Aphroland.de

Verständliche IT Tutorials

Phishing-Attacken auf Online-Banking Kunden

3. Februar 2012

Als Phishing bezeichnet man die Technik, Internet-Benutzer auf eine gefälschte Website zu leiten, um dort an wichtige Daten wie Benutzernamen, Passwörter sowie bei Banken die persönliche Identifikationsnummer (PIN) und Transaktionsnummern (TAN, iTAN) zu gelangen. Dazu wird vorgetäuscht, die Seite gehöre einem vertrauenswürdigen Unternehmen. Meist handelt es sich um Seiten von Banken und Kreditkartenunternehmen, aber auch um soziale Netzwerke. Besonders bei gefälschten Bank-Websites kann den betroffenen Benutzern ein erheblicher Schaden entstehen, denn der Angreifer erhält dadurch Zugriff auf Konto oder Kreditkarte und kann sich mit einer angegebenen TAN selbst Geld überweisen oder mit den erbeuteten Kreditkartendaten auf Kosten des Opfers einkaufen.
Seit Anbieter von Tagesgeldkonten mit reinen Online-Angeboten locken, nutzen auch nicht-internetaffine Zielgruppen Online Banking. Sie sind für die Betrüger ein gefundenes Fressen.

Wie funktioniert ein Phishing-Angriff?

Meist beginnt eine Phishing-Attacke mit einer E-Mail, die an den Betroffenen gesendet wird, und einen mit bestimmten Techniken verfälschten Link enthält, der so aussieht, als leite er auf die Seite des Unternehmens weiter. In dieser Mail wird mittels Verwendung eines gefälschten Absenders sowie des Logos des Unternehmens vorgetäuscht, von diesem Unternehmen versendet worden zu sein. Der Benutzer wird aufgefordert, auf den Link zu klicken und damit die gefälschte Seite aufzurufen. Meist wird dabei betont, es handele sich um ein dringendes Problem und die Seite solle so schnell wie möglich besucht werden.

Wie werden die Daten gestohlen?

Auf der gefälschten Seite wird der Nutzer aufgefordert, die gewünschten Daten, etwa Benutzername, Kontonummer, PIN und TAN, einzugeben. Die Seite wird mit Logos und anderen Erkennungsmerkmalen so gestaltet, dass sie der Seite des Unternehmens ähnlich sieht. Auch die Internetadresse wird oft so gewählt, dass sie der des Unternehmens ähnelt (z.B. meinebank.de statt meinebank.com).

Wie kann man Phishing erkennen?

Man erkennt eine Phishing-Mail bei Banken oft schon an der Aufforderung, auf einen bestimmten Link zu klicken, um die Website aufzurufen. Vertrauenswürdige Banken verzichten darauf, E-Mails mit derartigen Links auf die eigene Seite zu verschicken, und wählen bei wichtigen Mitteilungen den Postweg. Die Website der Bank sollte grundsätzlich nur über die Eingabe der Internetadresse in die Adresszeile des Browsers oder eine vertrauenswürdige Online-Banking-Software aufgerufen werden, nie über Links in E-Mails. Im Zweifellsfall kann man die vermeintliche Internet-Adresse der Bank auch mit den URLs vergleichen mit denen andere Websites auf Banken und Tagesgeldanbieter verlinken. Im Zweifel kann man sich den Quelltext der E-Mail anzeigen lassen, damit kann man Links auf verdächtige Websites erkennen. Auch einige Antiviren- und E-Mail-Programme (über Phishing-Filter) können Phishing-Mails erkennen.

Diese E-Mail scheint von PayPal zu kommen. Die Links führen jedoch auf Phishing-Seiten. Ist hat der E-Mail Client (hier Thunderbird) direkt erkannt.
Diese E-Mail scheint von PayPal zu kommen. Die Links führen jedoch auf Phishing-Seiten. Ist hat der E-Mail Client (hier Thunderbird) direkt erkannt.

Weiterhin sollte Online-Banking grundsätzlich nur von sicheren Umgebungen aus durchgeführt werden. Denn wenn der Angreifer einen Virus oder Trojaner auf den Computer einschleusen kann, werden fortgeschrittene, für Laien schwer erkennbare Phishing-Techniken wie das sogenannte Pharming (Manipulation der Adresszeile des Browsers) sowie Man-in-the-Middle-Angriffe (Abgreifen der Daten zwischen Benutzer und der echten Bankwebsite durch eine dazwischen geschaltete Malware) möglich.