Eine Nachricht, die echt klingt: Warum Phishing heute weniger an Rechtschreibfehlern scheitert

Der Kontext macht die Nachricht glaubwürdig

Wer auf ein Paket wartet, reagiert anders auf eine angebliche Versandmeldung als jemand, der seit Wochen nichts bestellt hat. Wer gerade eine neue Bankkarte beantragt hat, hält eine Nachricht zur Aktivierung eher für plausibel.

Betrüger brauchen deshalb nicht immer perfekte Informationen. Oft genügt ein Thema, das auf viele Menschen zutrifft.

Radio Lozärn hat in einem Beitrag über aktuelle Daten-Phishing-Maschen bereits beschrieben, wie unterschiedlich solche Versuche auftreten können. Dazu gehören Nachrichten mit angeblichen Behörden, Zahlungsaufforderungen oder anderen vertrauten Absendern.

Der wichtigste Schutz beginnt deshalb vor dem Klick: Passt die Nachricht wirklich zu dem, was gerade passiert?

Absender prüfen, aber nicht dort aufhören

Eine falsche Domain kann einen Betrugsversuch verraten. Allerdings können sichtbare Absendernamen frei gewählt werden, und bei übernommenen Konten kann sogar eine echte Adresse verwendet werden.

Deshalb lohnt sich der Blick auf die Handlung, die verlangt wird. Soll ein Passwort eingegeben werden? Muss eine Zahlung sofort erfolgen? Wird ein QR-Code gescannt? Soll eine Datei geöffnet werden?

Je sensibler die geforderte Aktion, desto sinnvoller ist der unabhängige Gegencheck.

Bei einer Bank bedeutet das: App selbst öffnen oder die bekannte Nummer anrufen. Bei einem Händler: Kundenkonto über die bekannte Website aufrufen. Bei einer Behörde: offizielle Website verwenden.

Ein gutes Postfach kann Risiken reduzieren, aber nicht wegfiltern

Spamfilter und Schutzmechanismen nehmen viel Arbeit ab. Trotzdem kann keine technische Lösung garantieren, dass jede betrügerische Nachricht aussortiert wird.

Auch die Wahl des Anbieters spielt eine Rolle. Wer einen Dienst für Mail auswählt, kann neben Komfort und Speicher auch die Art der Verschlüsselung berücksichtigen. Proton speichert Nachrichten im Postfach mit Zero-Access-Verschlüsselung. Nachrichten zwischen Proton-Konten sind Ende-zu-Ende verschlüsselt. Bei Empfängern ausserhalb des Dienstes gelten je nach Versandart andere technische Bedingungen.

Verschlüsselung schützt Inhalte und Transportwege. Sie sagt aber nicht, ob der Absender einer Nachricht ehrliche Absichten hat.

Darum bleiben Passwortschutz, Zwei-Faktor-Authentifizierung und Aufmerksamkeit wichtige Ergänzungen.

QR-Codes verdienen dieselbe Skepsis wie Links

Ein QR-Code wirkt häufig weniger verdächtig als ein blauer Link. Technisch erfüllt er aber oft dieselbe Funktion: Er führt zu einer Adresse.

Gerade auf dem Smartphone ist das Ziel nicht immer sofort sichtbar. Wer einen unerwarteten QR-Code in einer Nachricht oder einem Brief erhält, sollte deshalb nicht reflexartig die Kamera öffnen.

Stattdessen kann geprüft werden, ob der angebliche Absender den Vorgang im offiziellen Kundenkonto bestätigt.

Wer einen Phishing-Versuch melden möchte, kann dafür in der Schweiz antiphishing.ch nutzen. Die Plattform wird vom Bundesamt für Cybersicherheit betrieben.

Was tun nach einem falschen Klick?

Ein Klick allein bedeutet nicht automatisch, dass ein Konto kompromittiert ist. Entscheidend ist, was danach passiert ist.

Das dauert selten lange und funktioniert unabhängig davon, ob die Nachricht schlecht geschrieben oder perfekt gestaltet ist. Eine glaubwürdige Nachricht darf Vertrauen wecken. Eine ungewöhnliche Forderung sollte es trotzdem nicht ersetzen.