Phishing-Mails: Wie Sie Phishing erkennen und was Sie tun können

Phishing richtet regelmäßig großen Schaden an. Das Bundes­kri­mi­nalamt hat 2016 mehr als 2.000 Fälle dokumentiert, in denen Bundes­bürger Opfer von Phishing wurden – allein beim Online Banking. Im Schnitt wurden die Nutzer um 4.000 Euro erleichtert.

Was ist Phishing?

„Phishing ist der Versuch, unter Vorspie­gelung falscher Tatsachen an Zugangsdaten zu kommen, meist in der Absicht, diese missbräuchlich zu verwenden“, sagt Rechts­anwalt Philip Koch aus Berlin, Mitglied der Arbeits­ge­mein­schaft IT-Recht im Deutschen Anwalt­verein (DAV). Mit gefälschten E-Mails versuchten Kriminelle, die Empfänger dazu zu bewegen, ihnen Zugangsdaten zum Online-Banking oder anderen Online-Diensten mitzuteilen.

Der Begriff Phishing setzt sich aus den englischen Wörtern „Password“ und „Fishing“ zusammen. „Phishing tritt vor allem dort auf, wo es um Zahlungs­dienste oder Warenbe­stellung geht“, sagt der Rechts­anwalt. Die Phishing-Mails sehen meist aus als kämen sie von Banken, dem Zahlungs­dienst Paypal oder großen Onlineshops.

Phishing-Mail erkennen: Was muss ich wissen?

Das Problem: Phishing-Mails sind auf den ersten Blick meist nicht als solche zu erkennen. Vielfach ahmen die Kriminellen die Farben, das Logo und das Layout des angeblichen Absenders täuschend echt nach und fälschen Webseiten.

Die wichtigste Regel lautet deshalb: Seien Sie besonders kritisch, wenn Sie ohne ersicht­lichen Anlass aufgefordert werden, sensible Daten zu verwenden.

Es gibt einige weitere Anhalts­punkte, an denen man Phishing-Mails erkennen kann. Erfüllt eine E-Mail eins oder mehrere der folgenden Anzeichen, handelt es sich höchst­wahr­scheinlich um Phishing.

So erkennen Sie Phishing-Mails

…am Text der E-Mail

• Sie werden ohne erkennbaren Anlass oder unter einem dubiosen Vorwand aufgefordert, sich irgendwo einzuloggen (zum Beispiel um ihre Identität zu bestätigen).
• Sie werden unter Druck gesetzt, schnell zu handeln.
• Die Anrede ist unpersönlich wie „sehr geehrter Kunde“ oder „sehr geehrte Damen und Herren“, oder sie besteht wortwörtlich aus dem ersten Teil ihrer E-Mail-Adresse, auch wenn Sie dort gar nicht Ihren Namen verwenden.
• Sie werden aufgefordert, ein Zahlungsmittel zu bestätigen, dass sie gar nicht nutzen.
• Der Text enthält offensichtliche Grammatik- und Rechtschreibfehler.
• Umlaute sind durch Fragezeichen oder andere Zeichen ersetzt.

…an der E-Mail

• Die E-Mail-Adresse des Absenders ist ungewöhnlich oder weicht von der regulären Adresse des Unternehmens ab. Endet die Adresse nicht auf amazon.com, sondern amazon-services.ru, ist es höchstwahrscheinlich Phishing. Vorsicht: Manchmal sind die Abweichungen von der Original-Adresse nur minimal. Prüfen Sie die tatsächliche Absenderadresse, denn diese entspricht nicht notwendigerweise den vom E-Mail-Programm angezeigten Informationen. Bei den meisten E-Mail-Programmen geht das mit einem Doppelklick auf den Absender. Besonders perfide sind übrigens Phishing-Mails, wenn sie von bekannten Adressen gesendet werden. Auch das ist möglich, wenn das entsprechende Konto gehackt wurde.
• Die Links im Quelltext sind ungewöhnlich: In Phishing-Mails werden Sie in der Regel aufgefordert, auf einen Link zu klicken, um auf der Zielseite Ihre Daten einzugeben. Prüfen Sie den Quelltext, also den tatsächlichen Link, indem Sie mit dem Cursor darüber fahren oder sich mit Ihrem E-Mail-Programm den Quelltext der E-Mail anzeigen lassen. Erscheint dort zum Beispiel nicht amazon.com, sondern ein anderer Link, ist Vorsicht geben.

…an der Webseite, auf der Sie sich einloggen sollen

• Die URL sieht der originalen Adresse ähnlich, ist aber nicht exakt die gleiche. Wenn sie zum Beispiel statt www.bank.de www.x-service-bank.de lautet, sollten Sie sich nicht einloggen.
• Der Text auf der Seite hat auffällige Rechtschreib- und Grammatikfehler.
• Die Seite sie anders aus als die Seite des Anbieters, ahmt diese aber nach.
• Um sich einzuloggen, sollen Sie mehr Daten als den Benutzernamen oder das Passwort eingeben – zum Beispiel eine TAN – oder Sie sollen Ihre Zugangsdaten in einer ungewöhnlichen Reihenfolge oder Kombination eingeben (zum Beispiel PIN und TAN gleichzeitig).
• Es wird kein Sicherheitszertifikat (kleines grünes Schloss oben links) angezeigt.
• Sie haben Ihr Passwort für die Seite Ihres Anbieters eingespeichert, Ihr Passwort-Manager erkennt die Seite aber nicht.

Die E-Mail kommt mir verdächtig vor, ich möchte aber dennoch meine Daten überprüfen. Was kann ich tun?

Wenn die E-Mail trotz allem plausibel klingt, weil Ihre Zahlungsdaten vielleicht wirklich abgelaufen sein könnten, haben Sie zwei Möglich­keiten:

• Loggen Sie sich auf der Seite des Anbieters ein. Klicken Sie dazu aber auf keinen Fall auf die URL in der E-Mail, sondern geben Sie sie händisch ein.
• Rufen Sie bei dem Unternehmen an und fragen nach, ob es Sie per E-Mail kontaktiert hat. Nutzen Sie dazu nicht die Nummer als der E-Mail, sondern schlagen Sie sie anderswo nach.

Phishing-Mail erhalten: Was kann ich tun?

„Wenn Sie eine E-Mail als Phishing identi­fiziert haben, löschen Sie sie am besten sofort oder verschieben sie in einen separaten Ordner“, rät Rechts­anwalt Koch. Sonst könne es passieren, dass man später, auf der Suche nach einer anderen E-Mail, aus Versehen vielleicht doch darauf klickt oder sogar antwortet.

Haben bereits auf die E-Mail reagiert und Zugangsdaten aus der Hand gegeben, behalten und speichern Sie sie als mögliches Beweis­mittel.

Antworten Sie nicht auf die Phishing-Mail. Denn dann wissen die Absender, dass Sie eine richtige, aktive E-Mail-Adresse erwischt haben. Und Sie erhalten voraus­sichtlich noch öfter Phishing-Mails.

Ich habe auf eine Phishing-Mail reagiert und meine Daten weiter­gegeben. Was kann ich tun?

Falls Sie nur auf den Link in der E-Mail geklickt und die Seite besucht, aber keine Daten eingegeben haben, ist meist noch nichts verloren. Prüfen Sie Ihren Computer aber sicher­heits­halber mit einem Virenscanner.

Haben Sie Ihre Zugangsdaten heraus­gegeben, gilt es, schnell zu handeln.

• Loggen Sie sich umgehend auf der Anbieterseite ein und ändern Sie Ihr Passwort.
• Es schadet nichts, falls möglich, dazu ein anderes Gerät zu nutzen.

Das genügt nicht, falls Sie auch eine TAN heraus­gegeben haben. Eine TAN  entspricht Ihrer digitalen Unterschrift.

Ist ein Login nicht mehr möglich oder haben Sie eine TAN offengelegt, lassen Sie sofort Ihr Konto sperren.

Jetzt zählt jede Minute, da die Kriminellen die Daten oft direkt und schnell einsetzen. Banken haben Notfall­nummern, um Konten zu sperren, die jeden Tag rund um die Uhr erreichbar sind.

Falls es um ein Nutzerkonto bei Amazon oder Paypal geht, lassen Sie auch dieses sperren, wenn Sie sich nicht mehr einloggen können. „Sobald der Anbieter Kenntnis davon hat, dass Ihr Konto gekapert wurde, muss er handeln“, erklärt Rechts­anwalt Koch.

Haben Sie PIN und TAN fürs Online-Banking heraus­gegeben, kann Ihr Geld sehr schnell weg sein. Häufig wird unmittelbar eine Überweisung ausgeführt, meist wird das Geld direkt ins außereu­ro­päische Ausland überwiesen.

„Ist das Geld einmal weg, ist es nur sehr schwer wieder­zu­be­kommen“, sagt der Rechts­anwalt aus Berlin. „Die Banken erstatten den Schaden in der Regel nicht freiwillig, wenn Sie PIN und TAN heraus­gegeben haben.“ Die Hinter­männer beim Pishing sind meist nicht zu ermitteln. Selbst wenn die Täter überführt werden, lohnt es sich wirtschaftlich oft nicht, Ansprüche im außereu­ro­päischen Ausland geltend zu machen. Entspre­chende Ansprüche zum Beispiel in Russland oder Thailand zu verfolgen, sei sehr aufwendig und teuer. Er rät, dennoch eine Strafanzeige zu stellen.

Herein­ge­fallen auf Phishing-Mail: Wann zum Anwalt?

Sobald Geld von Ihrem Konto entwendet wurde, ist es Zeit, eine Anwältin oder einen Anwalt aufzusuchen. Diese können Sie auch begleiten, wenn Sie Strafanzeige stellen.

Ein Anwalt weiß außerdem, was man tun kann und welche Belege man zum Beispiel aufbewahren muss. Rechtlich gegen die Bank oder Hinter­männer beim Phishing vorzugehen, ist juristisch eine knifflige Angele­genheit und ohne anwalt­lichen Beistand kaum möglich.

„Der beste Schutz gegen Phishing bleibt aber, vorsichtig zu sein“, resümiert Rechts­anwalt Koch. Alle E-Mails, vor allem solche von Absendern, die man nicht persönlich kennt, sollte man immer kritisch betrachten.

Opfer von Phishing? Anwälte helfen

Anwältinnen und Anwälte für IT-Recht beraten Sie, wenn Sie Ihre Daten heraus­gegeben oder Geld durch Phishing verloren haben. Ansprech­partner in ganz Deutschland finden Sie über unsere Anwaltssuche.