Bankkunden sollten derzeit bei E-Mails besonders aufmerksam sein, die vermeintlich von comdirect stammen. In den Nachrichten wird unter dem Betreff „Dringend: Letzte Erinnerung vor der Sperrung Ihres Kontos“ behauptet, eine Aktualisierung der photoTAN-App sei erforderlich.
Die Masche folgt einem bekannten Prinzip: Die Empfänger sollen nicht lange überlegen, sondern möglichst schnell handeln. Dazu wird eine Frist von lediglich 24 Stunden gesetzt. Wer die angebliche Aktualisierung nicht rechtzeitig durchführe, müsse mit einer dauerhaften Einschränkung verschiedener Kontofunktionen rechnen.
Genannt werden unter anderem Überweisungen, die Nutzung der Bankkarte, die Verwaltung von Zahlungsempfängern und weitere sicherheitsrelevante Funktionen.
Für die angebliche Aktualisierung sollen Betroffene einen Link innerhalb der E-Mail anklicken.
Genau das sollten sie nicht tun.
Zeitdruck und Angst vor Kontosperrung sollen zur schnellen Reaktion verleiten
Die Kombination aus einer angeblich dringenden Sicherheitsmaßnahme, einer sehr kurzen Frist und der Drohung mit erheblichen Einschränkungen ist ein typisches Warnsignal.
Wer liest, dass möglicherweise schon innerhalb weniger Stunden Überweisungen oder die eigene Bankkarte nicht mehr funktionieren könnten, reagiert verständlicherweise zunächst alarmiert.
Genau darauf setzen Phishing-Nachrichten.
Die Empfänger sollen möglichst wenig Zeit damit verbringen, Absender, Inhalt und Internetadresse kritisch zu überprüfen. Stattdessen sollen sie dem angebotenen Lösungsweg folgen – in diesem Fall einem Link in der Nachricht.
Bei sicherheitsrelevanten Mitteilungen einer Bank gilt deshalb eine einfache Regel: Nicht unter Druck setzen lassen und niemals allein deshalb einen Link anklicken, weil in einer E-Mail mit einer Kontosperrung gedroht wird.
Mehrere Warnsignale auf einmal
Bei der vorliegenden Nachricht fallen gleich mehrere typische Merkmale auf.
Dazu gehören die unseriös wirkende Absenderadresse, die unpersönliche Ansprache, die kurze Frist von nur 24 Stunden, die Androhung einer dauerhaften Kontosperrung beziehungsweise erheblicher Funktionseinschränkungen und die Aufforderung, eine vermeintlich sicherheitsrelevante Aktualisierung über einen Link vorzunehmen.
Gerade die Kombination dieser Merkmale sollte misstrauisch machen.
Auch ein professionelles Erscheinungsbild ist übrigens kein Beweis für die Echtheit einer Nachricht. Logos, Farben, Gestaltungselemente und Formulierungen eines Unternehmens lassen sich nachahmen.
Entscheidend ist deshalb nicht, ob eine E-Mail auf den ersten Blick „echt aussieht“, sondern ob sich die darin enthaltene Aufforderung unabhängig überprüfen lässt.
Warum der Link besonders gefährlich sein kann
Das Ziel von Phishing besteht häufig darin, Nutzer auf eine Internetseite zu locken, die einer echten Bankseite täuschend ähnlich sehen kann.
Dort können beispielsweise Zugangsdaten, persönliche Informationen oder weitere sicherheitsrelevante Angaben abgefragt werden.
Deshalb sollte man einen verdächtigen Link nicht probeweise öffnen, um zu sehen, wohin er führt.
Wer überprüfen möchte, ob tatsächlich eine Mitteilung seiner Bank vorliegt, sollte einen unabhängigen Weg wählen: die offizielle Banking-App selbst öffnen oder die bekannte Internetadresse der Bank eigenständig in den Browser eingeben.
Damit wird verhindert, dass ausgerechnet der von den mutmaßlichen Betrügern bereitgestellte Link zum Ausgangspunkt der Überprüfung wird.
Auch der Absendername allein sagt wenig aus
Viele Verbraucher schauen zunächst auf den angezeigten Namen des Absenders. Dort kann beispielsweise der Name einer Bank stehen.
Das allein ist jedoch kein zuverlässiger Echtheitsnachweis.
Bei verdächtigen Nachrichten sollte deshalb auch die tatsächliche Absenderadresse betrachtet werden. Ungewöhnliche Domains, Schreibfehler, zusätzliche Zeichen oder eine Adresse, die offensichtlich nicht zur Bank passt, sind deutliche Warnsignale.
Allerdings gilt auch umgekehrt: Selbst eine auf den ersten Blick plausible Absenderangabe sollte niemals das einzige Kriterium sein, anhand dessen eine sicherheitsrelevante E-Mail als echt eingestuft wird.
Keine Bankdaten, PINs oder TANs aufgrund einer E-Mail preisgeben
Besondere Vorsicht ist geboten, sobald eine Nachricht dazu auffordert, sensible Bankdaten einzugeben oder einen Sicherheitsvorgang zu bestätigen.
Zugangsdaten, PINs, TANs und vergleichbare Sicherheitsinformationen gehören zu den sensibelsten Daten eines Bankkunden.
Wer über einen Link aus einer unerwarteten E-Mail auf eine Eingabemaske gelangt, sollte dort keine Daten eingeben.
Das gilt umso mehr, wenn gleichzeitig mit Kontosperrung, Sicherheitsproblemen oder einer angeblich ablaufenden Frist gedroht wird.
Was Empfänger der Nachricht jetzt tun sollten
Wer eine solche E-Mail erhält und noch nichts angeklickt hat, kann zunächst ruhig bleiben.
Die Nachricht sollte nicht beantwortet werden. Links sollten nicht geöffnet und mögliche Anhänge nicht heruntergeladen werden. Anschließend kann die E-Mail als Spam beziehungsweise Phishing markiert und gelöscht werden.
Wer ein comdirect-Konto besitzt und überprüfen möchte, ob tatsächlich eine wichtige Mitteilung vorliegt, sollte die offizielle App selbst öffnen oder die bekannte Internetseite der Bank eigenständig aufrufen.
Im Zweifel kann zusätzlich über einen selbst recherchierten beziehungsweise bereits bekannten offiziellen Kontaktweg bei der Bank nachgefragt werden.
Bereits auf den Link geklickt? Dann kommt es darauf an, was danach passiert ist
Wer den Link bereits angeklickt hat, muss zunächst unterscheiden, ob lediglich eine Seite geöffnet wurde oder ob anschließend sensible Daten eingegeben beziehungsweise Vorgänge bestätigt wurden.
Wurden Zugangsdaten, PINs, TANs oder andere sicherheitsrelevante Informationen eingegeben, sollte nicht abgewartet werden.
Betroffene sollten sich unverzüglich über einen unabhängig ermittelten offiziellen Kontaktweg mit ihrer Bank in Verbindung setzen und den Vorfall schildern.
Gegebenenfalls müssen Zugangsdaten geändert, Zugänge oder Karten gesperrt und Kontobewegungen kontrolliert werden.
Wurden bereits nicht autorisierte Zahlungen festgestellt, sollte dies ebenfalls sofort der Bank gemeldet werden. Welche weiteren Schritte erforderlich sind, hängt vom konkreten Einzelfall ab.
Vorsicht auch vor einer zweiten Angriffswelle
Nach einem erfolgreichen Phishing-Versuch kann das Problem unter Umständen noch nicht beendet sein.
Wer bereits Daten preisgegeben hat, sollte deshalb auch gegenüber nachfolgenden Anrufen, SMS oder weiteren E-Mails besonders vorsichtig sein.
Kriminelle können versuchen, eine bereits bestehende Verunsicherung auszunutzen. Denkbar sind beispielsweise angebliche Anrufe eines „Sicherheitsmitarbeiters“, der vorgibt, einen Betrugsversuch stoppen zu wollen.
Die wichtigste Regel bleibt auch dann dieselbe: Keine Sicherheitscodes oder Zugangsdaten aufgrund eines unerwarteten Kontakts herausgeben und keine Vorgänge bestätigen, deren Zweck nicht zweifelsfrei verstanden wird.
Wer unsicher ist, beendet den Kontakt und ruft die Bank anschließend selbst über einen bekannten offiziellen Kommunikationsweg auf.
Warum die Masche so wirkungsvoll ist
Phishing funktioniert nicht nur über technische Täuschung. Mindestens genauso wichtig ist die psychologische Komponente.
Eine angeblich bevorstehende Kontosperrung erzeugt Stress. Eine Frist von 24 Stunden erhöht den Handlungsdruck. Der Hinweis auf Bankkarte und Überweisungen vermittelt den Eindruck, dass der Alltag des Betroffenen unmittelbar beeinträchtigt werden könnte.
Damit wird eine Situation geschaffen, in der eine schnelle Reaktion vernünftig erscheinen soll.
Genau deshalb sollten Verbraucher bei besonders dringlich formulierten Nachrichten das Gegenteil tun: Nicht schneller handeln, sondern genauer prüfen.
Ein einfacher Sicherheitscheck
Bei unerwarteten Banknachrichten helfen einige grundlegende Fragen:
Habe ich diese Mitteilung erwartet?
Werde ich ungewöhnlich stark unter Zeitdruck gesetzt?
Wird mit einer Sperrung oder anderen gravierenden Konsequenzen gedroht?
Soll ich einen Link aus der Nachricht benutzen?
Soll ich anschließend sensible Daten eingeben oder einen Sicherheitsvorgang bestätigen?
Treffen mehrere dieser Punkte gleichzeitig zu, ist besondere Vorsicht angebracht.
Unser Verbraucherschutz-Hinweis
E-Mails wie die hier beschriebene sollten unbeantwortet bleiben. Klicken Sie nicht auf enthaltene Links und geben Sie keine persönlichen oder sicherheitsrelevanten Bankdaten ein.
Besitzen Sie tatsächlich ein Konto bei comdirect, überprüfen Sie mögliche Sicherheitshinweise ausschließlich über einen von der verdächtigen Nachricht unabhängigen Zugang – beispielsweise indem Sie die offizielle App selbst öffnen oder die Ihnen bekannte Internetseite eigenständig aufrufen.
Wer bereits sensible Daten eingegeben oder eine verdächtige Transaktion bestätigt hat, sollte sofort handeln und die Bank über einen offiziellen Kontaktweg informieren.
