|
|
 |
 |
http://www.stuttgarter-zeitung.de Bitte benutzen Sie die Druckfunktion Ihres Browsers, um diese Seite zu drucken. Zum Original-Artikel  |
| Mail-Betrug So funktioniert "Phising" Gestern waren es "nur" Viren, Würmer und Trojaner, die dem Internetnutzer das Leben schwer machten. Heute lauern noch ganz andere Gefahren im Netz der Netze. Eine der gefährlichsten "Neuerscheinungen" ist das so genannte Phishing. (Ein Report von Hartmut Fischer, Buhl Data Service GmbH) |
||
| "Phishing" ist ein Kunstwort, das aus den Begriffen "Password" und "fishing" gebildet wurde. Hier wird also nach "Passwörtern geangelt". Was sich im ersten Moment so harmlos anhört, entpuppt sich schnell als echte Gefahr: Internetpiraten überlisten arglose Anwender ihre persönlichen Zugangsdaten beispielsweise für das Onlinebanking Preis zu geben - und missbrauchen diese Daten, um den Kontoinhaber zu schädigen. Im Rahmen dieses Reports wollen wir Ihnen die verschiedenen Aspekte des Problems "Phishing" näher bringen und auch einige Tipps geben, wie Sie sich beziehungsweise Ihren Rechner vor "Phishing-Angriffen" schützen können. Lesen Sie in unserem Report. |
||
| Wie funktioniert "Phishing" Grundlage des "Phishings" ist meist eine E-Mail, die vom Datenklau in Massen - nicht selten mehreren Millionen - versandt werden. Absender scheint hier ein seriöser Anbieter zu sein, etwa die Hausbank oder auch der Online-Provider. Diese Mails werden als HTML-Mails abgefasst. HTML (Hypertext Markup Language) gibt die E-Mail nicht nur in einer ansprechenderen Form als im normalen Textformat wieder. Es gibt hier auch die Möglichkeit einen Link mit einem anderen Namen zu versehen, so dass der Empfänger leicht irregeführt werden kann. Wie funktioniert Phishing? Nehmen wir beispielsweise an, ein Internetpirat möchte erreichen, dass der angegriffene User die Seite www.verbrecher.de aufsuchen soll. Er würde in HTML schreiben "Bitte besuchen Sie zu diesem Zweck die Internetseite der Bank für Treu und Glauben ." In der Mail würde dann lediglich "Bitte besuchen Sie zu diesem Zweck die Internetseite der Bank für Treu und Glauben." stehen. Meist lässt sich ein solcher Täuschungsversuch recht leicht entlarven: Man klickt mit der rechten Maustaste in eine Mail und klickt in dem sich öffnenden Befehlsverzeichnis auf "Quelltext anzeigen". Mit Hilfe eines solchen Links gelangt der Anwender auf eine Internetseite, die dem des Originalanbieters täuschend echt nachempfunden wurde. Meist benutzen die Piraten Adressenamen, die sich nur geringfügig von der Originaladresse unterscheiden. So wird beispielsweise aus www.post.de auf einmal www.pooost oder www.posd.de. Es gäbe noch eine ganze Reihe anderer Möglichkeiten. Oft wird auch die Kopfzeile, also die blaue Zeile mit der Adressangabe, mit Hilfe eines so genannten "Java-Scripts" überschrieben. Da wir den Internetpiraten nicht unnötig das Leben erleichtern wollen, werden wir dieses Verfahren hier nicht näher erläutern. Nehmen wir nun an, es handelt sich hierbei um eine gefälschte Bankseite. Dann würde der arglose Anwender auf dieser Seite aufgefordert, beispielsweise seine "PIN" (Persönliche Identifikations-Nummer") und mindestens eine "TAN" (Transaktionsnummer) zu hinterlegen. Meist wird sogar noch dreist darauf hingewiesen, dass die eingegebene TAN nicht mehr benutzt werden dürfe, da dieses zu einer Kontensperrung führt. In Wirklichkeit kommen die Daten jedoch nie bei der Bank an (die diese Angaben auch nie anfordern würde). Der Internetpirat saugt sich hier die Daten, die er benötigt um den Kontenbesitzer, der seine Daten Preis gegeben hat online zu bestehlen. Dies ist nur ein Beispiel von vielen. Es muss nicht immer eine vorgetäuschte Bank sein, von der die Mail kommt und es können auch andere Daten ergaunert werden - das Grundprinzip bleibt aber im Endeffekt immer gleich. |
||
| Phishing, eine immer größer werdende Gefahr Gestern waren es "nur" Viren, Würmer und Trojaner, die dem Internetnutzer das Leben schwer machten. Heute lauern noch ganz andere Gefahren im Netz der Netze. Eine der gefährlichsten "Neuerscheinungen" ist das so genannte Phishing. "Phishing" ist ein Kunstwort, das aus den Begriffen "Password" und "fishing" gebildet wurde. Hier wird also nach "Passwörtern geangelt". Was sich im ersten Moment so harmlos anhört, entpuppt sich schnell als echte Gefahr: Internetpiraten überlisten arglose Anwender ihre persönlichen Zugangsdaten beispielsweise für das Onlinebanking Preis zu geben - und missbrauchen diese Daten, um den Kontoinhaber zu schädigen. Im Rahmen dieses Reports wollen wir Ihnen die verschiedenen Aspekte des Problems "Phishing" näher bringen und auch einige Tipps geben, wie Sie sich beziehungsweise Ihren Rechner vor "Phishing-Angriffen" schützen können. Lesen Sie in unserem Report |
||
| Was sagt das Gesetz zum Thema Phishing? Der gesunde Menschenverstand sagt, dass es unmöglich sein kann, dass die Machenschaften der Phisher straffrei seien. Doch Juristen sind nun einmal Menschen, die die Dinge nicht so einfach sehen, wie man sie sehen könnte. Gehen wir der Frage der Illegalität von Phishing-Angriffen auf die PINs und TANs von Online-Bankern also einmal auf den Grund. Dazu gehen wir Schritt für Schritt vor. Es stellt sich zunächst die Frage, ob der Versand einer gefälschten E-Mail und das Sammeln der Zugangsdaten bereits nach unseren bestehenden Gesetzen verboten ist. Zunächst könnte man dies als Diebstahl auslegen, der im § 242 unseres Strafgesetzbuches (StGB) wie folgt beschrieben wird: 1) Wer eine fremde bewegliche Sache einem anderen in der Absicht wegnimmt, die Sache sich oder einem Dritten rechtswidrig zuzueignen, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft. 2) Der Versuch ist strafbar. Nun sind Juristen ja sehr genaue Menschen. Sie stellen die Frage, was eigentlich eine Sache ist. Irgendwann hat man sich in Kommentaren darauf geeinigt, dass eine Sache eine so genannte "Körperlichkeit" besitzen muss. Diese fehlt aber beim Phishing, so dass der § 242 StGB in unserem Falle nicht greift - wenn auch selbst Juristen beim Phishing von Identitätsdiebstahl sprechen. Daher scheint es sich zunächst eher um einen Betrugsfall zu handeln, wie er in § 263, Absatz 1 StGB beschrieben wird: Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, dass er durch Vorspiegelung falscher oder durch Entstellung oder Unterdrückung wahrer Tatsachen einen Irrtum erregt oder unterhält, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft. Aber verschafft man sich mit dem Phishing einen Vermögensvorteil? Die Antwort lautet auch hier "Nein". Erst wenn die ergaunerten Daten missbraucht werden, entsteht dieser Vorteil (doch dann ist es für den Betroffenen erst einmal zu spät!) Nun hat aber der Gesetzgeber bereits erkannt, dass das teilweise sehr alte Recht des Strafgesetzbuches den modernen Methoden des Betruges nicht mehr gerecht werden kann und hat den § 263a ins Strafgesetzbuch eingebaut. Diese beschreibt den "Computerbetrug wie folgt: 1) Wer in der Absicht, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen, das Vermögen eines anderen dadurch beschädigt, dass er das Ergebnis eines Datenverarbeitungsvorgangs durch unrichtige Gestaltung des Programms, durch Verwendung unrichtiger oder unvollständiger Daten, durch unbefugte Verwendung von Daten oder sonst durch unbefugte Einwirkung auf den Ablauf beeinflusst, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft. Hier kommen wir an einen entscheidenden Punkt. Denn wieder einmal erfüllt das Phishing alleine immer noch nicht die Voraussetzungen des § 263a, da noch kein Vermögensschaden entsteht. Dieser greift aber sofort, wenn der Phiser die sich angeeigneten Daten auch zur Vermögensschädigung des Opfers nutzt. So unglaublich es also auch klingen mag: Im Rechtsstaat Bundesrepublik Deutschland ist das eigentliche Phishing nicht strafbar! Der Jurist spricht hier lediglich von einer so genannten "straflosen Vorbereitungshandlung". Strafbar wird erst der Einsatz der gestohlenen Daten für einen Betrug mit Vermögensschaden. Dann kann von einem Computerbetrug nach § 263a StGB gesprochen werden. Erst jetzt werden die Strafverfolgungsbehörden aktiv - was aber dem Opfer so gut wie nichts mehr nützt. Fachleute fordern deshalb schon seit langem, dass bereits das Ausspionieren und Fischen der Daten unter Strafe gestellt wird. |
||
| Kann man sich vor Phishing schützen? Man muss Fairerweise zugeben, dass es keinen hundertprozentigen Schutz vor Phishern geben kann. Doch gerade der private Anwender macht es dem Angreifer oft viel zu leicht. So kann schon die richtige Grundausstattung - also ein Antivirenprogramm (etwa den DSL Virus-Killer 2005 oder die DSL Security Suite 2005) und eine Firewall (wie die PC Firewall 2005 Standard oder Professional) zumindest die Folgen eines Phishing-Angriffs lindern, die auch darin bestehen können, dass jede Menge PC-Schädlinge auf Ihren Rechner geschaufelt werden. Darüber hinaus gibt es auch spezielle Filterprogramme, mit denen auf Grund bestimmter Merkmale und Begriffe Spam- und Phishing-Mails herausgefiltert werden sollen. Allerdings muss man hier einräumen, dass auf Grund der Vorgaben nicht auszuschließen ist, dass auch das eine oder andere Mail geblockt wird, welches nicht zu Spam- und Phishing-Mails gehört. Der beste Schutz vor Phishing-Attacken ist deshalb die Skepsis und die Vorsicht des Anwenders. Alles, was Ihnen fremd und verdächtig vorkommt sollten Sie im Zweifelsfall lieber löschen. Hinzu kommen einige weitere Maßnahmen und Verhaltensregeln, die Sie unbedingt beachten sollten. Viele Phishing-Attacken werden erst möglich, weil der Browser bestimmte Fälschungen zulässt. Natürlich ist es nicht im Sinne der Browser-Vertriebsgesellschaften, dass ihre Software in Zusammenhang mit Phishing-Attacken genannt wird. Darum arbeiten die Herstellen mit Hochdruck an Verbesserungen und Veränderungen der von den Phishern bevorzugten Programmfunktionen und -schwächen. Die entsprechenden Verbesserungen werden im Internet zum Download zur Verfügung gestellt. Darum sollten Sie dafür sorgen, dass die Browser- und Betriebssystem-Software regelmäßig kontrolliert und neue Updates eingespielt werden. |
||
|
|
27.07.2005 - aktualisiert: 17.08.2005, 13:42 Uhr |
nach oben
© 2012 Stuttgarter Zeitung online
|
Impressum
|
Leserbrief schreiben
URL dieser Druckversion:
http://www.stuttgarter-zeitung.de/stz/page/detail.php/962939/sirspecial_druck
Original-Artikel:
http://www.stuttgarter-zeitung.de/stz/page/detail.php/962939