Angebliches Sicherheitsupdate soll Bankkunden unter Druck setzen
Die betrügerische Nachricht erweckt den Eindruck, sie stamme von der ING-DiBa.
Darin wird behauptet, die digitale Infrastruktur der Bank sei aktualisiert worden. Um weiterhin einen sicheren Zugang zum eigenen Konto zu gewährleisten, müsse der Empfänger seine Identität erneut bestätigen.
Die Aufforderung klingt zunächst nach einer routinemäßigen Sicherheitsmaßnahme.
Schließlich sind technische Aktualisierungen und zusätzliche Sicherheitsprüfungen beim Onlinebanking grundsätzlich nichts Ungewöhnliches.
Genau diesen Umstand machen sich die Betrüger zunutze.
Sie verbinden ein plausibel klingendes technisches Argument mit einer dringenden Handlungsaufforderung.
Über einen Link mit der Beschriftung „Sicherheit bestätigen“ sollen die Empfänger zur angeblich notwendigen Identitätsprüfung gelangen.
Die eigentliche Gefahr besteht darin, dass Verbraucher auf eine betrügerische Internetseite weitergeleitet werden könnten, auf der persönliche Daten oder Bankzugangsdaten abgefragt werden.
Welche konkreten Daten die Täter in diesem Fall erfassen wollen, geht aus der vorliegenden Warnung nicht hervor.
Die 48-Stunden-Frist ist Teil der Betrugsmasche
Besonders auffällig ist die kurze Frist.
Die Empfänger sollen die angebliche Sicherheitsbestätigung innerhalb von 48 Stunden durchführen.
Andernfalls drohe eine vorübergehende Kontosperrung.
Mit dieser Ankündigung erzeugen die Täter künstlichen Zeitdruck.
Die Botschaft lautet sinngemäß: Wer jetzt nicht handelt, verliert möglicherweise den Zugang zu seinem Geld.
Das kann gerade bei Menschen, die ihr Girokonto für Miete, Einkäufe, Rechnungen und andere alltägliche Zahlungen benötigen, erhebliche Verunsicherung auslösen.
Die Drohung mit einer Kontosperrung soll offenbar verhindern, dass die Empfänger die Nachricht in Ruhe überprüfen.
Eine Frist von 48 Stunden in einer unaufgefordert zugesandten E-Mail ist jedoch kein Beleg dafür, dass tatsächlich eine Sicherheitsmaßnahme der Bank erforderlich ist.
Bankkunden sollten sich durch solche Nachrichten nicht zu unüberlegten Handlungen drängen lassen.
Fünf Warnsignale sprechen für Phishing
Die vorliegende Nachricht weist mehrere typische Merkmale eines Phishing-Versuchs auf.
1. Unseriöse Absenderadresse
Eine verdächtige Absenderadresse kann darauf hinweisen, dass die Nachricht nicht von der Bank stammt.
Allerdings können auch Absenderangaben technisch gefälscht werden. Eine scheinbar passende Adresse allein beweist deshalb nicht, dass eine E-Mail echt ist.
2. Unpersönliche Anrede
Phishing-Mails verwenden häufig allgemeine Formulierungen, statt Kunden persönlich anzusprechen.
Auch dieses Merkmal ist ein Warnsignal, wenngleich eine persönliche Anrede umgekehrt keine Echtheitsgarantie darstellt.
3. Dramatische Warnhinweise
Bereits der Betreff „Warnung: neue wichtige Nachricht!!“ soll Aufmerksamkeit und Besorgnis auslösen.
Die ungewöhnliche Zeichensetzung verstärkt den Eindruck künstlicher Dringlichkeit.
4. Identitätsprüfung über einen E-Mail-Link
Die Empfänger sollen einen Link anklicken, um ihre Identität zu bestätigen.
Genau an dieser Stelle besteht ein erhebliches Risiko, auf eine gefälschte Anmeldeseite zu gelangen.
5. Drohung mit einer Kontosperrung
Die angekündigte Sperrung innerhalb kurzer Zeit soll Druck aufbauen und eine sofortige Reaktion erzwingen.
Die Kombination dieser Merkmale ist ein deutlicher Hinweis auf einen Betrugsversuch.
Warum gefälschte Banknachrichten so gefährlich sind
Beim Phishing versuchen Täter, über gefälschte Nachrichten an vertrauliche Informationen zu gelangen.
Häufig werden dabei bekannte Unternehmen oder Banken als vermeintliche Absender genutzt.
Die Betrüger setzen darauf, dass Verbraucher einer vertrauten Marke mehr Glaubwürdigkeit zuschreiben als einer unbekannten Person.
Im Bankbereich kann dies besonders schwerwiegende Folgen haben.
Wenn Täter Zugangsdaten zum Onlinebanking erhalten, besteht die Gefahr, dass sie weitere Schritte zur Übernahme eines Kontos versuchen.
Dazu können beispielsweise zusätzliche Täuschungsversuche gehören, mit denen Freigabecodes oder die Bestätigung bestimmter Vorgänge erschlichen werden sollen.
Ob es im aktuellen Fall bereits zu solchen weiterführenden Angriffen gekommen ist, lässt sich anhand der vorliegenden Informationen nicht feststellen.
Fest steht jedoch, dass die Aufforderung zur Identitätsprüfung über einen verdächtigen E-Mail-Link ein erhebliches Sicherheitsrisiko darstellt.
Auch echte Sicherheitsmaßnahmen dürfen nicht mit Phishing verwechselt werden
Banken führen tatsächlich regelmäßig technische Sicherheitsaktualisierungen durch.
Auch zusätzliche Identitätsprüfungen können im Bankgeschäft unter bestimmten Voraussetzungen notwendig sein.
Deshalb wäre es falsch, jede Sicherheitsnachricht grundsätzlich als Betrug einzustufen.
Entscheidend ist vielmehr, über welchen Weg eine Aufforderung erfolgt und wie ihre Echtheit überprüft werden kann.
Wer eine angebliche Sicherheitswarnung erhält, sollte nicht den in der E-Mail enthaltenen Link verwenden.
Stattdessen empfiehlt es sich, die Banking-App selbst zu öffnen oder die bekannte Internetadresse der Bank eigenständig im Browser aufzurufen.
Dort können Kunden prüfen, ob tatsächlich eine Mitteilung oder Handlungsaufforderung vorliegt.
Diese Vorgehensweise schützt davor, versehentlich eine gefälschte Internetseite aufzurufen.
Was tun, wenn die E-Mail bereits geöffnet wurde?
Allein das Lesen einer verdächtigen E-Mail bedeutet nicht automatisch, dass ein Bankkonto kompromittiert wurde.
Wichtig ist, keine Links anzuklicken, keine Anhänge unüberlegt zu öffnen und keine vertraulichen Daten einzugeben.
Die Nachricht sollte nicht beantwortet werden.
Stattdessen kann sie als Spam beziehungsweise Phishing markiert und anschließend gelöscht werden.
Wer unsicher ist, ob tatsächlich eine wichtige Mitteilung seiner Bank vorliegt, sollte ausschließlich die offiziellen Kommunikationswege der ING nutzen.
Dabei ist es ratsam, die Bank nicht über Kontaktdaten anzurufen, die möglicherweise in der verdächtigen Nachricht stehen.
Was tun, wenn bereits Bankdaten eingegeben wurden?
Deutlich dringlicher ist die Situation, wenn Betroffene den Link bereits geöffnet und dort vertrauliche Informationen eingegeben haben.
Dann sollte unverzüglich Kontakt mit der Bank aufgenommen werden.
Besonders kritisch ist die Weitergabe von Onlinebanking-Zugangsdaten, Passwörtern, Freigabecodes oder anderen Sicherheitsinformationen.
Die Bank kann prüfen, welche Maßnahmen zur Sicherung des Kontos notwendig sind.
Dazu können beispielsweise die Sperrung bestimmter Zugänge, die Änderung von Zugangsdaten oder die Überprüfung verdächtiger Transaktionen gehören.
Auch die Umsätze des betroffenen Kontos sollten aufmerksam kontrolliert werden.
Sind bereits unberechtigte Zahlungen erfolgt, sollten diese sofort der Bank gemeldet werden.
Ob eine Erstattung möglich ist, hängt vom jeweiligen Sachverhalt und den gesetzlichen Voraussetzungen ab.
Betroffene sollten außerdem Beweise sichern, etwa die ursprüngliche E-Mail, verdächtige Internetadressen und gegebenenfalls Informationen über bereits erfolgte Zahlungen.
Bei einem Betrugsverdacht kommt auch eine Strafanzeige infrage.
Welche Verantwortung tragen Banken beim Schutz ihrer Kunden?
Phishing-Angriffe zeigen, dass technische Sicherheitsmaßnahmen allein nicht ausreichen.
Selbst gut geschützte Bankensysteme können indirekt zum Ziel von Betrügern werden, wenn diese versuchen, Kunden zur freiwilligen Herausgabe vertraulicher Informationen zu bewegen.
Deshalb ist eine verständliche und kontinuierliche Sicherheitskommunikation wichtig.
Banken sollten ihren Kunden möglichst eindeutig erklären, auf welchen Wegen sicherheitsrelevante Mitteilungen erfolgen und welche Informationen niemals über unaufgefordert zugesandte Links abgefragt werden sollten.
Ebenso wichtig ist, dass Verbraucher im Ernstfall schnell und unkompliziert Kontakt zur Bank aufnehmen können.
Allerdings bedeutet eine Phishing-Mail im Namen einer Bank nicht automatisch, dass die IT-Systeme dieser Bank gehackt wurden.
Für einen solchen Angriff auf die ING selbst liefert die vorliegende Warnung keine Anhaltspunkte.
Die Betrüger missbrauchen vielmehr den Namen des Instituts, um Vertrauen zu erschleichen.
