Was ist Phishing?
Beim Phishing werden betrügerische Mitteilungen gesendet, die von einer legitimen, seriösen Quelle zu stammen scheinen. In der Regel handelt es sich um E-Mails oder Textnachrichten. Die Angreifer verfolgen damit das Ziel, Geld zu stehlen, sich Zugriff auf vertrauliche Daten und Anmeldeinformationen zu verschaffen oder Malware auf dem Gerät des Opfers zu installieren. Phishing ist eine gefährliche Art von Cyberangriff, die immer häufiger auftritt und großen Schaden anrichten kann.
Cisco kontaktieren
-
-
Telefon – Vertrieb:
- 0800 187 3652
- 9:00 - 17:00
Sowohl das Phishing als auch die Sicherheitstaktiken werden sich mit dem weltweiten Einsatz von künstlicher Intelligenz (KI) weiterentwickeln.
„Im letzten Jahr gingen 80 % der von Cisco Security beobachteten Ransomware-Angriffe von einer Phishing-E-Mail aus“, berichtete Tom Gillis, SVP und GM Security bei Cisco, auf der RSA Conference 2023.
Wie funktioniert der Betrug per Phishing?
Ein Phishing-Angriff ist im Grunde eine Social-Engineering-Taktik, bei der Hacker eine Nachricht so raffiniert fälschen, dass sie täuschend echt aussieht und von einem vertrauenswürdigen Absender zu stammen scheint. Die Angreifenden senden diese scheinbar harmlosen E-Mails oder Textnachrichten an ahnungslose EmpfängerInnen, um diese beispielsweise dazu zu bewegen, Malware herunterzuladen, eine infizierte Website zu besuchen oder Anmeldeinformationen preiszugeben. Das letztliche Ziel besteht darin, Geld oder Daten zu stehlen.
Welche Motivation steht hinter Phishing-Angriffen?
Hacker haben unterschiedliche Motivationen, aber in erster Linie geht es ihnen darum, an wertvolle Benutzerdaten wie personenbezogene Daten oder Anmeldeinformationen zu gelangen, mit denen sie sich auf betrügerische Weise Zugang zu den Bankkonten des Opfers verschaffen können. Haben die Angreifenden Erfolg, nutzen sie die entwendeten Anmeldeinformationen, personenbezogenen Daten, Konto- oder Kreditkartendaten, um die nötigen Berechtigungen zum Ändern oder Kompromittieren von mit der Cloud verbundenen Systemen zu erlangen. In manchen Fällen blockieren sie ganze Computernetzwerke und fordern für die Freigabe ein Lösegeld.
Nicht immer geben sich Cyberkriminelle mit personenbezogenen Daten und Kreditkarteninformationen zufrieden. Manchmal sind sie darauf aus, das Bankkonto ihres Opfers komplett leerzuräumen. In diesen Fällen setzen sie eventuell „Pop-up-Phishing“ in Kombination mit Voice-Phishing (Vishing) und SMS-Phishing (SMiShing) ein. Unter Umständen jagen sie dem Opfer Angst ein, damit es Bankdaten und andere sensible Informationen herausgibt. Vishing und SMiShing richten sich besonders oft gegen ältere Menschen oder MitarbeiterInnen der Finanzabteilungen von Unternehmen. Grundsätzlich sollten aber alle über diese Art von Cyberangriff Bescheid wissen, um sich und ihre Konten schützen zu können.
Wie funktioniert Phishing?
Beim Phishing erhält das Opfer eine legitim wirkende betrügerische E-Mail oder anderweitige Nachricht, die scheinbar von einem vertrauenswürdigen (oder sehr verzweifelt klingenden) Absender stammt. Damit soll es dazu verleitet werden, vertrauliche Informationen preiszugeben, beispielsweise auf einer täuschend echt nachgeahmten Website. Manchmal wird auch Malware oder Ransomware auf den Computer des Opfers heruntergeladen.
- Oft beunruhigen Phisher ihre Opfer, setzen sie unter Druck oder wecken ihre Neugier, um sie dazu bringen, Anhänge zu öffnen oder auf einen Link zu klicken.
- Maßgeblich für den Erfolg eines Phishing-Angriffs ist, wie echt und legitim der vermeintliche Absender wirkt.
- Cyberkriminelle finden ständig neue und immer raffiniertere Wege, um ihre Opfer dazu zu verleiten, auf einen Link zu klicken oder zu tippen. Eine dieser Techniken ist das sogenannte Spear-Phishing, das auf eine bestimmte Person oder Gruppe abzielt.
- Schon ein einziger erfolgreicher Phishing-Angriff genügt, um Ihr gesamtes Netzwerk zu kompromittieren und Ihre Daten zu stehlen. Daher ist es sehr wichtig, jeden Klick sorgfältig abzuwägen. (Auf diesen Link können Sie getrost klicken. Er führt Sie zu wichtigen Statistiken und Informationen rund um das Thema Phishing.)
Auf wen zielt Phishing ab?
Es gibt keine konkrete Zielgruppe. Die meisten Phishing-Angriffe werden an eine große Anzahl von E-Mail-Adressen gesendet. Die Hacker hoffen, dass ein gewisser Prozentsatz der EmpfängerInnen auf den Betrug hereinfällt. Schulungen zur Förderung des Sicherheitsbewusstseins sind hilfreich, um BenutzerInnen die von Phishing-Angriffen ausgehende Gefahr zu verdeutlichen und ihnen Strategien zum Erkennen von Phishing-Nachrichten zu vermitteln.
Warum sind Phishing-Angriffe so effektiv?
Phishing ist effektiv, weil es typisch menschliche Schwächen ausnutzt: die Neigung, anderen zu vertrauen, aus Neugier zu handeln oder emotional auf dringend wirkende Nachrichten zu reagieren. Außerdem ist Phishing relativ einfach geworden, seitdem sich Hacker im Dark Web fertige Phishing-Kits beschaffen können. Das Risiko für die Angreifenden bleibt verhältnismäßig gering, da es kein Problem ist, an E-Mail-Adresslisten zu gelangen, und der E-Mail-Versand fast nichts kostet.
Phishing entwickelt sich durch KI weiter
Die ersten, noch recht primitiven Phishing-Angriffe fanden vor Jahrzehnten in Chatrooms statt. Seitdem sind die Taktiken wesentlich komplexer geworden. Heute ist Phishing eine der gängigsten Formen von Cyberkriminalität und leistet Business E-Mail Compromise (BEC), Account Takeover (ATO) bei E-Mail sowie Ransomware Vorschub. Nicht selten stehen hohe Summen auf dem Spiel. Während Phishing-Nachrichten früher oft schon durch Rechtschreibfehler auffielen, hat in den letzten Jahren KI dazu beigetragen, die sprachliche Qualität zu steigern und die Nachrichten zu personalisieren. Das Ergebnis sind raffiniertere, stärker zielgerichtete Angriffe. Cyberkriminelle sammeln zum Beispiel Informationen, mit denen ihre geplanten Opfer identifiziert werden können, und setzen mit diesen Informationen hochgradig personalisierte Phishing-Kampagnen auf. Diese Taktik wird als „Spear-Phishing“ bezeichnet. Aufgrund der gezielten Personalisierung wirken die Nachrichten noch echter als früher und sind daher noch gefährlicher.
Auf der anderen Seite gibt es heute KI-basierte Sicherheitslösungen mit fortschrittlichen Erkennungs- und Präventionsfunktionen. Bei Cisco Secure-Produkten beispielsweise kommen prädiktive und generative KI zum Einsatz, um die Reichweite und Interaktion mit sicherheitsrelevanten Kontaktpunkten zu erweitern. Cisco Secure Email Threat Defense nutzt einzigartige KI- und Machine-Learning-Modelle, einschließlich der Verarbeitung natürlicher Sprache, um schädliche Techniken, die bei Angriffen auf Ihr Unternehmen verwendet werden, zu identifizieren, beispiellose Kontextinformationen für bestimmte Geschäftsrisiken abzuleiten, Bedrohungstelemetrie bereitzustellen und Bedrohungen zu kategorisieren, damit Sie verstehen, welche Bereiche Ihres Unternehmens besonders anfällig für Angriffe sind.
Demnächst übernimmt Cisco mit Armorblox aus Kalifornien (USA) einen Anbieter von Lösungen, die Unternehmen vor Datenverlusten und gezielten E-Mail-Angriffen schützen. Durch die Integration dieser Produkte wird Cisco noch besser in der Lage sein, Angriffe vorherzusagen, Bedrohungen schnell zu erkennen und mithilfe von Richtlinien die Reaktionszeit bei Phishing-Angriffen zu verkürzen.
Gefahr durch Phishing: Welche Folgen kann ein Phishing-Angriff haben?
Erfahren Sie, durch welche Sicherheitslücken Sie anfällig für Phishing werden. Lesen Sie unser E-Book zum Thema Phishing für Dummies.
Risiken für Privatpersonen bei Phishing:
- Diebstahl von Geld von Ihrem Bankkonto
- Kreditkartenbetrug
- Verlust von Fotos, Videos und anderen Dateien
- Gefälschte Social-Media-Beiträge von Ihren Accounts
- Cyberkriminelle, die sich gegenüber Ihren Bekannten und Verwandten als Sie ausgeben
Risiken für Unternehmen bei Phishing:
- Verlust unternehmenseigener Finanzmittel
- Offenlegung von personenbezogenen Daten von Partnern, MitarbeiterInnen und Kunden
- Sperrung von Dateien, auf die dann kein Zugriff mehr besteht
- Schädigung des Unternehmensrufs
So kann Ihr Unternehmen das Bewusstsein für Phishing stärken
Entscheidend ist ein mehrschichtiger Ansatz, der sowohl die technische Seite (z. B. durch E-Mail-Filter) als auch menschliche Aspekte (durch Schulungsmaßnahmen zum Thema) berücksichtigt. Wenn ein Angriff Ihre Sicherheitsbarrieren durchbricht, bilden die MitarbeiterInnen in der Regel die letzte Verteidigungslinie.
Fördern Sie die Widerstandsfähigkeit zugunsten der Sicherheit, indem Sie sich darüber informieren, wie Sie Phishing-Angriffe erkennen, verhindern und im Ernstfall darauf reagieren können. Für den Anfang können Sie Ihr Wissen mit unserem Quiz zum Bewusstsein für Phishing testen.
Phishing-Prävention: Was verhindert Phishing am besten?
Die eine ultimative Cybersicherheitslösung, die alle Phishing-Angriffe verhindern kann, gibt es nicht. Ihr Unternehmen sollte Cybersicherheitstechnologie bereitstellen und einen mehrstufigen Ansatz verfolgen, damit von vornherein weniger Phishing-Angriffe erfolgen und im Fall eines erfolgreichen Angriffs die Auswirkungen begrenzt werden.
Informationen über die neuesten Phishing-Methoden wie Spear-Phishing, Typosquatting und Steganografie sowie Tipps dazu, wie Sie diese mit fortschrittlichen Cybersicherheitsmethoden bekämpfen können, finden Sie in unserem neuen E-Book Phishing für Dummies in Kapitel 1, das sich mit den Grundlagen des Phishings befasst.
Mehrstufige Sicherheitslösungen |
Ihr Unternehmen kann Cisco Umbrella zum Schutz vor Phishing und Cisco Secure Email Threat Defense für die Sicherheit der E-Mail-Posteingänge bereitstellen. Unter Umständen kommt auch Cisco Secure Access infrage, eine Cloud-basierte SSE-Lösung (Security Service Edge), die auf Zero Trust beruht und sicheren Zugriff überall ermöglicht, einschließlich Phishing-Schutz. Eine robuste MFA-Lösung wie Cisco Duo kann Angreifende abwehren, die per Phishing Anmeldeinformationen gestohlen haben. |
|
Regelmäßige Schulungen |
Mit Schulungen zum Thema Phishing und entsprechenden Strategien holen Sie Ihre MitarbeiterInnen ins Boot, damit diese ebenfalls Ihr Unternehmen verteidigen können. Nutzen Sie dazu auch Cisco Secure Awareness-Schulungen. Anhand von Phishing-Simulationen und durch die Schulung des Gefahrenbewusstseins lernen MitarbeiterInnen, wie sie Phishing-Versuche erkennen und melden können. |
|
Verzicht auf die Veröffentlichung von Kontaktinformationen im Internet |
Manche Angreifende beziehen ihre Informationen aus Social Media und von Websites. Sie erfassen die Handynummern wichtiger AnsprechpartnerInnen aus deren E-Mail-Signatur und nutzen sie für Spear-Phishing- und SMiShing-Kampagnen. |
|
Alternative Namen für E-Mail-Adressen |
Informationen zu gängigen Benennungskonventionen für E-Mail-Adressen sind problemlos im Internet zu finden. Die meisten Muster lassen sich leicht erraten. Erwägen Sie daher, bei der Vergabe von E-Mail-Adressen nicht die Standardversionen „Vorname.Nachname“ oder „Initiale Vorname.Nachname“ zu wählen. Eine Alternative sind zufällige E-Mail-Adressen für das gesamte Unternehmen, die nicht im großen Stil erraten werden können. |
|
Sichere Messaging-Plattformen |
Die meisten Phishing-Angriffe erfolgen immer noch per E-Mail. Viele Unternehmen setzen daher bei der internen Kommunikation auf die erhöhte Sicherheit von Messaging-Plattformen wie Cisco Webex Messaging. Messaging-Plattformen reduzieren den Bedarf an E-Mails zur Kommunikation und damit auch die E-Mail-Nutzung insgesamt.
|
Sorry, no results matched your search criteria(s). Please try again.
So erkennen Sie Phishing
Sie können lernen, Phishing-E-Mails auf Desktop- und Mobilgeräten zu erkennen. Nachfolgend werden einige grundlegende Methoden beschrieben.
In einem E-Mail-Client |
Eine der zuverlässigsten Methoden zum Erkennen eines Phishing-Angriffs ist das Untersuchen der in der E-Mail enthaltenen Hypertext-Links. Achten Sie auf Rechtschreib- und Grammatikfehler im Text der E-Mail. Überprüfen Sie, ob die Domain der Absenderadresse richtig geschrieben ist. In Phishing-E-Mails wird beispielsweise oft eine Zahl anstelle eines Buchstabens verwendet. |
|
Bei Hyperlinks in E-Mails |
Wenn Sie in einem Browser mit dem Mauszeiger auf einen Hyperlink zeigen, wird die Ziel-URL in einem Pop-up-Fenster angezeigt. Überprüfen Sie, ob diese Ziel-URL der Angabe aus der E-Mail entspricht. Auch bei Links, die Sonderzeichen enthalten oder abgekürzt sind, sollten Sie misstrauisch werden. |
|
Auf Mobilgeräten |
Sie können sich die Ziel-URL ansehen, indem Sie den Finger kurz auf den Hyperlink legen. Daraufhin wird ein Pop-up-Fenster mit der Vorschau der URL geöffnet. |
|
Auf Webseiten |
Zeigen Sie mit dem Mauszeiger auf den verlinkten Text. Die Ziel-URL wird dann unten links im Browserfenster angezeigt. Hier können Sie testen, wie zuverlässig Sie Phishing erkennen. |
Sorry, no results matched your search criteria(s). Please try again.
Weitere Maßnahmen zum Schutz vor Phishing für Einzelpersonen:
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Sorry, no results matched your search criteria(s). Please try again.
Die gängigsten Phishing-Arten
Business E-Mail Compromise (BEC)
Bei BEC handelt es sich um genau geplante Angriffe, denen gezielte Recherche auf Seiten der Hacker vorausgeht. Ziel ist es, sich als Führungskraft eines Anbieters oder Zulieferers auszugeben.
In diesem On-Demand-Webinar erfahren Sie, warum BEC so schwierig zu erkennen ist.
Infografik zum Thema Business E-Mail Compromise (BEC) anzeigen
Die wichtigsten Phishing-Bedrohungen im Zusammenhang mit BEC
Kompromittierung eines E-Mail-Kontos: Bei dieser häufigen Variante von BEC hacken sich die Angreifenden in das E-Mail-Konto von MitarbeiterInnen und fordern bei Anbietern Zahlungen an. Das Geld wird auf von den Hackern kontrollierte Bankkonten überwiesen.
Auftreten als MitarbeiterIn: In diesem Fall von BEC geben sich die Angreifenden in einer E-Mail als vertrauenswürdige/r interne/r MitarbeiterIn oder Anbieter aus und versuchen, auf diesem Weg an Geld oder sensible Informationen zu gelangen.
Auftreten als VIP: Bei dieser Art von Angriff senden die Hacker über das kompromittierte E-Mail-Konto eines tatsächlich existierenden Unternehmens, einer Einzelperson oder bekannten Persönlichkeit eine E-Mail an ihr Opfer und bitten es um eine Zahlung oder Überweisung.
Auftreten als externer Zahlungsdienstleister: In einer E-Mail geben sich die Angreifenden als vertrauenswürdiger Anbieter aus, der die Bezahlung einer Rechnung abwickeln soll. Diese Art von Angriff wird auch als Vendor Email Compromise (VEC) bezeichnet.
Interner Zahlungsbetrug: Hacker verschaffen sich mithilfe gestohlener Anmeldeinformationen Zugang zu internen Zahlungssystemen wie einer Zahlungsplattform und richten dort falsche Anbieter ein, ändern die Zahlungsempfänger oder leiten Zahlungen auf ihre eigenen Bankkonten um.
Falsches Gehaltskonto: Angreifende verwenden gestohlene E-Mail-Anmeldeinformationen, um eine E-Mail an die Buchhaltung eines Unternehmens zu senden, in der sie um die Änderung des Gehaltskontos bitten.
Social Engineering: Hacker erschleichen sich mit psychologischen Tricks das Vertrauen des Opfers, das daraufhin unvorsichtig wird und beispielsweise personenbezogene Informationen weitergibt.
Erpresserische Forderungen: Angreifende bedrohen ihr Opfer oder schüchtern es ein, um an Geld oder andere finanzielle Vorteile zu gelangen. Eine gängige Form ist das sogenannte Vishing.
Auskundschaften per E-Mail: Was wie eine legitime E-Mail aussieht, ist in Wirklichkeit die Nachricht eines Angreifenden, der nach Beantwortung der E-Mail sensible Benutzer- oder Unternehmensdaten stiehlt.
Phishing von Anmeldeinformationen: Hacker geben sich in E-Mails und auf gefälschten Anmeldeseiten als ein tatsächlich existierendes Unternehmen aus und verschaffen sich auf diese Weise Zugang zu Anmeldeinformationen. Mit den gestohlenen Anmeldeinformationen führen sie dann einen weiteren Angriff durch oder extrahieren Daten.
Kontoübernahme (Account Takeover, ATO)
Die Methoden, mit denen sich Angreifende Zugriff auf ein Cloud-basiertes E-Mail-Konto (beispielsweise bei Microsoft 365) verschaffen, sind relativ simpel und werden immer häufiger genutzt. In der Regel erhalten die EmpfängerInnen dieser Phishing-Kampagnen eine vermeintlich von Microsoft stammende E-Mail. In der E-Mail werden sie dazu aufgefordert, sich bei ihrem Konto anzumelden. Es wird behauptet, sie müssten ihr Kennwort zurücksetzen, hätten sich schon seit längerer Zeit nicht mehr angemeldet oder es bestehe ein Problem mit dem Konto, das ihrer Aufmerksamkeit bedürfe. Um das Problem zu beheben, sollen sie auf den angegebenen Link klicken.
In diesem On-Demand-Webinar erfahren Sie mehr zum Thema ATO.
Spear-Phishing
Spear-Phishing zielt auf bestimmte Personen statt einer großen Zielgruppe ab. Auf diese Weise können die Angreifenden ihre Mitteilungen anpassen und authentischer wirken. Spear-Phishing ist häufig der erste Schritt, um die Verteidigung eines Unternehmens zu durchdringen und einen gezielten Angriff durchzuführen. Laut SANS Institute sind 95 % aller Angriffe auf Unternehmensnetzwerke das Ergebnis von erfolgreichem Spear-Phishing.
Whaling
Wenn Angreifende es auf einen „großen Fisch“ abgesehen haben, beispielsweise einen CEO, wird dies als „Whaling“, also „Walfang“, bezeichnet. Diese Angreifenden wenden häufig viel Zeit dafür auf, ein Profil der Zielperson zu erstellen, um den passenden Zeitpunkt und geeignete Mittel zu finden, um dessen Anmeldeinformationen zu stehlen. Whaling ist besonders gefährlich, da hochrangige Führungskräfte Zugriff auf viele vertrauliche Unternehmensinformationen haben.
Voice-Phishing (Vishing)
Voice-Phishing, auch als Vishing bezeichnet, ist eine Variante des Social Engineerings. Das Opfer erhält einen betrügerischen Anruf oder eine Sprachnachricht, in der es nach sensiblen Informationen gefragt wird, beispielsweise nach Anmeldeinformationen. Vielleicht geben sich Angreifende als SupportmitarbeiterInnen oder VertreterInnen Ihres Unternehmens oder eines Abonnementservice aus. Neue MitarbeiterInnen sind tendenziell anfälliger für diese Art von Betrug, doch grundsätzlich kann ihr jeder zum Opfer fallen. Vishing wird immer gängiger. Es gibt Software, die Spam-Anrufe blockieren und Ihr Unternehmen auf diese Weise schützen kann.
SMS-Phishing (SMiShing)
Bei dieser Art von Phishing versenden die Angreifenden entweder eine SMS von einer unbekannten Nummer oder geben sich per SMS als bekannte MitarbeiterInnen Ihres Unternehmens aus. Manchmal enthalten SMIShing-Nachrichten einen Link oder fordern Sie auf, sofort zu handeln. In beiden Fällen gilt: Wenn Sie die Telefonnummer nicht kennen, löschen Sie die Nachricht einfach. Sollten Sie unsicher sein, rufen Sie den angeblichen Absender unter einer bekanntermaßen richtigen Nummer an und fragen Sie, ob es sich um eine legitime SMS handelt.
Angler-Phishing
Angler-Phishing ähnelt dem Vishing, allerdings kontaktieren die Angreifenden ihr Opfer statt per Anruf per Direktnachricht auf einer Social-Media-Plattform. Sie geben sich dabei als MitarbeiterIn des Kundenservice aus. Auf diese Masche sind sogar schon Scam-Profis hereingefallen, sie ist also nicht zu unterschätzen.
Phishing entwickelt sich ständig weiter und tritt heute in ganz unterschiedlichen Formen auf, beispielsweise als Spear-Phishing oder SMiShing. Auch die Kanäle werden immer vielfältiger, seien es kompromittierte Websites, Social Media, gefälschte Werbung, QR-Codes, Anhänge oder SMS.
Quiz zum Bewusstsein für Phishing
Wie sollten Sie als MitarbeiterIn reagieren, wenn Sie vermuten, eine Phishing-E-Mail erhalten zu haben?
Was sind die häufigsten Anzeichen für Phishing?
Wie viele Phishing-E-Mails werden weltweit täglich versendet?
Was ist Spear-Phishing?
Was kann passieren, wenn Sie in einer Phishing-E-Mail auf einen Link klicken oder einen Anhang öffnen?
Warum ist es wichtig, auch dann auf der Hut vor Phishing-E-Mails zu sein, wenn im Unternehmen E-Mail-Kontrollen angewendet und Sicherheitsmaßnahmen getroffen werden?
Wie können Angreifende durch Phishing die Identität einer anderen Person stehlen?
Inwiefern könnten Phishing-Angreifende eine Naturkatastrophe oder eine drohende Pandemie für ihre Zwecke nutzen?
