Phishing erkennen: So lesen Sie einen Link und einen Absender
Phishing ist eine Nachricht, die sich als vertrauenswürdiger Absender ausgibt, damit Sie etwas tun, was Sie sonst nicht tun würden: sich auf einer nachgebauten Seite anmelden, einen Anhang öffnen, einen Code weitergeben oder bezahlen. Rechtschreibfehler sind kein gutes Erkennungsmerkmal mehr: Mit KI schreiben Betrüger fehlerfreies Deutsch. Achten Sie deshalb auf drei Dinge: wohin der Link wirklich führt, wer der tatsächliche Absender ist, und was die Nachricht von Ihnen verlangt.
Scheint die E-Mail von WebOké zu stammen? Lesen Sie dann Ist diese E-Mail wirklich von WebOké? Phishing erkennen und den Aktionscode verwenden. In den folgenden Beispielen verwenden wir erfundene Namen, die auf .example enden.
Einen Link lesen
Fahren Sie mit der Maus über den Link, ohne zu klicken: Die tatsächliche Adresse erscheint unten im Fenster. Auf dem Telefon halten Sie den Link gedrückt. Nur diese Adresse zählt, nicht der Text auf der Schaltfläche.
- Suchen Sie den Teil zwischen
https://und dem ersten/. Das ist der Host: der Server, zu dem Sie gehen. Alles nach dem ersten/bestimmt der Eigentümer dieses Hosts selbst. - Steht ein
@in diesem Teil? Dann beginnt der Host erst nach dem@. - Lesen Sie den Host von rechts nach links. Die registrierbare Domain ist die Endung plus ein Wort davor, zum Beispiel
mijnbank.example. Das ist der Name, den jemand registriert hat, und somit der Eigentümer. Alles links davon sind Subdomains, die der Eigentümer selbst frei wählt. Achten Sie auf zweiteilige Endungen wieco.uk: Beiwww.shop.voorbeeld.co.ukist die registrierbare Domainvoorbeeld.co.uk.
| Link | Tatsächlicher Eigentümer | Was ist hier los? |
|---|---|---|
https://inlog.mijnbank.example/klant | mijnbank.example | In Ordnung: eine Subdomain der Bank selbst |
https://mijnbank.example.inlog-check.example/login | inlog-check.example | Subdomain-Trick: Der echte Name steht am Anfang |
https://inlog.example/mijnbank.example/login | inlog.example | Pfad-Trick: Der Name steht nach dem ersten / |
https://mijnbank.example@aanvaller.example/ | aanvaller.example | @-Trick: Alles vor dem @ zählt nicht |
https://rnijnbank.example/ | rnijnbank.example | Lookalike: rn ähnelt m |
https://mijnbank-veilig.example/ | mijnbank-veilig.example | Ein zusätzliches Wort: eine ganz andere Domain |
https://xn--mijnbnk-6fg.example/ | xn--mijnbnk-6fg.example | Punycode: ein Buchstabe aus einem anderen Schriftsystem |
Ein Lookalike ähnelt der echten Domain: vertauschte Buchstaben, ein zusätzliches Wort oder Bindestrich, oder ein Buchstabe aus einem anderen Schriftsystem (ein kyrillisches а sieht aus wie ein gewöhnliches a). Ein solcher Name mit ungewöhnlichen Zeichen wird technisch als Punycode bezeichnet und beginnt mit xn--. Wirkt ein Name ansonsten ganz normal Deutsch, ist das verdächtig.
Verkürzte Links, Weiterleitungslinks und QR-Codes
- Ein verkürzter Link zeigt das Ziel nicht an. Bittet eine Bank oder ein Lieferant Sie über einen solchen Link, sich anzumelden, tun Sie das nicht.
- Ein Link kann bei einer echten Website beginnen und Sie weiterleiten. Prüfen Sie nach einem Klick erneut die Adressleiste, bevor Sie etwas eingeben.
- Ein QR-Code ist ein Link, den Sie nicht lesen können. Lassen Sie sich von der Kamera zunächst die Adresse anzeigen und lesen Sie diese. Achten Sie auf Aufkleber über einem echten Code, zum Beispiel auf einem Parkautomaten.
- Das Schloss-Symbol sagt nur aus, dass die Verbindung verschlüsselt ist. Auch gefälschte Websites haben ein Schloss-Symbol.
Den Absender lesen
- Der Name sagt nichts aus. Jeder kann als Namen „Mijnbank Kundenservice“, den Namen Ihres Geschäftsführers oder sogar eine E-Mail-Adresse eintragen. Klicken oder tippen Sie auf den Namen, um die tatsächliche Adresse zu sehen, und lesen Sie deren Domain genau wie bei einem Link.
- Achten Sie auf die Antwortadresse. Mit einem Reply-To geht Ihre Antwort an eine andere Adresse als den Absender. Prüfen Sie, bevor Sie auf Senden klicken, an wen Ihre Antwort wirklich geht, besonders wenn es um Geld oder Daten geht.
- Ein Absender kann gefälscht sein, und ein echter Absender kann gehackt worden sein. In den Kopfzeilen einer E-Mail sehen Sie, ob die Domain die E-Mail tatsächlich versendet hat. Aber auch eine erfolgreiche Prüfung beweist nur, dass die E-Mail von dieser Domain stammt, nicht dass diese Domain vertrauenswürdig ist. Wie Sie das lesen, erfahren Sie unter Die Kopfzeilen (Header) einer E-Mail anzeigen und lesen.
SMS, WhatsApp und Telefon
Ein Absendername oder eine Telefonnummer auf Ihrem Bildschirm kann gefälscht sein, auch wenn die Nachricht zwischen echten Nachrichten Ihrer Bank steht. Erhalten Sie eine Nachricht von „einem Kollegen mit einer neuen Nummer“, der schnell etwas bezahlt haben möchte, rufen Sie die alte, bekannte Nummer an. Ruft jemand im Namen der Bank oder eines Helpdesks an und bittet um einen Code, eine Zahlung oder Fernzugriff auf Ihren Computer? Legen Sie auf und rufen Sie selbst unter einer Nummer zurück, die Sie bereits hatten. Erhalten Sie einen Anmeldecode oder eine Benachrichtigung, die Sie nicht selbst angefordert haben, bestätigen Sie nichts und ändern Sie dieses Passwort.
Geht es um eine Rechnung oder eine geänderte Kontonummer, lesen Sie Gefälschte Rechnung, geänderte Kontonummer oder CEO-Betrug erkennen.
Sind Sie unsicher? Stopp, prüfen, fragen
- Stopp. Eile, Schreck oder eine Belohnung sind genau der Moment, um nicht zu klicken.
- Prüfen Sie auf Ihrem eigenen Weg. Gehen Sie nicht über die Nachricht weiter. Geben Sie die Adresse selbst ein oder verwenden Sie Ihr Lesezeichen, und rufen Sie eine Nummer an, die Sie bereits hatten.
- Fragen Sie einen Kollegen oder den Absender über einen anderen Kanal.
Melden Sie eine Phishing-E-Mail bei der Fraudehelpdesk: Leiten Sie sie am besten als Anhang weiter an valse-email@fraudehelpdesk.nl und setzen Sie das nachgeahmte Unternehmen in CC. Eine SMS oder WhatsApp-Nachricht melden Sie über das Meldeformular. Siehe Gefälschte E-Mail melden.
Weitere Beispiele bietet das NCSC in Wie erkenne ich eine Phishing-E-Mail?, SMS-Phishing und Wie erkenne ich einen gefälschten Anruf?.