Rechtschreibfehler taugen längst nicht mehr als Warnsignal. Woran man Phishing wirklich festmacht: Absenderdomain, Linkziel und Handlungsdruck.
Aufwand:
ca. 15 Min.
Voraussetzung:
E-Mail-Programm oder Webmailer, Browser, Ruhe
Gilt für:
E-Mail, SMS und Messenger-Nachrichten
Das Symptom
Im Postfach liegt eine Nachricht, die aussieht wie immer: richtiges Logo, richtige
Schrift, korrekte Anrede mit vollem Namen, sauberes Deutsch. Angeblich muss ein
Konto bestätigt, eine Zahlung freigegeben oder eine Lieferung umgeleitet werden –
und zwar heute noch. Ein Knopf führt zu einer Anmeldeseite, die exakt so aussieht
wie die gewohnte. Kein einziger Tippfehler weit und breit, an dem sich das
schlechte Gefühl festmachen ließe.
Die „Layer 8“-Wahrheit
Das alte Bauchgefühl prüft die falsche Sache. Wer auf Rechtschreibung, Layout und
Anrede achtet, prüft genau die Merkmale, die den Fälschern nichts kosten – ein
gutes Layout ist kopiert, ein sauberer Text ist erzeugt. Das BSI führt „Phishing-E-Mails
sind leicht zu erkennen“ deshalb inzwischen selbst als Irrtum und nennt den
KI-Einsatz der Täter als Grund. Was sich dagegen nicht wegpolieren lässt, sind drei
Dinge: Wohin der Link tatsächlich zeigt, welche Domain wirklich im Absender steht,
und dass die Nachricht Druck aufbaut, damit niemand nachdenkt. Genau diese drei
sind die Merkmale, die das BSI aufzählt – Handlungsdruck, Drohung, Aufforderung
zur Eingabe vertraulicher Daten.
Der eigentliche Trick liegt aber woanders: Man muss die Fälschung gar nicht
erkennen können. Alle Erkennungsmerkmale sind ein Wettrennen, das die Gegenseite
laufend gewinnt. Die eine Gewohnheit, die auch bei einer perfekten Fälschung
trägt, ist banal und unspektakulär – den Link in der Nachricht schlicht nicht
benutzen und die Seite stattdessen selbst ansteuern, über ein eigenes Lesezeichen
oder über die eingetippte Adresse. Das ist exakt die Empfehlung des BSI, und sie
hat den unschätzbaren Vorteil, dass sie kein Urteil verlangt. Wer nie einem
fremden Link zur Anmeldeseite folgt, gibt seine Zugangsdaten auch dann nicht
heraus, wenn die Mail besser aussah als das Original. Layer 8 ist hier nicht
Dummheit, sondern eine völlig normale Reflexbewegung: Die Nachricht liefert den
Knopf gleich mit, und Knöpfe drückt man. Die Lösung besteht darin, sich diesen
einen Reflex abzugewöhnen – nicht darin, ein besserer Fälschungsprüfer zu werden.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Auf das Muster achten, nicht auf die Optik
Das BSI nennt als Warnsignale unter anderem: Der Text gibt dringenden Handlungsbedarf vor, Drohungen kommen zum Einsatz, es wird zur Eingabe vertraulicher Daten aufgefordert, die Mail enthält Links oder Formulare, oder sie scheint von einer bekannten Organisation zu stammen, aber das Anliegen wirkt ungewöhnlich. Trifft nur eines davon zu, ist Misstrauen angebracht. Diese Merkmale liegen im Aufbau der Nachricht – und den kann kein Layout wegpolieren.
2.
Die Absenderadresse wirklich lesen, nicht den Anzeigenamen
Anzeigename und tatsächliche Adresse sind zwei getrennte Felder. Den Cursor über die Absenderzeile führen, ohne zu klicken, und die volle Adresse ansehen. Entscheidend ist dabei ausschließlich der Teil unmittelbar vor dem letzten Punkt, also die eigentliche Domain – nicht das, was davor steht. Und selbst eine korrekt aussehende Absenderadresse beweist nichts, denn sie lässt sich fälschen.
3.
Das Linkziel prüfen, bevor man es aufruft
Am Rechner den Mauszeiger über den Link halten und das Ziel in der Statusleiste lesen; am Telefon den Link lange gedrückt halten, bis die Vorschau erscheint. Das BSI rät, stutzig zu werden, wenn die Internetadresse zwar den Namen der Institution enthält, aber in ungewöhnlicher Kombination mit Zahlen oder Zeichen – als Beispiel wird www.135x-Bank.de genannt. Auch Kurz-URLs, deren Ziel man nicht sieht, gehören in diese Kategorie.
4.
Den Link gar nicht erst benutzen
Das ist der einzige Schritt, der auch dann trägt, wenn man die Fälschung nicht erkannt hat. Das BSI formuliert es unmissverständlich: niemals auf Links in einer dubiosen E-Mail klicken, sondern im Zweifel die genannte Seite über die Startseite der betreffenden Organisation ansteuern. Praktisch heißt das: Adresse selbst eintippen oder ein eigenes Lesezeichen benutzen. Steht die Nachricht auch nach der eigenen Anmeldung im Postfach des Anbieters, ist sie echt.
Das BSI ist auch hier eindeutig: insbesondere niemals Dateien im Anhang einer verdächtigen E-Mail öffnen. Das gilt auch für harmlos wirkende Formate wie Rechnungen oder Bewerbungsunterlagen. Und die Vorstellung, das bloße Anschauen einer Mail sei immer folgenlos, führt das BSI als Irrtum: HTML-formatierte E-Mails können schädlichen Code enthalten, der bereits beim Öffnen ausgeführt wird.
6.
Bei Aufforderungen zu Zugangsdaten grundsätzlich misstrauisch sein
Der stabilste Filter ist eine Regel, die keine Detailprüfung braucht. Das BSI: Kein Kreditkarteninstitut und kein seriöser Anbieter fordert per E-Mail dazu auf, vertrauliche Zugangsdaten preiszugeben. Wer diese Regel einmal verinnerlicht hat, muss die Mail gar nicht mehr im Einzelnen auseinandernehmen – die Aufforderung selbst ist bereits das Merkmal.
7.
Wissen, dass es nicht bei E-Mail bleibt
Dasselbe Muster läuft über SMS, Messenger und QR-Codes; das BSI führt SMS und QR-Codes ausdrücklich mit auf. Der Aufkleber auf dem Parkscheinautomaten und die Paketbenachrichtigung aufs Handy funktionieren nach genau derselben Mechanik: fremdes Ziel, echter Auftritt, Zeitdruck. Die Prüfschritte bleiben identisch – Ziel ansehen, Seite selbst ansteuern, keine Zugangsdaten auf fremd angesteuerten Seiten eingeben.
Häufige Fragen (FAQ)
?Aber an den Rechtschreibfehlern erkennt man Phishing doch sofort?
Das war einmal ein brauchbares Merkmal, als Phishing-Mails maschinell übersetzt wurden. Das BSI führt die Aussage „Phishing-E-Mails sind leicht zu erkennen“ inzwischen ausdrücklich als Irrtum und begründet es so: Phishing-E-Mails zu enttarnen werde immer schwieriger, auch weil Cyberkriminelle oft KI einsetzen. Eine fehlerfreie, korrekt gegenderte, im richtigen Corporate Design gesetzte Mail ist heute kein Echtheitsbeweis, sondern der Normalfall – bei echten wie bei gefälschten. Wer weiter auf Tippfehler wartet, prüft ein Merkmal, das der Gegenseite nichts mehr kostet.
?Der Absender stimmt doch, da steht die richtige Adresse der Bank.
Die Absenderzeile einer E-Mail ist eine Textangabe, die der Versender selbst setzt – ungefähr so verbindlich wie der Absender auf einem Briefumschlag. Das BSI zählt genau das zu den Irrtümern: Eine E-Mail komme eben nicht immer von der Adresse, die im Absender-Feld steht, die Angabe des Absenders könne gefälscht werden. Bei HTML-Mails kommt dazu, dass der angezeigte Name und die tatsächliche Adresse zwei verschiedene Dinge sind. Das BSI empfiehlt, den Cursor über die Absenderzeile zu führen, ohne zu klicken, um die dahinterliegende Adresse zu sehen.
?Ich habe ein Schloss-Symbol und https gesehen, dann ist die Seite doch echt?
Nein. HTTPS sagt aus, dass die Verbindung zu diesem Server verschlüsselt ist – nicht, wem der Server gehört. Zertifikate sind heute kostenlos und in Minuten ausgestellt, auch für eine Domain, die einer echten Bankadresse zum Verwechseln ähnlich sieht. Das BSI schreibt dazu, dass SSL-Zertifikate auch von Phishing-Betrügern genutzt werden und https deshalb keine Entwarnung mehr bedeutet. Verschlüsselt zum falschen Empfänger ist immer noch der falsche Empfänger.
?Ich habe schon auf den Link geklickt und Daten eingegeben. Was jetzt?
Nicht in Panik verfallen, aber der Reihe nach handeln: Passwort des betroffenen Kontos über die selbst eingetippte, echte Adresse des Anbieters ändern, danach dasselbe Passwort überall dort ändern, wo es noch benutzt wurde. Anschließend die Zwei-Faktor-Authentisierung des Kontos prüfen und aktive Sitzungen sowie hinterlegte Wiederherstellungsadressen kontrollieren – Angreifer hinterlegen dort gern eigene Kontaktdaten. Bei Bank- und Zahlungsdaten die Bank informieren; das BSI rät ohnehin, Kontoauszüge regelmäßig zu kontrollieren.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.
Am Telefon weint angeblich das eigene Kind und braucht sofort Geld. Warum eine vertraute Stimme kein Echtheitsnachweis mehr ist und was stattdessen trägt.