Phishing [ˈfɪʃɪŋ] – die Jagd nach Passwörtern

“Phishing” ist eine Form des Internetbetrugs, bei dem die Gutgläubigkeit des Opfers ausgenutzt wird. Das Kunstwort „Phishing“ setzt sich aus den englischen Begriffen „password harvesting“ (Passwörter sammeln) und „fishing“ (angeln, fischen) zusammen, das „Ph“ stammt aus dem Hackerwort „Phreaking“ (und bezeichnet das Hacken von Telefonsystemen). Schon in den 1990er-Jahren fischten Kriminelle nach Passwörtern, um über gefälschte Formulare an die Zugangsdaten zu Bankkonten, Kreditkarten oder für das Online-Shopping ihrer potenziellen Opfer zu gelangen. Die Verfahren dazu werden zunehmend raffinierter: E-Mails, Webseiten, Kurznachrichten etc. werden gefälscht – im schlimmsten Fall werden sogar Bank- und Kreditkarteninformationen abgezogen.

Professor Matteo Maffei, Experte für Internetsicherheit, im Interview über „Phishing“:

Was wissen wir über die „Phisher“. Mit wem haben wir es zu tun?

Matteo Maffei: Es handelt sich dabei um kriminelle Organisationen, die versuchen so viele sensible Daten wie möglich abzugreifen. Ihr erstes Ziel ist es Daten zur Identität von Personen zu stehlen: Mit einer Kopie des Personalausweises und einer Stromrechnung kann man beispielsweise die „KYC“-Richtlinien (Know Your Customer) umgehen und etwa ein Bankkonto eröffnen, auf einen Online-Dienst zugreifen, einen Kredit beantragen oder eine andere Online-Aktivität im Namen von unbescholtenen Kund_innen durchführen. Ein zentrales Ziel ist natürlich das Auslesen von Kreditkarteninformationen, Passwörtern und anderen direkt verwertbaren Daten.

Generell kann man zwischen Spam-Phishing, bei dem Nachrichten an eine große Anzahl von Personen gesendet werden, und gezieltem Phishing unterscheiden, bei dem nur eine Gruppe von Personen (z. B. Kund_innen einer bestimmten Bank oder Mitarbeiter_innen einer bestimmten Organisation) angesprochen wird.

Werden die Täter_innen von der Polizei gefasst und wie werden sie bestraft?

MM: Manchmal schon. Kürzlich gelang es der spanischen Polizei in Zusammenarbeit mit der italienischen Polizei, Europol und Eurojust, eine Gruppe von mehr als 100 Kriminellen zu verhaften, öffnet eine externe URL in einem neuen Fenster, die mit der italienischen Mafia in Verbindung stehen. In nur einem Jahr haben diese Leute mehr als 10 Millionen Euro durch Phishing, SIM-Austausch, Kompromittierung von Geschäfts-E-Mails und andere Aktivitäten der Cyberkriminalität geraubt. Beteiligt waren Computerexpert_innen zum Erstellen der Phishing-Domains und zur Durchführung des Cyberbetrugs, „Recruiter“ und Organisator_innen der Geldwäsche sowie Expert_innen für Geldwäsche. Die Opfer überwiesen große Summen auf die von den Kriminellen kontrollierten Bankkonten. Anschließend wurde das Geld über ein breites Netz von Geldkurieren und Briefkastenfirmen sauber gewaschen.

Gibt es neue Trends beim Phishing und wie hat es sich verändert?

MM: Die Praktiken werden immer raffinierter. Aus der Sicht des Social Engineering bemühen sich die Kriminellen beispielsweise darum, betrügerische E-Mails und Webseiten realistisch zu gestalten, indem sie etwa sprachliche Aspekte einbeziehen. Auch aus technischer Sicht nutzen sie Schwachstellen in den Konfigurationen von Web- und Online-Diensten aus, um arglose Nutzer_innen zu täuschen. Auch das Einschleusen von Schadsoftware in die Geräte der User ist mittlerweile gängige Praxis.

Was ist Ihr wichtigster Ratschlag zum Schutz vor Phishing?

MM: Man sollte immer den Absender einer E-Mail überprüfen und nicht auf fehlerhaft geschriebene E-Mail-Adressen vertrauen, die zu allgemeinen E-Mail-Diensten gehören (z. B. gmail oder icloud). Sie sollten auch überprüfen, ob die URLs* korrekt sind und mit https:// (sicheres Protokoll) und nicht mit http:// beginnen. Und nicht zuletzt: Verwenden Sie sichere Passwörter!

* Die Abkürzung URL steht für "Uniform Resource Locator". Mit der nur einmal vergebenen URL steuert der Browser eine bestimmte Webseite an. Hyperlinks in Phishing-Mails versuchen meist die URL einer vertrauten Website zu imitieren. Wer falschen URLs – etwa mit zusätzlichen Wörtern, Ziffern oder Zeichen – folgt, verschafft Hackern den Zutritt zu seinen Daten.

Matteo Maffei ist seit 2016 Professor für Security and Privacy am Institut für Informationssysteme der TU Wien.
2017 wurde er mit einem ERC Consolidator Grant, öffnet eine externe URL in einem neuen Fenster ausgezeichnet. 2013 wurde er Associate Professor an der Universität des Saarlandes, öffnet eine externe URL in einem neuen Fenster, 2009 gewann er ein Emmy Noether Stipendium, öffnet eine externe URL in einem neuen Fenster der DFG. 2006 schloss er sein Doktoratsstudium an der Universität Ca‘ Foscari, öffnet eine externe URL in einem neuen Fenster, Venedig (Italien) ab.

Bereits erschienen in der Reihe "Die Hacker und ich": Scamming, öffnet eine externe URL in einem neuen Fenster

In eigener Sache

Die TU Wien bietet für Mitarbeiter_innen Schulungen zur Internetsicherheit , öffnet eine externe URL in einem neuen Fensterund aktuelle Informationen zu Internetbetrug, öffnet eine externe URL in einem neuen Fenster.