Phishing-E-Mails erkennen: Diese Tipps helfen Ihnen

Mit der Digitalisierung haben sich auch die Kommunikationskanäle von Unternehmen nachhaltig verändert. Heute kommunizieren die meisten Firmen per E-Mail mit ihren Kunden: Seien es Benachrichtigungen über die Zustellung von Waren, Bestätigungen über abgeschlossene Abonnements oder Newsletter. Leider gibt es auf diesem Kanal immer wieder Betrüger, die versuchen, mithilfe von Phishing-E-Mails an sensible Informationen und persönliche Daten von Unternehmen und ihren Kunden zu gelangen. Doch was genau ist eigentlich Phishing? Und wie kann man Phishing-E-Mails erkennen? Wir klären in diesem Artikel auf!

Der Begriff “Phishing” setzt sich aus den Wörtern “Phreaks” und “fishing” zusammen: Als “Phreaks” wurden in den 1990er Jahren Hacker bezeichnet, die mithilfe des Versendens betrügerischer E-Mails versuchten, nach vertraulichen Informationen zu “fischen”. 

Bei “Phishing E-Mails” handelt es sich folglich um gefälschte, aber täuschend echt wirkende E-Mails, die den:die Empfangende dazu bringen sollen, Finanzinformationen, Zugangsdaten oder andere sensible bzw. persönliche Daten herauszugeben.

Dabei geben sich die Betrüger häufig für jemand anderen aus und täuschen somit die Identität einer Organisation (z.B. einer Bank, eines Amtes oder eines Unternehmens) oder einer Person, die der:dem Empfangenden nahe steht, vor.

Um an die entsprechenden Informationen zu kommen, verwenden die Betrüger verschiedenste Strategien, wie z.B. manipulierte Links, Anhänge, Formulare oder Ähnliches.

Aufgrund der Bedrohung, die Phishing E-Mails für Unternehmen darstellen können, ist es wichtig, diese bereits frühzeitig zu erkennen, um nicht auf den Betrug hereinzufallen. In der Regel gibt es verschiedene Merkmale, die eine Phishing-E-Mail auszeichnen und anhand derer sie diese erkennen können:

Cyberkriminelle sollten eigentlich keinen Zugang zu den Datenbanken der Unternehmen, deren Identität sie annehmen, haben. Sie versenden ihre E-Mails oft wahllos. Erhalten Sie also eine E-Mail von einem Unternehmen, bei dem Sie kein Kunde sind, sollten Sie vorsichtig sein. Es besteht jedoch auch die Gefahr, dass Cyberkriminelle Phishing-Mails an die Kunden eines Unternehmens schicken und sich als dieses ausgeben. In diesem Fall ist es entweder Zufall oder es ist den Betrügenden gelungen, sich Zugang zur Datenbank des entsprechenden Unternehmens zu schaffen.

Die meisten Phishing-Betrüger verwenden sehr ähnliche E-Mail-Adressen wie die Unternehmen, deren Identität sie annehmen. So kann es passieren, dass nur ein einziger Buchstabe in der E-Mail-Adresse geändert wurde (z.B. gooqle statt google) und sich die gefälschte und echte Absender-Adressen zum Verwechseln ähnlich sehen. Erst bei genauerem Hinsehen wird deutlich, dass die E-Mail-Adresse fehlerhaft und unseriös ist. Vergessen Sie deshalb nie, Name und E-Mail-Adresse des Absenders zu prüfen, bevor Sie eine Mail anklicken oder gar Links und Anhänge öffnen.

Die Betreffzeile einer Phishing-Mail bringt das Opfer normalerweise dazu, die Nachricht zu öffnen, weil ein Gefühl von Dringlichkeit und unmittelbarem Handlungsbedarf vermitteln wird. Formulierungen wie "Sicherheitswarnung", "Letzte Chance für", “Konto gesperrt” oder “Online-Zugang gehackt” sind in diesem Kontext nicht selten. Ziel der Hacker ist es, unüberlegte und schnelle Klicks vonseiten der Empfänger:innen zu provozieren. Lassen Sie sich nicht von solchen kurzen und vermeintlich dringlichen Fristen unter Druck setzen und antworten Sie nicht auf diese Art von E-Mails. Stattdessen sollten Sie sich direkt mit der entsprechenden Organisation, wie z.B. Ihrer Bank, in Verbindung setzen, um herauszufinden, ob es tatsächlich ein Problem gibt.

Phishing-Mails enthalten viele Rechtschreib- und Grammatikfehler. Diese Fehler ermöglichen es den Kriminellen, Spam-Filter zu umgehen. Phishing-Texte stammen oft aus dem Ausland und werden maschinell übersetzt, was die ungewöhnlichen Formulierungen und Fehler erklärt. Leider gewinnen Cyberkriminelle allerdings immer mehr an Erfahrung und optimieren stetig ihre Strategien. Seien Sie also misstrauisch und nehmen Sie die Rechtschreibung einer E-Mail nicht als einziges Kriterium für das Erkennen einer Phishing-Mail zur Hand.

Während Sie in seriösen E-Mails in der Regel mit Ihrem korrekten und vollständigen Namen angesprochen werden, so fehlt die persönliche Anrede in Phishing-Mails in vielen Fällen. Das liegt daran, dass diese massenhaft an eine große Datenbank von Mailadressen verschickt werden. Diese gefälschten E-Mails beginnen mit einer allgemeinen Begrüßung, z. B. "Sehr geehrter Kunde". Wenn Sie Ihren Namen in der Begrüßung nicht sehen, seien Sie misstrauisch und klicken Sie nicht auf Links oder Anhänge.

Abfragen persönlicher Informationen oder vertraulicher Daten, wie z.B. einer PIN, einer TAN oder eines Passwortes, sind ein weiteres Merkmal von Phishing. Hierzu sei gesagt, dass Banken, Ämter oder andere Organisationen solche Informationen niemals telefonisch oder per E-Mail abfragen würden. Ein solches Handeln wäre mit der Datenschutz-Grundverordnung (DSGVO) nicht konform. Geben Sie also niemals Ihre Anmeldungs-, Bank- oder Kontodaten einfach so an Fremde weiter. 

Eine beliebte Methode von Hackern, an Ihre persönlichen Daten zu gelangen, ist die Aufforderung, einen Anhang, einen Link oder ein Formular zu öffnen. Klickt man versehentlich darauf, wird ein schädliches Programm, wie z.B. ein Virus oder Trojaner, auf Ihrem Computer installiert, ohne, dass Sie etwas davon mitbekommen. Überprüfen Sie Links und Anhänge deshalb unbedingt, bevor Sie diese öffnen! Mehr Informationen zu diesem Thema finden Sie im Abschnitt “Wie schützt man sich vor Phishing-E-Mails? - Links und Anhänge überprüfen”.

Da Phishing eine ernsthafte Bedrohung für Unternehmen darstellen kann, ist es von großer Bedeutung, sich bestmöglich dagegen zu schützen. 

Im Folgenden geben wir Ihnen vier Tipps an die Hand, wie Sie einen Betrug durch Phishing verhindern können.

Wie bereits erwähnt, kann man eine Phishing-Mail oft schon an einem unseriösen Absender erkennen. Prüfen Sie also, ob Sie den Sender der E-Mail kennen und ob die E-Mail-Adresse valide ist. 

Vergewissern Sie sich vor dem Öffnen eines Links, dass Sie den Domainnamen und die URL (die Adresse der Webseite) überprüft haben. Dazu müssen Sie nur mit der Maus über den Link fahren, ohne ihn anzuklicken. Sie werden sehen, dass der vollständige Link unten links angezeigt wird. Prüfen Sie, ob der Link Fehler enthält bzw. korrekt und seriös ist. Manchmal wird nur ein einziges Zeichen im Link geändert, um Sie zu täuschen, wie wir es Ihnen bereits oben im Fall von Google gezeigt haben. Um zu überprüfen, ob es sich wirklich um die Adresse des Unternehmens handelt, gehen Sie in Ihrem Browser auf die offizielle Website.

Was die Dateien im Anhang (PDF-Dokumente, Bilder, Videos, usw.) betrifft, so sollten Sie vermeiden, diese anzuklicken oder herunterzuladen, wenn Sie den Absender nicht kennen oder Zweifel am Inhalt haben. Es kann passieren, dass Sie nach dem Öffnen auf eine betrügerische Website weitergeleitet werden, die Sie dazu auffordert, Ihre Daten einzugeben oder einen Virus auf Ihrem Gerät zu installieren.

Egal, wo Sie sich befinden - Sie sollten immer dafür sorgen, dass Sie mit Ihren Geräten nur über gesicherte Netzwerke auf das Internet zugreifen. Gerade in öffentlichen WLAN-Verbindungen laufen Sie Gefahr, dass Hacker sich Zugriff zu Ihren sensiblen Daten verschaffen.

Um sich zusätzlich gegen externe Angriffe zu schützen, ist es zu empfehlen, sich eine Anti-Viren-Software zu kaufen und zu installieren. So werden potenzielle Risikoquellen frühzeitig erkannt und können zeitnah behoben werden.

Sollten Sie trotz der Schutzmaßnahmen unglücklicherweise Opfer von Phishing werden, so sollten Sie folgende Maßnahmen befolgen:

Wenn Sie als Mitarbeiter:in einer Firma Opfer einer Phishing-Mail geworden sind, wenden Sie sich an die IT-Abteilung, damit diese die notwendigen Maßnahmen ergreifen kann, um der Situation bestmöglich entgegenzuwirken. Wenn Sie eine Privatperson sind, wenden Sie sich per E-Mail an das entsprechende Unternehmen.

Ändern Sie alle Ihre Passwörter, die mit denen identisch sind, die Sie an die Kriminellen weitergegeben haben.

Sofern Sie Ihre Bankdaten weitergegeben haben, sollten Sie Ihre Konten bei der Bank sofort sperren lassen, damit keine großen Geldsummen abgehoben werden können.

Machen Sie Screenshots von den SMS oder E-Mails, die Sie erhalten haben, um sich eine Beweismappe anzulegen, die Sie im nächsten Schritt verwenden können.

Falls auf Ihrem Bankkonto Abbuchungen verzeichnen oder sensible Informationen weitergegeben haben, die zum Identitätsdiebstahl verwendet werden könnten, sollten Sie mit den im vorherigen Schritt gesammelten Beweisen sofort Anzeige erstatten.

Cybersicherheit ist ein Thema, dem Unternehmen heutzutage eine hohe Wichtigkeit beimessen sollten, um nicht Gefahr zu laufen, Schäden durch externe Zugriffe davonzutragen. Phishing-E-Mails, also gefälschte E-Mails, mithilfe derer sich Hacker Zugang zu sensiblen Daten verschaffen möchten, sind eine dieser Bedrohungen, gegen die sich Unternehmen und ihre Mitarbeitenden schützen müssen. 

Abgesehen von den Maßnahmen, wie man vermeidet, auf betrügerische Phishing-E-Mails hereinzufallen, haben wir noch einen weiteren Digitalisierungtipp für Sie: Mithilfe der Verwendung von e-Signaturen können Sie Ihrem Vertragsmanagement deutlich mehr Effizienz und Rechtssicherheit verleihen. Weshalb das so ist, erfahren Sie in unserem Blogbeitrag “Sind digitale Unterschriften rechtssicher?.

_

Dieses Dokument dient ausschließlich Informationszwecken. Es wird keine Gewähr für die Vollständigkeit und Aktualität der Informationen übernommen. Es ersetzt keine Rechtsberatung.