Phishing

Benutzernamen und Kennwörter sind langläufig die Sicherheitsmechanismen, mit denen im Internet sensible und weniger sensible Daten und Anwendungen geschützt werden. Der Versuch, mittels gefälschter E-Mails derartige Daten einem Benutzer zu entlocken nennt man Phishing.

Die zugehörigen Mails werden massenweise wie Spam an meist wahllose E-Mail-Adressen versendet und stammen angeblich von weit verbreiteten Internetdiensten wie dem Auktionshaus Ebay oder dem Bezahlsystem Paypal. In der E-Mail wird angegeben, dass die Benutzerdaten aktualisiert oder der Account wieder freigeschaltet werden müsste, dazu sei es notwendig, Benutzerkennungen und Passwörter in ein E-Mail-Formular einzugeben. Dabei schaffen es die Phishing-Mails das Design der angeblichen Absender hervorragend nachzubauen und auch die Firmenlogos zu verwenden, dazu täuscht die Ausnutzung von Sicherheitslücken im Webbrowser Internet Explorer über die Ziel-URL des E-Mail-Formulars hinweg, selbst ein etwas misstrauischerer Nutzer kommt mit einem Blick auf die Statusleiste zur Überzeugung, die Daten würden an eine offizielle Webadresse des vermeintlichen Absenders übergeben.

Gibt ein Opfer seine Daten Preis, so wird dessen Account beim jeweiligen Dienst übernommen und missbraucht, etwa in dem auf den Namen des Opfers bei Internet-Auktionen ersteigert wird und die Zahlungsverpflichtung beim Opfer bleibt. Besonders tückisch sind Phishing-Mails, die nach Kreditkartendaten inklusive der inzwischen bei den meisten Gesellschaften vorhandenen Online-PIN (meist auf der Rückseite der Karte im Unterschriftenfeld) gefragt wird. Denn die Kreditkartenfirmen setzen gerade online diese PIN mit einer Autorisierung des Karteninhabers gleich, es wird also schwerer, etwaigen Abbuchungen zu widersprechen.

In den meisten Fällen handelt es sich um englischsprachige, auf den US-Markt ausgelegte Phishing Mails. Anfang Juni 2004 sorgte aber die erste derartige Aktion in Deutschland für Aufsehen, als Unbekannte per Phishing die Kontozugangsdaten von Online-Banking Kunden der Volks- und Raiffeisenbanken an sich zu bringen versuchten. Ihre Mail sah die Eingabe der Kontonummer, der Banking-PIN und einer Transaktionsnummer TAN vor, womit Fremde dann Zugriff auf das Konto und auf eine Transaktion hätten - im Zweifel eine Überweisung in großer Höhe.

Alle Internet-Dienste weisen darauf hin, dass eine Abfrage der Zugangsdaten zu Ihren Systemen per E-Mail nicht stattfindet.