Die klassische Phishing-Mail will Zugangsdaten stehlen. Die klassische Betrugs-Hotline will Fernzugriff. Richtig gefährlich wird es, wenn beides kombiniert wird – und genau das ist inzwischen Standard.
Stufe eins: eine E-Mail, angeblich von Bank, Paketdienst oder Streamingdienst. Wer auf den Link hereinfällt, gibt Name, Telefonnummer und vielleicht Zugangsdaten preis. Oft passiert danach: erst einmal nichts. Die Daten wandern in Listen, die im Untergrund verkauft werden.
Stufe zwei, Tage oder Wochen später: der Anruf. Und jetzt wirkt er glaubwürdig, denn der Anrufer kennt Namen, Bank und manchmal letzte Umsätze. „Wir haben den Phishing-Angriff auf Ihr Konto bemerkt“ – die Täter benutzen ihren eigenen Angriff als Beweis ihrer Echtheit! Zur „Absicherung“ müsse nun ein „Sicherheitsupdate“ installiert werden: die Fernwartungssoftware.
Diese Mehrstufigkeit hebelt den üblichen Rat „bei komischen Mails einfach nichts anklicken“ teilweise aus – denn die gefährliche Aktion passiert später am Telefon und stützt sich auf Vertrauen, das die Mail aufgebaut hat.
Schutzregeln: Eine echte Bank kündigt Sicherheitsmaßnahmen nicht telefonisch mit Installationsanleitung an. Rückruf immer über die bekannte Nummer. E-Mail-Adressen sparsam herausgeben, für Newsletter eine Zweitadresse verwenden. Das Phishing-Radar der Verbraucherzentrale zeigt täglich die aktuellen Mail-Wellen. Und auf dem PC von Angehörigen: Fernschutz installieren, damit das „Sicherheitsupdate“ der Täter ins Leere läuft.