Auf einen Blick
- Prüfzeit: rund 30 Sekunden je verdächtiger Nachricht
- Karten sperren: Sperr-Notruf 116 116, aus dem Ausland +49 116 116
- Lastschrift zurückholen: 8 Wochen ohne Begründung, 13 Monate bei nicht autorisierter Abbuchung
- Niemals: Links anklicken, Anhänge öffnen, Zugangsdaten eingeben
Prüfen Sie die Absenderadresse, das Linkziel und die gesetzte Frist. In dieser Reihenfolge.
Drei Handgriffe genügen, weil professionelle Fälschungen an anderer Stelle längst fehlerfrei sind.
Das Bundesamt für Sicherheit in der Informationstechnik warnte Anfang September nach einem großen Datenleck vor gezielten Phishing-Wellen.
Gezielt heißt: Die Angreifer kennen Ihren vollen Namen, Ihre Anschrift und Ihre Bankverbindung.
Die alten Merkmale greifen deshalb nicht mehr.
Der Absendername ist frei wählbar, die Adresse dahinter nur selten
Rechtschreibfehler galten jahrelang als sicheres Zeichen. Heute schreiben Sprachmodelle fehlerfreies Deutsch, und der Hinweis ist wertlos geworden.
Dasselbe gilt für die unpersönliche Anrede.
Aus geleakten Datensätzen kennen Absender Ihren Namen und sprechen Sie korrekt an.
Verlässlich bleiben nur die technischen Merkmale, und die lassen sich nicht beliebig fälschen.
Lesen Sie die Adresse, nicht den Namen
Der angezeigte Absendername ist ein freies Textfeld. Dort kann "Sparkasse Kundenservice" stehen, während die Adresse auf einen Freemail-Anbieter zeigt.
Klappen Sie die Kopfzeile auf und lesen Sie die vollständige Adresse. Entscheidend ist der Teil hinter dem @-Zeichen, gelesen von rechts nach links.
Die letzten beiden Bestandteile vor dem Länderkürzel bilden die echte Domain.
Bei sparkasse.sicherheit-kundenportal.de gehört die Mail also zu sicherheit-kundenportal.de, nicht zur Sparkasse.
Beginnt eine Domain mit xn--, stehen dahinter fremde Schriftzeichen, die lateinischen Buchstaben ähneln. Das ist praktisch immer ein Täuschungsversuch.
Jeder Link zeigt sein Ziel, bevor Sie ihn anklicken
Fahren Sie am Rechner mit der Maus über den Link, ohne zu klicken. Unten links im Fenster erscheint die tatsächliche Zieladresse.
Auf dem Smartphone halten Sie den Link gedrückt, bis eine Vorschau erscheint. Wenden Sie dann dieselbe Leseregel an wie bei der Absenderadresse.
Der sichtbare Linktext ist Dekoration. Nur die Zieladresse in der Statusleiste zählt.
Verkürzte Links verbergen ihr Ziel vollständig und kommen in seriöser Geschäftspost nicht vor.
Anhänge behandeln Sie nach derselben Logik. Archive im ZIP-Format, HTML-Dateien und Office-Dokumente mit Makros öffnen Sie nie aus unerwarteten Nachrichten.
Zeitdruck ist das verlässlichste Merkmal geblieben
Kein Kreditinstitut sperrt ein Konto binnen 24 Stunden per E-Mail-Ankündigung. Keine Behörde verlangt eine Rückmeldung noch am selben Tag über ein Webformular.
Die künstliche Frist ist der eigentliche Angriff, denn sie soll die Prüfung verhindern.
Genauso verhält es sich mit angeblichen Rückerstattungen und Paketgebühren von wenigen Euro. Der geringe Betrag senkt die Hemmschwelle, die Kartendaten einzugeben.
Im Zweifel schließen Sie die Nachricht und rufen die Nummer an, die auf Ihrer Karte oder Ihrer letzten Rechnung steht. Niemals die Nummer aus der Mail selbst.
Spam, Phishing und Co. erkennenBundesamt für Sicherheit in der Informationstechnik →
Nach einem Fehlklick entscheidet die Reihenfolge
Haben Sie Zugangsdaten eingegeben, ändern Sie zuerst das Passwort des betroffenen Dienstes.
Nutzen Sie dafür ein anderes Gerät und rufen Sie die Seite über ein Lesezeichen auf, nicht über die Mail.
Aktivieren Sie anschließend die Zwei-Faktor-Anmeldung, sofern der Dienst sie anbietet.
Prüfen Sie im Postfach danach die Weiterleitungsregeln. Angreifer richten dort gern eine stille Kopie ein, die auch nach dem Passwortwechsel weiterläuft.
Kernpunkt: Sind Karten- oder Kontodaten abgeflossen, sperren Sie sofort über 116 116 und informieren Sie danach Ihre Bank. Jede Stunde Verzögerung erhöht den Schaden, den Sie später begründen müssen.
Bei unberechtigten Abbuchungen holen Sie eine SEPA-Lastschrift innerhalb von acht Wochen ohne Begründung zurück.
War die Lastschrift nie autorisiert, verlängert sich die Frist auf 13 Monate.
Erstatten Sie bei tatsächlichem Geldverlust Anzeige, denn die Bank verlangt für die Erstattung in der Regel ein Aktenzeichen.
Antworten Sie der Absenderadresse nicht und klicken Sie keinen Abmeldelink an. Beides bestätigt lediglich, dass Ihre Adresse aktiv gelesen wird.
