Phishing-Links erkennen: die Adresse entscheidet

Der bekannte Name kann an der falschen Stelle stehen.

Stellen Sie sich eine Nachricht vor: Ein freigegebenes Dokument wartet, die Anmeldung soll nur einen Moment dauern. Logo, Sprache und Absendername wirken vertraut. Trotzdem kann die Schaltfläche auf eine Seite führen, die mit dem genannten Dienst nichts zu tun hat. Die Gestaltung einer Nachricht ist deshalb kein ausreichender Nachweis für ihre Herkunft.

Lesen Sie die Adresse als zusammenhängenden Namen. Bei einfachen Adressen ist die eigentliche Domain am Ende des Hostnamens zu erkennen; davor können Unterdomains stehen. Endungen wie .co.uk machen eine reine Regel nach den letzten zwei Wörtern jedoch unzuverlässig. Ein guter Link-Check berücksichtigt solche Endungen. Namen im Pfad hinter dem ersten Schrägstrich nach dem Host ändern den Betreiber der Domain nicht.

Drei Dinge verdienen einen zweiten Blick.

Kein einzelnes Merkmal beweist einen Betrug. Mehrere Auffälligkeiten zusammen sind aber ein guter Grund, den Vorgang zu unterbrechen und den Absender über einen bekannten Weg zu kontaktieren.

1. Die Domain weicht ab: zusätzliche Buchstaben, ein Bindestrich an ungewohnter Stelle oder ein bekannter Markenname als Unterdomain eines fremden Namens.
2. Das Ziel bleibt verborgen: Ein Kurzlink oder eine Weiterleitung zeigt in der Nachricht noch nicht, auf welcher Website Sie am Ende landen.
3. Die Nachricht setzt Sie unter Druck: Eine sofortige Anmeldung, Zahlungsfreigabe oder Passwortänderung wird verlangt, obwohl Sie den Vorgang nicht erwartet haben.

Fachliche Grundlage: BSI: Leitfaden zur Reaktion auf IT-Sicherheitsvorfälle

HTTPS schützt die Verbindung. Prüfen Sie trotzdem das Ziel.

Eine verschlüsselte Verbindung erschwert das Mitlesen auf dem Übertragungsweg. Auch eine betrügerische Website kann ein gültiges Zertifikat verwenden. HTTPS beantwortet daher eine technische Frage zur Verbindung, nicht die Frage, ob Sie gerade mit dem gewünschten Unternehmen sprechen.

Ebenso wenig ist fehlerfreies Deutsch ein Vertrauensbeweis. Bewerten Sie den Anlass: Haben Sie diese Nachricht erwartet? Passt die Aufforderung zu Ihrem Arbeitsablauf? Lässt sich derselbe Vorgang in der bekannten Anwendung nachvollziehen?

Fachliche Grundlage: Google Chrome: Sicherheit einer Websiteverbindung überprüfen

Bereits geklickt? Entscheidend ist, was danach passiert ist.

Ein Klick, eine heruntergeladene Datei und ein eingegebenes Passwort sind unterschiedliche Situationen. Notieren Sie, was passiert ist, und informieren Sie die zuständige IT. Geben Sie auf der verdächtigen Seite nichts weiter ein und bestätigen Sie keine zusätzlichen Anmeldeanfragen.

Wenn Sie Zugangsdaten eingegeben haben, öffnen Sie den echten Dienst über einen bekannten Weg und lassen Sie den Zugang absichern. Dazu können ein Passwortwechsel, das Beenden bestehender Sitzungen und die Prüfung der Mehrfaktor-Anmeldung gehören. Bei einer ausgeführten Datei oder einer Zahlungsfreigabe sollte die IT beziehungsweise die zuständige Stelle den Vorfall unmittelbar übernehmen. Eine schnelle, sachliche Meldung ist hilfreicher als die Sorge, einen Fehler zugegeben zu haben.

Fachliche Grundlage: BSI: Leitfaden zur Reaktion auf IT-Sicherheitsvorfälle

Ein verständlicher Hinweis, bevor Sie weitergehen.

Der Link-Check von Centira untersucht ausgewählte Merkmale einer Adresse lokal im Browser. Sie können eine verdächtige Adresse einfügen, ohne die Zielwebsite dafür zu öffnen. Der Check erklärt die tatsächliche Domain und die erkannten Auffälligkeiten. Verwenden Sie zum Ausprobieren eine Adresse ohne persönliche Zugangstoken.

Das Ergebnis beruht auf Regeln zur Adresse. Es ist keine vollständige Prüfung des Seiteninhalts, aller Weiterleitungen oder einer externen Reputationsdatenbank. Auch eine unauffällige Adresse kann zu einem gefährlichen Angebot führen. Den abschließenden Blick auf Anlass und Absender ersetzt der Check deshalb nicht.