Phishing

Was ist eigentlich Phishing?

Die Angriffsmethode Phishing setzt sich aus den beiden Begriffen password und fishing zusammen. Es geht im Wesentlichen um das Abfischen von vertraulichen Daten und Passwörtern.

Phishing wird hauptsächlich auf dem Banken- und Bezahlsystemsektor angewandt und in allen Bereichen, in denen die Privatsphäre durch vertrauliche Zugansdaten geschützt ist.

Der Angreifer versucht mit einer gefälschten E-Mail einer Bank die Aufmerksamkeit des Anwenders auf einen Link zu lenken, damit dieser vom Benutzer angeklickt wird. Dieser Link führt jedoch nicht zur Internetseite einer Bank, sondern auf die Internetseite oder den Webserver des Angreifers.

Die Internetseite, die optisch nahezu identisch mit der einer Bank ist, dient jedoch lediglich dem Zweck, den Benutzernamen, die TAN, das Passwort oder eine Kreditkartennummer abzufangen. Durch einfache Scripte können sämtliche Konto- und Zugangsdaten in eine Datenbank geschrieben werden.

Somit wird dem Angreifer der direkte Zugang auf das Konto des Betroffenen ermöglicht. Die Annahme einer fremden Identität wird auch als Identity Theft bezeichnet.

Sicherheitsvorkehrungen zur Verhinderung von Phishing

Eine gute Möglichkeit um Bankgeschäfte sicherer zu erledigen besteht darin, das HBCI-Verfahren mit Chipkarte zu verwenden, das durch Signaturen gesichert wird. Die Eingabe von TANs ist dann nicht mehr erforderlich. Einen guten Schutz bietet ebenfalls das ITAN-Verfahren.

Ein gesundes Misstrauen gegen E-Mails ist angebracht und einige Phishingmails sind schon an der schlechten Grammatik erkennbar. Auch eine namenlose Anrede wie „Sehr geehrte Kunden“ oder eine auffallend hohe Dringlichkeit (erschöpfter Kontenrahmen) der E-Mail raten zu erhöhter Vorsicht. Banken nutzen für wichtige Informationen und Mitteilungen stets den Schriftverkehr per Post.

Sehr guten Schutz bietet auch eine professionelle Bankensoftware zur Verwaltung der Konten. Einige gute Hersteller verarbeiten die Änderungen der Konten erst Offline und verbinden sich abschließend nur für wenige Sekunden mit dem Server der Bank, um die erforderlichen Zugangsdaten zu übertragen und Kontenänderungen durchzuführen.

Der Zugang zur Bank über die Internetseite sollte auch nur über die Eingabe der Adresse in der Adresszeile im Webbrowser und nicht durch das Anklicken eines Links erfolgen. Alle großen Banken nutzen für die Kontotransaktionen das https-Protokoll. Dies ist in der Adressleiste zu erkennen.

Die aktuellen Webbrowser (Firefox 1.5.0.11, 2.0.0.3 und IE7) besitzen bereits einen integrierten Phishingschutz, auf den man sich allerdings nicht uneingeschränkt verlassen sollte. Auch in neuen Mailprogrammen, wie z.B. dem Thunderbird 1.5.0.10, ist bereits ein Anti-Phishingschutz enthalten.