1. Was ist Social Engineering?

  Gegen Malware helfen ein guter Virenschutz und regelmäßige Updates. Aber Hacker:innen setzen nicht nur auf Software-Sicherheitslücken. Sie nutzen auch einfache psychologische Tricks, um uns hereinzulegen. Der englische Begriff dafür ist Social Engineering (soziale Manipulation).

  Social Engineering ist ein Oberbegriff für viele Arten von Betrug und Täuschung:

  • der Mann am Telefon, der sich als Bankmitarbeiter ausgibt und nach deinen Kontodaten fragt
  • die E-Mail, die vermeintlich von einem Kollegen stammt, der um schnelle Hilfe bei der Bearbeitung des angehängten Word-Dokuments bittet
  • die Nachricht von der Chefin einer anderen Abteilung im Büro, die eine dringende Überweisung in Auftrag gibt

  Online begegnet dir Social Engineering vor allem als Phishing. Was das ist und wie du dich schützen kannst, erfährst du hier.

  Als gelesen markieren

• 2. Was ist Phishing?

  

  Phishing ist ein englischer Begriff, der sich aus den Wörtern „password“ (Passwort) und „fishing“ (Angeln) zusammensetzt. Ziel von Phishing-Versuchen ist es meistens, sensible Informationen zu erlangen: zum Beispiel Log-in-Daten für Websites, Kreditkartennummern oder Zugänge zum Onlinebanking. 

  Die meisten Phishing-Versuche erreichen uns per E-Mail, zum Beispiel getarnt als seriöse Nachrichten von vertrauenswürdigen Seiten. Es gibt aber auch Phishing-Versuche über Websites, am Telefon („Vishing“) oder per SMS („Smishing“). Beliebt sind zum Beispiel SMS mit vermeintlichen Links zur Sendungsverfolgung eines Pakets. Bei dubiosen SMS sind viele Nutzer:innen noch nicht so vorsichtig wie bei verdächtigen E-Mails, deshalb ist diese Masche oft erfolgreich.

  Als gelesen markieren

• 3. Wie erkenne ich Phishing?

  Die Fälschungen erkennen wir als solche oft erst auf den zweiten Blick. Betrüger setzen in ihren E-Mails etwa Logos von großen Unternehmen wie Amazon oder eBay oder von Banken und Sparkassen ein. Besonders perfide ist daran, dass sich die Phishing-Mails oft selbst als Maßnahme gegen Betrug verkaufen wollen. Sie warnen die Empfänger davor, dass Daten gestohlen oder Onlinezugänge gehackt wurden, und fordern sie dann auf, die Anmeldedaten erneut einzugeben oder auf einen Link zu klicken.

  Folgende Punkte können dir helfen, eine Phishing-E-Mail zu erkennen:

  Oft wird in E-Mails zuerst nur der Absendername angezeigt und nicht die E-Mail-Adresse. Das dient der Übersicht und Lesbarkeit. Wenn du dir aber die E-Mail-Adresse des Absenders anzeigen lässt, lässt sich dort auch oft erkennen, ob wirklich die genannte Person dahinter steckt.

  Weitere Fragen, die du dir stellen kannst, um Phishing zu erkennen:

  • Bekommst du ungefragt ein allzu verlockendes Angebot, von dem du denkst: „Das ist zu gut, um wahr zu sein“? Dann ist es das wahrscheinlich auch.    
  • Stammt die E-Mail von einem Zahlungsdienstleister oder einem Unternehmen, bei dem du gar kein Konto hast?  
  • Geht es um eine Bestellung, eine offene Rechnung oder eine Vertragssache, von der du gar nichts weißt?  

  Als gelesen markieren

• 4. Wie gehe ich mit Phishing um?

  Phishing gehört zum digitalen Alltag dazu. Dass Betrüger offenbar an deine E-Mail-Adresse gelangt sind und jetzt versuchen, dich in die Falle zu locken, ist vor allem lästig. So gehst du am besten mit Phishing-Mails um:

  Filter

  Viele Phishing-Versuche kommen gar nicht bis zu dir durch, sondern landen im Spam-Ordner. Der wird vom Anbieter nach einer gewissen Zeit oft automatisch gelöscht, deshalb bekommen wir von den Spam-Mails an der Stelle nur wenig mit. Andere Anbieter haben gar keinen Spam-Ordner, sondern lassen verdächtige Mails gar nicht erst durch.

  Der sprechende Betreff

  Schafft es doch eine Phishing-Mail bis in dein Postfach und du kannst schon am Betreff erkennen, woher der Wind weht: einfach löschen.

  Spuren in der Mail

  In seltenen Fällen kann schon vom Öffnen einer E-Mail eine geringe Gefahr ausgehen. Wenn du dir also unsicher bist, dann lösche die E-Mail ungeöffnet. Die meisten Phishing-Versuche passieren aber innerhalb der Mail, also sobald Bilder heruntergeladen oder Links oder Anhänge angeklickt werden. Wenn eine E-Mail also geöffnet wurde, kannst du in aller Ruhe und mit Bedacht nach Anzeichen für eine Täuschung suchen. Wenn dir die E-Mail jetzt verdächtig vorkommt, dann lösche sie umgehend.

  Um ganz sicher zu gehen, kannst du vorm Öffnen der E-Mail deinen Account so einstellen, dass er E-Mails statt im HTML-Format in einem reinen Textformat öffnet.

  Das Netz fragen

  Bist du dir immer noch nicht sicher? Dann such im Netz nach dem vermeintlichen Absender oder dem Betreff der Mail. Wurde angeblich ein Nutzerkonto gehackt oder sollst du deine Daten überprüfen? Tippe die Internetadresse des Anbieters per Hand in das Adressfeld deines Browsers und log dich ein, anstatt auf einen Link in der E-Mail zu klicken. Wenn du immer noch unsicher bist und es scheinbar eine Mail von einem Anbieter ist, den du nutzt, dann ruf den Kundenservice an.

  Direkt fragen

  Du hast eine Mail von jemandem bekommen, den du kennst, nur die Sätze klingen irgendwie untypisch? Kurze Sätze („Erinnerst du dich an dieses Foto?“), merkwürdige Formulierungen und unerwartete Nachrichten mit Links oder Anhängen sind immer ein Warnsignal. Ruf im Zweifel an und frag nach, ob die Person dir wirklich eine Mail geschickt hat. Das ist auch deshalb hilfreich, weil manche dadurch überhaupt erst erfahren, dass ihr Konto gehackt wurde.

  Gerade in einer stressigen Arbeitsphase lässt es sich nicht immer vermeiden, an mehreren Dingen gleichzeitig zu arbeiten. Aber sobald ein Link involviert ist oder nach einem Passwort gefragt wird: Mach nicht zu viele Dinge gleichzeitig. Warte lieber ab, bis du dich voll konzentrieren kannst.

  Als gelesen markieren

• 5. Was, wenn doch etwas passiert ist?

  Bist du doch in eine Falle getappt? Ärgere dich nicht, das kann passieren.  

  Das kannst du tun, um auf der sicheren Seite zu sein:  

  1. Informiere andere
     Geh offen damit um, Phishing-Opfer geworden zu sein, und warne andere. Je schneller und proaktiver du handelst, desto besser.  
  2. Ändere das Passwort
     Wenn du die Log-in-Daten zu einem Onlinekonto preisgegeben hast, ändere sie sofort und erstell ein neues Passwort.  
  3. Informiere den Anbieter
     Melde dich bei dem betreffenden Anbieter und sag Bescheid, dass deine Zugangsdaten gestohlen wurden. Falls nötig, wird dein Nutzerkonto gesperrt. Besonders wichtig ist das, wenn Geld im Spiel ist. Etwa wenn du Daten zum Online-Banking, zu Bezahldiensten wie PayPal oder deine Kreditkartendaten preisgegeben hast.  
  4. Erstatte Anzeige
     Denk auch darüber nach, die Polizei einzuschalten. Damit bist du auf der sicheren Seite, falls die Betrüger unter deinem Namen und auf deine Kosten im Netz einkaufen.  

  Als gelesen markieren