1. Was Phishing ist, einfach erklärt
Phishing ist ein Täuschungsversuch, bei dem sich jemand als Unternehmen, Bank oder offizielle Stelle ausgibt, um an Ihre persönlichen Daten, Passwörter oder Kartennummern zu kommen. Normalerweise kommt es in Form einer Nachricht (E-Mail, SMS oder WhatsApp) mit einem Link: Klicken Sie darauf, gelangen Sie auf eine Website, die die echte imitiert, wo Sie aufgefordert werden, sich „anzumelden“ oder „Ihre Daten zu verifizieren“. In Wirklichkeit landet alles, was Sie dort eingeben, direkt in den Händen der Person, die den Betrug organisiert hat.
Der Name kommt vom englischen „fishing“ (Angeln): Dieselbe Nachricht wird an Tausende Personen gleichzeitig verschickt, in dem Wissen, dass einige „anbeißen“ werden. Man muss kein IT-Experte sein, um darauf hereinzufallen, denn diese Nachrichten werden immer besser gemacht und spielen mit Eile und Angst.
2. Typische Anzeichen einer betrügerischen SMS oder E-Mail
Obwohl jeder Betrug anders ist, teilen fast alle einige Merkmale, die Sie sofort alarmieren sollten, wenn Sie lernen, sie zu erkennen:
- Gefühl der Dringlichkeit: „Ihr Konto wird in 24 Stunden gesperrt“, „Paket zurückgehalten, handeln Sie jetzt“ oder „verdächtige Aktivität festgestellt“. Sie wollen, dass Sie schnell und unüberlegt handeln.
- Rechtschreibfehler oder seltsame Formulierungen: fehlende Umlaute, ungeschickt übersetzte Sätze oder ein Ton, der nicht dazu passt, wie dieses Unternehmen Ihnen normalerweise schreibt.
- Absender, der nicht übereinstimmt: Der angezeigte Name kann wie Ihre Bank aussehen, aber wenn Sie die vollständige E-Mail-Adresse oder die SMS-Nummer prüfen, hat sie nichts mit den offiziellen Kanälen dieses Unternehmens zu tun.
- Unerwartete Preise oder Pakete: Sie haben angeblich bei einer Verlosung gewonnen, an der Sie nie teilgenommen haben, oder Sie werden über eine Lieferung informiert, an die Sie sich nicht erinnern.
- Anfrage nach Daten, die dieses Unternehmen nie so abfragt: Keine Bank wird Sie per SMS oder E-Mail nach dem vollständigen Passwort oder dem Kartencode fragen.
3. Wie Sie einen Link prüfen, ohne ihn anzuklicken
Sie müssen nicht auf einen Link klicken, um zu wissen, ob er verdächtig ist. Halten Sie auf dem Handy den Finger einige Sekunden auf den Link gedrückt, ohne loszulassen: Die Ziel-URL wird angezeigt, ohne dass sie geöffnet wird. Am Computer reicht es, mit der Maus über den Link zu fahren (ohne zu klicken) und die Adresse zu betrachten, die unten am Fensterrand erscheint.
Sobald Sie die vollständige URL sehen, achten Sie auf die Hauptdomain, also den Namen direkt vor dem ersten Schrägstrich („/“). Bei www.correos.es/seguimiento ist die echte Domain zum Beispiel „correos.es“. Wenn Sie stattdessen etwas wie „correos-envios-verificacion.com“ sehen oder eine Buchstaben-Zahlen-Kombination, die Sie nicht kennen, handelt es sich um eine gefälschte Website, die nur das Design der echten nachahmt.
4. Warum Sie einer SMS über Pakete oder Bankprobleme nicht vertrauen sollten
Zwei der am häufigsten genutzten Köder sind der Hinweis auf ein „ausstehendes Paket“ und der auf ein „Problem mit Ihrem Bankkonto“. Sie funktionieren, weil fast jeder eine Bestellung unterwegs hat oder ein Konto bei einer Bank besitzt, sodass die Nachricht zum Leben fast jeder Person passt.
Die goldene Regel ist einfach: Klicken Sie niemals auf den Link einer solchen Nachricht, ohne ihn vorher über einen anderen, von Ihnen selbst kontrollierten Weg zu überprüfen. Wenn Sie sich wegen eines angeblichen Pakets Sorgen machen, rufen Sie direkt die offizielle Website oder App des Zustelldienstes auf, indem Sie die Adresse selbst eingeben, oder prüfen Sie die Sendungsnummer, die Sie beim Kauf erhalten haben. Wenn Sie sich wegen Ihrer Bank sorgen, rufen Sie die Telefonnummer an, die Sie von Ihrer Filiale gespeichert haben, oder öffnen Sie die offizielle App über das bereits installierte Symbol, niemals über den Link in der Nachricht.
5. Was tun, wenn Sie den Link schon angeklickt oder Ihre Daten angegeben haben
Wenn Sie bereits auf einen verdächtigen Link geklickt haben oder, noch schlimmer, Ihren Benutzernamen und Ihr Passwort auf einer Website eingegeben haben, die Ihnen jetzt Zweifel bereitet, blockieren Sie sich nicht: Handeln Sie so schnell wie möglich mit diesen Schritten.
- Ändern Sie das Passwort sofort von einem vertrauenswürdigen Gerät aus, sowohl bei dem betroffenen Dienst als auch bei jedem anderen, bei dem Sie dasselbe Passwort verwenden.
- Wenn Sie Bankdaten angegeben haben (Kartennummer, Code der Bank-App), informieren Sie sofort Ihre Bank, damit sie die Karte sperren oder ungewöhnliche Bewegungen überwachen kann. Je früher Sie es tun, desto geringer ist das Risiko.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung beim betroffenen Konto und, wenn möglich, bei Ihren übrigen wichtigen Konten, damit ein durchgesickertes Passwort nicht ausreicht, um sich anzumelden.
- Überprüfen Sie Ihre Geräte und aktiven Sitzungen in den Diensten, die Sie nutzen, falls es einen Zugriff gibt, den Sie nicht erkennen.
6. Wie Sie einen Phishing-Versuch melden
Diese Nachrichten zu melden trägt dazu bei, dass sie blockiert werden und weniger Menschen in dieselbe Falle tappen. Kam das Phishing per E-Mail, haben die meisten E-Mail-Anbieter direkt im Menü der Nachricht eine Option „Als Phishing markieren“ oder „Als Spam melden“. Kam es per SMS, können Sie es in Spanien kostenlos an die 7726 weiterleiten, eine Nummer, über die die Netzbetreiber solche Betrugskampagnen identifizieren und unterbrechen können.
Wenn Sie außerdem einen wirtschaftlichen Schaden oder Datendiebstahl erlitten haben, empfiehlt es sich, bei der Policía Nacional oder der Guardia Civil Anzeige zu erstatten, die auf Computerkriminalität spezialisierte Einheiten haben, und es zusätzlich dem Instituto Nacional de Ciberseguridad (INCIBE) über dessen Hilfslinie zu melden.