Die neuen Methoden der Phisher
Noch einen Schritt weiter gehen die Cyber-Kriminellen mit dem so genannten Pharming. Dabei wird die Auflösung von Namen zu IP-Adressen im Internet ausgenutzt. Gibt der Anwender eine Adresse wie www.phishing-ist-doof.de ein, muss diese URL genannte Adresse in eine numerische Adresse wie 193.87.047.11 umgewandelt werden. Das wird von einem Domain-Name-System-Server, kurz DNS-Server, erledigt. Hacker können DNS-Server so manipulieren, dass Anwender bei Eingabe der Adresse www.phishing-ist-doof.de auf einer gefälschten Seite gleichen Namens landen, die sich zudem noch auf dem Server des Phishers befindet. Für den Anwender ist so ein Betrugsversuch kaum zu entdecken.
Ein wichtiger Bestandteil des Pharmings ist das so genannte Visual Spoofing; der englische Begriff "to spoof" bedeutet so viel wie etwas vorgaukeln. Damit sich das Pharming für die Betrüger auszahlt und die an der Nase herumgeführten Nutzer auch ihre Daten preisgeben, muss die Website der Hacker dem Original möglichst ähnlich sein. Dazu fälschen die Phisher sogar Sicherheitsmerkmale wie das SSL-Logo, ein Schlosssymbol in der Statusleiste des Browsers.
Überprüfen der SSL-Logos
Die Gefahr, auf ein gefälschtes SSL-Logo hereinzufallen, lässt sich jedoch minimieren: "Es ist ratsam, die aktuellen Sicherheitsupdates für den Browser zu verwenden", sagt Sebastian Gajek. Außerdem sollte sich der Anwender von der Echtheit des Logos überzeugen, indem er mit einem Doppelklick auf das Schlosssymbol die dazugehörigen Informationen aufruft. Laut Gajek lässt sich so erkennen, wer das Zertifikat ausgestellt hat, wie lange es gültig ist und ob es überhaupt für die geöffnete Website gilt.
Eine alternative Sicherheitsmaßnahme ist die Personalisierung des Browsers - beispielsweise durch die Auswahl eines frei wählbaren Hintergrundbildes für die Menüleiste. Fehlen beim Aufruf einer Website die persönlichen Veränderungen, ist dies ein Indiz für Visual Spoofing. Ein Programm, mit dem sich Browser individualisieren lassen, bietet die A-I3 auf ihrer Website kostenlos an. Angreifer erkennen die Veränderungen an der Oberfläche des Browsers nicht.
Gegen herkömmliche Phishing-Versuche helfen einige Faustregeln. Dazu das Bundesamt für Sicherheit in der Informationstechnik (BSI) in Bonn: "Machen Sie niemals - weder telefonisch noch per E-Mail - Angaben über Ihre geheimen Zugangsdaten zum Online- oder Telefonbanking." E-Mails, in denen die Preisgabe vertraulicher Daten gefordert wird, sollten ignoriert werden. Das gelte auch, wenn der angezeigte Absender bekannt erscheint. Wer glaubt, Phishern zum Opfer gefallen zu sein, sollte sich an seine Bank wenden und gegebenenfalls die preisgegebenen PINs und TANs sperren lassen.