Phishing-Mail erkennen: Warnzeichen und richtiges Verhalten

Eine E-Mail der angeblichen Bank, ein Hinweis auf ein gesperrtes Konto, ein Link zum „Bestätigen“ Ihrer Daten: Das sind typische Merkmale von Phishing. Dieser Artikel fasst zusammen, was das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die Verbraucherzentrale dazu schreiben: woran Sie betrügerische Nachrichten und Webseiten erkennen, wie Sie reagieren und wohin Sie Verdachtsfälle melden können.

Warum ein fehlerfreier Text keine Entwarnung ist

Früher fielen Phishing-Mails laut BSI meistens durch eine unpersönliche Anrede („Sehr geehrter Kunde…“) oder schlechtes Deutsch auf. Inzwischen gehen Kriminelle professioneller vor. Tippfehler oder seltsame Umlaute sind nur noch selten ein eindeutiger Hinweis. Auch bei gut formuliertem Text sollten Sie deshalb wachsam sein.

Die Verbraucherzentrale beschreibt dennoch Auffälligkeiten, die weiter vorkommen: Grammatik- und Rechtschreibfehler, Zeichensatzfehler wie kyrillische Buchstaben oder fehlende Umlaute und Mails in einer fremden Sprache. Umgekehrt gilt: Es kursieren immer wieder auch Mails in perfektem Deutsch, die zunächst keinen Verdacht erwecken.

Die wichtigsten Merkmale einer Phishing-Mail

Das BSI nennt Merkmale, bei denen Sie misstrauisch werden sollten. Trifft mindestens eines zu, handelt es sich nach seiner Aussage mit hoher Wahrscheinlichkeit um eine Phishing-Mail:

• Dringender Handlungsbedarf. Der Text gibt vor, dass Ihre Daten sonst verloren gehen, wenn Sie sie nicht umgehend aktualisieren.
• Drohungen. Zum Beispiel, dass Ihr Konto sonst gesperrt werde. Die Verbraucherzentrale nennt hier auch Kreditkarte oder Online-Zugang.
• Aufforderung zur Eingabe vertraulicher Daten, etwa der PIN für den Online-Bankzugang oder einer Kreditkartennummer. Geldinstitute fordern so etwas laut Verbraucherzentrale niemals telefonisch oder per E-Mail.
• Links oder Formulare in der Mail.
• Ein bekannter Absender mit ungewöhnlichem Anliegen. Die Mail scheint von einer bekannten Person oder Organisation zu stammen, doch das Anliegen kommt Ihnen ungewöhnlich vor.

Die Verbraucherzentrale ergänzt weitere Hinweise: Ihr Name fehlt in der Anrede. Banken und Online-Zahlungsdienste sprechen Sie grundsätzlich mit Namen an. Allerdings kennen Täter manchmal den Namen schon und verwenden ihn, um glaubwürdiger zu wirken. Auch ein Dateianhang, den Sie öffnen sollen, ist verdächtig. Echte Mails Ihrer Bank haben in der Regel keine Anhänge wie Formulare, in denen Sie etwas eingeben müssen. Links versenden Banken nur in Ausnahmefällen, etwa bei neuen AGB, niemals aber, um Sie zum Einloggen aufzufordern.

Absender und Empfänger prüfen

Bei einer Phishing-Mail im HTML-Format verbirgt sich laut BSI hinter dem angezeigten Absender oft eine andere Adresse. In einem gängigen E-Mail-Programm können Sie den Cursor über die Absenderzeile führen, ohne zu klicken, und sehen dann, ob eine andere Adresse eingebettet ist. Wer seine Mails im Browser verwaltet, kann einen Blick in den Quelltext der Mail werfen.

Die Verbraucherzentrale weist darauf hin, dass sich Absenderangaben fälschen lassen. Wer genau wissen will, woher eine Mail kommt, kann den Mail-Header prüfen, denn nur die dort stehende IP-Adresse sei fälschungssicher. Prüfen Sie außerdem das An-Feld: Steht dort nicht Ihre Adresse, ist das ein Warnsignal. Kriminelle versenden Mails an viele Empfänger gleichzeitig, ohne dass deren Adressen angezeigt werden, zum Beispiel über das Feld BCC.

Phishing-Webseiten erkennen

Das BSI räumt mit einem verbreiteten Irrtum auf: „https://“ in der Adresszeile bedeutet, dass der Betreiber ein SSL-Zertifikat erworben hat. Das tun immer mehr Phishing-Betrüger, um vertrauenswürdig zu wirken. „https://“ bedeutet heute also keine Entwarnung mehr. Das BSI nennt an anderer Stelle „https://“ und das Vorhängeschloss-Symbol als Hinweis darauf, dass eine Seite verschlüsselt kommuniziert. Beides ist also kein Beleg dafür, dass die Seite echt ist.

Weitere Hinweise des BSI:

• Prüfen Sie jeden Link in E-Mails und sozialen Netzen sorgsam, bevor Sie ihn aufrufen.
• Stutzig sollten Sie werden, wenn die Internetadresse zwar den Namen der Institution enthält, aber mit ungewöhnlichen Zahlen oder Zeichenkombinationen kombiniert ist, wie in „www.135x-Bank.de“.
• Ein Link kann durch einen Kurz-URL-Dienst getarnt sein, bei dem das eigentliche Ziel nicht angezeigt wird. Im Zweifelsfall sollten Sie dann auf den Klick verzichten.
• Die Abfrage einer TAN, ohne dass Sie eine Transaktion ausgelöst haben, ist ein klares Indiz für gefälschte Phishing-Seiten.
• Werden Sie nach der Anmeldung etwa bei Ihrer Bank aufgefordert, bekannte Daten wie Name, Adresse oder IBAN erneut einzugeben, sind Sie mit hoher Wahrscheinlichkeit auf einer gefälschten Webseite gelandet.

Das sollten Sie tun

Die Grundregel des BSI: Kein Kreditkarteninstitut und kein seriöser Anbieter fordert Sie per E-Mail auf, vertrauliche Zugangsdaten preiszugeben, auch nicht um der Sicherheit willen. Daraus ergeben sich diese Reflexe:

• Adresse selbst eingeben. Klicken Sie nicht auf Links in einer dubiosen Mail. Versuchen Sie stattdessen, die genannte Seite über die Startseite der Organisation zu erreichen. Besser ist es laut Verbraucherzentrale ohnehin, die Adresse selbst in das Adressfeld des Browsers einzutippen. Das BSI empfiehlt, die Adressen häufig besuchter Login-Seiten in die Favoritenliste einzutragen.
• Keine Anhänge öffnen. Das BSI rät, niemals Dateien im Anhang einer verdächtigen Mail zu öffnen und Downloads nach Möglichkeit direkt von der Anbieter-Website zu starten.
• Nicht antworten. Wer antwortet, verrät den Betrügern laut Verbraucherzentrale, dass die Adresse regelmäßig genutzt wird, und erhält dann möglicherweise noch mehr Spam- und Phishing-Mails.
• Beim echten Anbieter nachfragen. Wenn Sie unsicher sind, fragen Sie das BSI zufolge am besten telefonisch beim genannten Anbieter nach. Die Verbraucherzentrale ergänzt: Nutzen Sie keine Kontaktmöglichkeit aus der Mail, sondern eine Filiale oder die Kontaktmöglichkeit auf der echten Internetseite.
• Mail löschen und Absender sperren. Das gilt laut Verbraucherzentrale, wenn Sie den Betrugsversuch erkannt haben.
• Ungewöhnlich wirkende Seiten beenden. Kommt Ihnen etwas seltsam vor, beenden Sie laut BSI die Verbindung sofort und kontaktieren Sie den regulären Website-Betreiber.

Das BSI nennt außerdem, das Konto regelmäßig zu kontrollieren, damit Sie bei unbefugten Abbuchungen schneller reagieren können, und Geräte, Antivirus-Software und Firewall aktuell zu halten.

Wenn Sie schon geklickt haben

Auch das bloße Anklicken eines Links ist laut Verbraucherzentrale eine gefährliche Situation, weil in der Seite ein Schadprogramm versteckt sein kann. Sie empfiehlt, das Virenschutzprogramm zu aktualisieren und den gesamten Computer prüfen zu lassen, Updates für Browser und Betriebssystem zu kontrollieren und bei Bedarf Fachleute hinzuzuziehen.

Haben Sie persönliche Daten eingegeben, hängt das weitere Vorgehen davon ab, welche. Bei PIN, Passwort, Kontonummer oder Kreditkartennummer nennt die Verbraucherzentrale diese Schritte:

• den echten Anbieter, etwa Kreditinstitut oder Zahlungsdienstleister, sofort kontaktieren,
• Konten oder Karten wenn nötig sperren lassen,
• Passwörter und Sicherheitsfragen umgehend ändern,
• die Kontoauszüge besonders regelmäßig prüfen,
• Strafanzeige bei der Polizei stellen,
• prüfen, ob weitere Accounts betroffen sind. Wurde ein E-Mail-Account erbeutet, sind die Passwörter aller Konten zu ändern, die diese Adresse als Benutzernamen nutzen.

Nach dem Öffnen eines Dateianhangs rät sie, den Rechner nicht mehr zu nutzen, bis er wieder sauber ist, und im Zweifel Fachleute hinzuzuziehen.

Wohin Sie Verdachtsfälle melden können

Beide Seiten nennen Anlaufstellen. Die Verbraucherzentrale NRW betreibt das Phishing-Radar, das aktuelle Warnungen veröffentlicht und neuartige Phishing-Mails entgegennimmt. Sie bittet darum, die Mail direkt, nicht als Anhang, an phishing@verbraucherzentrale.nrw weiterzuleiten, bevor Sie sie löschen. Wenn möglich, schicken Sie die Mail auch an den echten Anbieter, damit dieser Schritte einleiten kann. Gibt es beim Weiterleiten eine Fehlermeldung, ist das laut Verbraucherzentrale kein Grund zur Sorge, sondern kann daran liegen, dass Ihre Sicherheitssysteme die Mail erkennen.

Das BSI verweist in seinem Cybersicherheits-Lotsen außerdem auf die Bundesnetzagentur für Beschwerden zu unerwünschten Spam- oder Phishing-Nachrichten über SMS oder Messenger und auf die Polizei für Strafanzeigen über die Onlinewachen der Länder.

Was die Quellen nicht abdecken

Die drei Seiten sagen nichts zur datenschutzrechtlichen Seite von Phishing, etwa zu Rechten nach der DSGVO. Sie nennen auch keine Frist, bis wann Sie Verdachtsfälle melden müssen.

Wo Remove Me ansetzt

Woher Kriminelle Ihre Daten haben, werden Sie laut Verbraucherzentrale wahrscheinlich nie erfahren. Sie nennt als mögliche Wege einen gehackten Anbieter, einen freigebigen Umgang mit Daten oder ein Schadprogramm auf einem Rechner. Die kostenlose Analyse von Remove Me braucht kein Konto: Sie durchsucht öffentlich sichtbare Webergebnisse, bekannte öffentliche Datenlecks (Have I Been Pwned) und ein Register von Datenhändlern und zeigt Ihnen dann einen Bericht. Der Bericht wird mit einem sechsstelligen Code freigeschaltet, der per E-Mail kommt. Remove Me versendet derzeit noch keine Löschanfragen in Ihrem Namen.