Datenklau via Internet: Wie man "Phishing" ins Leere laufen lässt

Ebenso wie Spam-Mails ist derzeit "Phishing" dabei, sich zu einer Volksseuche zu entwickeln, allerdings einer deutlich gefährlicheren als das Versenden unerwünschter Nachrichten. Die Marktforscher von Gartner haben errechnet, dass bereits mehr als 57 Millionen Amerikaner E-Mails erhalten haben, mit deren Hilfe die Absender den Empfängern Passwörter und Kreditkarten-Nummern entlocken wollten. Den Schaden, der Banken und Versicherungen in den USA dadurch entstand, taxiert Gartner für 2003 auf 1,2 Milliarden Dollar, Tendenz steigend.

"Wachstumsbranche" Phishing: Die Anti-Phishing Working Group verzeichnete in den ersten Monaten dieses Jahres einen starken Anstieg der Angriffe. (Bild: APWG/Reder)

Die Anti-Phishing Working Group, eine Vereinigung von Banken, Internet-Serviceprovidern, Online-Handelshäusern und IT-Firmen, hat in ihrem neuesten Bericht die "Hauptopfer" von Phishing-Angriffen aufgelistet. Im April waren das die Citibank, eBay und der Online-Inkassodienst Pay Pal.

"Scammer", wie die bösen Buben heißen, verwenden in den meisten Fällen E-Mails, um ihre Opfer anzulocken. In der Nachricht, die scheinbar von EBay oder einer Bank stammt, wird der Empfänger beispielsweise aufgefordert, seinen Online-Account zu verifizieren. Dazu soll er auf einer Web-Seite seine Daten, sprich Account-Name und Passwort eingeben, häufig außerdem Konto- oder Kreditkartennummer und die dazugehörige PIN. Die E-Mails und Web-Sites, welche die Betrüger nutzen, sind denjenigen nachempfunden, welche die "richtigen" Firmen verwenden. Wer nicht genau hinsieht, wird somit kaum einen Unterschied bemerken und glauben, es handle sich beispielsweise tatsächlich um eine Web-Site der Citibank, auf der er brav seine Daten eintippt.

In jüngster Zeit, so die Anti-Phishing Working Group, verwenden Online-Betrüger zudem "Floating Windows". Das sind spezielle Java Scripts. Sie überlagern die Adressleiste des Browsers, in der normalerweise die Web-Site des Scammers aufscheint, etwa "http://www.validation-info.com", mit einem Fenster. Es zeigt die Adresse, die eine Bank oder ein Online-Versender nutzt, etwa "https://www.citibank.com/secure/". Das macht es für den Anwender noch schwerer, eine "spoofed" Web-Seite zu erkennen. Details zu diesem Trick sind in einem Beitrag auf Heise Online beschrieben:

Wer nicht Opfer von Phishing werden möchte, sollte folgende Dinge tun:

1. Ein gesundes Misstrauen gegenüber jeder E-Mail an den Tag legen, die sich auf Accounts oder Finanzdaten des Adressaten bezieht. Weder Banken noch Online-Händler versenden normalerweise solche Nachrichten, schon gar nicht solche, in denen eine sofortige Reaktion des Empfängers verlangt wird. Nötigenfalls telefonisch beim Bankhaus oder dem Supportteam des Online-Händlers nachfragen, ob die Nachricht vom angegebenen Absender stammt.

2. Keinesfalls die Links anklicken, die verdächtige E-Mails enthalten. Es besteht die Gefahr, dass der arglose User auf die Web-Site eines Scammers umgeleitet wird. Besser telefonisch Kontakt zur Firma aufnehmen, von der die Nachricht angeblich stammt, oder deren Web-Adresse von Hand in den Browser eingeben.

3. Nur dann sensible Daten in Online-Formulare eingeben, wenn man hundertprozentig sicher ist, dass man sich auf der "richtigen" Web-Site befindet. Zudem sollte in einem solchen Fall eine abgesicherte Verbindung (Web-Adresse beginnt mit "https://"" statt mit "http://") zum Zuge kommen.

4. Tools einsetzen, die "Fake Web Sites" entlarven, etwa "Spoof Stick" von Corestreet. Weitere Programme hat unter anderem Jeremy Wagstaff auf seiner Web-Seite und seinem Weblog vorgestellt. Zudem bietet der Serviceprovider Earthlink eine kostenlose Anti-Scam-Toolbar für den Internet Explorer an.

Kostenlos zu haben: Die Toolbar von Earthlink für den Internet Explorer enthält einen Blocker für Scam-Web-Sites und Pop-up-Fenster. (Bild: Reder)

5. Regelmäßig Geldtransaktionen und wichtige Account-Daten überprüfen. Bei zweifelhaften Buchungsvorgängen bei der Bank nachfragen.

6. Stets die aktuellen Sicherheits-Updates und Patches für Betriebssysteme und Anwendungen einspielen.

7. Diejenigen Firmen informieren, deren Namen Scammer aktiv werden. EBay beispielsweise hat für diesen Zweck eine spezielle Web-Seite und eine eigene E-Mail-Adresse (spoof@ebay.de) eingerichtet.

8. Verwandte, Freunde und Bekannte, die sich weniger gut mit dem Internet und dessen Tücken auskennen, über Phishing und die wichtigsten Vorsichtsmaßnahmen bei Online-Transfers aufklären.