Professionelle Unternehmen haben fast immer eine Website mit eigener Domain, z.B. apple.com für den Smartphone-Hersteller Apple oder nytimes.com für die New York Times. Wann immer du eine E-Mail von einem Unternehmen erhältst, solltest du im Internet nach dessen echter Website-Domain suchen und überprüfen, ob sie der E-Mail-Domain entspricht.

Sagen wir, du hast eine E-Mail scheinbar von Twitter bekommen. Falls du es nicht sowieso weißt, findest du schnell heraus, dass deren Domain twitter.com ist. Was ist nun die E-Mail-Adresse des Absenders? Sagen wir, sie ist support@twitter.com . Die Domain ist der Teil hinter dem @-Zeichen. In diesem Fall ist es also twitter.com . Das wirkt definitiv legitim.

Aber was, wenn der Sender twitter@mail.com ist? Auch in der Adresse findet sich das Wort „Twitter“. Der Unterschied ist: Es handelt sich bloß um einen beliebigen Nutzernamen, der bei jeder E-Mail-Domain verwendet werden könnte. Die Domain ist mail.com , ein beliebter E-Mail-Anbieter für Privatnutzer. Ein Unternehmen wie Twitter würde niemals solch einen unprofessionellen Mail-Dienst nutzen, wenn es auch auf seine schöne twitter.com-Domain zurückgreifen könnte.

Viele Betrüger belassen es nicht bei solch einfachen Dingen wie twitter@mail.com zu nutzen. Stattdessen kaufen sie eigene Domains und tarnen sie auf eine Weise, dass sie wie legitime Adressen aussehen. Eine verbreitete Methode ist es, eine Subdomain vor die tatsächliche Domain zu setzen.

Jede Internet-Adresse besteht aus verschiedenen Teilen. Grundsätzlich handelt es sich um dieses Schema:

Beispiel: https://pixelcode.codeberg.page/phishwarn/index.html

Für E-Mails ist nur dieser Teil relevant: Subdomain.Domain.TLD

Das Wichtige daran ist, dass jede Domain.TLD einzigartig ist. Es gibt nur ein ebay.com und nur ein freedom.press.

Auf der anderen Seite sind Subdomains NICHT einzigartig . Jeder Domainbesitzer kann jede beliebige Subdomain und beliebig viele Subdomains festlegen. Daher wäre eine E-Mail-Domain wie diese möglich: amazon.de.example.com .

Beachte, dass die tatsächliche Domain NICHT amazon.de ist, sondern example.com . Viele Nutzer würden jedoch nicht erkennen, dass amazon.de nicht die Domain ist, sondern denken, dass der Absender tatsächlich Amazon ist, wo doch amazon.de in Wirklichkeit nur eine Kombination aus zwei Subdomains ist: amazon und de.

Die echte Domain ist immer die letzte Zeichenkette vor der Top-Level-Domain. Die TLD ist so etwas wie .com, .net, .gov.uk, .de, .fr usw. (manchmal kann es auch etwas Ausgefallenes wie .page, .social oder .dev sein).

Wenn du dir bei diesem Domain-Zeugs nicht sicher bist, merke dir bloß, dass viele Punkte innerhalb einer E-Mail-Domain verdächtig sind (also viele Subdomains).

Wie oben erklärt, versuchen Betrüger dich panisch werden zu lassen, indem sie hohen Druck auf dich ausüben. So machen sie es:

1. Dringlichkeit: Wenn du angewiesen wirst, eine bestimmte Aktion innerhalb von etwa 24 oder 48 Stunden auszuführen, solltest du wohl einen Augenblick innehalten. Frag dich selbst: Wirkt die Sache wirklich so dringend? Würde der echte Sender solch eine wichtige Mitteilung via E-Mail/SMS etc. schicken? Warum würde er nicht einfach einen Brief schicken, um den Empfang sicherzustellen?

2. Schwerwiegende Konsequenzen: > Wenn dir mit schwerwiegenden Konsequenzen gedroht wird, wie einer Kontosperrung oder verklagt, verhaftet oder gefeuert zu werden, ist es die gleiche Situation: Würde der echte Sender dir so drohen – insbesondere via E-Mail/SMS etc.?

3. Hohe Autorität: Viele Betrüger geben vor, jemand wie dein Arzt, die Polizei, generell die Regierung oder sonst eine hohe Autorität zu sein. Halte für einen Moment inne und denk nach, ob du jemals eine Nachricht des jeweiligen Absenders über diesen Kommunikationsweg erhalten hast. Falls nicht: Bist du dir sicher, dass die Polizei dir eine E-Mail senden würde? Kennt man dort überhaupt deine Adresse? Warum würden sie solch einen unsicheren Kommunikationsweg wählen, wenn sie dir auch einen Brief schicken könnten?

Zumindest in der westlichen Welt würde die Polizei niemals E-Mails oder Chatnachrichten versenden, sondern stattdessen Briefe. In dringenden Fällen würden sie Polizeibeamte entsenden, um mit dir persönlich zu sprechen.

Legitime Absender, vor allem große Unternehmen, würden sicherlich genau darauf Acht geben, ihren Ruf nicht durch schlechte Grammatik und Rechtschreibung zu beschädigen. Hier sind einige Gründe, warum Phishing-Texte sprachlich fehlerhaft sein können:

1. Schlechte Online-Übersetzung: Viele Betrüger nutzen Online-Übersetzer niedriger Qualität, um ihre Nachrichten in verschiedenen Sprachen zu verbreiten. Die schlechte Qualität von Google Translate ist sogar zu einem Internet-Meme geworden.

2. Kein Muttersprachler: Viele Betrüger kommen einfach aus Ländern, in denen die Muttersprache des Opfers nicht weit verbreitet ist. Viele von ihnen kommen auch aus armen Regionen der Welt, wo es grundsätzlich kein gutes Bildungssystem gibt.

3. Effizienz: Es kann auch einfach effizienter sein, Tausende Phishing-Mails ohne angemessene Grammatik zu versenden, statt einige wenige qualitativ hochwertige Mails herzustellen.

4. Schlechte Bildung: Menschen, die phishen müssen, um Geld zu verdienen, können auch einfach eine schlechte Bildung haben, so wie es bei vielen normalen Kriminellen der Fall ist.

Wie dem auch sei: Beachte, dass es in letzter Zeit auch einige Phishing-Nachrichten mit guter Grammatik gegeben hat. Verlasse dich also nicht auf schlechte Sprache als Warnsignal.

Dies ist möglich, da die „Internet-Sprache“ HTML es vorsieht, beliebige Zeichenketten mit einem Link zu versehen, also beispielsweise: Quellcode. In diesem Falle ist codeberg.org/PhishWarn/PhishWarn der unsichtbare Link und „Quellcode“ der sichtbare Anzeigetext.

Betrüger wählen als sichtbaren Anzeigetext also z.B. „www.amazon.de/gp/customer-service“ , verlinken aber stattdessen auf eine Phishing-Seite, z.B. example.com (diese hier ist natürlich ungefährlich). Das sieht dann so aus: www.amazon.de/gp/customer-service. Aber wie erkennt man so etwas? Praktisch alle Browser zeigen die Link-URL am unteren Bildschirmrand an, wenn man den Mauszeiger über den Link bewegt. Probier’s aus: Beispiel-Link

Konzentriere dich ausschließlich auf die URL-Vorschau (nicht auf den möglicherweise gefälschten Anzeigetext) und schätze ein, ob die URL vertrauenswürdig ist oder nicht. Wenn du dir nicht sicher bist, klicke NICHT auf den Link.

Legitime Absender würden so etwas nie tun, sondern auf eine legitime Website verweisen, wo man das Programm herunterladen kann, falls überhaupt benötigt. Du solltest niemals irgendetwas herunterladen oder installieren, das in einer verdächtigen E-Mail genannt ist.

Achtung! Viele ausführbare Dateien sind nicht als solche erkennbar!
So wie Phishing-Websites mithilfe von legitim wirkenden Subdomains getarnt werden, versuchen Betrüger, den Dateityp beigefügter ausführbarer Dateien zu verschleiern, indem sie sie beispielsweise „rechnung.pdf.exe“ oder „urlaubsfoto.jpg.app“ nennen. In diesem Fall ist die tatsächliche Dateiendung .exe bzw. .app und NICHT PDF bzw. JPG.

Zudem zeigen viele E-Mail-Programme den Dateityp standardmäßig nicht an, weshalb statt „rechnung.pdf.exe“ nur „rechnung.pdf“ angezeigt würde – was fatalerweise alles andere als verdächtig wirkt!

Außerdem verstecken einige Betrüger ihre ausführbaren Dateien in .zip-Archiven, um zu vermeiden, dass etwa ein Spam-Filter den verdächtigen .exe-Anhang erkennt. Wenn du also eine ZIP-Datei im Anhang siehst, solltest du besondere Vorsicht walten lassen!