Unter dem Begriff Phis­hing (Neo­lo­gis­mus von „fishing“, engl. für ‚Angeln‘) ver­steht man Ver­su­che, sich über gefälsch­te Web­sei­ten, E‑Mails oder Kurz­nach­rich­ten als ver­trau­ens­wür­di­ger Kom­mu­ni­ka­ti­ons­part­ner aus­zu­ge­ben. Ziel des Betrugs ist es, z. B. an per­sön­li­che Daten des Opfers zu gelan­gen, etwa es zur Aus­füh­rung einer schäd­li­chen Akti­on wie das Ein­log­gen in einen gefälsch­ten Web­auf­tritt zu bewe­gen, um die Zugangs­da­ten zu erschlei­chen. In der Fol­ge wer­den dann bei­spiels­wei­se Kon­to­plün­de­run­gen begangen.

Quel­le (leicht bear­bei­tet und gekürzt): „Phis­hing“. In: Wiki­pe­dia – Die freie Enzy­klo­pä­die. Bear­bei­tungs­stand: 29. Okto­ber 2024, 19:10 UTC.

Neben einem grund­sätz­li­chen Bewusst­sein für das Phä­no­men sind Kennt­nis­se wich­tig, um Phis­hing-Ver­su­che zu erken­nen. Und das ist nicht immer ein­fach: Zwar gibt es immer noch sehr plum­pe Ver­su­che, bei denen man bei­spiels­wei­se anhand von

• sprach­li­chen Fehlern, 
• merk­wür­di­ger For­ma­tie­rung oder 
• inhalt­li­chen Unstimmigkeiten 

schnell fest­stel­len kann, dass etwa eine E‑Mail nicht ver­trau­ens­wür­dig ist. 

Doch es gibt inzwi­schen auch sehr über­zeu­gend gemach­te Phis­hing-Nach­rich­ten, die sich nicht auf den ers­ten Blick erken­nen las­sen. Und ins­be­son­de­re, wenn die­se evtl. zu einem tat­säch­li­chen eige­nen Anlie­gen pas­sen oder in einem Moment der Unauf­merk­sam­keit ein­tref­fen, ist ein fal­scher Klick schnell getan.

Um das eige­ne Bewusst­sein zu schu­len und die Erken­nung von Phis­hing-Ver­su­chen zu trai­nie­ren, eig­nen sich die Ange­bo­te der For­schungs­grup­pe SECUSO. Die­se gehört zum Karls­ru­her Insti­tut für Tech­no­lo­gie (KIT) und stellt Mate­ria­li­en in unter­schied­li­chen For­ma­ten als „NoPhish Kon­zept“ zur Ver­fü­gung.

Neben wei­te­ren Vide­os (auch auf You­Tube ver­füg­bar) ist vor allem die Umset­zung der Emp­feh­lun­gen in Form des Brow­ser­spiels „Phis­hing Mas­ter“ sehr gelungen:

Auf spie­le­ri­sche Art und Wei­se lernt der Nut­zer, Web­adres­sen rich­tig zu lesen bzw. gefähr­li­che Links und Anhän­ge zu erken­nen. […] Nach einer kur­zen Ein­füh­rung bezüg­lich der Bedien­bar­keit beginnt das Shoo­ting-Game, bei dem man sich in einem Büro befin­det und auf dem Moni­tor Nach­rich­ten ange­zeigt bekommt, die man auf ihre Echt­heit hin unter­su­chen soll.

Quel­le: secu​so​.aifb​.kit​.edu/​1​5​2​3​.​php

Wem die spie­le­ri­sche, aber etwas mar­tia­li­sche Umset­zung nicht geeig­net erscheint, kann alter­na­tiv auf ein Quiz zurück­grei­fen – im Spiel „Phis­hing Mas­ter“ wer­den Infor­ma­ti­ons­ver­mitt­lung sowie die Anwen­dung die­ser Erkennt­nis­se jedoch beson­ders geschickt kombiniert.

Noch aus­führ­li­che­re Hin­ter­grün­de und Emp­feh­lun­gen zu mensch­li­chen Fak­to­ren in der IT-Sicher­heit und dem damit ver­bun­de­nen Social Engi­nee­ring, also der zwi­schen­mensch­li­chen Mani­pu­la­ti­on, in die auch das Phis­hing ein­zu­ord­nen ist, stellt Linus Neu­mann in sei­nem Vor­trag „Hir­ne Hacken“ dar: