Attacken im Online-Banking: „Viele Smartphone-Nutzer haben die Bedrohung nicht erkannt“

Mit der Beliebtheit des Online-Bankings nehmen auch die digitalen Attacken auf Kunden zu – vor allem via Android-Smartphone. Viele Nutzer unterschätzen die Gefahren. Wie sie sich schützen können.

Immer häufiger werden Smartphone-Nutzer das Ziel von Hackern, vor allem im Online-Banking.

Bild:  imago images

Immer mehr Deutsche nutzen ihr Smartphone für Bankgeschäfte, doch mindestens ebenso schnell nimmt die Gefahr durch Schadsoftware zu. Im ersten Halbjahr haben sich die Attacken mit mobilen Banking-Trojanern im Vergleich zu den ersten sechs Monaten des Vorjahres nahezu verdoppelt. Knapp 10.000 Attacken mit Schadprogrammen, im Fachjargon Finanz-Malware genannt, zählte das auf IT-Sicherheit spezialisierte Unternehmen Kaspersky von Januar bis Juni.

Ziel der Angreifer ist es, unbemerkt Zugangsdaten zum Online-Banking, Konto- und Kreditkartennummern und neuerdings auch Kryptowährungen wie Bitcoin abzugreifen. Nicht nur die Kunden, auch Banken und Finanzinstitute selbst geraten ins Visier. So waren am Montag kurzzeitig persönliche Daten von knapp 90.000 Mastercard-Kunden frei zugänglich im Internet auffindbar. Der Kreditkartenanbieter sperrte daraufhin vorsorglich sein Bonusprogramm „Priceless Specials“, wo das Datenleck aufgetreten war.

Darunter waren auch E-Mail-Adressen der Nutzer. Kriminelle nutzen solche Beute häufig, um gefälschte E-Mails zu verschicken. Das sogenannte Phishing ist eine der Hauptgefahrenquellen im Online-Banking. Jede vierte derartige Attacke wird laut Kaspersky „im Namen einer Bank ausgeführt“.

Phishing-Mails führen auf Gefälschte Bank-Websites

Nicht selten wirken die E-Mails täuschend echt. Täter nutzen sie zum Beispiel, um ihre Opfer unter einem Vorwand dazu zu bringen, Zugangsdaten samt PIN preiszugeben. Im ersten Halbjahr 2019 zählte Kaspersky „339.000 Phishing-Versuche mit Hilfe gefälschter Webseiten, die sich als Startseiten großer Finanzinstitute ausgeben“.

Schadprogramme können auch über E-Mail-Anhänge, etwa fingierte Rechnungen, auf dem Smartphone landen. Oder über Apps. Betroffen sind nach Angaben von Kaspersky hauptsächlich Nutzer des Google-Betriebssystems Android, das „mit nahezu 99 Prozent Ziel Nummer eins im Bereich mobiler Schädlinge“ sei.

Peter Neumeier, der für Deutschland zuständige Vertriebschef, führt das zum einen auf den hohen Marktanteil an Android-Geräten zurück. Aber nicht nur. Zudem sei das Android-Betriebssystem gegenüber der Konkurrenz von Apple technisch offener gestaltet. Externe Entwickler haben es leichter, eigene Apps zu programmieren. Und Android-Nutzer kommen so auch an Anwendungen, die nicht zum offiziellen App-Store gehören. Laut dem Cybersecurity-Spezialisten Trend Micro hat Google gerade mehrere Dutzend Apps mit Schadsoftware aus dem Verkehr gezogen.

Kaspersky vertreibt unter anderem Virenschutzprogramme. Daher liegt es nahe, dass Neumeier Nutzern einen entsprechenden Schutz nahelegt. Fakt ist jedenfalls, dass viele die mobile Sicherheit nach wie vor schleifen lassen. „Viele Smartphone-Nutzer haben die Bedrohung nicht erkannt“, sagt Neumeier.

Mehr als die Hälfte nutzt das Smartphone für Bankgeschäfte

Zahlen des IT-Branchenverbands Bitkom unterstreichen das. In einer Umfrage aus dem November 2018 gaben lediglich 40 Prozent der rund 1000 Befragten an, auf ihrem Smartphone ein Antivirenprogramm installiert zu haben. Dabei gehört das Smartphone immer öfter auch in sensiblen Bereichen wie Bankgeschäften zum Alltag. „Erstmals setzt mehr als die Hälfte der Online-Banking-Nutzer ihr Smartphone für Bankgeschäfte ein“, meldete Bitkom im Mai. Demnach erledigen inzwischen sieben von zehn Deutschen Bankgeschäfte im Internet – „nur noch Senioren sind zurückhaltend“, so Bitkom.

Die gute Nachricht ist: Smartphone-Banking und Sicherheit schießen einander keineswegs aus. Wer jenseits der gängigen Ratschläge – regelmäßig Sicherheitsupdates installieren, keine Software und Anhänge aus unbekannten Quellen öffnen, Virenschutz aktivieren – nur wenige Tipps beherzigt, kann auch mobil sicher Bankgeschäfte erledigen:

• Achtung, WLAN! Laut Bitkom nutzt jeder Zweite mindestens ab und an auch öffentliche WLAN-Netzwerke fürs Online Banking. Experten wie Julian Grigo, Banking-Experte von Bitkom, raten davon ab – oder andernfalls zumindest dazu, einen „VPN-Dienst zu nutzen, bei dem der Datenverkehr verschlüsselt wird“. VPN steht für Virtual Private Network. Spezialisierte Anbieter stellen entsprechende Apps bereit.
• Zwei-Faktor-Authentifizierung nutzen: Ständig ein kleines Zusatzgerät mit sich zu führen, mag lästig erscheinen. Doch ein sogenannter Tan-Generator als Ergänzung zur Banking-App ist laut Experten die sicherste Variante für die mobile Verwaltung der eigenen Finanzen. Alternativ tut es bei einigen Banken auch eine SMS aufs Mobiltelefon.
• Vorsicht vor kostenlosen, übergriffigen Apps: Nutzer achten häufig nicht darauf, welche Zugriffsrechte eine Anwendung hat. Faustregel: Erfordert eine App Zugriff auf Daten, die nichts mit der eigentlichen Funktion zu tun haben, Finger weg!

Der jüngste Vorfall bei Mastercard sollte eine Warnung sein – und wird mit Sicherheit nicht der letzte im immer eifriger genutzten Online-Banking sein. „Wir erwarten“, sagt Christian Funk, der das deutschsprachige Forschungs- und Analyseteam von Kaspersky leitet, „dass die Zahl der angegriffenen Nutzer in der zweiten Jahreshälfte weiter steigt.“

Zehn Abzocker-Tricks im Internet

Trojaner und Co.

Viren, Würmer und Trojaner können erhebliche Schäden auf dem PC anrichten. Beliebt bei Abzockern sind vor allem die Trojanischen Pferde, die vom Nutzer meist unbemerkt auf dem Rechner lauern und sensible Daten wie Passwörter abfangen, mit denen dann Schindluder getrieben werden kann.

Wie kann man sich schützen?

Bei allen Downloads aus dem Internet ist Vorsicht geboten. Das BSI warnt davor, dass sich in der Flut von Gratis-Programmen und Dateien unzählige Schadprogramme verstecken, die dann den Rechner infizieren. Manche davon verbreiten sich auch über USB-Sticks, weshalb man diese am besten nicht mit anderen austauschen sollte.
Bemerkt man die Infektion, sollte man an einem "sauberen" PC umgehend alle wichtigen Passwörter, besonders von Online-Händlern oder Auktionshäusern, ändern. Die Kontoauszüge sollte man in der nächsten Zeit stets kritisch prüfen, da Betrüger an Kontodaten gelangt sein könnten und nun im Namen des Geschädigten Geschäfte tätigen.

Bild: REUTERS

Phishing

Das Wort, das wie "Fischen" klingt, ist in aller Munde. Im Prinzip geht es auch genau darum: Abzocker werfen die Angelrute nach Passwörtern aus. Auf gefälschten Internetseiten, die etwa denen von sozialen Netzwerken oder Banken täuschend ähnlich sind, geben ahnungslose Nutzer ihre Daten ein - und sind sie auch schon los. Die Betrüger sind auf Passwörter, persönliche Daten oder Kreditkartennummern aus.

Wie kann man sich schützen?

Grundsätzlich sollte man bei E-Mails, die etwa scheinbar von der Bank oder einer Firma kommen und die den Empfänger dazu auffordern, seine Daten zu aktualisieren, misstrauisch sein. Diese Mails werden massenhaft verschickt und die Angreifer spekulieren darauf, dass einige der Adressaten tatsächlich Kunde bei dem vorgegebenen Unternehmen ist. Um so einen gefälschten Link zu enttarnen, muss man mit der rechten Maustaste auf den angegebenen Link in der E-Mail klicken und dann "Quelltext anzeigen" auswählen, rät das Bundesamt für Sicherheit in der Informationstechnik (BSI). So kann man erkennen, was sich tatsächlich hinter dem "offiziellen" Link verbirgt.

Bild: dpa/dpaweb

Spam, Spam, Spam

Spam- oder auch Junk-Mails sind nicht nur ärgerlich, weil sie den Posteingang zumüllen. Lädt man die Massen-Mails herunter, können dem Nutzer je nach Internet-Anbieter Kosten für den Datenverkehr entstehen. Laut BSI entstehen jedes Jahr Kosten in Milliardenhöhe für Versand, den Zeitverlust fürs Lesen, das Entfernen oder sogar Beantworten des elektronischen Schrotts.

Wie kann man sich schützen?

Egal wie sehr man sich ärgert, man sollte niemals auf ungewollte Newsletter oder Werbepost antworten - denn die Nachrichten werden oft vollautomatisch an Hunderttausende per Zufallsprinzip erstellte Mailadressen versandt. Reagiert der Adressat auf die unerwünschte Müllpost, zeigt er nur, dass ein realer Nutzer erreicht wurde, und erhält noch mehr Spam. Wird man immer vom gleichen Absender belästigt, kann ein Filter im Mail-Programm helfen, der den Spammer blockiert. Bei extremer Belästigung hilft oft nur noch die Aufgabe der Mail-Adresse und das Erstellen einer neuen - bei der man dann wesentlich vorsichtiger damit umgehen sollte, wo und wem man sie weitergibt.

Bild: AP

Geschenke und Gewinnspiele

Wenn beim Surfen plötzlich ein Browserfenster aufgeht, dass man ein Handy oder gar eine tolle Kamera gewonnen hat, kann man sich doch freuen - oder?
Mitnichten! Die Verbraucherzentralen warnen vor solchen vermeintlichen Geschenken, denn es sind nur fiese Köder, die zum Beispiel von den Kosten für das Gewinnspiel ablenken sollen. Oft sind die Betrüger aber auch hier einfach auf die intimen Nutzerdaten aus.

Wie kann man sich schützen?

Vorsicht bei verlockenden Gewinnspielen und angeblichen Präsenten von Anbietern zweifelhafter Seriosität - denn wer hat schon etwas zu verschenken? Die persönlichen Daten wie Name, Alter, Anschrift, Telefonnummer oder E-Mail-Adresse landen meist nur bei Adressensammlern, die diese dann in Paketen weiterverkaufen und sich so die Taschen füllen. Das einzige, was sich beim Opfer füllt, ist dann der Anrufbeantworter oder das Mail-Postfach, und zwar mit nerviger, ungewollter Werbung. Im Zweifelsfall also lieber: Finger weg!

Bild: dpa

Betrug per App

Smartphones sind ja sehr praktisch. Auch unterwegs hat man nicht nur ein Telefon, sondern eben auch immer einen Zugang zum Internet dabei. Doch auch bei dieser neuen Spielerei finden natürlich Betrüger Mittel und Wege, um Nutzern das Geld aus der Tasche zu ziehen. Die Abzocke per App, also einem kleinen Programm auf dem Handy, nimmt laut Verbraucherzentrale zu. In Spielen oder anderen Anwendungen, die erstmal gratis heruntergeladen werden können, verbergen sich meist kleine Werbebanner, etwa mit Hinweisen auf eine Erweiterung (zum Beispiel: "Hier gibt's neue Level" oder ähnliches). Berührt man die Stelle auch nur aus Versehen, kann das teuer werden, denn oftmals werden so über die Handynummer Käufe oder sogar Abos getätigt, die bis zu 60 Euro pro Monat kosten können.

Wie kann man sich schützen?

Die Verbraucherzentrale stuft einen Vertrag, der über das bloße Antippen eines Banners zustande kam, als ungültig ein. Die Bundesnetzagentur prüft derzeit einen Gesetzesverstoß. Geschädigte müssen sich selbst kümmern. Die Verbraucherzentrale rät dazu, den Vertragsabschluss gegenüber dem Mobilfunkprovider und der App-Firma zu bestreiten, und es zu kündigen. Vorbeugend können Smartphone-Nutzer eine sogenannte Drittanbieter-Sperre verhängen, die verhindert, dass dubiose Geschäftemacher über die Handyrechnung Geld einziehen können.

Bild: dapd

Lösegeld-Erpressung

Lösegeld-Erpressung? Ja, das gibt es auch im digitalen Bereich. Mit sogenannter Ransomeware wird der Rechner infiziert (zum Beispiel per E-Mail-Anhang oder auch per Facebook-Link), und der Nutzer kann auf einmal nicht mehr auf einzelne Dateien, Ordner oder gleich seine ganze Festplatte zugreifen. Für die Freigabe der Daten-Geiseln fordern die Schadprogramme Geld, das per anonymer Überweisung ins Ausland gehen soll. Berühmtheit erlangte der Bundespolizei-Trojaner, der Betroffenen vorgaukelte, eine offizielle Polizeibehörde habe den Rechner verschlüsselt, weil ungesetzliches Material (etwa Kinderpornografie) darauf gefunden worden sei.

Wie kann man sich schützen?

Alle Programme inklusive Antivirensoftware sollte immer auf dem neusten Stand gehalten werden. Vor allem gegenüber E-Mails von unbekannten Absendern, die Links oder Anhänge enthalten, sollte man misstrauisch sein. Ein beliebter Verbreitungsweg ist auch das soziale Online-Netzwerk Facebook: Hier verbreiten sich die Schadprogramme über Links in automatisch geposteten Videos oder Fragen, die zum draufklicken animieren (zum Beispiel: "Bist du das auf dem Foto?" oder "Total krasses Video!"). Hier heißt es wachsam sein, nachdenken und erst dann klicken. Hat man sich infiziert, sollte man auf keinen Fall zahlen und zudem Anzeige bei der Polizei erstellen.

Bild: dpa

berTeure Abofallen

Eigentlich wollte man doch nur über eine Website ein paar Gratis-SMS verschicken. Und nun flattert eine astronomische Rechnung ins Haus. Angeblich kostenfrei zu versendende Kurznachrichten oder Spiele, Logos und Klingeltöne, die man sich zu sagenhaft günstigen Preisen herunterladen kann, sind eine beliebte Abofalle. Nutzer übersehen das Kleingedruckte und schließen nichts ahnend ein teures Abonnement ab.

Wie kann man sich schützen?

Auch wenn es lästig ist: Man sollte auch bei scheinbar kleinen Beträgen für ein Onlinespiel oder vermeintlichen Gratis-Angeboten sehr genau darauf achten, was sich im Kleingedruckten versteckt. Man sollte sich genau durchlesen, welche Leistung verkauft wird und auf Schlagworte wie "wiederkehrende Leistung" achten - denn das ist nichts anderes als ein Abonnement, das richtig teuer werden kann.

Bild: gms