Was ist Phishing?
Phishing (ein Kofferwort aus “Password” und “Fishing”) bezeichnet den Versuch von Cyberkriminellen, sich über gefälschte Nachrichten oder Webseiten vertrauliche Informationen zu erschleichen. Ziel der Angreifer ist es meist, an wertvolle Zugangsdaten, Passwörter, Kreditkartennummern oder persönliche Identitätsdaten zu gelangen. Die Täter nutzen diese Daten anschließend für Identitätsdiebstahl, Finanzbetrug oder den Verkauf im Darknet.
Die Rolle der Künstlichen Intelligenz
Ein entscheidender Faktor bei der Evolution des Phishings ist der Einsatz generativer Künstlicher Intelligenz. KI-Modelle generieren fehlerfreie, natürlich klingende und auf das jeweilige Opfer maßgeschneiderte Texte, wodurch das klassische Erkennungsmerkmal “schlechte Rechtschreibung” weitestgehend nutzlos geworden ist. Angreifer können so massenhaft überzeugende E-Mails in jeder beliebigen Sprache erstellen.
Spear-Phishing
Während klassisches Phishing massenhaft an tausende Empfänger gestreut wird, ist das sogenannte Spear-Phishing ein hochgradig gezielter Angriff auf eine bestimmte Person oder Organisation. Die Angreifer sammeln im Vorfeld akribisch Informationen über ihr Opfer – meist über öffentliche Profile in sozialen Netzwerken. Die resultierenden Phishing-Nachrichten enthalten persönliche Details, korrekte Namen von Kollegen oder Geschäftspartnern und beziehen sich auf reale Projekte, was sie extrem glaubwürdig macht.
Smishing (SMS-Phishing)
Die Verlagerung der Angriffe auf mobile Endgeräte ist ein starker Trend, wobei Smishing (SMS-Phishing) einen erheblichen Teil der Angriffe ausmacht. Betrüger versenden gefälschte Kurznachrichten im Namen von bekannten Paketdiensten, Banken oder Streamingdiensten. Diese Nachrichten fordern meist zur Zahlung kleiner “Restbeträge” für eine angebliche Paketzustellung auf oder warnen vor einer sofortigen Kontosperrung, wobei ein kurzer Link auf eine manipulierte Zahlungsseite führt.
Quishing (QR-Code Phishing)
Eine besonders tückische Methode ist das “Quishing”. Hierbei nutzen Kriminelle QR-Codes, um Opfer auf bösartige Webseiten zu leiten. Diese Codes finden sich nicht nur in E-Mails, sondern zunehmend auch im realen Leben: Überklebte QR-Codes an Ladesäulen, falsche Strafzettel oder betrügerische Plakate im öffentlichen Raum. Der große Vorteil für die Angreifer: Viele Sicherheitsfilter können QR-Codes noch nicht effektiv analysieren.
Missbrauch echter Cloud-Dienste
Sicherheitsexperten beobachten vermehrt den Missbrauch legitimer Cloud-Infrastruktur durch Kriminelle. Angreifer hosten ihre bösartigen Weiterleitungsseiten beispielsweise auf echten Cloud-Speicher-Domains großer Anbieter. Da die URLs in diesen Fällen mit einer vertrauenswürdigen, echten Domain beginnen, werden sie von automatisierten Sicherheitssystemen und oft auch vom menschlichen Auge nicht als Bedrohung erkannt.
Aktuelle Maschen und Beispiele
Die Kreativität der Angreifer kennt keine Grenzen. Im Vorfeld von großen Produktveröffentlichungen locken Betrüger gerne mit falschen E-Mails, die angebliche Vorab-Zugangsschlüssel versprechen. Eine andere bewährte Masche sind offiziell wirkende Nachrichten von angeblichen Behörden, die mit Themen wie “Sonderzahlungen”, “Steuerrückerstattungen” oder neuen gesetzlichen Vorschriften Druck aufbauen und zur schnellen Dateneingabe drängen.
Phishing über Collaboration-Tools
Mit der Etablierung des Home-Offices geraten auch Firmen-Tools für Chats und Videokonferenzen zunehmend ins Fadenkreuz. Angreifer versenden gefälschte Meeting-Einladungen oder Dokumenten-Links scheinbar von internen Kollegen, deren Konten zuvor kompromittiert wurden. Ein Klick führt die Mitarbeiter dann auf eine täuschend echte Login-Seite, wo die Zugangsdaten für das Firmennetzwerk abgegriffen werden.
Wie man sich effektiv schützt
Der Schutz vor Phishing erfordert eine Kombination aus technischer Absicherung und gesundem Menschenverstand. Die wichtigste Regel bleibt: Prüfe den Absender einer Nachricht genau. Lasse dich dabei nicht vom angezeigten Namen täuschen, sondern überprüfe die tatsächliche E-Mail-Adresse. Fahre bei Links am Computer mit der Maus darüber (ohne zu klicken!), um die echte Zieladresse in der Statusleiste zu überprüfen.
Dringlichkeit als Warnsignal
Sei stets extrem misstrauisch, wenn eine Nachricht künstlichen Zeitdruck aufbaut. Formulierungen wie “Ihr Konto wird in 24 Stunden gesperrt”, “Handeln Sie jetzt” oder “Letzte Mahnung” sind klassische Druckmittel der Betrüger. Seriöse Banken oder Behörden fordern niemals per E-Mail oder SMS unter Fristsetzung zur sofortigen Eingabe von Zugangsdaten oder zu Überweisungen auf.
Offizielle Kanäle nutzen
Eine einfache, aber hochwirksame Maßnahme gegen Phishing: Klicke bei sicherheitsrelevanten Nachrichten niemals auf den enthaltenen Link. Öffne stattdessen deinen Browser manuell, gib die Webadresse des Dienstes selbst ein und logge dich direkt in dein Kundenkonto ein. Wenn es tatsächlich ein Problem mit deinem Account gibt, wird dies dort als offizielle Benachrichtigung angezeigt.
Technische Schutzmaßnahmen
Aktiviere überall, wo es möglich ist, die Zwei-Faktor-Authentifizierung (2FA). Selbst wenn ein Phishing-Angriff erfolgreich ist und die Täter dein Passwort stehlen, bleibt das Konto durch den benötigten zweiten Faktor geschützt. Nutze zudem einen modernen, aktualisierten Browser und ein zuverlässiges Antivirenprogramm. Für den Schutz vor bösartigen QR-Codes (Quishing) empfiehlt sich die Nutzung spezieller QR-Scanner-Apps, die die Ziel-URL anzeigen, bevor sie den Browser öffnen.
Was tun im Ernstfall?
Solltest du in eine Phishing-Falle getappt sein, ist schnelles Handeln entscheidend. Ändere sofort die Passwörter des betroffenen Dienstes – und auch bei allen anderen Diensten, bei denen du dasselbe Passwort verwendest. Wenn Finanzdaten oder Bankkonten betroffen sind, kontaktiere unverzüglich den Sperrnotruf deiner Bank. Informiere zudem die zuständigen Meldestellen und erstatte bei finanziellem Schaden Anzeige bei der Polizei.