Phishing ist eine Art von Cyberkriminalität, bei der sich die Angreifer als vertrauenswürdiges Unternehmen oder vertrauenswürdige Person ausgeben, um vertrauliche Informationen vom Opfer zu erhalten. Phishing erfolgt oft über automatisierte E-Mail-Angriffe, die neben direkteren, oft manuellen Methoden wie Telefonanrufen, Textnachrichten und App-Nachrichten zu den Social-Engineering-Taktiken gehören. Ziel ist es, dem Opfer persönliche Daten wie Anmeldedaten oder Finanzinformationen zu entlocken, die für betrügerische Aktivitäten wie Identitätsdiebstahl oder zum Ergaunern von Geld verwendet werden.

Wie funktioniert Phishing?

Phishing

Phishing ist eine Form des Social Engineering. Das bedeutet, dass die menschlichen Opfer mit psychologischen und technologischen Tricks getäuscht werden. Im Kern basiert Phishing auf E-Mails oder anderen elektronischen Kommunikationsmethoden, die scheinbar aus vertrauenswürdigen Quellen stammen.

Cyberkriminelle erstellen irreführende Nachrichten und verwenden Social-Engineering-Techniken, um ihre Opfer zu bestimmten Aktionen zu verleiten – auf einen Link zu klicken, einen E-Mail-Anhang zu öffnen oder persönliche Informationen preiszugeben.

Weitere Informationen

 

    Bei einem typischen Phishing-Angriff entscheidet der Angreifer zunächst, welches Unternehmen oder welche Person ins Visier genommen werden soll. Der Angreifer sammelt vorab öffentlich zugängliche Informationen über die Angriffsziele aus den sozialen Netzwerken wie Facebook, X (vormals Twitter) und LinkedIn. Anhand dieser persönlichen Daten wird der Inhalt der Phishing-Nachricht in einen „glaubwürdigeren“ Kontext gestellt. Bei gezielten Angriffen werden im Text der Name, die Berufsbezeichnung und die E-Mail-Adresse des Opfers sowie dessen Interessen und Aktivitäten genannt, um Vertraulichkeit vorzutäuschen. Der Angreifer kann eine überzeugend formulierte E-Mail oder Nachricht erstellen, die scheinbar von einer vertrauenswürdigen Quelle stammt, aber manipulierte Anhänge oder Links zu schädlichen Websites enthält, um den eigentlichen Angriff einzuleiten.

    Wenn das Opfer sich ködern lässt, indem es entweder einen Link anklickt, einen Anhang öffnet oder Informationen auf einer gefälschten Website eingibt, kommt der Angreifer seinem Ziel näher. Dies kann von der Installation von Malware auf dem Gerät des Opfers – einschließlich Ransomware – bis hin zum Diebstahl vertraulicher Informationen wie Benutzernamen, Passwörter oder Kreditkartendaten reichen.

Arten von Phishing-Angriffen

 

 

 

E-Mail-Phishing gehört zu den Phishing-Angriffen, bei denen Cyberkriminelle E-Mails als Medium verwenden, um ihre Opfer zu täuschen. In der Regel erstellen die Betrüger gefälschte Domainnamen, die denen legitimer, vertrauenswürdiger Organisationen oder Unternehmen sehr ähnlich sind. Eine Phishing-E-Mail von einer Domain wie „paypa1.com“ könnte beispielsweise den Anschein erwecken, von der authentischen Domain „paypal.com“ zu kommen, oder es wird eine Subdomain verwenden, die glaubwürdig wirkt, wie z. B. „support.apple.com.fake.com“. Die Empfänger bemerken diese Feinheiten, die von den Angreifern mit den unterschiedlichsten Techniken verschleiert werden, oft gar nicht und sind überzeugt, dass es sich um eine echte E-Mail handelt.

 

Spear-Phishing ist Teil eines Angriffs, bei der sich die Angreifer gezielt bestimmte Personen vornehmen, anstatt mit Massen-E-Mails einen „Rundumschlag“ auszuführen. Die Angreifer nutzen Details wie den Namen des Opfers, dessen Arbeitsort, dessen Berufsbezeichnung und oft sogar dessen Schreibstil, um den Mailtext so anzupassen, dass er authentischer erscheint. Spear-Phishing ist eine äußerst wirksame Taktik bei koordinierten Angriffen, die darauf abzielen, die Verteidigungslinien eines Unternehmens zu durchbrechen. Diese Art des Phishing ist besonders gefährlich, weil ein personalisierter Ansatz verwendet wird, der sich schlechter erkennen lässt als Massen-Phishing-E-Mails.

 

Beim Smishing (SMS-Phishing) werden Textnachrichten als Medium genutzt, um Menschen dazu zu bringen, vertrauliche Daten preiszugeben. Diese betrügerischen SMS-Nachrichten geben sich oft als bekannte Unternehmen wie Amazon oder FedEx aus, wobei die Nachricht als Warnung oder dringende Benachrichtigung formuliert wird. 

 

Social-Media-Phishing bereitet den Boden für Phishing-Angriffe: Die Betrüger nutzen die Messaging-Funktionen von Plattformen wie WhatsApp, Facebook, X (vormals Twitter) und LinkedIn, um Phishing-Links zu versenden oder vertrauliche Informationen anzufordern. Diese Phishing-Versuche werden oft als Kundendienstanfragen oder als Benachrichtigungen von der Social-Media-Plattform selbst getarnt. 

 

Business Email Compromise (BEC) ist eine weitere Form des Spear-Phishings, die das Ziel hat, Unternehmen zu betrügen. Dabei nutzen die Betrüger unter anderem gefälschte Rechnungen, CEO-Betrug, Email Account Compromise (EAC) oder Daten- und Warendiebstahl, oder sie geben sich als Anwälte aus. Mit dieser Masche entstehen entstehen den Opfern jährlich Schäden in Milliardenhöhe.

 

Bei Account-Takeover-Angriffen (ATO) verschaffen sich Cyberkriminelle durch Phishing Zugriff auf die Anmeldeinformationen des Opfers und nutzen dessen gekaperte Konten für weiteren Betrug oder Datendiebstahl. 

 

Beim Vishing (Voice-Phishing) wird das Opfer mit der Absicht angerufen, ihm vertrauliche Informationen zu entlocken.

 

Beim Whaling werden gezielt Führungskräfte als Angriffsziele ausgesucht. Nach umfangreichen Recherchen über ihre Opfer erstellen die Betrüger persönliche E-Mails, in denen die Zielpersonen dazu gebracht werden sollen, umfangreiche Transaktionen zu genehmigen oder vertrauliche Informationen preiszugeben.

 

Pharming leitet Benutzer von einer legitimen Website auf eine betrügerische Website um. Hierbei werden oft Schwachstellen im Domain Name System (DNS) ausgenutzt.

 

Weitere Arten von Angriffen: Clone-Phishing ist eine Art von Angriff, bei dem echte E-Mails dupliziert und alle Links oder Anhänge durch bösartige Varianten ersetzt werden. Evil Twin Phishing wird von den Betrügern genutzt, um gefälschte WLAN-Netzwerke einzurichten, über die dann Daten abgefangen werden. Beim HTTPS-Phishing werden schädliche Websites durch ein sicheres HTTPS-Protokoll getarnt. Pop-up-Phishing täuscht die Benutzer durch Anzeige von gefälschten Website-Pop-ups. Man-in-the-Middle-Angriffe fangen Online-Kommunikation ab und nehmen in der Regel Änderungen daran vor.  Beim Phishing durch In-App-Messaging werden beliebte Messaging-Apps wie WhatsApp, Telegram und Vibe genutzt, um die Benutzer dazu zu bringen, vertrauliche Informationen preiszugeben.

 

Phishing-Angriffe kommen in den verschiedensten Formen vor, wobei die Angreifer jeweils unterschiedliche Medien und Techniken nutzen, um Einzelpersonen oder Unternehmen zu täuschen. Wachsamkeit, Sensibilisierung der Benutzer und geeignete Maßnahmen zur Cybersicherheit sind entscheidend, um diese Phishing-Taktiken, die durch ständige Weiterentwicklung gekennzeichnet sind, zu blockieren.

Wie lassen sich Phishing-Angriffe erkennen? 

 

 

Phishing ist für die Betrüger ein wichtiges Instrument bei Social-Engineering-Aktionen, die die erste Stufe von Cyberangriffen mit hohem Schadenspotenzial sein können. Dabei setzen die Angreifer auf Täuschung, und deshalb ist es so wichtig, dass Sie wissen, wie Sie einen Phishing-Angriff erkennen, um Ihre Daten zu schützen. 

 

Glücklicherweise gibt es typische Indikatoren, die Ihnen dabei helfen, einen Phishing-Versuch zu erkennen und von legitimer Kommunikation zu unterscheiden:

 

· Bösartige Links und Hyperlink-Manipulation: Ein häufiges Ziel von Phishing-E-Mails ist es, den Empfänger dazu zu bringen, auf einen schädlichen Link zu klicken. Diese Links sehen auf den ersten Blick oft echt aus, führen aber zu Phishing-Websites, auf denen persönliche Daten gesammelt werden. Seien Sie misstrauisch, wenn die tatsächliche URL nicht mit der Website des vorgeblichen Absenders übereinstimmt oder Rechtschreibfehler enthält.

· Schädliche Dateien und Mailanhänge: Einige Phishing-E-Mails enthalten Anhänge, über die Ihr Gerät infiziert werden soll. Sie könnten Malware enthalten, die nach dem Herunterladen Ihre Daten manipuliert. Bei allen Dateitypen außer *.txt ist Vorsicht geboten.

· Antworten mit Preisgabe persönlicher Informationen: Seltener werden die Empfänger in Phishing-E-Mails aufgefordert, in ihrer Antwort persönliche Informationen oder Kreditkarten- bzw. Bankdaten anzugeben. Da eine solche E-Mail so aussieht, als käme sie von einer vertrauenswürdigen Quelle, fallen manche Anwender darauf herein.

· „Zu schön, um wahr zu sein“: Phishing-Betrüger locken ihre Opfer oft mit unrealistischen oder übermäßig lukrativen Angeboten. Wenn in der E-Mail z. B. behauptet wird, Sie hätten in einer Lotterie oder ein iPhone gewonnen, sollten bei Ihnen sofort die Alarmglocken schrillen.

· Dringlichkeit: In vielen Phishing-E-Mails wird auf den Empfänger Druck ausgeübt, wobei behauptet wird, dass Sie schnell reagieren müssen, um eine Sperrung Ihres Kontos zu vermeiden oder Ihren Anspruch auf einen Preis geltend zu machen.

· Ungewöhnliche Absender oder Anfragen: Wenn es sich beim Absender der E-Mail um einen Bekannten handelt, der sich untypisch verhält, oder wenn eine Ihnen unbekannte Person sie zu einer ungewöhnlichen Aktion verleiten will, können dies Anzeichen für einen Phishing-Versuch sein.

· Sprachliche Fehler: Schlechte Grammatik und Rechtschreibfehler sind oft deutliche Anzeichen für Phishing-E-Mails.

· E-Mail-Domäne und Adresse passen nicht zusammen: Überprüfen Sie immer die E-Mail-Adresse des Absenders. Wenn der Domainname nicht mit dem vorgeblichen Absender übereinstimmt oder falsch geschrieben ist, handelt es sich höchstwahrscheinlich um einen Phishing-Versuch.

 

 

Wie schützt man sich vor Phishing-Betrug?

 

 

Der Kampf gegen Phishing-Betrug ist eine allgemeine Aufgabe, der sich nicht nur Unternehmen und Organisationen sondern auch jeder einzelne Anwender stellen müssen. Ausgeklügelte technische Lösungen und Sensibilisierung aller Beteiligten sind entscheidend, um Phishing-Angriffe effektiv zu stoppen.

 

Tipps für Einzelanwender:

Spamfilter verwenden: Diese Filter analysieren die Herkunft, die verwendete Software und den Inhalt der Nachricht und stellen so fest, ob es sich bei einer E-Mail um einen Phishing-Versuch oder Spam handelt. Sie stellen eine erste Verteidigungslinie gegen Phishing dar.

• Browsereinstellungen: Konfigurieren Sie Ihre Browsereinstellungen so, dass gefälschte Websites und schädliche URLs blockiert werden. Moderne Browser warnen Sie vor bekannten Phishing-Websites.

Multi-Faktor-Authentifizierung (MFA) implementieren: Aktivieren Sie die Multi-Faktor-Authentifizierung für Ihre Benutzerkonten. Diese Sicherheitsebene geht über die reine Überprüfung des Passwortes hinaus.

Regelmäßige Passwortänderungen: Ändern Sie Ihre Passwörter regelmäßig, und verwenden Sie für jedes Konto ein anderes Passwort. Denken Sie über die Nutzung eines Passwortmanagers nach.

Softwareupdates: Sorgen Sie dafür, dass Ihre persönliche Software, insbesondere Ihre Sicherheitssoftware, stets auf dem neuesten Stand ist, damit sie keine neuen Sicherheitslücken gegen Phishing-Angriffe aufweist.

  

Tipps für Unternehmen/Administratoren:

Endpoint-Schutz: Nutzen Sie die registrierten Signale von Endpoints, Netzwerken, Clouds und anderen Datenquellen, um Sicherheitsvorfälle zu erkennen.

Meldesystem: Stellen Sie benutzerfreundliche Systeme bereit, mit denen die Anwender mutmaßliche Phishing-E-Mails melden können. Damit werden die zukünftigen Sicherheitsmaßnahmen effektiver.

Backup-Systeme: Führen Sie regelmäßige Datensicherungen vertraulicher Daten auf einem sicheren Speicherort durch, damit sie nach einem Angriff wiederhergestellt werden können. 

Sorgen Sie für Browsersicherheit: Stellen Sie sicher, dass Browser schädliche Websites blockieren, und aktualisieren Sie diese Einstellungen anhand von neu bekannt gewordenen Bedrohungen.

 

Schützen Sie Ihr Unternehmen vor Phishing-Angriffen 

 

 

 

Zum Schutz Ihres Unternehmens vor Phishing-Angriffen benötigen Sie eine umfassende, proaktive Lösung, mit der schädliche E-Mails, Websites und E-Mail-Anhänge erkannt und blockiert werden können, bevor sie die Benutzer erreichen. Außerdem müssen Sie Ihre Benutzer auch darüber aufklären, anhand welcher Anzeichen sie Phishing erkennen, wie sie damit umgehen sollen und verdächtige Aktivitäten melden können.

 

Beim Phishing geht es nicht nur um irreführende E-Mails, sondern um eine Phase eines viel umfassenderen Angriffs. Um Phishing und den Angriffen, die dadurch häufig ausgelöst werden, entgegenzuwirken, sollten nach einer umfassenden, einheitlichen Lösung mit mehreren Verteidigungsebenen Ausschau halten. Eine facettenreiche Strategie für diese komplexe Art von Bedrohung sollte folgende Aspekte berücksichtigen:

 

Prävention: Verringern Sie die Angriffsfläche und die möglichen Einstiegspunkte. Zum Beheben von Schwachstellen sollten Sie sicherstellen, dass Patches und Risikomanagementlösungen jeweils zeitnah implementiert werden.

 

Schutz: Verwenden Sie Tools für die Endpoint- und Netzwerksicherheit, die Angriffe aktiv abwehren, wenn Cyberkriminelle versuchen, Ihre Systeme zu manipulieren. Für einen effektiven Schutz kommen verschiedene Techniken zum Einsatz, von Netzwerkfiltern bis hin zur erweiterten Überprüfung von Speichern und Prozessen.

 

Erkennung und Abhilfemaßnahmen: Selbst die besten Präventionsmaßnahmen können umgangen werden. Implementieren Sie daher Echtzeit-Erkennungssysteme wie EDR oder XDR, die einen umfassenden Einblick in Ihr Netzwerk und Ihre Endpoints ermöglichen. Ergänzen Sie sie durch Funktionen wie einen Vorfallberater (Incident Advisor), um für den Fall, dass eine Bedrohung erkannt wird, klare Handlungsrichtlinien bereitzustellen.

 

MDR (Managed Detection and Response): Verbessern Sie Ihre Sicherheit noch weiter, indem Sie rund um die Uhr aktive Überwachungs-Services implementieren, die Echtzeitwarnungen, Daten zur Bedrohungsaufklärung und professionelle Anleitungen zur Handhabung und Neutralisierung von Bedrohungen bieten.

Der mehrschichtige Ansatz von Bitdefender basiert auf einer Anti-Phishing-Technologie, die fortschrittliches Machine Learning und Verhaltensanalysen nutzt, um Phishing-Angriffe in Echtzeit zu erkennen und zu stoppen und Ihren Web-Datenverkehr, Ihre E-Mail-Nachrichten und Ihre Datei-Downloads auf schädliche Inhalte oder Links zu scannen und entsprechend zu filtern.

 

Was sollten Sie tun, wenn Sie eine Phishing-E-Mail erhalten?

Wenn Sie eine Mail erhalten, bei der es sich um einen Phishing-Versuch handeln könnte, seien Sie vorsichtig! Antworten Sie nicht, und klicken Sie auch nicht auf darin enthaltene Links oder andere Elemente. Überprüfen Sie die Identität des Absenders über offizielle Quellen, bevor Sie persönliche Informationen weitergeben. Markieren Sie verdächtige Nachrichten als Spam, und löschen Sie sie. Wenn in unerwarteten Nachrichten Links enthalten sind, sollten Sie immer zuerst den Mauszeiger darüber bewegen, um das Ziel des Links zu überprüfen, bevor Sie sich entscheiden, darauf zu klicken. Wenn der Link verdächtig erscheint oder nicht mit der Website des Absenders übereinstimmt, melden Sie die E-Mail Ihrer IT-Abteilung oder dem zuständigen Cybersicherheitsteam zur weiteren Untersuchung. Sie könnten möglicherweise Ziel eines Spear-Phishing-Angriffs sein.

Was sollten Sie tun, wenn Sie auf einen Phishing-Betrug hereingefallen sind?

Denken Sie daran, dass die erste Verteidigungslinie gegen Phishing und andere Cyberbedrohungen letztendlich ein kundiger Mensch ist, der in der Lage ist, Phishing-Versuche zu erkennen und zu vereiteln. Wenn Sie jedoch auf einen Phishing-Betrug hereingefallen sind und vertrauliche Informationen preisgegeben haben, sollten Sie schnell handeln, um den Schaden zu möglichst gering zu halten:

1.       Ändern Sie die den Betrügern bekannt gewordenen Passwörter sofort, nicht nur für das betroffene Konto, sondern auch für alle übrigen Konten, bei denen Sie dasselbe Passwort verwendet haben. Denken Sie über die Nutzung eines Passwortmanagers nach, mit dem Sie Ihre Passwörter sicher verwalten können.

2.      Falls Sie Ihre Bankdaten offengelegt haben, wenden Sie sich sofort an Ihre Bank, um sie zu benachrichtigen, dass Sie Opfer eines Betrugs geworden sind. Besprechen Sie mögliche Lösungen mit Ihrer Bank.

3.      Melden Sie den Vorfall den zuständigen Behörden oder der Polizei, insbesondere, wenn Sie eine Zahlung an die Betrüger geleistet haben oder wenn diese Zugriff auf Ihre Geräte erhalten hat. In vielen Fällen werden Sie Ihre Verluste nicht ersetzt bekommen, aber Ihre Meldung hilft beim Kampf gegen weitere Betrugsversuche.

4.      Wenn Sie in einem oder für ein Unternehmen arbeiten und glauben, dass der Betrug dessen Sicherheit gefährdet, gehen Sie gemäß den internen Verfahren vor, und eskalieren Sie das Problem an die zuständige Stelle, um weitere Komplikationen zu vermeiden.

Hier erhalten Sie Informationen zum weiteren Vorgehen aus zuverlässiger Quelle.

Wie unterscheiden sich Phishing und Spoofing?

Mit Phishing soll die betreffende Person dazu zu verleitet werden, persönliche oder vertrauliche Daten preiszugeben, in der Regel über gefälschte E-Mails, Nachrichten oder Webseiten. Beim Spoofing geht es darum, die Herkunft der Kommunikation zu verschleiern, um den Anschein zu erwecken, dass sie von einer vertrauenswürdigen Quelle stammt. Während die Angreifer beim Phishing versuchen, an Informationen zu gelangen, hat Spoofing den Zweck, den Empfänger auszutricksen oder Sicherheitsmaßnahmen zu umgehen. Beide Betrugsmethoden unterscheiden sich, sind aber verwandt: Bei Phishing-Angriffen wird häufig Spoofing verwendet, um Glaubwürdigkeit vorzutäuschen.