Phishing-Alarm: So schützt Du Dein Konto vor Hackern & Betrügern

Wenn man einen Anruf von einer unbekannten Telefonnummer bekommt und der Anrufer. ob "Umfrage" oder "Ihr Computer ist verseucht" oder ähnliches kommt, sofort wortlos auflegen!

Hilfreich bei verdächtigen Mails ist es, die Emailadresse und die html-Adresse, auf die der Link zeigt, zu analysieren. Häufig haben weder die E-Mailadresse noch die HTML-Adresse etwas mit der Bank oder dem Unternehmen zu tun.

Erster Grundsatz: Man loggt sich in seine Bank oder welchen Dienstleister auch immer so, wie man es normalerweise macht aber nicht über einen obskuren Link in der E-Mail oder sonstwie!
Wenn man diesen Grundsatz beherzigt, ist die größte Gefahr schon beseitigt!

Letztens Real Life Scam gehabt:
Telekom KLINGELT an der Tür "Wir verlegen hier bald Glasfaser, Sie müssen jetzt sofort unterschreiben, später kostet Sie der Anschluss 800 Euro".
Mich. Als Mieter. Klar. An der Haustür. 😂

Mein Senf dazu und ein Seitenhieb auf die Anbieter, die sich oftmals mehr rechtlich absichern wollen, als sie daran interessiert sind, einen optimalen Ausgleich von Praktikabilität und Sicherheit zu erzielen.


1. Das Fälschen von E-Mail-Absender-Adressen ist nichts Neues und prinzipiell ein absolut legales Feature von SMTP, das ich bereits vor 26 Jahren in legaler Mission benutzt habe. Anders kann man keine Mandanten-Systeme aufsetzen, es gehört zum elementarsten Grundhandwerk.



2. Leider gibt es immer noch immer Anbieter, die auf in Ihren E-Mails Telefonnummern oder Links nennen, und nicht lapidar schreiben weitere Details siehe unsere ihnen bekannte Webseite,

unter Punkt.



3. Eine besondere Unart ist es, wenn diese Anbieter den unter (2.) genannten Links

neue Second-Level-Domain-Namen verwenden. Und nicht ihre ursprünglichen.



Angebot.deusche-bank.de



Geht noch in Ordnung



Angebot-deutsche-bank.de



Ist dagegen eine Zumutung, da letztere prinzipiell von jedem beliebigen Verbrecher in jedem beliebigen Land eingerichtet werden kann.



4. Rat: Sobald man sich für eine Online-Bank entschieden hat, sollte man auf diese

einen Bookmark setzen.

Ich landete bei der Eingabe von Domain-Namen und erst recht über die Google-Suche

schon auf Pishing-Seiten, oder zumindest "Konkurrenz"-angeboten.



5. Wenn man für seine 100 digitalen Identitäten verschiedene jeweils 20 Zeichenlange maschinengenerierte Passworte verwenden und diese alle 30 Tage wechseln soll,

so ist hoffentlich der Einsatz eines Passwort-Managers statthaft.



6. Dass das Passwort bei der Eingabe standardmäßig ausgeblendet wird ist ok.

Es stört mich aber, wenn es nicht eingeblendet werden kann.

Viele Leute sitzen beim Online-Banking alleine vor dem PC und würden ein komplizierteres Passwort wählen, wenn sie dies vor dem Absenden noch mal überprüfen könnten

… und nicht alleine wegen simplen Tippfehlern der Falsch-Passwortzähler hochgezählt wird.



Häufiger kommt es noch vor, dass man ein neues Passwort zwar zweimal eingeben muss,

dieses aber bei der Eingabe nicht angezeigt werden kann. … so manch einer wird das Passwort dann im Texteditor vorschreiben und mit Copy-Paste einfügen … auch weil es vorkommen kann, dass man ein neues Passwort zweimal falsch schreibt.

Man sollte nicht voraussetzen, dass alle Menschen doppelt-blind schreiben können, so wie dies von Sekretärinnen vor 40 Jahren erwartet wurde.



Etwas Angst habe ich davor, dass mal etwas bei der Übertragung von Passworten von KeyPass in das Webformular schiefgeht.


…. Ach so

Je mehr ich mich mit diesem Thema befasse, umso mehr komme ich allerdings auch zu dem Schluss, dass man in der Digitalen Welt ein höheres Maß an Sicherheit erreichen kann, als in der Analogen.

Sehr gut zusammengefasst, danke schön.

nein, eine derartige Bitte ist mir noch nicht untergekommen, vermutlich landen sie gleich im Spam-Ordner. Da ich kein Paypal, keine Zahlungsdienstleister und kein Online-Banking habe, ist mein Konto sehr gut geschützt.

Direkt beim ersten von PayPal sieht man das dass eine Betrugsmail ist. Lest den ersten Satz unter dem Button "Bestätigen".
Bei Misachtung oder Verweigerung...
"Misachtung" wird Missachtung geschrieben.

Gut, dass ich keine Kinder und somit Enkelkinder habe. Natürlich habe ich solche SMS bereits erhalten, aber die sorgen eher für Belustigung und werden gleich gelöscht und der Absender blockiert. Das mit dem Passwort regelmäßig ändern muss ich mir allerdings noch angewöhnen. 🙈

Noch weitere Tipps:

- nutzt ein Pi-Hole im WLAN, das zusätzlich Phishing-Links wegblocken kann (häufig nützlich, wenn nicht-versierte Personen auch im Haushalt leben). Über sich aktualisierende Blocklists kann man auch einiges abfangen.

- Chip-TAN nutzen. Im Sinne einer Zwei-Faktoren-Authentifizierung ist das klassische Offline Chip-TAN immer noch selber sicher ggü einer Smartphone-Lösung, auf dem Authentifizierung und Banking auf dem selben Gerät stattfinden.

- Linux-Live-System nutzen. Wer es ganz sicher will, kann zum Online-Banking Live-Systeme wie Knoppix u.a. nutzen, die getrennt vom regulären Systembetrieb agieren. Die Dauern werden nicht dauerhaft gespeichert, sondern mit jedem Neubooten ist alles auf Anfang.

Na ja - fürs Banking brauche ich nicht ein supersicheres Passwort. Mit dem kann ohnehin niemand etwas anfangen. Hier würde ich auf jeden Fall auf ein Tamagotchi bestehen und nicht irgendeine App nutzen wollen.

chipTAN QR statt pushTAN. Sicherer geht es nicht.

Kleiner Tipp: NIEMALS auf Links in Mails, SMS, etc. klicken.
Einfach stattdessen selber auf die Website z.B. der Bank gehen und sich durch die Menüs durchhangeln.

Wenn die z.B. Bank wirklich was von euch will, dann schreibt sie euch das auch auf der offiziellen Website (nach Anmeldung).

Von daher NIEMALS auf Links klicken, auch nicht bei "bekannten" Emails.

Bei meiner Bank kann das Passwort nur aus Ziffern bestehen. Ich kann also gar kein komplizierteres Passwort nehmen. Auf Nachfrage meinten sie, das sei sicher genug. Aber ich finde es doch ziemlich antiquiert!

Mein Vater wurde Opfer von Phishing und hat viel Geld verloren. Die comdirect tut nix und die bank C24, wo das Geld transferiert worden ist, mauert auch und kooperiert nicht mit der Polizei. Der Polizist meinte, dass diese Banken bekannt dafür seien, nicht zu kooperieren. Nur die Sparkasse würde innerhalb eines Tages sich melden und verdächtige Konten sperren.

Unabhängig von den anderen aktuellen "Kontroversen" rund um Trade Republic würde ich mich über eine Deep-Dive-Einschätzung zur Sicherheit freuen.
Konkret: Zum einen der Verifizierungsprozess mittels Selfie-Methode. Dies wirkt auf mich etwas unsicher, u.a. auch deshalb, da die Selfies von einem Drittunternehmen verarbeitet werden. Anders als bei anderen Banken, die z.B. mit VideoIdent arbeiten (u.a. auch mit Verifizierung über Sprache), könnte ich mir hier Datenmissbrauch gut vorstellen.
Zum anderen die Freigabe von Überweisungen, Verkäufen etc. Dies geht ja über Fingerabdruck oder als Fallback mit einer PIN. Während bei anderen Banken kein App-Zwang besteht, ist bei TR alles auf dem Smartphone und quasi "nur" mit der 4-stelligen PIN geschützt. Da es ja nicht nur das Girokonto, sondern ggf. auch ein Depot mit hohen Beträgen betrifft, könnte ich mir vorstellen, dass dies nicht so gut geschützt ist.
Aber ist vielleicht nur eine unberechtigte Vorstellung von mir 😅

Aktueller Fall in Österreich: Ein Mitarbeiter ist auf eine falsche Mail hereingefallen und binnen Stunden wurden 2,7 Millionen erbeutet.

Ein reines vergleichen von Domains (u.a. Punkt 7) reicht leider seit der Einführung von Unicode nicht mehr. Sofern Daten eingegeben werden müssen, immer manuell Domain eingeben. Stichwort: Homographischer Angriff. Einfach mal googeln (Insbesondere griechische Zeichen von Wikipedia). Mein vorheriger Kommentar wird aufgrund der Nennung von Beispielen instant gestriked. Ist leider noch viel zu unbekannt wenn auch schon bei einem großen Zahlungsdienstleister passiert.

Vielen Dank für das wichtige Video!

7:16 Das gesamte Internet ist öffentliches Netz. Natürlich ist es doof, wenn der DNS in einem fragwürdigen Free-Wlan die IP meiner Bankdomain auf eine Betrügerseite umbiegt, aber spätestens die Banking-App oder der Browser sollten das falsche TLS-Zertifikat erkennen und die Kommunikation abbrechen, noch bevor man sich einloggt.

Ein unsicheres Wlan (also offen, ohne Passwort etc.) ist genauso unsicher wie die mobilen Datennetze oder der heimische Internetanschluss. Wenn die Bank keine moderne Verschlüsselung (HTTPS) anbietet, macht sie was falsch. Und Finanztip macht was falsch, indem immer wieder die nachweislich falschen Sicherheitstipps heruntergebetet werden.

Ich kann bei meiner Bank überhaupt nichts ohne 2 Faktor Authentifizierung freigeben. Wie soll da Phishing zu einem Schaden führen?

Ich kann meine Passwörter oder PIN‘s gar nicht weiter geben. 😂Ich hab ein Gedächtnis wie ein Sieb. 😅
Ohne Passwort Manager wäre ich pleite.

Windows hat längst einen eingebauten hochwertigen Virensanner!
Veraltet ist auch der TIPP das Passwort regelmäßig zu ändern, das verleitet nur dazu sich dieses doch irgendwo zu notieren!
Da bei Smartphones, der Bequemlichkeit wegen, auf einen echten 2. Faktor (z. B. TAN-Generator) verzichtet wird, wäre mir dies viel zu unsicher! Banking-Trojaner wie Anatsa zeigen, dass selbst Appstores nicht unproblematisch sind.

EMAILS SIND NUR HINWEISE!
KEINE Informationen, wie z.B. Links, Telefonnummern, Emailadressen, ..., dürfen aus einer Email genutzt werden.
Die Email ist nur ein Hinweis, dem man nachgeht - auf dem gewohnten Weg, wie z.B. das Portal des Services aufrufen, über ein Lesezeichen oder manuelle Eingabe.
Steht die Nachricht nicht im Portal des Services, dann ist es wohl ein Fake.
Nichts tun ist SEHR OFT sicherer. Bei Bedrarf Hilfe suchen.
EMAILS SIND NUR HINWEISE!

Zunächst einmal hilft es, Limits für Online-Banking einzurichten, z.B. für die maximale Überweisungssumme pro Tag. Das kann im Angriffsfall den Schaden begrenzen und auch Zeit zum Handeln erkaufen. Allerdings ist alle Mühe vergebens, wenn man für das Online-Banking ein Smartphone benutzt. Nur hier gibt es eine extrem gefährliche Angriffsvariante, die so beim reinen PC-basierten Banking nicht existiert.

Wenn per Phishing die Zugangsdaten abgegriffen wurden, hat der Angreifer lesenden Zugriff auf das Konto. Die hierdurch gewonnenen Informationen (Name, Tel.Nr., Kontobewegungen) werden dann bei einem Anruf verwendet, um sich Glaubwürdigkeit als vermeintlicher Bankmitarbeiter zu verschaffen. Bei dem Anruf wird dann versucht, das Opfer in Stress zu versetzen ("Ich sehe hier eine Überweisung von €5000 nach Kasachstan.") Man könne diese Überweisung allerdings jetzt sofort rückgängig machen, dazu benötige der angebliche Bankmitarbeiter allerdings eine TAN, was natürlich vollkommener Blödsinn ist. Generiert das Opfer die TAN und nennt sie dem Betrüger, ist alles zu spät. Denn der nutzt die TAN, um das Konto für sein Smartphone zu autorisieren. Das Opfer hat ab sofort keinen Zugriff mehr.

Nun helfen auch keine Limits mehr, denn der Betrüger kann diese einfach aufheben. Dann ist nicht nur das Girokonto incl. Dispo geleert, sondern auch z.B. das Tagesgeldkonto. Das Geld ist unwiederbringlich verloren, da der Betrüger das wunderbare Feature "SEPA-Echtzeitüberweisung" nutzen kann. Innerhalb von Minuten ist das Geld auf einem Konto in einem SEPA-Land, das es mit der Authentifizierung von Kontoinhabern nicht so genau nimmt. Dort wird das Geld dann entweder weitergeschickt oder als Bargeld abgehoben.


Das Opfer hat keinerlei Aussicht, in einem solchen Fall das Geld von der Bank erstattet zu bekommen. Diese kann anhand der Logfiles nachweisen, wie die Sache abgelaufen ist. Jemandem am Telefon eine TAN zu nennen, darf man wohl als grobe Fahrlässigkeit ansehen.

Am Abesender kann man oft schon sehen dass es nicht echt sein kann. Leider sind hier auch Emailanbieter oft teilschuld, weil gerade die Massenmailer wie Microsoft, Google, Gmx/Web_de und co so ziemlich jeden Mist akzeptieren und ins Postfach legen.

Wenn man einen Passwort Manager verwendet, würde selbst wenn man falschen Bösen Link anklickt, wegen anderer URL nicht die Daten von Bank automatisch ausfüllen.

Man könnte auch sagen nutzt die Finanztip Empfehlungen an Banken, dann hat man i.d.R. auch keinen passenden Spam sondern für andere Banken wo man kein Kunde ist. 😉😁

Ein Video das erklärt, wie die Phishing Täter ermittelt werden können, wäre schön.

Bin gestern reingefallen! Ich erwarte zufällig ein DHL Paket und siehe da, eine SMS.

Also sowohl Virenscanner als auch das häufige Ändern von Passwörtern wird nicht mehr so wirklich empfohlen. Stattdessen ist es wichtiger, dass man regelmäßig alle verfügbaren Sicherheitsupdates für sein Betriebssystem installiert und man sollte einen Passwortmanager benutzen, z.B. Bitwarden oder KeePass.

05:46 Sprachliche Fehler - Ist aber nichts für Botschaftsmitarbeiter wenn die deutsche Außenministerin angeblich anruft.