Modul 3 · 3.4
Deutsch
Phishing per SMS, Chat, Telefon und QR-Code
Modul 3: Phishing erkennen · Lesezeit: 12 Minuten
Lernziel: Nach dieser Lektion können Sie Phishing außerhalb der E-Mail erkennen: per SMS und Chat-Apps, am Telefon (auch mit einer nachgeahmten Stimme), per QR-Code und bei einer Flut von Anmeldebenachrichtigungen, und Sie wissen, wie Sie je Kanal prüfen.
Kernbegriffe: Smishing, Enkeltrick/Freund-in-Not-Betrug, Vishing, Spoofing von Nummern, falscher Helpdesk, Stimmklon, Quishing, MFA-Bombing
Warum andere Kanäle so gut funktionieren
Alles aus Lektion 3.1 gilt auch hier: Dringlichkeit, Autorität, Angst, Neugier und Belohnung. Doch außerhalb der E-Mail funktionieren die Tricks oft noch besser:
- Am Telefon lesen Sie schnell. Der Bildschirm ist klein, Adressen werden abgeschnitten, und Sie sind oft mitten in etwas anderem beschäftigt.
- Es gibt weniger Technik, die hilft. Ein Mailserver prüft SPF, DKIM und DMARC und hat einen Spamfilter. Für SMS, Chat und Telefon gibt es das deutlich weniger.
- Es fühlt sich persönlicher an. Eine Nachricht in einer Chat-App oder eine Stimme am Telefon weckt mehr Vertrauen als eine E-Mail.
- Es ist live. Ein Anrufer kann nachhaken, Druck aufbauen und Sie Schritt für Schritt mitnehmen.
Der Reflex bleibt derselbe: innehalten, über Ihren eigenen Weg prüfen, nachfragen. Was sich je Kanal unterscheidet, ist, wie diese Prüfung aussieht.
SMS und Chat: Smishing und der Enkeltrick
Smishing ist Phishing per SMS. Betrüger geben sich als eine Organisation aus, von der Sie eine SMS erwarten könnten: ein Zustelldienst, die Bank, eine Behörde, Ihr Energieversorger. Laut dem BSI geschieht dasselbe über Chat-Apps wie WhatsApp und Telegram.
Ein typisches Beispiel:
Kurierdienst: Ihr Paket konnte wegen unvollständiger Adresse nicht zugestellt werden. Planen Sie eine neue Zustellung:
https://koeriersdienst.track-nl.example/z8K
Lesen Sie den Link wie in Lektion 3.2: Die registrierbare Domain ist track-nl.example und somit nicht koeriersdienst.example des Zustelldienstes. Auf einem Telefon ist das besonders schwierig, weil Sie nur den Anfang sehen. Halten Sie einen Link gedrückt, um die vollständige Adresse zu sehen, oder öffnen Sie ihn gar nicht und gehen Sie selbst zur App oder Website des Zustelldienstes.
Die Absendernummer oder der Absendername sagt nichts aus. SMS-Absender und Telefonnummern können gefälscht werden (Spoofing). Eine gefälschte Nachricht kann dadurch im selben SMS-Verlauf erscheinen wie echte Nachrichten dieses Absenders. Auch ein bekannter Name über einer Nachricht ist also kein Beweis.
Der Enkeltrick bzw. Freund-in-Not-Betrug läuft über Chat-Apps:
Hallo, das ist meine neue Nummer, mein Telefon ist kaputt. Können Sie kurz etwas für mich bezahlen? Ich zahle es Ihnen morgen zurück. Es muss noch heute sein.
In einem Unternehmen kommt derselbe Trick als Nachricht von „der Geschäftsführung“ oder „einem Kollegen“ mit neuer Nummer vor, der schnell eine Zahlung oder Gutscheine möchte. Prüfen Sie: Rufen Sie die Person auf der alten, bekannten Nummer an oder schreiben Sie dort, oder stellen Sie eine Frage, die nur die echte Person beantworten kann.
Das Telefon: Vishing, falscher Helpdesk und Stimmklone
Vishing (Voice-Phishing) ist Phishing am Telefon. Drei Formen kommen häufig vor.
Der Bankmitarbeiter. Jemand ruft im Namen der Bank oder der „Betrugsabteilung“ an: Es gebe verdächtige Zahlungen, Ihr Geld müsse „in Sicherheit gebracht“ werden, oder Sie sollen einen Code durchgeben oder eine Zahlung in Ihrer Banking-App freigeben. Auf Ihrem Bildschirm steht manchmal sogar die echte Nummer der Bank. Auch das kann gefälscht sein. Eine echte Bank fragt niemals nach Ihren Anmeldecodes oder danach, Geld auf ein „sicheres Konto“ zu überweisen.
Der falsche Helpdesk. Jemand ruft im Namen eines Softwareanbieters, Ihres Internetanbieters oder Ihrer IT-Firma an: Ihr Computer sei infiziert, es gebe ein Problem mit Ihrem Konto. Er bittet Sie, ein Programm zu installieren, damit er aus der Ferne mitschauen kann. Damit übernimmt er Ihren Computer. Das BSI sagt es einfach: Geben Sie niemandem einfach so Fernzugriff auf Ihre Geräte.
Die nachgeahmte Stimme. Mit KI kann eine Stimme anhand von Tonaufnahmen nachgeahmt werden, etwa aus einem Video oder einer Sprachnachricht. Ein Stimmklon Ihrer Geschäftsführung oder eines Familienmitglieds kann dann mit einer dringenden Bitte anrufen. Sie können Ihren Ohren also nicht mehr blind vertrauen.
Was bei allen drei Formen hilft:
- Legen Sie auf, sobald Druck aufgebaut wird oder nach Codes, Geld oder Zugang gefragt wird. Das ist nicht unhöflich.
- Rufen Sie selbst zurück auf einer Nummer, die Sie selbst heraussuchen oder bereits hatten: die Rückseite Ihrer Bankkarte, die offizielle Website, Ihre eigene Kontaktliste. Nicht die Nummer, die der Anrufer nennt.
- Vereinbaren Sie eine Kontrollfrage oder ein Codewort mit den Personen, die Sie um Geld bitten könnten, etwa der Geschäftsführung und der Buchhaltung. Legen Sie auch fest, dass Zahlungen niemals allein aufgrund eines Anrufs erfolgen (Lektion 1.2).
QR-Codes: Quishing
Ein QR-Code ist einfach ein Link, den Sie nicht lesen können. Quishing ist Phishing mit einem QR-Code. Zwei Formen:
- Auf der Straße oder in einem Raum. Ein Aufkleber mit einem eigenen QR-Code über dem echten, an einem Parkscheinautomaten, einer Ladesäule, einer Speisekarte oder einem Plakat. Sie denken, Sie bezahlen über die Parkapp, geben Ihre Kartendaten aber auf einer gefälschten Website ein.
- In einer E-Mail oder PDF-Datei. „Scannen Sie diesen Code, um Ihr Postfach zu bestätigen.“ Einen QR-Code in einem Bild können Sie nicht mit der Maus überprüfen. Und Sie scannen ihn mit Ihrem Telefon, wo Sie Adressen schlechter lesen können.
Das BSI rät unter anderem:
- Scannen Sie keinen QR-Code ohne begleitenden Text oder begleitendes Bild, und seien Sie vorsichtig bei Codes an öffentlichen Orten.
- Prüfen Sie, ob der Code tatsächlich auf dem Plakat oder Schild gedruckt ist, oder ob ein Aufkleber darauf angebracht wurde.
- Verwenden Sie einen Scanner, der zuerst anzeigt, zu welcher Adresse oder Domain Sie gelangen. In neueren Versionen von Android und iOS tut die Kamera das standardmäßig.
- Erkennen Sie die Adresse nicht, gehen Sie nicht weiter. Geben Sie kein Passwort oder keine Zahlungsdaten ein, wenn Sie nicht sicher sind, dass die Website echt ist.
Achten Sie bei der Adresse, die die Kamera anzeigt, auf die registrierbare Domain, genau wie in Lektion 3.2. Am Parkscheinautomaten können Sie auch die offizielle Park-App oder die Adresse auf dem Schild selbst nutzen.
MFA-Bombing: wenn Ihr Telefon ständig piept
Viele Dienste senden beim Anmelden eine Benachrichtigung an Ihr Telefon: „Möchten Sie sich anmelden? Genehmigen oder ablehnen.“ Hat ein Angreifer bereits Ihr Passwort, versucht er immer wieder, sich anzumelden. Ihr Telefon erhält eine Meldung nach der anderen, manchmal mitten in der Nacht. Das nennt man MFA-Bombing (auch MFA-Müdigkeit). Er hofft, dass Sie aus Verärgerung oder aus Versehen auf Genehmigen tippen. Manchmal ruft oder schreibt er dazu noch als „Helpdesk“: „Wir stellen gerade Ihr Konto wieder her, tippen Sie kurz auf Genehmigen.“
Was Sie tun:
- Genehmigen Sie niemals eine Benachrichtigung, die Sie nicht selbst ausgelöst haben. Auch nicht, wenn jemand darum bittet.
- Betrachten Sie es als Alarm. Eine unerwartete Anmeldebenachrichtigung bedeutet, dass jemand Ihr Passwort hat. Ändern Sie das Passwort dieses Kontos sofort, über die Website oder App selbst.
- Prüfen Sie die aktiven Sitzungen und melden Sie unbekannte Sitzungen ab (Lektion 2.5).
- Wählen Sie eine stärkere Form der Zwei-Faktor-Authentifizierung (2FA), falls verfügbar. Beim Number Matching müssen Sie eine Zahl vom Anmeldebildschirm in die App eintippen; eine Benachrichtigung ohne diesen Bildschirm vor sich können Sie dann nicht einfach genehmigen. Passkeys und Sicherheitsschlüssel (Lektion 2.4) sind noch stärker, da sie auf einer gefälschten Website nicht funktionieren.
In der Praxis: so sieht es aus
In Mein WebOké sehen Sie unter den aktiven Sitzungen, wo und wann Sie angemeldet sind, und können andere Sitzungen abmelden (WebOké-Anleitung 3.6). Andere Dienste, wie Ihr E-Mail-Programm, Ihre Buchhaltungssoftware oder Nextcloud, verfügen über eine vergleichbare Übersicht in den Sicherheitseinstellungen Ihres Kontos. Schauen Sie dort nach einer unerwarteten Anmeldebenachrichtigung als Erstes nach.
Zusammenfassung
- Außerhalb der E-Mail funktionieren dieselben Tricks, aber es gibt weniger Technik, die hilft, und Sie lesen schneller.
- Eine Nummer oder ein Absendername auf Ihrem Bildschirm beweist nichts: Beides kann gefälscht werden.
- Am Telefon: auflegen, selbst auf einer bekannten Nummer zurückrufen, niemals Codes, Geld oder Zugang aus der Ferne gewähren. Auch eine bekannte Stimme kann nachgeahmt sein.
- QR-Codes: auf Aufkleber achten, die Kamera die Adresse anzeigen lassen und die registrierbare Domain lesen.
- Eine unerwartete Anmeldebenachrichtigung ist ein Alarm: ablehnen, Passwort ändern, Sitzungen prüfen.
Quiz
Aufgabe
Aufgabe A3.4: Einen QR-Code lesen, ohne ihn zu öffnen. Das Programm zeigt einen QR-Code an. Scannen Sie ihn mit der Kamera Ihres Telefons, öffnen Sie den Link aber nicht. Lesen Sie die Adresse, die die Kamera anzeigt, und tragen Sie die registrierbare Domain ein, sowie ob Sie den Link öffnen würden. Das Programm prüft es.
Aufgabe D3.4: Absprachen für Telefon, Chat und Anmeldebenachrichtigungen. Treffen Sie mit Ihrem Team Absprachen zum Rückruf, zu einer Kontrollfrage oder einem Codewort, und dazu, was bei einer unerwarteten Anmeldebenachrichtigung zu tun ist. Prüfen Sie anschließend auf Ihrem eigenen Telefon, ob die Kamera die Adresse eines QR-Codes anzeigt, bevor sie ihn öffnet.
Aufgabe D3.4: Absprachen für Telefon, Chat und Anmeldebenachrichtigungen
So gehen Sie vor: (1) Vereinbaren Sie mit den Personen, die Zahlungen ausführen oder genehmigen, dass eine Aufforderung zu Geld, eine IBAN-Änderung oder Codes niemals allein über Telefon, SMS oder Chat ausgeführt wird. Ein Rückruf erfolgt immer an eine Nummer aus Ihrer eigenen Verwaltung oder Kontaktliste. (2) Vereinbaren Sie eine Kontrollfrage oder ein Codewort für dringende Anfragen der Geschäftsführung oder von Familienmitgliedern. Notieren Sie das Codewort nirgends digital, wo ein Angreifer es lesen könnte. (3) Legen Sie fest, was jeder bei einer unerwarteten Anmeldebenachrichtigung oder einer Reihe von Benachrichtigungen tut: ablehnen, melden, Passwort ändern, Sitzungen überprüfen (Lektion 2.5). (4) Prüfen Sie, ob die Kamera Ihres Telefons beim Scannen eines QR-Codes zuerst die Adresse anzeigt und erst beim Antippen öffnet. Verwenden Sie dafür einen QR-Code aus einer bekannten, eigenen Quelle (zum Beispiel einen Code, den Sie selbst für https://www.example.com erstellen). (5) Prüfen Sie, ob Ihre Chat-App und Ihre wichtigsten Konten eine zusätzliche Absicherung haben, die Sie noch nicht nutzen (zum Beispiel Zwei-Faktor-Authentifizierung (2FA) mit einer PIN, Nummernabgleich bei Anmeldebenachrichtigungen oder ein Passkey), und aktivieren Sie diese.
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es vergleichbar.
- WebOké Anleitung 3.6: Aktive Sitzungen anzeigen und abmelden
- Nextcloud-Anleitung 3.6: Geräte und Sitzungen anzeigen, widerrufen oder per Fernzugriff löschen
- BSI, Smishing: https://www.bsi.bund.de/
- BSI, IT-Sicherheitsvorfall melden/Hilfe: https://www.bsi.bund.de/DE/IT-Sicherheitsvorfall/it-sicherheitsvorfall_node.html
- BSI, Angebote für Unternehmen: https://www.bsi.bund.de/
- Phishing-Radar der Verbraucherzentrale, Betrug und Phishing melden: https://www.verbraucherzentrale.de/phishing-radar