Ein Verbraucher erhält eine E-Mail, die scheinbar von seiner Bank stammt. Der Absender sieht vertraut aus, das Logo stimmt und die Nachricht wirkt professionell. Angeblich muss dringend das Onlinebanking-Konto überprüft werden. Ein Link führt zu einer Internetseite, auf der Zugangsdaten eingegeben werden sollen.
Oder das Telefon klingelt. Auf dem Display erscheint die bekannte Rufnummer einer Polizeidienststelle. Der Anrufer behauptet, das Geld auf dem Bankkonto sei in Gefahr und müsse vorsorglich auf ein anderes Konto überwiesen werden.
Beide Situationen können Beispiele für sogenanntes Spoofing sein.
Der Begriff bezeichnet technische Verfahren, mit denen eine falsche Identität oder Herkunft vorgetäuscht wird. Cyberkriminelle nutzen diese Möglichkeiten, um Nachrichten und Anrufe glaubwürdiger erscheinen zu lassen.
Besonders gefährlich ist dabei, dass die angezeigte Absenderadresse oder Telefonnummer allein kein zuverlässiger Beweis für die tatsächliche Identität des Absenders ist.
Was bedeutet Spoofing?
Das englische Wort „Spoofing“ lässt sich sinngemäß mit „Vortäuschen“ oder „Fälschen“ übersetzen.
In der IT-Sicherheit bezeichnet es unterschiedliche Methoden, bei denen Informationen über die Herkunft oder Identität einer digitalen Kommunikation manipuliert werden.
Das kann beispielsweise die Absenderadresse einer E-Mail, die angezeigte Telefonnummer eines Anrufers oder bestimmte technische Angaben innerhalb eines Computernetzwerks betreffen.
Das gemeinsame Ziel besteht darin, eine Nachricht, Verbindung oder Anfrage so erscheinen zu lassen, als stamme sie von einer anderen, vertrauenswürdigen Quelle.
Dabei muss nicht zwangsläufig das Konto oder Computersystem der vorgetäuschten Person gehackt worden sein.
Ein Betrüger kann unter bestimmten technischen Voraussetzungen eine fremde Absenderkennung verwenden, ohne Zugriff auf das echte E-Mail-Postfach oder die Telefonanlage des Betroffenen zu besitzen.
Genau das macht Spoofing für Verbraucher so schwer erkennbar.
Die Technik selbst ist nicht in jeder Form illegal. Bestimmte Verfahren zur Übermittlung abweichender Absenderinformationen haben legitime Einsatzbereiche.
Rechtswidrig und gefährlich wird es insbesondere dann, wenn solche Möglichkeiten genutzt werden, um andere Menschen zu täuschen, sensible Informationen zu stehlen oder Zahlungen zu erschleichen.
E-Mail-Spoofing: Wenn die Nachricht scheinbar von der Bank kommt
Eine besonders verbreitete Erscheinungsform ist das E-Mail-Spoofing.
Dabei manipulieren Angreifer Angaben zur Herkunft einer E-Mail, sodass beim Empfänger eine bekannte Person oder Organisation als Absender erscheint.
Das kann beispielsweise eine Bank, ein Versandhändler, ein Zahlungsdienstleister oder ein Unternehmen sein.
Die betrügerische Nachricht enthält häufig eine dringende Aufforderung.
So wird behauptet, ein Konto müsse bestätigt, eine Zahlung überprüft oder eine angebliche Sicherheitswarnung bearbeitet werden.
Oft sollen Empfänger auf einen Link klicken und anschließend ihre Zugangsdaten eingeben.
Die verlinkte Internetseite kann dem echten Onlineauftritt des Unternehmens täuschend ähnlich sehen.
Wer dort Benutzername, Passwort oder andere vertrauliche Informationen eingibt, übermittelt diese möglicherweise direkt an die Betrüger.
Manche Nachrichten enthalten stattdessen schädliche Dateianhänge, die beim Öffnen Schadsoftware ausführen oder weitere Angriffe vorbereiten können.
Wichtig ist die Unterscheidung zwischen Spoofing und Phishing.
Spoofing bezeichnet die Täuschung über die Identität oder Herkunft einer Nachricht. Phishing beschreibt den Versuch, durch Täuschung sensible Informationen zu erlangen.
Beide Methoden werden häufig miteinander kombiniert, sind aber nicht identisch.
Telefon-Spoofing: Die angezeigte Rufnummer kann gefälscht sein
Auch bei Telefonanrufen können Absenderinformationen manipuliert werden.
Dieses Verfahren wird häufig als Call-ID-Spoofing oder Rufnummern-Spoofing bezeichnet.
Dabei erscheint auf dem Display des Angerufenen eine Telefonnummer, die nicht der tatsächlichen Herkunft des Anrufs entspricht.
Die technischen Möglichkeiten hängen unter anderem von den beteiligten Telefonnetzen und den eingesetzten Telefonanlagen ab.
Unternehmen können legitimerweise eine zentrale Servicenummer anzeigen lassen, obwohl der Anruf von einer bestimmten Nebenstelle ausgeht.
Kriminelle missbrauchen die Möglichkeit der Rufnummernübermittlung jedoch, um Vertrauen zu erschleichen.
So kann beispielsweise die Nummer einer Bank, einer Behörde oder einer Polizeidienststelle angezeigt werden.
Der Angerufene glaubt dann möglicherweise, tatsächlich mit dieser Einrichtung zu sprechen.
Besonders perfide ist die Verbindung mit psychologischem Druck.
Betrüger behaupten etwa, ein Konto sei gehackt worden, ein Familienmitglied befinde sich in einer Notlage oder eine sofortige Überweisung sei erforderlich.
Durch die scheinbar echte Rufnummer soll der Eindruck entstehen, dass die Geschichte glaubwürdig ist.
Eine bekannte Telefonnummer auf dem Display ist jedoch kein sicherer Identitätsnachweis.
Auch dann nicht, wenn sie tatsächlich mit der offiziellen Nummer einer Behörde oder eines Unternehmens übereinstimmt.
Warum Spoofing so erfolgreich sein kann
Spoofing nutzt eine grundlegende menschliche Eigenschaft aus: Vertrauen in bekannte Absender.
Viele Menschen gehen davon aus, dass eine E-Mail mit dem Namen ihrer Bank tatsächlich von dieser Bank stammt.
Ebenso wird eine bekannte Telefonnummer häufig als Bestätigung der Identität des Anrufers verstanden.
Cyberkriminelle versuchen, diese Erwartungen gezielt auszunutzen.
Hinzu kommt, dass betrügerische Nachrichten zunehmend professionell gestaltet werden können.
Rechtschreibfehler, schlechte Übersetzungen und auffällige Formatierungsprobleme sind deshalb keine zuverlässigen Erkennungsmerkmale mehr.
Auch eine sprachlich einwandfreie E-Mail kann betrügerisch sein.
Besonders wirksam sind Nachrichten, die starke Gefühle auslösen sollen.
Dazu gehören Angst vor einem finanziellen Verlust, Sorge um Angehörige oder die Aussicht auf einen unerwarteten Gewinn.
Wenn der Empfänger unter Druck gerät, sinkt möglicherweise die Bereitschaft, Angaben sorgfältig zu überprüfen.
Deshalb verbinden viele Betrugsversuche technische Täuschung mit psychologischer Manipulation.
Woran lässt sich ein Spoofing-Versuch erkennen?
Nicht jede gefälschte Absenderkennung ist unmittelbar sichtbar.
Dennoch gibt es Warnsignale, die Verbraucher ernst nehmen sollten.
Besonders verdächtig sind Nachrichten oder Anrufe, die zu ungewöhnlichen oder besonders dringenden Handlungen auffordern.
Dazu gehören beispielsweise die Aufforderung zur Preisgabe von Passwörtern, PINs oder TANs, die Überweisung von Geld auf ein angebliches Sicherheitskonto oder die Installation einer unbekannten Software.
Auch unerwartete Zahlungsforderungen und Links zu unbekannten Internetadressen sollten kritisch geprüft werden.
Bei E-Mails kann es helfen, die vollständige Absenderadresse und die tatsächliche Zieladresse eines Links genauer zu betrachten.
Allerdings kann selbst eine plausibel aussehende Absenderadresse gefälscht sein.
Entscheidend ist daher nicht allein die technische Darstellung, sondern auch die Frage, ob der Inhalt der Nachricht glaubwürdig ist und über einen unabhängigen Kontaktweg bestätigt werden kann.
Bei Telefonanrufen gilt dasselbe Prinzip.
Wenn ein angeblicher Bankmitarbeiter plötzlich Zugangsdaten verlangt oder eine Überweisung anordnet, sollte das Gespräch beendet werden.
Anschließend kann die betreffende Bank über eine selbst recherchierte oder bereits bekannte offizielle Telefonnummer kontaktiert werden.
DMARC, SPF und DKIM: Technischer Schutz gegen gefälschte E-Mails
Auch auf technischer Ebene gibt es Möglichkeiten, E-Mail-Spoofing zu erschweren.
Zu den wichtigsten Verfahren gehören SPF, DKIM und DMARC.
SPF steht für „Sender Policy Framework“. Damit können Domaininhaber festlegen, welche Mailserver berechtigt sind, E-Mails für ihre Domain zu versenden.
DKIM bedeutet „DomainKeys Identified Mail“. Dieses Verfahren verwendet digitale Signaturen, um bestimmte Informationen einer E-Mail kryptografisch überprüfbar zu machen.
DMARC steht für „Domain-based Message Authentication, Reporting and Conformance“.
Das Verfahren baut auf SPF und DKIM auf und prüft insbesondere, ob die authentifizierten Domains zur sichtbaren Absenderdomain passen.
Domaininhaber können über DMARC außerdem festlegen, wie empfangende Mailserver mit Nachrichten umgehen sollen, die bestimmte Prüfungen nicht bestehen.
Solche E-Mails können je nach Konfiguration beispielsweise zurückgewiesen oder als verdächtig behandelt werden.
Diese Verfahren sind wichtige Bestandteile moderner E-Mail-Sicherheit.
Sie bieten jedoch keinen vollständigen Schutz gegen sämtliche Betrugsversuche.
Kriminelle können beispielsweise eigene Domains registrieren, die bekannten Unternehmensnamen ähnlich sehen, und für diese technisch korrekt authentifizierte E-Mails versenden.
Außerdem hängt die Wirksamkeit der Schutzmaßnahmen davon ab, wie die beteiligten Systeme eingerichtet sind und welche Regeln tatsächlich angewendet werden.
Für Verbraucher bedeutet dies: Selbst wenn eine E-Mail technisch authentifiziert wurde, ist damit nicht automatisch bewiesen, dass ihr Inhalt seriös ist.
Wie schützen Sie sich konkret vor Spoofing?
Der wichtigste Schutz besteht darin, die angezeigte Identität eines Absenders nicht ungeprüft als echt anzusehen.
Bei unerwarteten E-Mails sollten Verbraucher keine Links anklicken, wenn die Nachricht sie zur Eingabe vertraulicher Informationen oder zu einer dringenden Zahlung auffordert.
Stattdessen sollte die offizielle Website des betreffenden Unternehmens eigenständig aufgerufen werden.
Wer beispielsweise eine angebliche Sicherheitswarnung seiner Bank erhält, kann die Banking-App oder die bekannte Internetadresse verwenden, um mögliche Mitteilungen zu prüfen.
Bei verdächtigen Telefonanrufen empfiehlt es sich, das Gespräch zu beenden und selbst zurückzurufen.
Dabei sollte nicht einfach die möglicherweise manipulierte angezeigte Nummer übernommen werden. Sicherer ist eine unabhängig bekannte oder auf der offiziellen Website veröffentlichte Kontaktmöglichkeit.
Zusätzlich sollten wichtige Onlinekonten durch starke, unterschiedliche Passwörter und eine geeignete Mehrfaktor-Authentifizierung geschützt werden.
Software und Betriebssysteme sollten regelmäßig aktualisiert werden.
Ein aktueller Virenschutz kann bei bestimmten Schadsoftwareangriffen helfen, ersetzt aber nicht die Prüfung verdächtiger Nachrichten.
Gerade bei Spoofing ist Vorsicht besonders wichtig, weil der Angriff häufig nicht auf einer technischen Sicherheitslücke des eigenen Geräts beruht, sondern auf der Täuschung des Nutzers.
Vorsicht vor angeblichen Sicherheitskonten
Eine besonders gefährliche Betrugsmasche besteht darin, dass sich Anrufer als Bankmitarbeiter oder Polizeibeamte ausgeben.
Sie behaupten, das Geld des Betroffenen sei gefährdet und müsse sofort auf ein anderes Konto übertragen werden.
Dabei wird häufig von einem sogenannten Sicherheitskonto gesprochen.
Verbraucher sollten wissen, dass eine solche Aufforderung ein massives Warnsignal ist.
Wer von einem angeblichen Bankmitarbeiter telefonisch aufgefordert wird, Geld auf ein fremdes Konto zu überweisen, sollte dieser Aufforderung nicht folgen.
Auch wenn die angezeigte Rufnummer tatsächlich zur Bank zu gehören scheint, ist Vorsicht geboten.
Kriminelle können gerade diese Übereinstimmung nutzen, um ihre Geschichte glaubwürdig erscheinen zu lassen.
Dasselbe gilt für angebliche Polizeibeamte, die eine Überweisung oder die Übergabe von Bargeld und Wertgegenständen verlangen.
In solchen Situationen sollte das Gespräch beendet und die tatsächliche Institution über einen unabhängigen Kontaktweg verständigt werden.
Was tun, wenn Sie bereits auf einen Spoofing-Angriff hereingefallen sind?
Wer nach einer verdächtigen Nachricht Zugangsdaten eingegeben oder Geld überwiesen hat, sollte möglichst schnell handeln.
Wurden Passwörter preisgegeben, müssen diese umgehend über die echte Website beziehungsweise App des betroffenen Dienstes geändert werden.
Falls dasselbe Passwort auch für andere Konten verwendet wurde, sollten diese ebenfalls abgesichert werden.
Wurden Bankdaten, Kreditkartendaten oder TANs weitergegeben, sollte unverzüglich die Bank beziehungsweise der Kartenaussteller kontaktiert werden.
Möglicherweise können Zugänge gesperrt oder bestimmte Zahlungen noch gestoppt werden.
Bei einer bereits ausgeführten Überweisung kann die Bank prüfen, ob ein Rückrufversuch möglich ist. Eine erfolgreiche Rückholung des Geldes ist allerdings nicht garantiert.
Wurde Schadsoftware installiert, sollte das betroffene Gerät nicht unkontrolliert weiterverwendet werden. Eine fachkundige technische Prüfung kann erforderlich sein.
Betroffene sollten außerdem die betrügerische Nachricht, Telefonnummer, Zahlungsbelege und andere vorhandene Informationen sichern.
Eine Strafanzeige bei der Polizei kann sinnvoll sein.
Wer unsicher ist, welche Schritte im konkreten Fall erforderlich sind, kann sich auch an eine Verbraucherzentrale wenden.
Unternehmen tragen ebenfalls Verantwortung
Spoofing betrifft nicht nur Privatpersonen.
Auch Unternehmen können durch gefälschte E-Mails oder Telefonanrufe erhebliche finanzielle Schäden erleiden.
Ein bekanntes Szenario ist der sogenannte CEO-Fraud.
Dabei geben sich Betrüger als Geschäftsführer oder andere Führungskräfte aus und fordern Beschäftigte auf, kurzfristig größere Geldbeträge zu überweisen.
Eine weitere Variante besteht darin, Rechnungen oder Bankverbindungen scheinbar im Namen eines bekannten Geschäftspartners zu ändern.
Unternehmen sollten deshalb klare Verfahren für die Freigabe von Zahlungen und Änderungen von Kontodaten festlegen.
Besonders bei ungewöhnlichen Zahlungsanweisungen kann eine unabhängige Rückbestätigung über einen bereits bekannten Kommunikationskanal helfen.
Technische E-Mail-Schutzverfahren wie SPF, DKIM und DMARC sind ebenfalls wichtige Bestandteile einer umfassenden Sicherheitsstrategie.
Sie sollten jedoch durch organisatorische Maßnahmen und die Sensibilisierung der Beschäftigten ergänzt werden.
