Cyberkriminelle müssen ihre Opfer nicht immer mit technisch hochkomplexen Angriffen überlisten. Häufig genügt es, Vertrauen zu erzeugen. Genau hier setzt das sogenannte Spoofing an: Betrüger manipulieren Absenderinformationen und geben sich als Bank, Onlinehändler, Behörde, Arbeitgeber oder andere vertrauenswürdige Stelle aus. Das Ziel besteht meist darin, Menschen zu einer unüberlegten Handlung zu bewegen – etwa zum Öffnen eines Links, zur Preisgabe von Zugangsdaten oder zur Überweisung von Geld.
Besonders verbreitet ist das Verfahren bei E-Mails. Je nach eingesetztem Mailserver und Mailprogramm können Absenderinformationen so manipuliert werden, dass eine Nachricht auf den ersten Blick beispielsweise von einer Bank, einem bekannten Zahlungsdienst oder sogar vom eigenen Vorgesetzten zu stammen scheint. Die tatsächlich hinter der Nachricht stehende Adresse beziehungsweise Infrastruktur kann eine völlig andere sein.
Spoofing macht Phishing glaubwürdiger
Damit wird Spoofing vor allem in Verbindung mit Phishing gefährlich. Eine schlecht formulierte Nachricht von einer offensichtlich kryptischen E-Mail-Adresse dürfte viele Empfänger misstrauisch machen. Erscheint dagegen ein bekannter Name oder eine vermeintlich vertraute Absenderadresse, sinkt diese natürliche Hemmschwelle.
Angreifer können diesen Vertrauensvorschuss mit zusätzlichem psychologischem Druck kombinieren. Typische Behauptungen lauten etwa, ein Konto werde gesperrt, eine Zahlung müsse bestätigt oder eine Sicherheitsprüfung dringend abgeschlossen werden. Im geschäftlichen Umfeld kann eine vermeintliche Führungskraft dazu auffordern, kurzfristig Geld auf ein bestimmtes Konto zu überweisen.
Gerade deshalb sollten Nutzer die angezeigte Identität eines Absenders niemals als alleinigen Echtheitsbeweis betrachten.
Auch Telefonnummern können gefälscht erscheinen
Das Prinzip beschränkt sich nicht auf E-Mails. Beim sogenannten Caller-ID-Spoofing wird die auf dem Telefon angezeigte Rufnummer manipuliert. Auf dem Display kann dadurch beispielsweise die Nummer einer Bank, einer Behörde oder einer Polizeidienststelle erscheinen, obwohl der tatsächliche Anruf von einer anderen Quelle stammt.
Technisch hat die Veränderung der übermittelten Rufnummer durchaus legitime Anwendungen. Unternehmen können beispielsweise dafür sorgen, dass Kunden bei einem ausgehenden Anruf die zentrale Servicenummer und nicht die persönliche Durchwahl eines Mitarbeiters sehen. Kriminelle können diese Möglichkeit jedoch missbrauchen.
Das macht betrügerische Anrufe besonders überzeugend. Wer auf seinem Display scheinbar die bekannte Telefonnummer seiner Bank erkennt, ist möglicherweise eher bereit, einem angeblichen Mitarbeiter zu glauben. Die angezeigte Rufnummer allein beweist deshalb nicht, wer tatsächlich anruft.
Technische Schutzmechanismen helfen – sind aber kein Freibrief
Gegen gefälschte E-Mail-Absender existieren technische Schutzverfahren. Eine wichtige Rolle spielt DMARC („Domain-based Message Authentication, Reporting and Conformance“). Vereinfacht gesagt soll das Verfahren Mailservern dabei helfen zu überprüfen, ob eine Nachricht tatsächlich von einem für die angegebene Domain autorisierten System stammt.
Solche technischen Sicherheitsmechanismen können einen erheblichen Teil betrügerischer Nachrichten erkennen oder abweisen. Einen hundertprozentigen Schutz bieten sie jedoch nicht. Unterschiedliche Konfigurationen von Mailservern, kompromittierte Konten und immer neue Betrugsmethoden sorgen dafür, dass weiterhin manipulierte oder täuschend echte Nachrichten in Postfächern landen können.
Der wichtigste Schutz bleibt die unabhängige Kontrolle
Für Nutzer gilt deshalb eine einfache Grundregel: Ungewöhnliche Aufforderungen sollten über einen zweiten, unabhängigen Kommunikationsweg überprüft werden.
Fordert beispielsweise eine vermeintliche Führungskraft überraschend eine hohe Überweisung, sollte die betreffende Person über eine bereits bekannte Telefonnummer kontaktiert werden. Behauptet eine E-Mail der Bank, das Onlinebanking müsse dringend bestätigt werden, sollte nicht der Link aus der Nachricht verwendet werden. Sicherer ist es, die bekannte Adresse der Bank selbst aufzurufen oder deren offizielle App zu öffnen.
Dasselbe Prinzip gilt bei verdächtigen Telefonanrufen. Wer angeblich von seiner Bank oder einer Behörde angerufen wird und Zweifel hat, kann das Gespräch beenden und anschließend über eine selbst recherchierte beziehungsweise bereits bekannte offizielle Telefonnummer zurückrufen.
Zeitdruck ist ein Warnsignal
Spoofing ist letztlich besonders wirkungsvoll, weil technische Manipulation und menschliche Psychologie zusammenspielen. Die gefälschte Identität schafft Vertrauen, während Zeitdruck verhindern soll, dass das Opfer genauer nachdenkt.
Deshalb sollten Formulierungen wie „sofort handeln“, „letzte Warnung“, „Konto wird gesperrt“ oder ungewöhnliche Zahlungsaufforderungen eher zu zusätzlicher Vorsicht führen. Passwörter, TANs und andere sensible Zugangsdaten sollten zudem niemals aufgrund einer unerwarteten Nachricht oder eines überraschenden Anrufs herausgegeben werden.
Firewall, Antivirensoftware, Spamfilter und moderne Authentifizierungsverfahren erhöhen zwar die Sicherheit. Der entscheidende Schutz besteht jedoch darin, die Identität des Gegenübers bei ungewöhnlichen Forderungen unabhängig von der erhaltenen Nachricht zu überprüfen.
Denn genau darin liegt die Stärke von Spoofing: Der Angreifer muss nicht tatsächlich die Bank, den Arbeitgeber oder einen bekannten Dienst kontrollieren. Es genügt, für einen kurzen Moment überzeugend so auszusehen.
