Phishing – Wie man die Betrugsmasche enttarnt und sich schützt

Phishing ist eine Art des Hackerangriffs, bei dem die Angreifer durch das Versenden von E-Mails unter Vorgabe falscher Identität versuchen, sensible und firmeninterne Daten zu erlangen. Ähnlich wie beim namensgebenden Fischen werfen die Angreifer eine Art Köder aus: Sie geben sich in solchen E-Mails beispielsweise als Mitarbeiter Ihres Unternehmens, einer IHK, Behörde o.Ä. aus, um Sie zur Eingabe von Daten aufzufordern. In der Regel geschieht dies über einen in den E-Mails eingefügten Link. Dieser führt zu einem Webformular, das dem Erscheinungsbild der vorgeblichen Identität oft stark ähnelt und Ihre Anmeldeinformationen, Kontodaten oder andere persönliche Daten erfragt. Durch die Eingabe dieser Daten gelangen die Angreifer folglich an diese vertraulichen Daten und können sie für weitere kriminelle Zwecke missbrauchen.

Noch vor wenigen Jahren ließen sich Phishing-E-Mails oft leicht an Auffälligkeiten wie Rechtschreib- und/oder Übersetzungsfehlern oder einer kryptischen Absenderadresse erkennen. Der Professionalisierungsgrad der Angriffe hat jedoch stark zugenommen. Heute imitieren Phishing-E-Mails legitime Nachrichten, beispielsweise von Paketversendern, oder sind speziell auf das Angriffsziel, also das Unternehmen, ein Team oder einen konkreten Mitarbeiter zugeschnitten. Dabei geben sich Angreifer als Partner, Kollegen, interne Abteilungen oder Geschäftsführer aus, um sensible Daten zu erlangen oder den Empfänger zu anderen unbedachten Handlungen zu verleiten.

Die frühzeitige Erkennung von Phishing-Mails schützt Unternehmen vor Datendiebstahl und weiteren schwerwiegenden Folgen, die die Informationssicherheit gefährden. Ein hohes Maß an Sensibilität für Fake-E-Mails ist folglich der beste Schutz gegen Phishing-Angriffe. Grundsätzlich gilt: Die Wahrscheinlichkeit, dass ein seriöser Absender per E-Mail dazu auffordert, persönliche und sensible Daten offenzulegen, ist überaus gering, möge die Anfrage noch so echt erscheinen. Eine akribische Prüfung von dubios erscheinenden E-Mails, in denen Daten erfragt werden, ist jedoch in jedem Fall unabdingbar – und das am besten noch bevor Interaktionen jedweder Art erfolgen. Das Ausgeben von persönlichen Daten wie Zugangsdaten u.Ä. über E-Mail muss vermieden werden. Auch vom Öffnen eingebetteter Links oder angehängter Dateien ist abzuraten, sofern die E-Mail nicht zweifelsfrei als seriös eingestuft werden kann. Eine stets aktuelle sowie aktive Antivirus-Software kann im unverhofften Fall einer Interaktion mit gefährlichen Inhalten bestenfalls eingreifen und Schlimmeres verhindern. Durch regelmäßige Schulungen können Mitarbeiter des Unternehmens für Phishing und andere Hackerangriffe sensibilisiert werden. Ausführliche Informationen darüber, wie man sich gezielt vor Phishing schützen können, gibt es beim Bundesamt für Sicherheit in der Informationstechnik.

bsi.bund.de