Bankkonto gehackt? Phishing erkennen & klären

Die Anzahl der Menschen in Deutschland, die ihre Bankgeschäfte online betreiben, steigt weiter an. Mittlerweile beanspruchen über 50 Prozent aller Erwachsenen hierzulande regelmäßig oder unregelmäßig das Online-Banking. Nicht erst seit gestern versuchen Hacker, diese sensiblen Daten abzugreifen, um dadurch anschließend mit den gestohlenen Daten in das Online Banking einzudringen und ihre betrügerischen Aktivitäten durchzuführen.

Das Wichtigste im Überblick

• Phishing ist eine Betrugsmasche, der ausnahmslos Online-Banking Nutzer zum Opfer fallen
• Heutzutage gibt es das Phishing in mehreren Varianten, insbesondere per E-Mail, SMS oder direkt über eine gefälschte Webseite
• Die Hacker gehen nach einem bestimmten Schema vor, nämlich persönliche Daten durch einen Köder zu entlocken, um damit das Online Banking Konto zu hacken
• Es gibt eine Reihe von Merkmalen, anhand derer Sie Phishing erkennen und wie Sie sich schützen können, beispielsweise keine Links in unbekannten E-Mails anklicken

Was ist Phishing?

Phishing ist mittlerweile zu der wohl beliebtesten Trickbetrugsmasche geworden, die es im Zeitalter des Internets gibt. Der Begriff Phishing leitet sich aus dem englischen Wort für Angeln (Fischen) ab. Das Bild kommt insbesondere deshalb zum Tragen, weil die jeweiligen Hacker eine Art Köder auswerfen, um an die sensiblen Daten ihrer Opfer zu gelangen.

Inhaltlich besteht Phishing darin, dass insbesondere per E-Mail, SMS oder direkt über gefälschte Webseiten versucht wird, die Opfer zur Herausgabe Ihrer Daten unter einem scheinbar legalen Vorwand zu bewegen. Häufig werden beim Phishing mit den erschlichenen Online-Banking Daten illegale Transaktionen durchgeführt.

Diese bestehen zum Beispiel darin, dass das Geld des Kontoinhabers leergeräumt wird. Aber die Opfer werden auch immer öfter zur Geldwäsche genutzt, indem sie unbewusst zu sogenannten Finanzagenten werden. Bei zahlreichen Phishing Attacken wird insbesondere die Webseite einer real existierenden Bank so im Detail nachgebildet, dass sie kaum oder gar nicht vom Original zu unterscheiden ist. Das betroffene Opfer meint also, tatsächlich auf der Internetseite der eigenen Bank gelandet zu sein.

Wie werden Bankkonten per Phishing gehackt?

Leider sind die Hacker beim Phishing mittlerweile relativ kreativ geworden, sodass es mehrere Phishing Arten gibt. Die Verbreitetsten sind in dem Zusammenhang:

• E-Mail
• SMS (Kurznachrichten)
• Phishing-Webseite
• Schadprogramme
• Telefon
• per Post (Briefkasten)

Die am häufigsten verwendete Phishing Art ist nach wie vor das Versenden einer E-Mail mit Link. Innerhalb der Mail wird das Opfer in aller Regel dazu aufgefordert, die angebliche Seite einer Bank aufzusuchen. Bei der Seite handelt es sich allerdings um eine betrügerische Internetseite. Dort sollen die persönlichen Zugangsdaten eingegeben werden, beispielsweise zur Kontrolle oder aufgrund eines angeblichen System-Updates. 

Das Phishing per E-Mail läuft somit meistens in den folgenden Schritten ab:

1. Hacker versenden E-Mail mit Aufforderung zum Klicken auf enthaltenen Link
2. Als Begründung nennen die Betrüger häufig notwendige Sicherheits-Updates und setzen den Empfänger oft unter Zeitdruck
3. Nachdem der Link angeklickt wurde, öffnet sich die angebliche Webseite der Bank, bei der es sich jedoch um eine Betrugsseite handelt
4. Auf der Webseite angekommen sollen sich die Opfer mit ihren gewöhnlichen Online-Banking Daten einloggen, also Kontonummer bzw. IBAN und Passwort
5. Nun benötigen die Täter noch eine TAN, um zum Beispiel eine missbräuchliche Überweisung durchzuführen. Dies geschieht entweder über ein weiteres, gefälschtes Eingabeportal oder teilweise durch persönliche Anrufe beim Opfer
6. Im letzten Schritt werden dann missbräuchliche Überweisungen vom Konto der Geschädigten vorgenommen

Eine ganz ähnliche Variante wie das Phishing per E-Mail ist das SMS-Phishing, also mittels einer Textnachricht. Dieses wird häufiger ebenfalls als Smishing bezeichnet, einer Wortmischung zwischen SMS und Phishing. Das Prinzip ist das gleiche wie beim Phishing. In der SMS werden die Opfer dazu aufgefordert, beispielsweise Daten zu aktualisieren und sich in ihrem Bankkonto über den entsprechenden betrügerischen Link einzuloggen. 

Eine dritte Phishing-Art benötigt nicht den Umweg über SMS oder E-Mail, sondern in dem Fall rufen die Geschädigten direkt eine gefälschte Webseite auf. Diese sieht nahezu ausnahmslos der original Bankseite absolut ähnlich. Lediglich an wenigen kleinsten Unterschieden ist manchmal zu erkennen, dass es sich nicht um die Original-Webseite des Kreditinstitutes handelt. Auf der Webseite geben Kunden dann wie gewohnt beim Einloggen Ihre Daten ein. Sie wissen natürlich nicht, dass es sich um eine gefälschte Internetseite handelt.

Eine leider immer beliebter werdende Art des Phishing funktioniert auf der Grundlage von Schadprogrammen. Dazu zählen in erster Linie Trojaner. Mit diesen schalten sich die Konto-Hacker in die Kommunikation zwischen Kunde und Kreditinstitut ein. Im Fachbereich wird dies auch als sogenannter Man-in-the-middle Angriff bezeichnet.

Ebenfalls öfter wird mittlerweile das Phishing per Telefon genutzt. In diesem Fall geben sich die Betrüger zum Beispiel als Mitarbeiter von Microsoft aus, um das Opfer angeblich vor Datenlücken oder Fehlern im Betriebssystem zu schützen oder einen angeblichen Trojaner vom Rechner zu entfernen. Letztendlich geht es auch bei dieser Masche nur darum, an die persönlichen Online-Daten der Opfer zu gelangen. 

Sogar das Phishing per Briefkasten taucht hin und wieder in der Praxis auf. In dem Fall erhalten Kunden zum Beispiel Post von ihrer Kreditkartengesellschaft. Sie werden in dem Schreiben aufgefordert, einen bestimmten Link einzugeben und dort ihre Kartendaten nebst Passwort einzugeben. In der Regel wird als Vorwand eine Sicherungsüberprüfung oder Ähnliches genannt. Das Schreiben stammt natürlich nicht von der echten Kreditkartenfirma.

Was passiert mit den gestohlenen Daten?

Das Ziel der Täter besteht beim Phishing immer darin, persönliche und somit sensible Daten abzufangen, die beim Online-Banking genutzt werden. Mit diesen Daten haben Betrüger die Möglichkeit, auf verschiedene Art und Weise Missbrauch zu betreiben. In den meisten Fällen werden die gestohlenen Daten wie folgt verwendet:

• Identitätsdiebstahl (Übernahme einer fremden Identität)
• Überweisung auf Konten der Betrüger vornehmen
• Geldwäsche durchführen

Durch den Identitätsdiebstahl können die Hacker sämtliche Geschäfte auf den Namen des Opfers tätigen, wie zum Beispiel Online-Einkäufe oder die Bestellung von Kreditkarten. Ferner können natürlich direkt Überweisungen auf die Konten der Betrüger durchgeführt werden. Es wird auch Geldwäsche betrieben, indem verzweigte Transaktionen auf mehrere Konten stattfinden.

Bei solchen betrügerischen Aktivitäten floss das Geld der Opfer in der Vergangenheit meistens auf direktem Wege auf ein Konto, welches sich im Ausland befand. Neuerdings nutzen die Täter allerdings oft ein inländisches Konto als eine Art Zwischenstation. Von diesem Konto aus findet dann eine Weiterleitung auf ein ausländisches Konto statt. 

In dem Zusammenhang taucht immer öfter die Bezeichnung Finanzagent auf. Es handelt sich dabei um diejenige Person, auf deren Name dass inländische Fake-Konto läuft. Diese Person weiß oft nichts von dem illegalen Hintergrund. Trotzdem können sich solche (unwissentlichen) Finanzagenten strafbar machen.

Welche Warnhinweise gibt es für Phishing-Attacken?

Die gute Nachricht ist, dass Sie den Phishing-Attacken meistens entkommen können, wenn Sie einerseits auf bestimmte Warnhinweise achten und zum anderen Sicherheitsmaßnahmen ergreifen. Im Folgenden möchten wir daher zunächst einige Merkmale nennen, an denen Sie mögliches Phishing erkennen können:

• Eingabe sicherheitsrelevanter Daten wird von der Bank per E-Mail oder SMS gefordert (Banken tun dies ausnahmslos nicht per Mail oder SMS)
• E-Mail oder SMS wird entweder am späten Abend, nachts oder am Wochenende versendet
• Sie werden zeitlich unter Druck gesetzt, beispielsweise aufgrund eines Systemfehlers oder angeblichen Datenlecks
• Sie werden in der E-Mail nicht mit Ihrem Namen, sondern lediglich allgemein a la „Sehr geehrte Damen und Herren“ angesprochen
• Die E-Mail-Adresse lautet auf einen allgemeinen Mail-Provider, beispielsweise GMX
• Die Browseradresse für die angebliche Bankwebseite beginnt nicht mit „https“, sondern nur mit „http“
• SMS oder E-Mail enthalten (mehrere) Rechtschreib- oder Grammatikfehler

Neben diesen durchaus auffälligen Merkmalen können Sie sich gut gegen Phishing Attacken schützen. Die folgenden Tipps können dabei helfen, dass Sie kein Opfer der Hacker werden:

• Klicken Sie nicht auf Links in E-Mails oder per SMS, wenn es sich nicht um einen eindeutig zu identifizierenden Bekannten, Freunden oder ein Familienmitgliedern handelt
• Speichern Sie Ihre Passwörter und Zugangsdaten auf keinen Fall auf Ihrem PC
• Ignorieren Sie E-Mails und SMS seitens unbekannter Absender
• Halten Sie Ihre Anti-Schadware-Software stets auf dem Laufenden
• Tippen Sie die Internetadresse Ihrer Bank stets manuell ein (auch in den Favoriten gespeicherten Links können manipuliert werden)
• Prüfen Sie das Zertifikat der entsprechenden Internetseite
• Öffnen Sie keine unbekannten Anhänge in E-Mails und per SMS-Nachrichten
• Achten Sie darauf, dass das sogenannte Schloss-Symbol in der Browserzeile beim Online-Banking geschlossen ist
• Achten Sie darauf, dass die Browserzeile der Bank-Webseite stets mit „https“ beginnt
• Legen Sie bei unerwarteten Anrufen angeblicher Microsoft- oder Bankmitarbeiter sofort auf. Gegebenenfalls rufen Sie Ihre Bank direkt an und erkundigen sich, ob der vorherigen Anruf seine Richtigkeit hatte

So kann CDR Legal Ihnen helfen

Haben Sie den Verdacht oder sind Sie sich sicher, Opfer einer Phishing-Attacke geworden zu sein? In dem Fall sollten Sie idealerweise Beweise sichern, zum Beispiel ein Screenshot vom PC machen. Im zweiten Schritt ist es dringend zu empfehlen, bei der Polizei eine Anzeige zu machen.

Sind Kreditkarten-Daten betroffen oder wurde bereits eine missbräuchliche Überweisung in die Wege geleitet, sollten Sie umgehend Ihre Bank informieren. Die Karte kann gesperrt werden und eine eventuelle Überweisung manchmal noch aufgehalten oder zurückgebucht werden. Zum Beweise sammeln gehört auch, dass Sie die Daten des entsprechenden Empfängers der Transaktion (IBAN) notieren.

Grundsätzlich gilt, der Schadenshergang muss genauestens aufgearbeitet werden. Erst dann kann man abschließend beurteilen, wer den Schaden tragen muss. Hier ist eine anwaltliche Beratung für Geschädigte und Opfer von gehackten Konten sinnvoll. Die Kanzlei CDR Legal hat bereits eine Vielzahl Opfer von Online Banking Betrug vertreten. Mit dieser Erfahrung unterstützt Sie die Bankrecht Anwaltskanzlei gerne bei der Wahrung Ihrer Rechte.

RA Corinna D. Ruppel (LL.M.) – Ihre Anwältin

Ihr kostenloses Erstgespräch:
08031 7968029