Modul 3 · 3.4
Phishing per SMS, Chat, Telefon und QR-Code
Modul 3: Phishing erkennen · Lesezeit: 12 Minuten
Lernziel: Nach dieser Lektion erkennen Sie Phishing außerhalb von E-Mails: per SMS und Chat-Apps, am Telefon (auch mit einer nachgeahmten Stimme), über QR-Codes und über eine Flut von Anmeldebenachrichtigungen, und Sie wissen, wie Sie pro Kanal prüfen.
Kernbegriffe: Smishing, Freund-in-Not-Betrug, Vishing, Spoofing von Telefonnummern, gefälschte Helpdesk, Stimmklon, Quishing, MFA-Bombardement
Warum andere Kanäle so gut funktionieren
Alles aus Lektion 3.1 gilt auch hier: Dringlichkeit, Autorität, Angst, Neugier und Belohnung. Außerhalb der E-Mail funktionieren die Tricks jedoch oft noch besser:
- Am Telefon lesen Sie schnell. Der Bildschirm ist klein, Adressen werden abgeschnitten, und Sie sind oft gerade mit etwas anderem beschäftigt.
- Es gibt weniger Technik, die hilft. Ein Mailserver prüft SPF, DKIM und DMARC und hat einen Spamfilter. Für SMS, Chat und Telefon ist das viel weniger der Fall.
- Es fühlt sich persönlicher an. Eine Nachricht in einer Chat-App oder eine Stimme am Telefon weckt mehr Vertrauen als eine E-Mail.
- Es passiert live. Ein Anrufer kann nachhaken, Druck aufbauen und Sie Schritt für Schritt lenken.
Der Reflex bleibt derselbe: stoppen, über Ihren eigenen Weg prüfen, nachfragen. Was sich je nach Kanal unterscheidet, ist, wie diese Prüfung aussieht.
SMS und Chat: Smishing und Freund-in-Not
Smishing ist Phishing per SMS. Betrüger geben sich als Organisation aus, von der Sie eine SMS erwarten könnten: ein Transportunternehmen, die Bank, eine Behörde, Ihr Energieversorger. Laut dem niederländischen NCSC passiert dasselbe über Chat-Apps wie WhatsApp und Telegram.
Ein typisches Beispiel:
Kurierdienst: Ihr Paket konnte wegen unvollständiger Adresse nicht zugestellt werden. Planen Sie eine neue Zustellung:
https://blitzkurier.track-de.example/z8K
Lesen Sie den Link wie in Lektion 3.2: Die registrierbare Domain ist track-de.example und somit nicht blitzkurier.example des Transportunternehmens. Auf einem Telefon ist das besonders schwierig, weil Sie nur den Anfang sehen. Halten Sie einen Link gedrückt, um die vollständige Adresse zu sehen, oder öffnen Sie ihn nicht und gehen Sie selbst zur App oder Website des Transportunternehmens.
Die Absendernummer oder der Absendername sagt nichts aus. SMS-Absender und Telefonnummern können gefälscht werden (Spoofing). Eine gefälschte Nachricht kann dadurch im selben SMS-Verlauf erscheinen wie echte Nachrichten dieses Absenders. Auch ein bekannter Name über einer Nachricht ist also kein Beweis.
Freund-in-Not-Betrug läuft über Chat-Apps:
Hallo, das ist meine neue Nummer, mein Telefon ist kaputt. Können Sie kurz etwas für mich bezahlen? Ich zahle es Ihnen morgen zurück. Es muss noch heute sein.
In einem Unternehmen kommt derselbe Trick als Nachricht von "der Geschäftsführung" oder "einem Kollegen" mit neuer Nummer vor, der schnell eine Zahlung oder Geschenkkarten haben möchte. Prüfen Sie: Rufen Sie die Person auf der alten, bekannten Nummer an oder schreiben Sie ihr dort, oder stellen Sie eine Frage, die nur die echte Person beantworten kann.
Das Telefon: Vishing, gefälschte Helpdesk und Stimmklone
Vishing (Voice Phishing) ist Phishing am Telefon. Drei Formen kommen häufig vor.
Der Bankmitarbeiter. Jemand ruft im Namen der Bank oder der "Betrugsabteilung" an: Es gebe verdächtige Zahlungen, Ihr Geld müsse "in Sicherheit" gebracht werden, oder Sie müssten einen Code durchgeben oder eine Zahlung in Ihrer Banking-App freigeben. Auf Ihrem Bildschirm steht manchmal sogar die echte Nummer der Bank. Auch das kann gefälscht sein. Eine echte Bank fragt nie nach Ihren Anmeldecodes oder danach, Geld auf ein "sicheres Konto" zu überweisen.
Die gefälschte Helpdesk. Jemand ruft im Namen eines Softwareanbieters, Ihres Internetanbieters oder Ihres IT-Unternehmens an: Ihr Computer sei infiziert, es gebe ein Problem mit Ihrem Konto. Er bittet Sie, ein Programm zu installieren, damit er aus der Ferne mitsehen kann. Damit übernimmt er Ihren Computer. Das niederländische NCSC sagt es einfach: Geben Sie niemals ohne Weiteres jemandem Fernzugriff auf Ihre Geräte.
Die nachgeahmte Stimme. Mit KI kann eine Stimme anhand von Tonaufnahmen nachgeahmt werden, zum Beispiel aus einem Video oder einer Mailbox-Nachricht. Ein Stimmklon Ihrer Geschäftsführung oder eines Familienmitglieds kann dann mit einer dringenden Bitte anrufen. Sie können Ihren Ohren also nicht mehr blind vertrauen.
Was bei allen drei Formen hilft:
- Legen Sie auf, sobald Druck aufgebaut wird oder nach Codes, Geld oder Zugang gefragt wird. Das ist nicht unhöflich.
- Rufen Sie selbst zurück, auf einer Nummer, die Sie selbst heraussuchen oder bereits hatten: die Rückseite Ihrer Bankkarte, die offizielle Website, Ihr eigenes Adressbuch. Nicht die Nummer, die der Anrufer nennt.
- Vereinbaren Sie eine Kontrollfrage oder ein Codewort mit den Personen, die Sie um Geld bitten könnten, etwa der Geschäftsführung und der Buchhaltung. Legen Sie auch fest, dass Zahlungen niemals allein aufgrund eines Anrufs erfolgen (Lektion 1.2).
QR-Codes: Quishing
Ein QR-Code ist nichts anderes als ein Link, den Sie nicht lesen können. Quishing ist Phishing mit einem QR-Code. Zwei Formen:
- Auf der Straße oder in einem Raum. Ein Aufkleber mit einem eigenen QR-Code über dem echten, auf einem Parkautomaten, einer Ladesäule, einer Speisekarte oder einem Plakat. Sie denken, Sie bezahlen über die Parkapp, geben Ihre Kartendaten aber auf einer gefälschten Website ein.
- In einer E-Mail oder PDF-Datei. "Scannen Sie diesen Code, um Ihr Postfach zu bestätigen." Ein QR-Code in einem Bild lässt sich für Sie nicht mit der Maus überprüfen. Und Sie scannen ihn mit dem Telefon, wo Sie Adressen schlechter lesen können.
Das niederländische NCSC rät unter anderem:
- Scannen Sie keinen QR-Code ohne begleitenden Text oder begleitende Abbildung, und seien Sie vorsichtig bei Codes an öffentlichen Orten.
- Prüfen Sie, ob der Code wirklich auf das Plakat oder Schild gedruckt ist oder ob ein Aufkleber darübergeklebt wurde.
- Verwenden Sie einen Scanner, der zuerst anzeigt, zu welcher Adresse oder Domain Sie gelangen. In neueren Versionen von Android und iOS macht die Kamera das standardmäßig.
- Erkennen Sie die Adresse nicht, gehen Sie nicht weiter. Geben Sie kein Passwort und keine Zahlungsdaten ein, wenn Sie nicht sicher sind, dass die Website echt ist.
Schauen Sie sich bei der von der Kamera angezeigten Beispieladresse die registrierbare Domain an, genau wie in Lektion 3.2. Bei einem Parkautomaten können Sie auch die offizielle Park-App oder die Adresse auf dem Schild selbst verwenden.
MFA-Bombardement: wenn Ihr Telefon ständig piept
Viele Dienste senden beim Anmelden eine Benachrichtigung an Ihr Telefon: "Versuchen Sie sich anzumelden? Genehmigen oder ablehnen." Hat ein Angreifer bereits Ihr Passwort, versucht er immer wieder, sich anzumelden. Ihr Telefon erhält eine Benachrichtigung nach der anderen, manchmal mitten in der Nacht. Das nennt man ein MFA-Bombardement (auch MFA-Müdigkeit). Er hofft, dass Sie aus Irritation oder aus Versehen auf Genehmigen drücken. Manchmal ruft oder schreibt er zusätzlich als "Helpdesk": "Wir stellen Ihr Konto gerade wieder her, drücken Sie kurz auf Genehmigen."
Was Sie tun:
- Genehmigen Sie niemals eine Benachrichtigung, die Sie nicht selbst ausgelöst haben. Auch nicht, wenn jemand darum bittet.
- Betrachten Sie es als Alarm. Eine unerwartete Anmeldebenachrichtigung bedeutet, dass jemand Ihr Passwort hat. Ändern Sie das Passwort dieses Kontos sofort, über die Website oder App selbst.
- Prüfen Sie die aktiven Sitzungen und melden Sie unbekannte Sitzungen ab (Lektion 2.5).
- Wählen Sie eine stärkere Form der Zwei-Faktor-Authentifizierung, falls verfügbar. Bei der Nummernabgleich (Number Matching) müssen Sie eine Zahl vom Anmeldebildschirm in die App eintippen; eine Benachrichtigung ohne diesen Bildschirm vor sich können Sie dann nicht einfach genehmigen. Passkeys und Sicherheitsschlüssel (Lektion 2.4) sind noch stärker, da sie auf einer gefälschten Website nicht funktionieren.
In der Praxis: So sieht es aus
In Mein WebOké sehen Sie unter den aktiven Sitzungen, wo und wann Sie angemeldet waren, und können andere Sitzungen abmelden (WebOké-Anleitung 3.6). Andere Dienste, wie Ihr Mailprogramm, Ihre Buchhaltungssoftware oder Nextcloud, verfügen über eine ähnliche Übersicht unter den Sicherheitseinstellungen Ihres Kontos. Schauen Sie dort nach einer unerwarteten Anmeldebenachrichtigung als Erstes nach.
Zusammenfassung
- Außerhalb der E-Mail funktionieren dieselben Tricks, aber es gibt weniger Technik, die hilft, und Sie lesen schneller.
- Eine Nummer oder ein Absendername auf Ihrem Bildschirm beweist nichts: Diese können gefälscht werden.
- Am Telefon: auflegen, selbst auf einer bekannten Nummer zurückrufen, niemals Codes, Geld oder Zugang aus der Ferne gewähren. Auch eine bekannte Stimme kann nachgeahmt sein.
- QR-Codes: Achten Sie auf Aufkleber, lassen Sie die Kamera die Adresse anzeigen und lesen Sie die registrierbare Domain.
- Eine unerwartete Anmeldebenachrichtigung ist ein Alarmsignal: ablehnen, Passwort ändern, Sitzungen prüfen.
Quiz
Aufgabe
Aufgabe A3.4: Einen QR-Code lesen, ohne ihn zu öffnen. Das Programm zeigt einen QR-Code. Scannen Sie ihn mit der Kamera Ihres Telefons, öffnen Sie den Link aber nicht. Lesen Sie die von der Kamera angezeigte Adresse und tragen Sie die registrierbare Domain ein sowie, ob Sie den Link öffnen würden. Das Programm prüft es nach.
Aufgabe D3.4: Absprachen für Telefon, Chat und Anmeldebenachrichtigungen. Treffen Sie mit Ihrem Team Absprachen über Rückrufe, eine Kontrollfrage oder ein Codewort und darüber, was bei einer unerwarteten Anmeldebenachrichtigung zu tun ist. Prüfen Sie anschließend auf Ihrem eigenen Telefon, ob die Kamera die Adresse eines QR-Codes anzeigt, bevor etwas geöffnet wird.
Aufgabe D3.4: Absprachen für Telefon, Chat und Anmeldebenachrichtigungen
So gehen Sie vor: (1) Vereinbaren Sie mit den Personen, die Zahlungen ausführen oder genehmigen, dass eine Aufforderung zu Geld, eine IBAN-Änderung oder Codes niemals allein über Telefon, SMS oder Chat ausgeführt wird. Ein Rückruf erfolgt immer an eine Nummer aus Ihrer eigenen Verwaltung oder Kontaktliste. (2) Vereinbaren Sie eine Kontrollfrage oder ein Codewort für dringende Anfragen der Geschäftsführung oder von Familienmitgliedern. Notieren Sie das Codewort nirgends digital, wo ein Angreifer es lesen könnte. (3) Legen Sie fest, was jeder bei einer unerwarteten Anmeldebenachrichtigung oder einer Reihe von Benachrichtigungen tut: ablehnen, melden, Passwort ändern, Sitzungen überprüfen (Lektion 2.5). (4) Prüfen Sie, ob die Kamera Ihres Telefons beim Scannen eines QR-Codes zuerst die Adresse anzeigt und erst beim Antippen öffnet. Verwenden Sie dafür einen QR-Code aus einer bekannten, eigenen Quelle (zum Beispiel einen Code, den Sie selbst für https://www.example.com erstellen). (5) Prüfen Sie, ob Ihre Chat-App und Ihre wichtigsten Konten eine zusätzliche Absicherung haben, die Sie noch nicht nutzen (zum Beispiel Zwei-Faktor-Authentifizierung (2FA) mit einer PIN, Nummernabgleich bei Anmeldebenachrichtigungen oder ein Passkey), und aktivieren Sie diese.
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.
- WebOké Anleitung 3.6: Aktive Sitzungen anzeigen und abmelden
- Nextcloud-Anleitung 3.6: Geräte und Sitzungen anzeigen, widerrufen oder per Fernzugriff löschen
- Niederländisches NCSC, SMS-Phishing ('Smishing'): https://www.ncsc.nl/phishing/sms-phishing-smishing
- Niederländisches NCSC, Wie erkenne ich einen gefälschten Anruf?: https://www.ncsc.nl/phishing/hoe-herken-ik-een-neptelefoontje
- Niederländisches NCSC, QR-Codes: https://www.ncsc.nl/phishing/qr-codes
- Phishing-Radar der Verbraucherzentrale, Phishing melden: https://www.verbraucherzentrale.de/phishing-radar