Anwalt bei Phishing einschalten

Was ist gemeint, wenn von Phishing die Rede ist?

Unter dem Begriff „Phishing“ werden diverse Methoden zusammengefasst, die dem Identitätsdiebstahl im Onlineverkehr dienen.

Ziel ist das Abfangen sensibler Daten, die es dem Täter ermöglichen, sich im Namen des Geschädigten dessen Accounts zu bemächtigen und unerkannt auf dessen Kosten Geschäfte zu tätigen. Im Extremfall werden Bankdaten veräußert, in anderen Situationen werden „nur“ Kontaktdaten weiterverkauft.

Der Ausdruck selbst setzt sich zusammen aus den englischen Begriffen „password“ und „fishing“. Dem bildlich sehr passenden Abfischen von Passwörtern oder eben Zugangsdaten. In Anlehnung daran spricht man bei ähnlich angelegten Betrugsversuchen über Telefonkontakte („voice“) von „Vishing“.

Für Phishing sind keine fortgeschrittenen IT-Kenntnisse notwendig

Waren einst Spezialisten notwendig, um den Anwender mit möglichst originalgetreu wirkenden E-Mail-Benachrichtigungen und duplizierten Login-Sites zu täuschen, kann sich ein gut informierter Betrüger heute leicht mit Programmen behelfen. Die gewünschten Benutzeroberflächen werden über die Software automatisch generiert. Die benötigten Daten liefert das Programm bereits übersichtlich aufbereitet im geordneten Textformat.

Während dem aufmerksamen Nutzer derart angelegte Betrugsversuche meist noch über kleine Unstimmigkeiten auffallen können, hat er gegenüber fortgeschrittenen Hackern keine Chance. Diese sind in der Lage, die Daten ohne Umwege über Fake-Sites oder dubiose Abfragen direkt während der Interaktion mit dem Original-Anbieter abzugreifen.

In solchen Fällen ist die Beweislage besonders schwierig. Hier, aber auch in den zuvor genannten Beispielen, ist es ratsam, einen Anwalt den Phishing-Fall klären zu lassen.

Welche Risiken sind mit Phishing verbunden?

Sowohl für Anbieter diverser Onlinedienste, als auch für die um Ihre Daten betrogenen Opfer kann Phishing Folgen enormen Ausmaßes nach sich ziehen. Es geht vorrangig um finanzielle Verluste, aber auch um Einbrüche in der Vertrauenshaltung gegenüber ausgenutzten Anbietern.

Ein Unternehmen, das durch inadäquaten Umgang mit sensiblen Daten auffällt, verliert mitunter große Teile seiner Kundschaft. Ein Risiko, dass eine professionell aufgestellte Firma unter Umständen durch gezielte PR-Maßnahmen auszugleichen weiß. Für Sie als Betrugsopfer kann ein einziger derartiger Angriff zu unausgleichbaren finanziellen Einbußen führen.

Es sind finanzielle und soziale Verluste zu erwarten

Allein der Zugriff auf die Zugangsdaten zu einem Social-Media-Account kann genügen, um sich sekundär Ihrer Kontodaten zu bemächtigen. Einfach, weil Dienste wie Facebook und die Google Anwendungspalette sich mit zahlreichen Anwendungen verknüpfen, die über kurz oder lang zur Abfrage sensibler Daten führen.

Neben diesen finanziellen Problemen besteht die Gefahr der Verleumdung. Kommentare, E-Mails oder Chatnachrichten in Ihrem Namen können durch kontroverse Inhalte zu einem falschen Bild vor Geschäftspartnern, Freunden oder Familienangehörigen führen. Ohne dass Sie sofort nachvollziehen können warum, scheitern dann berufliche Beziehungen oder sie verlieren private Kontakte bzw. diese werden genutzt, um sich finanzielle Leistungen zu erschleichen (Die moderne Variante des „Enkeltricks“).

Phishing-Delikte werden mitunter zunächst übersehen

Für ungewöhnliche Kontobewegungen schalten Sparkassen und Banken zum Glück Warnmeldung. (In der Regel über den Postweg.) Was ist aber mit Vertragsabschlüssen oder Ratenkäufen, die lang nach dem Kauf einsetzen? Diese fallen erst verspätet auf und sind dann kaum noch nachvollziehbar.

Komplex sind auch Verkäufe auf fremden Namen. Diese können Sie zudem noch mit kriminellen Handlungen in Verbindung bringen, ohne dass Sie auch nur die leiseste Ahnung haben, wie es zu dem illegalen Datentransfer kam.

Wie hoch ist das Risiko, Phishing-Opfer zu werden?

In Deutschland werden auf diesem Weg jährlich Milliardenbeträge unrechtmäßig veräußert. Das persönliche Verlustrisiko stellt sich durch die schwierige Beweisführung sehr hoch da. Dabei geht es nicht nur darum, erkannte Falschbuchungen zurückerstattet zu bekommen, sondern auch darum, in Erfahrung zu bringen, welche Geschäfte unter dem Namen des Opfers getätigt wurden.

Zudem können Phishing Mails oder Accounts mit Male Ware gespickt sein. Programmen also, die ganze Softwaresysteme lahmlegen. Allein die daraus resultierenden Kosten (Hardwareersatz, IT-Arbeitskräfte, Verdienstausfälle…) können kleinen wie großen Firmen große Schäden zufügen.

Der Datenverlust kann speziell für öffentliche Einrichtungen und Behörden enorme Probleme nach ich ziehen. Teils existenzielle Leistungsbezüge werden mitunter unterbrochen.

Zum Beitrag bei ZDFheute

Wie geht ein Phishing-Angriff von statten?

Ein erster Schritt im Kampf gegen den Onlinebetrug ist es, sich über der Gefahren der Weitergabe persönlicher Daten im Netz bewusst zu werden. Wenn Sie wissen, wie Phishing funktioniert, können Sie zumindest offensichtlichen Angriffen entgehen.

Über welche Dienste sind Sie angreifbar?

• seriöse Websites, die illegal auf Plagiate umgeleitet werden
• Weitergabe von Daten über Vortäuschung falscher Tatsachen (Mails, mit falschen Sicherheitshinweise; vermeintliche CEO-Spezialisten; Unternehmen, die es nicht gibt…)
• Nachrichtendienste (Falschmeldungen; Links, die zu Male Ware führen)
• Account-Kopie
• berufliche Netzwerke (Xing, LinkedIn…)
• persönliche Kontakte (Social Media: Facebook…)
• Cloud Dienste (Adobe Creative Cloud, Dropbox…)

Phishing-Beispiel: Online-Banking

Ein gefälschtes Online-Banking Portal ist auf den ersten Blick kaum vom Original zu unterscheiden. Die Anmeldeaufforderung erscheint wie gewohnt. Wer diese Dienste häufig in Anspruch nimmt, füllt die Anfragen automatisiert aus und schaut erst genauer auf den Bildschirm, wenn er plötzlich eine unerwartete Fehlermeldung erhält. Aus Sicherheitsgründen sollen PIN und oder TAN wiederholt eingegeben werden und schon sind die entsprechenden Daten veräußert.

Unter Umständen findet der Anwender eine solche Warnung direkt in seinem Emailpostfach. In beiden Fällen genügt ein wenig Zeitdruck und die Betrüger haben leichtes Spiel. Schließlich sind Sie im Alltag auf den funktionierenden Zahlungsverkehr angewiesen.

Mit den abgefangenen Daten ist es dem Betrüger ein Leichtes, sich selbst Geld von Ihrem Konto zu überweisen. Liegt das Zielkonto im Ausland, wird es umso schwerer, den Vorgang im Nachhinein zu rekonstruieren.

Phishing-Beispiel: Mail-Service

Eine Phishing-Mail kann durch das reine Öffnen Schaden anrichten. Noch wahrscheinlicher ist die Übertragung schädlicher Software durch das Anklicken gegebener Links oder angehängter Dateien.

Die Erstellung einer solchen Mail ist innerhalb kürzester Zeit möglich und im Ganzen wenig aufwendig. Der Versand kann an eine große Anzahl Nutzer zugleich und vollständig kostenfrei erfolgen. Die Mailadressen selbst sind oft frei zugänglich oder können Visitenkarten oder ähnlichen Dokumenten entnommen werden. Entsprechend ist der Einsatz von Phishing-Mails verhältnismäßig häufig zu erwarten.

Die Nachrichten selbst sind in ihrer Aufmachung denen bekannter Unternehmen oder Finanzdienstleister nachempfunden. Schon der Betreff wird so gewählt, dass eine sofortige Handlungsaufforderung suggeriert wird. Es werden Gefahrenquellen oder Angebote angepriesen.

Meist findet sich der User vor einem Formular wieder, das diverse sensible Daten abfragt. Das Problem: Die Abfrage erscheint im Kontext sinnvoll und macht sich erst im Nachhinein verdächtig. Innerhalb weniger Sekunden sind Kontodaten, Passwörter, Betriebsgeheimnisse, Unternehmensdaten, Steuerinformationen oder Krankendaten veräußert.

Phishing-Beispiel: Paket-Service

Zustellhinweise von verschieden Lieferanten zu beziehen ist praktisch und entsprechend beliebt. Diese Entwicklung bietet Onlinebetrügern wieder ein ganz neues Einsatzfeld. Falsche Lieferhinweise können genau wie E-Mails Male Ware transportieren, die sich bereits beim Öffnen der Nachricht auf Ihr Smartphone überträgt. Seien Sie deshalb wachsam, bevor Sie Zustellinformationen zu Paketen öffnen, die Sie gar nicht erwarten.

Wie Sie sich vor Phishing-Angriffen schützen

Im Schadensfalls ist es grundsätzlich unausweichlich, die zuständigen Behörden zu informieren. Kontaktieren Sie außerdem sobald wie möglich Ihren Anwalt. Phishing ist ein groß angelegtes Verbrechen, mit dem Sie nicht allein zurechtkommen müssen.

Bevor es soweit kommt, gibt es jedoch einige Richtlinien, die Sie beachten können, um Ihr persönliches Phishing-Risiko so gering wie möglich zu halten.

1. Woran Sie eine Phishing-Mail erkennen

Zunächst wird ein seriöser Anbieter immer darauf achten, seine Kunden namentlich anzusprechen. Diese Form der Personalisierung ist mit herkömmlicher Bürosoftware ohne größere Umstände möglich. Sie kennen das Vorgehen wahrscheinlich selbst aus bekannten Microsoftanwendungen. Fehlt dieses Detail, dürfen Sie skeptisch werden.

Ebenso, wenn Versicherer, Kreditinstitute, Banken oder Behörden vollständig auf ein postalisches Verifizierungssystem verzichten. Selbst wenn viele Verträge heutzutage online geschlossen werden, beinhaltet der Vorgang doch zumindest einen Authentifizierungsschritt.

Ist Ihnen eine E-Mail-Anfrage mit Datenabfrage nicht geheuer, wenden Sie sich direkt an Ihren persönlichen Betreuer. So sind Sie auf der sicheren Seite und das Unternehmen ist im Falle des Falles über den Betrugsversuch informiert.

Mitunter sind Phishing-Versuch erstaunlich offensichtlich. Lassen Sie sich nicht dazu verleiten, auf E-Mails mit schlecht imitierten Logos oder eindeutigen Rechtschreibfehlern näher einzugehen. Unternehmen, die mit sensiblen Daten arbeiten, sind sehr um Seriosität bemüht. Sie werden sich um einen angemessenen Ausdruck und die perfekte Übertragung von Sonderzeichen bemühen. Die Mitarbeiter sind der deutschen Sprache selbstverständlich mächtig.

Erkennen Sie Abweichungen zum gewohnten Schriftverkehr oder unübersehbare Fehler in der Formatierung schließen Sie das Dokument.

Testen Sie nie offensichtlich dubiose Hyperlinks. Ein Klick genügt, um Male Ware den Zugang zu Ihrem System zu ermöglichen.

Sie werden von einem seriösen Unternehmen nie per Mail zu sofortigem Handeln aufgefordert werden. Vertragliche Änderungen werden in der Regel lang im Voraus angekündigt. Besteht ein echtes Problem, das zum Beispiel mit einer Kontosperrung einhergeht, werden Sie vorgeladen, um sich ausweisen zu können.

Sieht eine Mail vertrauenswürdig aus und können Sie sich die geschilderten Zusammenhänge dennoch nicht erklären, werfen Sie einen Blick in den Mail-Header. Hier ist neben dem konkreten Namen des Absenders auch dessen IP-Adresse vermerkt. Diese können Sie im Zweifelsfall mit älteren Posteingängen abgleichen.

2. Wie sichere ich meine Online-Banking-Vorgänge ab?

Ein einfaches Mittel, sichere Online-Banking-Vorgänge zu tätigen, ist es, nicht über Drittanbieterlinks mit seiner Bank in Kontakt zu treten oder Geschäfte zu tätigen. Lassen Sie sich nicht umleiten, sondern geben Sie die URL ihres Online-Banking-Portals immer direkt in die Adresszeile des Browsers ein.

Vergegenwärtigen Sie sich, dass Banken nicht umsonst mit TAN-Generatoren und postalisch zugesandten Zugangskennungen arbeiten. Es ist ihnen rechtlich nicht gestattet, diese Daten telefonisch oder per E-Mail abzufragen. Begegnet Ihnen eine derartige Aufforderung, dürfen Sie den Kontakt sofort abbrechen und einen Betrugsversuch annehmen.

Dies gilt im Übrigen erst recht, wenn Sie wissen, dass Ihre Bank Ihre E-Mail-Adresse oder Handynummer nicht kennt oder ein fremdes Unternehmen unaufgefordert Kontakt zu Ihnen aufnehmen möchte.

3. Woran erkenne ich seriöse Websites?

Die URL einer seriösen Website beginnt generell mit https://. Überprüfen Sie nach jeder Weiterleitung die Adresszeile Ihres Browsers auf dieses Detail. Es verweist auf eine zertifizierte Adresse.

Natürlich kann auch diese nicht mit dem erwarteten Unternehmen in Verbindung stehen. Darum sollte in zweiter Instanz der Name der Site betrachtet werden. Bekannte Unternehmen treten unter ihren offiziell eingetragenen Namen auf. Sie benötigen keine Zusätze oder Erläuterungen und fügen Ihren Webadressen keine irritierenden Sonderzeichen oder Zahlen bei.

Als Unternehmer empfiehlt es sich, regelmäßig Schulungen zu aktuellen IT-Sicherheitsvorschriften in Anspruch zu nehmen und an den dort empfohlenen Vorgehensweisen nicht zu sparen.

Sensibilisieren Sie Ihre Mitarbeiter hinsichtlich potenzieller Gefahren und sorgen Sie dafür, dass kein nicht notwendiger Datenaustausch über Firmen-Accounts getätigt wird. Downloads und Programminstallation auf Firmenrechner sollten nur autorisierten Mitarbeiter möglich sein.

Wenn es den Mitarbeitern zu jeder Zeit möglich ist, sich mit der IT-Abteilung kurzzuschließen und es für sie einen direkten Draht zu den Spezialisten dort gibt, fällt es ihnen mitunter leichter, sich dort spontan Rat zu holen.

4. Gegebene Sicherheiten zulassen

Tatsächlich entwickeln sich auch Onlinebetrüger immer weiter, sodass keine Vorsichtsmaßnahme dauerhaft gelten muss. Ein Vorgehen, um sensible Daten, wie die regelmäßig genutzter Versandunternehmen und des Online-Banking-Kontos zu schützen, kann das Einrichten eines speziell dafür vorgesehenen Mailzugangs sein. Diese Adresse wird nirgends sonst verwendet, sodass sie außerhalb der vorgesehenen Transaktionen nicht abgefangen werden kann.

Verwenden Sie die Sicherheitseinstellungen Ihres Mailprogramms, aktualisieren Sie diese regelmäßig und nehmen sie vor allem die Warnhinweise Ihres Mailprogramms ernst. Bedenken Sie im selben Zuge, Ihre Antivirensoftware aktuell zu halten.

Um Angriffen zu entgehen, können Sie sich auf der Website der Verbraucherzentrale regelmäßig über bekannt gewordene Phishing-Maschen informieren.

Wenn der Schadensfall bereits eingetreten ist

Wie verhalte ich mich, wenn ich Opfer von Phishing werde?

Haben Sie Grund zu der Annahme, dass eine Phishing-Mail in Ihrem Postfach gelandet ist, machen Sie sofort Screenshots und informieren Sie die zuständigen Behörden. Ansprechpartner sind allgemein Polizei und Verbraucherschutz. Auch das kopierte bzw. ausgenutzte Unternehmen hat selbstverständliche Interesse daran, von dem Betrugsversuch zu erfahren, um weitere Kunden warnen zu können.

• Sichern Sie Beweismaterial und stellen Sie es den Behörden zur Verfügung.
• Datendiebstahl rechtfertigt eine sofortige Anzeige!
• Wenden Sie sich an einen Anwalt, der Phishing Erfahrungen hat und Sie wirksam vertreten kann.
• Wurden Ihre Computersysteme gehackt, bedenken Sie, dass Sie alle im lokalen Passwortmanager gespeicherten Daten ersetzen müssen.
• Lassen Sie Bankkonten umgehend sperren.

Wer kommt für Schäden auf, die durch Phishing entstehen?

Ob es möglich ist, dass Banken fälschlich überwiesene Summen an Sie zurückzahlen, kann ein Anwalt für Sie in Erfahrung bringen. Sie sind in diesem Zusammenhang aufgefordert, Beweise für den Phishing-Angriff zu liefern und nachzuweisen, dass Sie Ihrer Sorgfaltspflicht im Umgang mit Ihren sensiblen Daten nachgekommen sind. Das heißt konkret, dass von Ihnen erwartet wird, ein Virenschutzprogramm zu pflegen und sensible Daten nicht bewusst an Dritte weiterzureichen. Passwörter, Pin-Nummern und TANs sollten Fremden nicht zugänglich sein.

Grundsätzlich ist ein Erstattungsanspruch gesetzlich gegeben. Wie Ihre Bank mit Phishing-Fällen umgeht, kann in verallgemeinerter Form den Vertragsunterlagen entnommen werden. Dennoch ist es immer ratsam, einen Anwalt den Phishing-Fall prüfen zu lassen. Individuelle Einzelfälle können eine abweichende Rechtsprechung nach sich ziehen. Die Problemlösung liegt nie pauschal auf der Hand.

Update 16.10.2024 – Verbraucherschützer bemängeln: Finanzinstitute lassen Kunden bei Betrug im Stich

Bei Opfern von Phishing oder Quishing übernehmen Banken selten die Verantwortung. Verbraucherschutzorganisationen fordern daher eine stärkere Verpflichtung der Finanzinstitute.

Täglich erscheinen neue Warnungen: Bankkunden sollen vor manipulierten SMS, Phishing-E-Mails und neuerdings auch Quishing-Attacken auf der Hut sein. Diese täuschen vor, von renommierten Banken, Kreditkartenunternehmen oder Zahlungsdienstleistern wie Paypal oder Klarna zu stammen. In Wahrheit verbergen sich dahinter jedoch Betrüger, die es auf die Kontodaten ihrer Opfer abgesehen haben.

Statistiken des Bundeskriminalamts (BKA) belegen einen deutlichen Anstieg des Betrugs mit Karten und Konten: Die Fallzahlen stiegen im Vorjahr um 14 Prozent auf etwa 90.000. Das BKA weist in seinem Bundeslagebild Cybercrime 2023 zudem darauf hin, dass die Identifikation von Phishing-E-Mails zunehmend schwieriger wird. Künstliche Intelligenz (KI) spielt hierbei eine immer größere Rolle.

Die Betrugsmethoden werden immer raffinierter: Phishing-E-Mails sind längst nicht mehr von Rechtschreibfehlern durchsetzt, SMS-Nachrichten ähneln täuschend echt denen der eigenen Bank, und neuerdings greifen Kriminelle sogar auf den klassischen Postweg zurück, indem sie massenhaft täuschend echte Briefe mit betrügerischen QR-Codes versenden.

Letztendlich landen die Verbraucher in solchen Fällen meist auf gefälschten Webseiten, deren einziger Zweck es ist, die Zugangsdaten zu ihren echten Konten zu stehlen.

Kunden tragen die finanziellen Konsequenzen

Der Verbraucherzentrale Bundesverband (VZBV) kritisiert nun das Verhalten der Banken in diesen Fällen: Häufig bleiben die Kunden auf dem Schaden sitzen, wenn die Betrüger mit ihren Methoden Erfolg haben. Laut Daten der Europäischen Bankenaufsichtsbehörde (EBA) müssen bei 79 Prozent der betrügerischen Überweisungen die Kontoinhaber selbst für die Verluste aufkommen.

Da die Kunden auf den gefälschten Webseiten der Betrüger ihre Zugangsdaten und Sicherheits-TANs selbst eingeben, stufen die Banken dies rechtlich oft als grobe Fahrlässigkeit ein und verweigern eine Rückerstattung. „Auf diese Weise verschieben die Banken die Haftung von sich selbst auf ihre Kunden“, bemängelt Heiko Fürst, Finanzexperte des VZBV. In allen anderen Fällen – außer bei grober Fahrlässigkeit und betrügerischem Handeln der Verbraucher – sind eigentlich die Banken haftbar.

Aus Sicht der Verbraucherschützer vernachlässigen die Banken damit ihre eigenen Sorgfaltspflichten. Die Überwachung der Kontoaktivitäten durch die Zahlungsdienstleister sei unzureichend, und die technischen Systeme wie Onlinebanking oder Banking-Apps seien nicht ausreichend gegen Angriffe geschützt.

Verbraucherschützer: Banken müssen mehr Verantwortung übernehmen

Während die Banken von ihren Kunden erwarten, stets über aktuelle Betrugsmaschen informiert zu sein, sind die Sorgfaltspflichten für Anbieter gesetzlich nicht ausreichend definiert und werden bei gerichtlichen Auseinandersetzungen selten überprüft.

Daher fordert der VZBV vom Gesetzgeber Nachbesserungen: Zahlungsdienstleister sollen stärker in die Verantwortung genommen und ihre Sorgfaltspflichten präziser definiert werden. Zudem sollten die Zahlungsdienstleister verpflichtet werden, Schutzmaßnahmen wie Überweisungslimits so zu gestalten, dass Verbraucher sich darauf verlassen können und Betrüger diese nicht einfach umgehen können.

Womit müssen die Täter rechnen?

Da viele Phishing-Fälle aus dem Ausland kommend vollzogen werden, gilt für die Täter nicht in jedem Fall das Vorgehen nach dem Strafgesetzbuch. Grundsätzlich machen sich die Täter wegen Computerbetruges (§ 263 a StGB) strafbar. Innerhalb der deutschen Grenzen kann ein nachgewiesener Betrugsversuch zu bis zu zehn Jahren Haft führen.

Zusätzlich kann es sein, dass die Betrüger wegen Fälschung beweiserheblicher Daten (§§ 269, 270 StGB) bzw. für das Ausspähen von Daten (§ 202 a StGB) belangt werden.

Erfahrungsberichte von Betroffenen und Phishing-Opfern

Phishing ist Betrug und für Betroffene häufig ein einschneidendes Erlebnis. Hier berichten Opfer eines Phishing-Angriffs über die Erlebnisse. Diese Erfahrungsberichte werden regelmäßig aktualisiert.

Zögern Sie nicht, sich Hilfe durch einen Anwalt im Phishing-Fall zu holen!

Unter Umständen wird man Sie darauf hinweisen, dass eine Ergreifung der Täter und die Rückerstattung verlorener Beträge nach einem Phishing-Betrug aussichtslos sind. Lassen Sie sich durch derartig pauschalisierte Aussagen nicht entmutigen.

Ich sehe mir Ihren Fall gerne an. Basierend auf meiner langjährigen Erfahrung im Bereich der Online-Rechtsprechung kann ich Ihnen bestätigen, dass sehr häufig unerwartete Lösungen gefunden werden können.