Phishing - Gaukelei

Als Phishing wird eine Form des "Social Hackings" bezeichnet. "Social Hacking" bezeichnet Maßnahmen, um sich Passwörter oder andere Daten zu erschleichen, ohne technische Angriffsmethoden zu verwenden. Die einfachste Form dieser Kategorie von Angriffen ist, telefonisch Passwörter zu erfragen, z.B. indem man sich als Mitarbeiter einer vertrauenswürdigen Stellen ausgibt.

Phishing ist eine Verballhornung des englischen Begriffs Fishing und bezeichnet das Fischen nach Passwörtern. Phishing-Angriffe laufen prinzipiell immer identisch ab:

1. Eine dritte Person gibt sich in einer E-Mail als eine vertrauenswürdige Stelle aus (z.B. Bank o.ä.).
2. In dieser fingierten E-Mail wird informiert, dass unter Angabe der eigenen Zugangsdaten Passwörter neu gesetzt werden müssen. Ein Link in der Mail verweist auf eine gefälschte Web-Seite. Diese gefälschte Web-Seite ist der Web-Seite der vertrauenswürdigen Stelle nachgeahmt. Selbst Profis haben Schwierigkeiten solche Web-Seiten als Fälschung zu entlarven.
3. Auf der gefälschten Web-Seite wird nun, z.B. aufgrund von technischen Problemen, darum gebeten, sich mit den eigenen Zugangsdaten einzuloggen etc.
4. Die eingegebenen Zugangsdaten können nun von Dritten missbraucht werden.

Wie kann man sich vor solchen Angriffen schützen?
Hauptregel, um sich gegen Phishing-Angriffe zu schützen, ist, dass nicht auf Links in E-Mails geklickt wird. Stattdessen soll die URL im Browser durch den Nutzer selbst eingetippt werden. Hierdurch wird der Aufruf einer gefälschten Seite verhindert. Des Weiteren soll die eigene Software auf dem aktuellen Stand gehalten werden (Betriebssystem, Browser, Anti-Viren-Software etc.).

Als Faustregel empfiehlt das BSI (Bundesamt für Sicherheit in der Informationstechnik): "Machen Sie niemals - weder telefonisch noch per E-Mail - Angaben über Ihre geheimen Zugangsdaten zum Online- oder Telefonbanking (PIN, TAN oder Kontonummer). Kreditinstitute fordern solche Daten nicht von Ihnen ein, schon gar nicht per Telefon oder E-Mail. Ignorieren Sie daher E-Mails, in denen Sie zur Preisgabe vertraulicher Daten aufgefordert werden - auch wenn Ihnen der angezeigte Absender bekannt erscheint."