Phishing, Identitätsvortäuschung und gefälschte Apps

Jedes Vertrauenssignal lässt sich kopieren

Überlege, was dich tatsächlich überzeugt, dass eine Seite echt ist: das Logo, das Layout, ein Schloss in der Adressleiste, ein Verifizierungsabzeichen, ein hoher Suchtreffer, ein Link, der in einer offiziell wirkenden Community geteilt wurde. Jedes davon kann eine Angreiferin nachbauen oder kaufen, meist günstig.

Bezahlte Suchtreffer sind ein alltäglicher Verbreitungsweg, denn den ersten Platz auf den Namen einer Wallet zu buchen ist legal und wirksam. App-Store-Einträge können Fälschungen sein. Browser-Erweiterungen können eine Wallet-Oberfläche nachahmen. QR-Codes sind für Menschen konstruktionsbedingt unlesbar und können überallhin führen.

Das einzige teuer zu fälschende Signal ist das Ziel selbst. Deshalb muss die Prüfung am genauen Hostnamen und am Weg dorthin hängen, nicht am Aussehen der Seite. Lies die vollständige Domain vom letzten Punkt vor dem ersten Schrägstrich: Eine Subdomain wie example.com.attacker.site gehört zu attacker.site. Auf dem Handy, wo die Adressleiste gekürzt wird, tippe sie an und lies alles.

Die Prüf-Falle

Die wichtigste Gewohnheit dieser Lektion passt in einen Satz: Prüfe niemals über den Kanal, der dich kontaktiert hat. Die Absenderin zu fragen, ob der Link echt ist, eine in der Nachricht genannte Nummer anzurufen oder auf der verdächtigen Seite „Support kontaktieren“ zu klicken – all das führt die Prüfung zur Angreiferin zurück.

Öffne stattdessen einen eigenen Weg, den du kontrollierst. Ein früher gesetztes Lesezeichen, die bewusst installierte App des Anbieters oder eine Domain, die du selbst eintippst, nachdem du sie in offizieller Dokumentation geprüft hast. Vergleiche dann die genaue Anfrage mit dem, was dieser Kanal sagt.

Seriöse Organisationen brauchen weder deine Wiederherstellungsphrase noch einen Einmalcode, noch Fernzugriff auf deinen Bildschirm, noch eine Zahlung, um ein Konto zu sichern. Dringlichkeit ist eine Technik, kein Beleg – eine echte Frist übersteht die zehn Minuten einer Prüfung, und eine Angreiferin braucht, dass du das Gegenteil glaubst.

Schütze die Wiederherstellungswege

Häufig zielen Angreifer nicht direkt auf das Konto. Sie zielen auf die E-Mail-Adresse, die es zurücksetzen kann, auf die Telefonnummer, die Codes empfängt, oder auf die Cloud-Sicherung mit einem sensiblen Screenshot.

Deshalb verdient das E-Mail-Konto, das an Finanzdienste gekoppelt ist, den stärksten Schutz, den du hast: ein eigenes Passwort und phishing-resistente Mehrfaktor-Authentifizierung statt SMS, wo die Option besteht. SMS-Codes können abgefangen werden, wenn eine Angreiferin einen Mobilfunkanbieter überzeugt, deine Nummer zu übertragen – eine etablierte, keine exotische Technik. Bietet ein Dienst eine Freigabeliste für Auszahlungsadressen, aktiviere sie, damit ein kompromittierter Zugang nicht ohne bemerkbare Verzögerung an eine neue Adresse senden kann.

Verkleinere den Wirkungsradius

Geh davon aus, dass irgendwann etwas durchkommt. Gutes Sicherheitsdesign begrenzt, was ein einzelner Fehler erreichen kann, statt anzunehmen, dass kein Fehler geschieht.

In der Praxis heißt das: eine Wallet mit geringem Wert für unbekannte Anwendungen, getrennt von langfristigen Beständen; eigene Passwörter, damit ein Leck sich nicht fortpflanzt; und die Gewohnheit, Seiten zu trennen und Freigaben regelmäßig zu prüfen, statt offene Berechtigungen unbegrenzt anzusammeln.

• Halte inne, sobald du dich gehetzt fühlst – die Dringlichkeit ist der Angriff.
• Öffne einen frischen, von dir kontrollierten Kanal, bevor du irgendetwas prüfst.
• Lies den vollständigen Hostnamen, besonders auf dem Handy.
• Installiere Wallet-Software nur aus einer selbst geprüften Quelle.
• Melde die Identitätsvortäuschung, ohne weiter zu interagieren.