⚠ HINWEIS — UNGEPRÜFTE ÜBERSETZUNG
Von künstlicher Intelligenz übersetzt, noch nicht von einem Muttersprachler geprüft. Bitte drucken oder verteilen Sie sie vorerst nicht.
Sprechen Sie Deutsch? Eine Stunde Ihrer Zeit reicht, um sie zu prüfen. Schreiben Sie an [email protected]
(NOTICE — unvalidated AI translation, not reviewed by a native speaker. Please do not print or distribute this yet.)
«Es gibt ein Problem mit Ihrem Konto»
Das ist der Betrug, den Amerikaner über sechzig am häufigsten melden. Nicht der teuerste, aber der, der am häufigsten kommt, und in den meisten Verkleidungen.
Wie er ankommt
Eine SMS, eine E-Mail oder eine Sprachnachricht über ein Problem:
- Eine Abbuchung, die Sie nicht gemacht haben. Antworten Sie mit JA oder NEIN
- Ihr Konto ist gesperrt oder ausgesetzt
- Ihr Passwort läuft ab
- Eine Zahlung ist fehlgeschlagen und Ihr Dienst wird abgeschaltet
- Ihr Paket konnte nicht zugestellt werden
- Eine unbezahlte Maut
- Bestätigen Sie Ihre Daten, damit Ihre Leistungen erhalten bleiben
- Ihr Virenschutz hat sich für 499 Dollar automatisch verlängert. Rufen Sie an, um zu kündigen
Sie geben sich als das aus, was Sie am wahrscheinlichsten haben: Amazon, Ihre Bank, Netflix, die Post, Apple, Medicare, Microsoft, Ihr Stromversorger, PayPal.
Was sie wollen
Eines von drei Dingen, und ihnen ist jedes davon recht:
- Ihr Passwort, über einen Link zu einer perfekt aussehenden gefälschten Anmeldeseite
- Ihren Bestätigungscode, die sechs Ziffern, die Ihre Bank Ihnen schickt
- Einen Anruf von Ihnen, der sich in einen der größeren Betrugsfälle auf dieser Seite verwandelt
Der dritte wächst am schnellsten und ist der hinterhältigste. Es gibt keinen Link zu prüfen und keine gefälschte Webseite zu erkennen. Nur eine Telefonnummer und eine Geschichte. Sicherheitsratschläge, die nur aus «Klicken Sie nicht auf Links» bestehen, helfen Ihnen hier nicht.
Die Formen, die er annimmt
Derselbe Betrug, andere Transportmittel. Jede Form hat ihre eigene Art, harmlos auszusehen.
Die gefälschte E-Mail «Bestätigen Sie Ihr Konto»
Die älteste und immer noch die häufigste. Eine Nachricht, die genau so aussieht wie die eines Unternehmens, das Sie nutzen, mit einer Schaltfläche, auf der Bestätigen, Prüfen, Ansehen oder Aktualisieren steht. Die Schaltfläche führt zu einer Kopie der echten Anmeldeseite. Sie tippen Ihr Passwort in die Kopie, und die Kopie gehört ihnen.
Die Kopie ist oft makellos. Logos, Schriften, der Text unten, sogar der kleine Abmeldelink ganz am Ende sind unverändert aus einer echten E-Mail übernommen. Dass eine Seite richtig aussieht, ist kein Beweis. Richtig auszusehen ist genau das, was sie verkaufen.
Die SMS
Dasselbe, kürzer, und schwerer zu prüfen, weil der Bildschirm des Telefons den größten Teil der Adresse verdeckt. Das Paket, die Maut und der Rückruf sind die drei, die Sie am häufigsten bekommen, und dafür gibt es eine eigene Seite (auf Englisch).
Der gefälschte Absender
Der Name, den Sie sehen, ist nicht die Adresse, von der die Nachricht kam. E-Mail-Programme zeigen einen freundlichen Namen an, und diesen Namen wählt der Absender selbst. «Chase Betrugswarnung» kann über einer Adresse wie [email protected] stehen.
Auf dem Telefon zählt das mehr, denn der freundliche Name ist meist alles, was Ihnen gezeigt wird. Erst wenn Sie auf den Absendernamen tippen, kommt die Adresse darunter zum Vorschein, und fast niemand tippt darauf.
Der Link gegen den Anhang
Ein Link bringt Sie irgendwohin. Ein Anhang bringt Ihnen etwas. Beides wird benutzt, und mit dem Anhang rechnen die Leute weniger.
Er kommt als Rechnung, Quittung, Fax, Sprachnachricht, Versandetikett oder Gerichtsbescheid, als PDF, als Word-Dokument oder als ZIP-Datei. Manche Anhänge enthalten schlicht denselben gefälschten Link im Inneren, womit die Nachricht an den Filtern vorbeikommt, die nur Links prüfen. Andere verlangen beim Öffnen, dass Sie die Bearbeitung aktivieren oder den Inhalt aktivieren, und dieser zweite Klick ist der, der etwas installiert.
Sie haben keine Rechnung bestellt, die Sie nicht erwartet haben. Ein Dokument, das aus dem Nichts kommt, wird behandelt wie ein Link: lassen Sie es geschlossen, wenden Sie sich auf Ihrem eigenen Weg an das Unternehmen und fragen Sie, ob es Ihnen etwas geschickt hat.
Der QR-Code
Neuer, und er wirkt, weil ein Quadrat aus Punkten Ihnen nichts zu lesen gibt. Es gibt keine Adresse, die man genau ansehen könnte, also auch nichts Falsches, das auffallen könnte.
Sie tauchen auf als Aufkleber über dem echten Code an einer Parkuhr oder Ladesäule, gedruckt auf Handzetteln und gefälschten Sperrandrohungen, und in E-Mails als Bild, womit sie an Programmen vorbeikommen, die nur Links prüfen.
Ihr Telefon zeigt Ihnen die Adresse meist an, bevor es irgendetwas öffnet. Lesen Sie diese Adresse, bevor Sie auf Öffnen tippen. Wenn es nicht das Unternehmen ist, das Sie erwartet haben, schließen Sie es. Und ein Code, der in einer Nachricht kommt, die Sie nicht angefordert haben, ist schlicht ein Link in einer Nachricht, die Sie nicht angefordert haben. Benutzen Sie ihn gar nicht.
Die Warnung «Waren Sie das?»
Die raffinierteste von allen, weil sie genau die Gestalt der Nachricht ausleiht, die Sie eigentlich schützen soll.
«Sicherheitswarnung: Auf Ihr Konto wurde von einem neuen Gerät in Dallas, Texas zugegriffen. Wenn Sie das nicht waren, sichern Sie Ihr Konto hier.»
Es ist nichts geschehen. Es gab keine Anmeldung. Der Alarm ist der Köder, und «Nein, das war ich nicht» ist die Schaltfläche, auf die sie hoffen, denn sie führt zu einer Anmeldeseite, die ihnen gehört.
Derselbe Trick kommt als Passwortzurücksetzung, die Sie nie angefordert haben, und als Bestätigungsanfrage auf Ihrem Telefon, die so lange vibriert, bis Sie zustimmen, nur damit sie aufhört.
Bestätigen Sie niemals eine Anfrage, die Sie nicht selbst ausgelöst haben. Eine Zurücksetzung, um die Sie nicht gebeten haben, ist keine Aufgabe, sie ist eine Mitteilung. Ignorieren Sie die Nachricht, öffnen Sie das Konto so, wie Sie es immer öffnen, und sehen Sie selbst nach.
Die Anzeichen
Jedes davon ist ein Grund, langsamer zu werden und hinzusehen. Keines davon ist ein Beweis, in keine Richtung. Eine Nachricht mit drei dieser Anzeichen kann trotzdem Ihre echte Bank an einem schlechten Morgen sein, und eine Nachricht ohne ein einziges kann trotzdem Betrug sein. Ein Anzeichen ist ein Signal, selbst nachzusehen. Es ist nie ein Urteil, und es ist nie ein Grund, sich dumm zu fühlen, weil man etwas gut Gemachtem geglaubt hat.
Der Link ist falsch, und das Falsche ist klein. Echt: chase.com. Gefälscht: chase-secure-alerts.com, chase.verify-account.net, chasebank-support.co.
Bessere Regel: prüfen Sie Links gar nicht erst. Werden Sie nicht gut darin, Fälschungen zu erkennen. Benutzen Sie einfach nie eine. Tippen Sie die Adresse selbst, oder nehmen Sie Ihr eigenes Lesezeichen, oder die App Ihrer Bank.
Die Anrede ist allgemein. «Sehr geehrter Kunde», «Sehr geehrter Kontoinhaber». Ihre Bank kennt Ihren Namen.
Dringlichkeit mit einer Frist. 24 Stunden. Sofort. Sonst wird Ihr Konto geschlossen.
Kleine Fehler. Seltsame Grammatik, ein merkwürdiges Leerzeichen vor einem Satzzeichen, ein Logo in leicht falscher Farbe. Achtung: die guten haben davon nichts mehr. Künstliche Intelligenz schreibt inzwischen sauber. Das Fehlen von Fehlern beweist gar nichts.
Der einzige Weg nach vorn liegt innerhalb der Nachricht. Jeder Weg, den sie Ihnen anbietet, die Schaltfläche und die Nummer und der Code und der Anhang, wohnt in der Nachricht selbst. Echte Unternehmen freuen sich, wenn Sie sie auf Ihrem eigenen Weg erreichen. Eine Nachricht, die braucht, dass Sie in ihr bleiben, sagt Ihnen damit etwas.
Sie kam aus dem Nichts. Sie haben kein Paket erwartet. Sie fahren nicht auf dieser Mautstraße. Sie haben dieses Abonnement nicht. Manchmal aber doch: sie verschicken Tausende, und einige treffen.
Wie man hinsieht, ohne etwas anzufassen
Sie brauchen diesen Teil nicht. Die Regel weiter unten löst jeden Fall ganz ohne Prüfung. Aber Menschen sehen nun einmal gern hin, und Hinsehen ist ungefährlich, solange Sie nie tippen.
Am Computer: fahren Sie darüber. Legen Sie den Mauszeiger auf den Link, ohne zu klicken. Die echte Adresse erscheint in der unteren Ecke des Fensters oder in einem kleinen Kasten neben dem Zeiger.
Am Telefon: drücken und halten. Halten Sie den Finger eine Sekunde auf dem Link, statt darauf zu tippen. Es öffnet sich ein Feld mit der vollständigen Adresse, mit Kopieren und Abbrechen. Lesen Sie sie, dann Abbrechen.
Um den echten Absender zu sehen, tippen Sie auf den Absendernamen. Der freundliche Name klappt auf und zeigt die echte Adresse darunter.
Lesen Sie eine Adresse von rechts, nicht von links. Suchen Sie den ersten einzelnen Schrägstrich. Die zwei Wörter unmittelbar davor sind der Eigentümer der Seite, und sonst nichts:
- chase.com/login ist Chase
- secure.chase.com/alerts ist Chase
- chase.secure-login.net/verify ist secure-login.net, nicht Chase
- chase-com.info/account ist chase-com.info, nicht Chase
Alles links von diesen zwei Wörtern kann absolut alles behaupten. Das ist der ganze Trick, und deshalb lesen sich die Fälschungen so gut.
Und jetzt legen Sie das alles beiseite. Einen Link prüfen zu können ist ein Kunststück. Nie einen zu benutzen ist eine Verteidigung. Die, die hereinfallen, sind nicht die, die es nicht hätten erkennen können. Es sind die, die müde waren, beschäftigt oder in Eile, und die eine Sekunde daran gewendet haben statt fünf.
Was zu tun ist
Benutzen Sie nie den Link. Benutzen Sie nie die Nummer aus der Nachricht.
Stattdessen:
- Öffnen Sie die App Ihrer Bank, oder tippen Sie die Adresse, die Sie schon kennen
- Rufen Sie die Nummer auf der Rückseite Ihrer Karte an
- Melden Sie sich so an, wie Sie sich immer anmelden
Wenn die Warnung echt ist, wartet sie in Ihrem Konto auf Sie. Wenn dort nichts ist, war auch nie etwas.
Lesen Sie niemandem einen Bestätigungscode vor. Ihre Bank schickt ihn, um andere draußen zu halten. Keine seriöse Stelle wird Sie je bitten, ihn auszusprechen oder in einen Chat zu tippen. Wer danach fragt, steht vor der Tür Ihrer Bank und versucht, sich von Ihnen den Schlüssel geben zu lassen.
Antworten Sie einer Betrugs-SMS nicht mit STOP. Das bestätigt, dass ein lebender Mensch diese Nummer liest. Löschen Sie sie, oder melden Sie sie durch Weiterleiten an 7726 (SPAM), bei allen US-Anbietern kostenlos.
Die drei Schritte, angewandt auf eine Nachricht
Diese Seite hat eine Methode, und hier wirkt sie genauso wie bei einem Telefonanruf.
Sehen Sie selbst nach.
Nicht der Link. Nicht die Nummer in der Nachricht. Nicht die Adresse in der Signatur. Öffnen Sie die App, die Sie ohnehin haben, oder tippen Sie die Adresse, die Sie ohnehin kennen, oder nehmen Sie die Nummer von der Rückseite Ihrer Karte.
Wenden Sie sich selbst an das Unternehmen.
Schließen Sie zuerst die Nachricht, nehmen Sie dann auf Ihrem eigenen Weg Kontakt auf und fragen Sie klar: «Ich habe eine Nachricht bekommen, dass es ein Problem mit meinem Konto gibt. Kam die von Ihnen?» Wenn die Warnung echt ist, wartet sie in Ihrem Konto auf Sie. Wenn dort nichts ist, war auch nie etwas.
Warten Sie einen Tag.
Fast nichts in einem echten Konto verlangt heute Abend eine Antwort. Eine echte Betrugssperre, eine echte offene Rechnung und ein echter Rückruf überstehen alle eine Nacht Schlaf. Die Frist in der Nachricht ist der einzige Teil davon, der sicher gefälscht ist.
Die Nachricht will, dass alle drei Schritte in ihr stattfinden: ihr Link, ihre Nummer, ihre Uhr. Auch nur einen davon nach draußen zu holen genügt, um es zu beenden.
Wenn Sie geklickt und Ihr Passwort eingegeben haben
- Ändern Sie dieses Passwort sofort, auf der echten Seite, mit selbst getippter Adresse
- Wenn Sie dieses Passwort noch woanders benutzen, ändern Sie es auch dort. Das ist der eigentliche Schaden. Ein wiederverwendetes Passwort öffnet ein ganzes Leben.
- Ändern Sie zuerst Ihr E-Mail-Passwort, falls es dasselbe war
- Schalten Sie überall, wo es angeboten wird, die Zwei-Faktor-Anmeldung ein
- Beobachten Sie drei Monate lang Ihre Kontoauszüge
Sie stecken nicht in Schwierigkeiten. Sie haben etwas in ein Feld getippt. Millionen Menschen tun das jedes Jahr, darunter Menschen, deren Beruf Computersicherheit ist.
Wenn Sie einen Anhang geöffnet haben
Die Datei zu öffnen ist meist noch nicht der Moment des Schadens. Der Schaden kommt von dem, was sie Sie als Nächstes tun ließ.
- Wenn Sie sie geöffnet und wieder geschlossen haben und sonst nichts geschah, ist höchstwahrscheinlich alles in Ordnung. Löschen Sie sie.
- Wenn Sie die Bearbeitung aktiviert, den Inhalt aktiviert, einen Download erlaubt haben oder sich ein Programm installiert hat, lassen Sie das Sicherheitsprogramm prüfen, das ohnehin auf Ihrem Rechner ist, und lassen Sie jemanden nachsehen, dem Sie vertrauen.
- Wenn Sie ein Passwort eingegeben haben, um das Dokument zu sehen, behandeln Sie es genau wie im Abschnitt darüber. Ändern Sie dieses Passwort, und ändern Sie es überall, wo Sie es wiederverwendet haben.
Die eine Änderung, nach der das alles keine Rolle mehr spielt
Überall dasselbe Passwort zu benutzen ist der Grund, warum aus einem gestohlenen Passwort zehn gestohlene Konten werden. Ein Passwortmanager löst das dauerhaft: er erfindet für jede Seite ein anderes, schwereres Passwort und merkt sich alle, so dass Sie sich nur eines merken müssen.
Sehr wahrscheinlich haben Sie schon einen, kostenlos, in einem Gerät, das Ihnen gehört. Apple («Passwörter» auf iPhone und Mac), Google («Passwortmanager» in Chrome und Android) und Microsoft (in Windows und Edge) bringen alle einen mit. Sie müssen nichts kaufen und nichts installieren. Bitten Sie jemanden, dem Sie vertrauen, Ihnen beim Einschalten zu helfen und Ihre wichtigsten Passwörter dorthin umzuziehen, zuerst E-Mail und Bank.
Die Gewohnheit, die diese ganze Kategorie beendet
Benutzen Sie nie einen Link oder eine Nummer, die zu Ihnen gekommen ist. Erreichen Sie das Unternehmen auf Ihrem eigenen Weg, jedes Mal, ohne Ausnahme.
Das ist keine Wachsamkeit und verlangt von Ihnen nicht, irgendetwas zu prüfen. Es ist eine Gewohnheit, und sobald Sie sie haben, hört diese ganze Kategorie von Betrug bei Ihnen einfach auf zu funktionieren: die heutige Fassung und jede, die sie sich als Nächstes ausdenken.
Passend dazu: Die drei Schritte · Alle Seiten auf Englisch