PC-Tipps

Der klassische Phishing-Betrugsversuch

Falls Sie mal wieder eine dieser Bank-Mails erhalten haben und unsicher sind, ob die Sparkasse tatsächlich Ihre PIN-Nummer will - hier habe ich die wichtigsten Kriterien zusammen gestellt, anhand derer Sie den Betrug identifizieren können.

Hier zunächst eine Beispiel-Mail, wie Sie neulich bei mir ankam:

Folgende Kriterien verraten Ihnen, dass es sich um einen Betrugsversuch handelt:

1. Keine persönliche Anrede mit Ihrem Namen (nur "Sehr geehrter Kunde").
2. Der Link "klicken Sie hier" führt auf die Seite "http:// www. auto-loans-financing-bad-credit.com/lkspar" und nicht auf die Sparkasse. Kontrollieren Sie das, indem Sie ohne zu klicken, mit der Maus über "Klicken Sie hier" schweben. Ihr Mail-Programm zeigt dann irgendwo (beim Thunderbird z.B. links unten) an, wo die echte Ziel-Adresse des Links hin führt.
3. Der Absender lautet "Sparkasse <Lmunsch@vusd.org>". "vusd.org" gehört garantiert nicht der Sparkasse. Leider sind Mail-Programme sehr häufig so eingestellt, dass man die Mail-Adresse nicht sieht, sondern in dem Fall nur "Sparkasse". Das ist natürlich gefährlicher Blindflug. Sie sollten Ihr Mail-Programm so einstellen, dass es immer auch die Mail-Adresse sichtbar macht.
4. Der Return-Pfad im Mail-Header (s.u.) lautet "<prvs=3933FCE765=lmunsch@visalia.k12.ca.us>" und unterscheidet sich von der Mail-Adresse in allen Teilen und schon gar nicht deutet er auf einen realen Sparkassen-Server hin.
5. Die Mail kommt von der IP-Nummer 74.212.226.18. Sie finden diese Nummer in den Metadaten, wenn Sie die unterste Zeile suchen, die mit "Received: from" beginnt. Ich habe die Stelle in den Beispieldaten weiter unten gelb markiert. Laut Ortungsserver sitzt der zugehörige Computer in Ontario/Kalifornien. Sparkassenserver dürften in Deutschland beheimatet sein.
6. Die aufgerufene Seite kommt zwar im Sparkassen-Look daher, aber sie ist nicht verschlüsselt (kein https):
   
7. Fast alle Links auf der Seite führen zu "Not Found". Das könnte allerdings bei einer besser gemachten Seite auch anders sein.
8. Einige Links zeigen zwar auf "...sparkasse-krefeld.de" sind aber so schlecht gemacht, dass sie auch nicht funktionieren.
9. Immerhin erkennt der Firefox-Browser bereits beim Klick auf "Anmelden", dass es sich um einen Betrugsversuch handelt, blockiert den Transfer und schützt Sie so davor, dass Ihre geheimen Bankdaten an die Betrüger gesendet werden. Darauf sollten Sie sich trotzdem lieber nicht verlassen!
   

Früher konnte man übrigens solche Betrugsmails oft schon an der verheerenden Grammatik und Rechtschreibung erkennen. Doch in der Hinsicht haben die Gauner enorm aufgeholt. Das einzige, was hier auffällt, ist, dass "Juni" klein und "möglicherweise" mit "oe" geschrieben ist und bei "kann, z.B. durch", ein Leerzeichen zu viel drin sitzt.

Bleibt ein Rat, der Sie vor jeglichem Ungemach schützt, selbst, wenn Sie unterm Strich nicht eindeutig sicher sind: Klicken Sie niemals, niemals den Link direkt in einer Mail an, sondern benutzen Sie Ihr selbst gespeichertes Lezezeichen im Browser oder tippen Sie die Sparkassen-Adresse direkt in die Adresszeile Ihres Browsers. Benutzen Sie möglichst auch nicht die Google-Suche, denn theoretisch kann selbst eine Google-Fundstelle zu einer falschen "Sparkasse" führen.

Dies ist der unsichtbare Teil der Mail, der Header oder zu Deutsch, die Kopfdaten. Je nach dem, welches Mail-Programm Sie benutzen, kommen Sie da auf unterschiedliche Weise heran, beim Thunderbird, z.B. mit Strg + U.

Bitte lesen Sie auch mein beiden anderen Artikel zu diesem Thema:

• Schutz vor digitalen Schädlingen - Verhaltensregeln
• Hilfe! Nur noch Spam, Betrug, Trojaner!

Aug. 2013