Spoofing: Was Sie darüber wissen müssen

Studien des CRIF Cyber Observatory (CRIF) belegen einen kontinuierlichen Anstieg der Online-Kriminalität. Insbesondere befeuert durch die vermehrte Nutzung von Online-Shopping und Online-Kommunikation während der Pandemie. Betrüger suchen immer neue Wege, um an Ihr Geld oder Ihre persönlichen Daten zu gelangen und auf einige der Betrugsmethoden sind wir in unserem Blog auch bereits eingegangen. Für die meisten Betrugsmaschen liegt dabei eine grundsätzliche Methodik zugrunde: Das Spoofing.

Vielleicht ist Ihnen in der Berichterstattung über Online-Betrug bereits der Begriff ‚Spoofing‘ begegnet. Mit diesem Beitrag wollen wir Ihnen erklären, was Sie darüber unbedingt wissen sollten.

Die Bedeutung von Spoofing

‚Spoofing‘ stammt aus dem Englischen und bedeutet übersetzt Fälschen oder Täuschen. Sinngemäß also „das Vorspielen falscher Tatsachen“. Bei einem Spoofing-Angriff zielen Betrüger darauf ab, ihre Opfer zu einer bestimmten Handlung zu bringen, indem Sie Ihnen gefälschte Informationen als wahr verkaufen. Prominentes Beispiel wäre etwa der sogenannte „Enkeltrick“. Der Betrug kann jedoch neben ebendieser Informationsebene auch auf einer technischen Ebene erfolgen. Das ist dann der Fall, wenn nicht Personen, sondern digitale Systeme getäuscht werden.

Dies kann auf verschiedene Arten geschehen, von denen wir Ihnen die wichtigsten kurz aufführen:

• Per E-Mail: Der Betrugsversuch per E-Mail (Phishing) ist die wohl am weitesten verbreitete Technik. Betrüger geben vor, eine Bank, ein Unternehmen oder eine Ihnen bekannte Person zu sein. Im Glauben, mit dieser vertrauenswürdigen Adresse zu interagieren, sollen Sie dazu verleitet werden, Geld zu überweisen oder auf einen Link mit Schadsoftware zu klicken.
• Per SMS oder Chatnachricht: Phishing per SMS (‚Smishing’) funktioniert auf dieselbe Weise wie der Betrugsversuch per E-Mail. Allerdings ist die Gefahr Opfer zu werden höher, da SMS grundsätzlich als eher vertrauenswürdig gelten.
• Über gefälschte Websites: Kriminelle erstellen eine möglichst exakte Nachbildung einer real existierenden und für zuverlässig gehaltenen Website, etwa einer Bank. Dann wird versucht, Sie auf diese Seite zu bekommen. Dort sollen Sie dann dazu gebracht werden, Informationen einzugeben, die von den Betrügern verwendet werden können.
• IP-Spoofing: Beim IP-Spoofing sollen nicht Sie als Benutzer, sondern der Computer selbst getäuscht werden. Es wird durch Manipulation der IP-Adresse vorgetäuscht, dass bestimmte Anfragen, etwa der Empfang von Daten, aus einer zertifizierten Quelle stammt. Gelingt dies, kann Malware auf Ihre Geräte eingeschleust werden.
• DNS-Spoofing: Das Domain Name System (DNS) ist ein global verteiltes System, das Internetadressen in IP-Adressen übersetzt. Jeder Adresse ist genau eine IP-Adresse zugeordnet. Beim DNS-Spoofing wird die zu einer Domain gehörende IP-Adresse jedoch gefälscht. Ihr Gerät würde dann eine Verbindung zu einer gefälschten Website aufbauen. So können die Betrüger Daten abgreifen und Schadsoftware einschleusen.

Wie ein Spoofing-Versuch stattfindet

Mit Sicherheit haben auch Sie bereits E-Mails, Textnachrichten oder sogar Anrufe erhalten, die im ersten Moment echt und authentisch gewirkt haben, sich bei näherer Betrachtung jedoch als Phishing- oder Betrugsversuch herausgestellt haben. In den meisten Fällen wird der Köder nicht geschluckt, doch bei der großen Zahl an Betrugsversuchen gibt es leider immer einen Prozentsatz abgelenkter Nutzer, der darauf hereinfällt und geschädigt wird.

Besonders dann, wenn Betrüger im Internet Informationen zu Ihnen oder zu Bekannten finden können, ist Vorsicht geboten. Denn je mehr plausible Informationen in der E-Mail, Textnachricht oder in dem Anruf erwähnt werden, desto glaubwürdiger ist der Betrugsversuch.

Wie Sie sich gegen Spoofing-Angriffe wehren können

Sehen wir uns nun einige grundlegende Tipps an, die Sie für einen bestmöglichen Schutz gegen Spoofing-Angriffe berücksichtigen sollten.

• Antworten Sie niemals auf E-Mails und SMS, die Sie vor einer Sperrung Ihrer Karte oder Ihres Bankkontos warnen. Banken und Online-Zahlungsunternehmen kommunizieren derartige Informationen nicht auf diese Weise.
• Beachten Sie, dass HTML-Links leicht zu fälschen sind. HTML-Links sind die Links, die Sie auf Websites in Textform sehen. Diese bestehen aus zwei Komponenten. Zum einen aus einer URL, die zu einer anderen Website führt, und zum anderen aus einem Text, den Sie angezeigt bekommen. Die URL ist also nicht offensichtlich sichtbar und könnte überallhin führen. Gehen Sie also bevor Sie auf einen HTML-Link klicken mit der Maus über den Link, um die URL angezeigt zu bekommen (im Browser meist links unten).
• Überprüfen Sie die URL der Website. Insbesondere bevor Sie persönliche Informationen eingeben oder einen Kauf abschließen, ist es empfehlenswert die Echtheit der Seite zu überprüfen. Dazu prüfen Sie einfach die Schreibweise der URL (amaz0n.de ist nicht gleich amazon.de) und ob die Seite eine https-Verschlüsselung verwendet. Beides sind gute Indikatoren.
• Öffentlich verfügbare Informationen zu Ihrer Person sollten Sie begrenzen, soweit dies möglich ist. Kriminelle können diese Informationen verwenden, um glaubwürdigere Spoofing-Angriffe durchzuführen. Machen Sie sich bewusst, welche Informationen von Ihnen kursieren und bleiben Sie skeptisch, auch wenn Personen die Sie kontaktieren einen zunächst seriösen Eindruck hinterlassen.
• Verwenden Sie Schutzsysteme, wie beispielsweise Antivirus-Software, Spamfilter oder eine Firewall, um Betrügern den Zugriff auf Ihre Systeme zu erschweren. Insbesondere dann, wenn Sie häufig im Home-Office tätig sind. Bestenfalls nutzen Sie als Ergänzung die Internet-Alarmanlage SICURNET, die die Verbreitung Ihrer Daten im Internet und Darknet überwachen kann, wodurch Sie frühzeitig gewarnt werden können, wenn Ihre Daten in die Hände potentieller Betrüger gelangen.
• Und ganz wichtig: Bewahren Sie immer die Ruhe. Betrüger versuchen bei Spoofing-Angriffen häufig, eine Dringlichkeit vorzutäuschen, um Sie unter Druck zu setzen. Handeln Sie nicht überstürzt, sondern nehmen Sie sich die Zeit, um gemachte Angaben zu überprüfen. Das können Sie gegebenenfalls über einen zweiten Kommunikationskanal tun und so die Echtheit von Nachrichten und Anrufen bestätigen.