Phishing erkennen

Bei der Adresse example.com.account-check.example gehört die Seite in Wirklichkeit account-check.example; das example.com vorne ist nur eine Bezeichnung, die sich der Besitzer ausgesucht hat.

Eine Paket-SMS, die der Paketdienst nie geschickt hat

Hier eine erfundene SMS von bekannter Art: „Ihr Paket konnte nicht zugestellt werden, weil die Adresse unvollständig ist. Aktualisieren Sie sie innerhalb von 24 Stunden“, gefolgt von einem kurzen Link. Wenn du auf eine Lieferung wartest, liegt dein Daumen schon auf dem Link. Das ist Phishing: eine Nachricht, die dich dazu bringen soll, einen schädlichen Anhang zu öffnen, einen Link zu einer gefälschten Website anzuklicken oder persönliche oder finanzielle Daten preiszugeben. Sie kommt per E-Mail, per SMS (oft Smishing genannt), per Messenger und per Telefon.

Die Anzeichen in dieser einen kurzen SMS

Die CISA listet die üblichen Anzeichen auf, und die Paket-SMS hat die meisten davon. Dringliche oder emotionale Sprache, mit der Drohung, dass es Ärger gibt, wenn du nicht sofort handelst. Eine Bitte um persönliche oder finanzielle Daten. Ein nicht vertrauenswürdiger gekürzter Link. Eine Absenderadresse oder ein Link, der leicht falsch ist, mit einem vertauschten Buchstaben oder einem zusätzlichen Wort. Ein altes Anzeichen funktioniert allerdings nicht mehr. Früher erkannte man Phishing leicht an schlechter Rechtschreibung und Grammatik, aber die CISA merkt an, dass manche Nachrichten im Zeitalter der KI inzwischen perfekte Grammatik und Rechtschreibung haben. Achte also darauf, was die Nachricht von dir will, nicht darauf, wie gut sie geschrieben ist. Ein Bankkonto, das „zu deiner Sicherheit gesperrt“ wurde, ein Gewinn bei einem Gewinnspiel, an dem du nie teilgenommen hast, ein Familienmitglied mit neuer Nummer, das heute Geld braucht: All das drängt dich zu handeln, bevor du nachdenkst.

Einen Link von rechts lesen

Bevor du auf einen Link tippst, sieh dir den Hostnamen an: den Teil nach https:// und vor dem ersten einfachen Schrägstrich. Lies ihn von rechts. Die letzten zwei Teile (oder drei, bei Adressen wie .co.kr) nennen die Organisation, die ihn kontrolliert, und alles links davon ist eine Bezeichnung, die diese Organisation gewählt hat. login.example.com gehört also zu example.com, aber example.com.account-check.example gehört zu account-check.example. Auf dem Handy kannst du einen Link gedrückt halten, um die ganze Adresse zu sehen, ohne ihn zu öffnen. Auch hier helfen Passkeys, denn auf einer Website, die nicht die echte ist, funktionieren sie einfach nicht. (Alle Adressen auf dieser Seite benutzen Namen, die für Beispiele reserviert sind, etwa example.com und die Endung .example, keine davon ist also eine echte Website.)

Über einen anderen Weg prüfen, dann melden

Die CISA gibt drei Tipps: erkennen, widerstehen und löschen, und die Anzeichen oben sind der erste. Widerstehen heißt, dass du in einer Nachricht, bei der du unsicher bist, keine Links anklickst und keine Anhänge öffnest und nicht antwortest, nicht einmal über einen Link zum „Abmelden“. Behauptet die Nachricht, von einem Unternehmen zu kommen, das du nutzt, öffne dessen App oder tippe seine Adresse selbst ein und prüfe dort. Behauptet sie, von jemandem zu kommen, den du kennst, ruf die Person unter der Nummer an, die du schon hast. Lösche die Nachricht dann, nachdem du sie mit der Option „Spam melden“ oder „Phishing melden“ in deinem E-Mail-Programm oder Messenger gemeldet hast. In Korea betreibt die KISA eine kostenlose Hotline, 118, für Probleme mit Hacking, Spam und persönlichen Daten; über ihr Menü werden auch Meldungen zu Voice-Phishing und Smishing an die Polizei weitergeleitet. Die Website Boho Nara der KISA (boho.or.kr) bietet einen Dienst zum Prüfen verdächtiger SMS.

Anrufe folgen demselben Muster. Jemand sagt, er rufe von deiner Bank, einem Paketdienst, der Polizei oder der Staatsanwaltschaft an, erklärt, dein Konto sei in eine Straftat verwickelt, und fordert dich auf, Geld zu überweisen, eine App zu installieren oder einen Code vorzulesen. Echte Institutionen verlangen das nicht am Telefon. Leg auf, such die offizielle Nummer selbst heraus und ruf zurück. Installiere nie eine App oder ein Fernsteuerungsprogramm, weil ein Anrufer es dir gesagt hat.