Digitale Finanzwelt Phishing erkennen

Gefälschte Nachrichten gehören zu den häufigsten Einfallstoren für Betrug im digitalen Finanzalltag.

Phishing (Betrugsversuch zum Ausspähen von Zugangsdaten oder Sicherheitscodes) erreicht Verbraucher per E-Mail, SMS, Messenger (Nachrichtendienst), Telefon oder über manipulierte Internetseiten. Absender geben sich beispielsweise als Bank, Kreditkartenunternehmen, Zahlungsdienstleister oder Broker (Anbieter für den Handel mit Wertpapieren) aus. Ihr Ziel besteht darin, Zugangsdaten, Sicherheitscodes oder Freigaben für Zahlungen zu erhalten.

Viele Phishing-Versuche wirken inzwischen professionell. Logos, Farben und Formulierungen ähneln echten Banknachrichten teilweise sehr. Hinzu kommt, dass persönliche Daten aus früheren Datenlecks (unbeabsichtigte oder kriminelle Veröffentlichung gespeicherter Daten) genutzt werden können. Eine Nachricht, die den richtigen Namen oder die tatsächlich verwendete Bank nennt, ist deshalb nicht automatisch echt.

Zeitdruck soll sorgfältiges Prüfen verhindern

box

Typische Phishing-Nachrichten erzeugen Handlungsdruck. Angeblich wurde das Konto gesperrt, eine ungewöhnliche Zahlung festgestellt oder eine neue Sicherheitsprüfung eingeführt. Häufig wird mit Gebühren, dem Verlust des Zugangs oder einer unmittelbar bevorstehenden Abbuchung gedroht.

Verdächtig sind vor allem Aufforderungen, schnell auf einen Link zu klicken, eine Datei zu öffnen oder Zugangsdaten einzugeben. Banken können ihre Kunden zwar über wichtige Vorgänge informieren. Sie verlangen aber nicht, vollständige Zugangsdaten, PINs (persönliche Geheimzahlen) oder TANs (einmalig verwendbare Transaktionsnummern zur Freigabe eines Vorgangs) über einen Link in einer Nachricht zu übermitteln.

Typische Formulierungen lauten etwa:

„Bestätigen Sie Ihre Identität innerhalb der nächsten zwei Stunden.“
„Ihre Karte wird gesperrt, wenn Sie nicht sofort reagieren.“
„Stornieren Sie die unbekannte Zahlung über den folgenden Link.“

Der erzeugte Zeitdruck soll verhindern, dass der Empfänger die Nachricht in Ruhe prüft oder seine Bank direkt kontaktiert.

Absender und Internetadresse können täuschen

Der angezeigte Absendername ist kein zuverlässiger Echtheitsnachweis. In einem E-Mail-Postfach kann beispielsweise der Name der Hausbank erscheinen, obwohl die Nachricht von einer anderen Adresse versendet wurde. Auch Telefonnummern können technisch so dargestellt werden, dass ein bekannter Kontakt oder eine deutsche Rufnummer angezeigt wird.

Ähnliches gilt für Domains (eindeutige Internetadressen von Websites). Betrüger verwenden Schreibweisen, die echten Bankadressen auf den ersten Blick ähneln. Einzelne Buchstaben werden ersetzt, zusätzliche Begriffe eingefügt oder ungewöhnliche Endungen genutzt. Auf dem Smartphone ist die vollständige Adresse häufig nur schwer zu erkennen.

Deshalb sollte das Onlinebanking nie über einen Link aus einer unerwarteten Nachricht geöffnet werden. Sicherer ist es, die bekannte Internetadresse selbst in den Browser (Programm zum Aufrufen von Internetseiten) einzugeben oder die bereits installierte Banking-App direkt zu starten.

Sprachfehler sind kein verlässliches Warnsignal mehr

Phishing lässt sich nicht allein an Rechtschreibfehlern oder einer ungewöhnlichen Absenderadresse erkennen. Wichtiger sind Zeitdruck, unerwartete Sicherheitswarnungen und die Aufforderung, Daten einzugeben, Zahlungen freizugeben oder Geld zu überweisen. Der wirksamste Schutz besteht darin, niemals den in der Nachricht angebotenen Weg zu nutzen."

Früher ließen sich viele Betrugsnachrichten an fehlerhaftem Deutsch, ungewöhnlichen Satzstellungen oder einer unpersönlichen Anrede erkennen. Solche Merkmale kommen weiterhin vor, sind aber kein verlässlicher Filter mehr. Mit modernen Übersetzungsprogrammen und künstlicher Intelligenz (KI, Software zur automatisierten Verarbeitung und Erzeugung von Inhalten) lassen sich sprachlich überzeugende Nachrichten erstellen.

Entscheidender sind der Inhalt und die geforderte Handlung:

Wird eine sofortige Freigabe verlangt?
Sollen PIN, Passwort oder TAN eingegeben werden?
Führt die Nachricht zu einer unbekannten Internetseite?
Soll eine Sicherheits-App außerhalb des offiziellen App-Stores (offizielle Plattform zum Herunterladen von Apps) installiert werden?
Wird verlangt, Geld auf ein angeblich geschütztes Ersatzkonto zu überweisen?

Besonders gefährlich sind Kombinationen aus Nachricht und anschließendem Telefonanruf. Ein vermeintlicher Bankmitarbeiter erklärt dann, das Konto müsse durch mehrere Freigaben geschützt werden. Tatsächlich bestätigt das Opfer damit möglicherweise Überweisungen der Täter.

Bankanrufe verdienen besondere Vorsicht

Ein Anrufer kann behaupten, er sehe gerade einen Betrugsversuch und müsse deshalb dringend handeln. Selbst wenn die angezeigte Telefonnummer zur Bank zu gehören scheint, sollte das Gespräch beendet werden. Anschließend wird die Bank über eine selbst recherchierte oder bereits bekannte Nummer kontaktiert.

Echte Bankmitarbeiter benötigen keine TAN, um eine verdächtige Zahlung zu stoppen. Sie fordern Kunden auch nicht auf, Geld auf ein Sicherheits-, Sammel- oder Treuhandkonto zu überweisen. Eine solche Aufforderung ist ein starkes Betrugszeichen.

Verdachtsfälle erfordern einen sicheren Gegencheck

Eine verdächtige Nachricht sollte weder beantwortet noch über den enthaltenen Link geprüft werden. Anhänge und Verknüpfungen bleiben ungeöffnet. Die Echtheit lässt sich über einen unabhängigen Kommunikationsweg kontrollieren, etwa über die Banking-App, die bekannte Internetseite oder die offizielle Telefonnummer der Bank.

Wurde lediglich eine Nachricht geöffnet, ohne einen Link anzuklicken oder Daten einzugeben, besteht meist noch kein unmittelbarer Schaden. Anders sieht es aus, wenn Zugangsdaten übermittelt, eine App installiert oder eine Zahlung freigegeben wurde.

Dann sind unverzüglich folgende Schritte sinnvoll:

Bankzugang und betroffene Karten sperren lassen.
Onlinebanking- und E-Mail-Passwörter über ein sicheres Gerät ändern.
Kontobewegungen und angemeldete Geräte kontrollieren.
Unberechtigte Zahlungen sofort der Bank melden.
Bei einem finanziellen Schaden Anzeige erstatten.

Die verdächtige Nachricht sollte zunächst als Beweismittel aufbewahrt werden. Sie kann später gelöscht werden, sobald alle erforderlichen Informationen dokumentiert sind.

Fazit

Phishing lässt sich nicht allein an Rechtschreibfehlern oder einer ungewöhnlichen Absenderadresse erkennen. Wichtiger sind Zeitdruck, unerwartete Sicherheitswarnungen und die Aufforderung, Daten einzugeben, Zahlungen freizugeben oder Geld zu überweisen. Der wirksamste Schutz besteht darin, niemals den in der Nachricht angebotenen Weg zu nutzen. Wer die Banking-App selbst öffnet oder seine Bank über eine bekannte Nummer kontaktiert, durchbricht den vom Betrüger vorbereiteten Ablauf.