Den Phishern nicht ins Netz gehen 🎣
Unter dem Begriff Phishing (Neologismus von „fishing“, engl. für ‚Angeln‘) versteht man Versuche, sich über gefälschte Webseiten, E‑Mails oder Kurznachrichten als vertrauenswürdiger Kommunikationspartner auszugeben. Ziel des Betrugs ist es, z. B. an persönliche Daten des Opfers zu gelangen, etwa es zur Ausführung einer schädlichen Aktion wie das Einloggen in einen gefälschten Webauftritt zu bewegen, um die Zugangsdaten zu erschleichen. In der Folge werden dann beispielsweise Kontoplünderungen begangen.
Quelle (leicht bearbeitet und gekürzt): „Phishing“. In: Wikipedia – Die freie Enzyklopädie. Bearbeitungsstand: 29. Oktober 2024, 19:10 UTC.
Neben einem grundsätzlichen Bewusstsein für das Phänomen sind Kenntnisse wichtig, um Phishing-Versuche zu erkennen. Und das ist nicht immer einfach: Zwar gibt es immer noch sehr plumpe Versuche, bei denen man beispielsweise anhand von
- sprachlichen Fehlern,
- merkwürdiger Formatierung oder
- inhaltlichen Unstimmigkeiten
schnell feststellen kann, dass etwa eine E‑Mail nicht vertrauenswürdig ist.
Doch es gibt inzwischen auch sehr überzeugend gemachte Phishing-Nachrichten, die sich nicht auf den ersten Blick erkennen lassen. Und insbesondere, wenn diese evtl. zu einem tatsächlichen eigenen Anliegen passen oder in einem Moment der Unaufmerksamkeit eintreffen, ist ein falscher Klick schnell getan.
Um das eigene Bewusstsein zu schulen und die Erkennung von Phishing-Versuchen zu trainieren, eignen sich die Angebote der Forschungsgruppe SECUSO. Diese gehört zum Karlsruher Institut für Technologie (KIT) und stellt Materialien in unterschiedlichen Formaten als „NoPhish Konzept“ zur Verfügung.
Neben weiteren Videos (auch auf YouTube verfügbar) ist vor allem die Umsetzung der Empfehlungen in Form des Browserspiels „Phishing Master“ sehr gelungen:
Auf spielerische Art und Weise lernt der Nutzer, Webadressen richtig zu lesen bzw. gefährliche Links und Anhänge zu erkennen. […] Nach einer kurzen Einführung bezüglich der Bedienbarkeit beginnt das Shooting-Game, bei dem man sich in einem Büro befindet und auf dem Monitor Nachrichten angezeigt bekommt, die man auf ihre Echtheit hin untersuchen soll.
Quelle: secuso.aifb.kit.edu/1523.php
Wem die spielerische, aber etwas martialische Umsetzung nicht geeignet erscheint, kann alternativ auf ein Quiz zurückgreifen – im Spiel „Phishing Master“ werden Informationsvermittlung sowie die Anwendung dieser Erkenntnisse jedoch besonders geschickt kombiniert.
Noch ausführlichere Hintergründe und Empfehlungen zu menschlichen Faktoren in der IT-Sicherheit und dem damit verbundenen Social Engineering, also der zwischenmenschlichen Manipulation, in die auch das Phishing einzuordnen ist, stellt Linus Neumann in seinem Vortrag „Hirne Hacken“ dar:
