Wie man „Password“-„Fishing“ per E-Mail – also den Versuch, Passwörter bei Nutzern abzufischen – erkennt respektive vermeidet.

Laut einer kürzlich an dieser Stelle präsentierten Studie ist die gute alte E-Mail mittlerweile einer der Bedrohungsvektoren, die Cyberkriminelle am häufigsten anvisieren: So waren im vergangenen Jahr vier von fünf Unternehmen in Europa Ziel von Cyberangriffen per elektronischer Post.

Eine der wichtigsten Untergruppen solcher Hacker-Attacken via E-Mail ist das sogenannte Phishing – ein zusammengezogener Begriff aus „Password“ und „Fishing“, also der Versuch, Passwörter bei unbedarften Nutzern abzufischen.

Ein zentraler Bestandteil solcher Phishing-Attacken ist es, den Usern mittels vorgegaukelter Seriosität in der E-Mail zum Klick auf einen Link oder zur Preisgabe von Daten zu bewegen.

Dabei unterscheiden Sicherheitsexperten sechs gängige Phishing-Varianten, die sich vor allem in der Art des Vortäuschens unterscheiden – was oft auch als „Social Hacking“ benannt wird, weil Angreifer sich soziale Gewohnheiten der User zunutze machen.

Am gängigsten ist das täuschende („deceptive“) Phishing: Dabei gibt der Absender vor, die E-Mail stamme aus einer vertrauenswürdigen Quelle wie etwa einer Bank oder einem E-Commerce-Anbieter. Der Empfänger wird darin in der Regel aufgefordert, seine Account-Daten bei dem Anbieter zu aktualisieren oder eine Zahlung vorzunehmen.

Früher waren solche E-Mails oft an fehlerhaftem Deutsch oder schlecht nachgemachten Logos erkennbar – derart plump sind die Angriffe heute selten. Wichtig: Die meisten Banken oder sonstigen Internet-Dienste erfragen niemals Konto-Daten wie etwa Passwörter oder TAN-Nummern per E-Mail. Oft hilft auch ein Blick in den Quellcode einer Mail, um zu checken, ob ein Link wirklich auf die Webseite des angegebenen Anbieters führt.

Eine anspruchsvollere Variante jenes Betrugsversuche ist das sogenannte „Spear Phishing„, angelehnt an Speer-Fischen – sprich sehr zielgerichtete Angriffe: Auch dabei gibt der Absender vor, aus einer vertrauenswürdigen Quelle zu stammen. Zudem tarnt er sich beispielsweise als Mitarbeiter des Empfänger-Unternehmens, um somit die Glaubwürdigkeit weiter zu steigern. Hier sollte man vor allem auf alarmistische Untertöne oder Ultimaten für Daten-Preisgabe achten.

Weitere vier Angriffsmethoden beim Phishing – und wie man sie erkennt – in der folgenden Infografik (zum Vergrößern zwei Mal anklicken):

Quelle: Cloudsolutions/Visualistan

Verwandte Artikel:

Vier von fünf Unternehmen in Europa waren 2017 Ziel von Cyberangriffen per E-Mail

140.000 Festplatten-Crashs pro Woche in USA: Darum sind Daten-Backups wichtig

Wegen IT-Ausfällen verlieren Unternehmen 545 Arbeitsstunden im Jahr

Cryptojacking-Boom: Heimliches Münzschürfen von Kryptowährungen legt 8500% zu