Schutz vor Online-Betrug: Kriminelle werden immer kreativer - PayPal-Phishing & Quishing im Urlaub

Derzeit kursieren E-Mails, die nervös machen: „Ausstehende Belastung von 987,90 USD – rufen Sie diese Nummer bei Fragen an“ steht im Betreff. Damit wollen Kriminelle erreichen, dass man betrügerische Nummern anruft, Log-in-Daten u.a. preisgibt. Das Tückische: Diese E-Mails stammen wirklich von PayPal. Allerdings sind die Forderungen nicht echt. Das ist aber weder auf den ersten noch auf den zweiten Blick erkennbar – und längst nicht die einzige aktuelle Betrugsmasche. Wir klären auf. Ein sinnvoller Tipp ist, rechtzeitig wie ein U-Boot abzutauchen. Bezahldienst Geld „unter Freunden“ Die Betrüger nutzen aus, dass bei dem Bezahldienst Geld „unter Freunden“ überwiesen werden kann. Die E-Mail stammt von PayPal, weil die Betrüger winzige Beträge wie einen Ungarischen Forint an die Opfer überweisen. Das sind nur etwa 0,0025 Euro, PayPal sendet natürlich trotzdem eine echte Bestätigungsmail an die Empfänger. Die wird abgefangen und der Betreff der Mail manipuliert. Dort steht dann zum Beispiel „Ausstehende Abbuchung von 987,90 Dollar – bitte rufen Sie die (855) 629-1161 an“. Obwohl die restliche Mail eigentlich unverändert ist, werden Opfer dadurch dahingehend manipuliert, gefälschte Hotlines anzurufen. Hier werden sie unter Druck gesetzt und beispielsweise mit Aussicht auf angebliche Rückerstattungen dazu gebracht, Kontodaten herauszurücken oder einen Fernzugriff auf den eigenen Rechner zu ermöglichen. ANZEIGE ANZEIGE Warum Phishing immer noch funktioniert Wer glaubt, nie Opfer von Phishing werden zu können, muss nun also noch mehr aufpassen. Betrug zu erkennen, wird immer schwieriger. Das zeigt sich auch in den Opferzahlen. In den vergangenen zwölf Monaten war mehr als jeder Zehnte in Deutschland von einer Straftat im Internet betroffen. Und: „2025 war Phishing die Nummer eins der Cyber-Einfallstore in der EU, denn die Angreifer werden immer kreativer“, erklärten Elisabeth Gütl, Cybersecurity-Expertin, und Philipp Schwarzbauer, Art Director und Creative Concepter, auf der Digitalkonferenz re:publica Ende Mai in Berlin. „Angreifer nutzen Strategien aus Marketing und Werbung: Ein schwacher Moment, eine glaubhafte Geschichte und eine schöne Oberfläche können alle zu potenziellen Opfern machen.“ Mit welchen psychologischen Tricks Kriminelle arbeiten Dabei arbeiten Kriminelle mit verschiedenen Tricks und Auslösern, psychologische Trigger nennen Gütl und Schwarzbauer diese. So wird beispielsweise erst über längere Zeit Kontakt aufgebaut, häufig unter falscher Identität einer nur am Rande bekannten Person wie der Mutter eines Promis. Reagiert man darauf und geht in den Austausch, werden Informationen gesammelt: Wo wohnt man, wie hieß das erste Haustier, gibt es Fakten über die Familie, die ausgenutzt werden können? Erst nach Monaten und etlichen privaten Nachrichten meldet sich dann vermeintlich der Promi, beeindruckt und dankbar über den netten Kontakt zur einsamen Mutter – und bittet, wieder nach etlichen Nachrichten, um Geld. Eine Masche setzt auf Autorität Eine andere Masche setzt auf Autorität. Bekommt man scheinbar eine Nachricht vom Chef, in der in forderndem Ton Hilfe erbeten wird, setzt auch das viele Menschen unter Druck. Sie erfüllen den Auftrag, ohne die Anordnung auf einem anderen Kanal gegenzuchecken. Eine weitere Masche setzt darauf, dass man sich von Beliebtem und Altbewährtem einfangen lässt. „Mails wie ›Schon 500 Kunden haben diesen oder jenen Artikel bereits gekauft‹ erinnern an Online-Shopping“, weiß Schwarzburger. „›Drei andere Kunden haben diesen Artikel im Warenkorb, vier Interessierte haben bei diesem Hotel in den letzten Tagen reserviert‹ ist jedem schon einmal begegnet. Das wird hier also auf Betrugsmails übertragen.“ Quishing im Urlaub: Betrug per QR-Code Das alles gilt umso mehr, wenn man sich gerade auf Reisen befindet: entspannt, weit weg von allen Problemen und weniger aufmerksam. Denn genau hier setzt eine andere typische Betrugsmasche an, die gerade auf Mallorca besonders häufig vorkommt und vor der die spanische Polizei warnt. Dabei nutzen Betrüger die Gewohnheit von Urlaubern und Einheimischen, QR-Codes zu scannen, zum Beispiel an Parkuhren, auf Speisekarten, an Kassen, auf Broschüren oder sogar Strafzetteln. Wer den Code scannt, wird auf gefälschte Zahlungsseiten weitergeleitet, welche die echten PayPal-, Bank- oder Parkuhr-Seiten täuschend echt simulieren. Nur die wenigsten Nutzenden kontrollieren in solchen Fällen, ob die Webadresse korrekt ist. Quishing, also Phishing per QR-Code Gemeinsam ist allen Angriffspunkten, dass sie Zeitdruck erzeugen oder Vertrauen wecken. Fies auch: Im Gegensatz zu klassischen Phishing-Mails erfordert Quishing, also Phishing per QR-Code, aktive Handlungen der Opfer. Sie geben ihre Kreditkartendaten, Passwörter oder Bankinformationen selbst ein – und überweisen so direkt an die Kriminellen. Das Geld zurückzubekommen, ist schwer. Denn Banken und Kreditkartenunternehmen müssen das Geld nicht ersetzen, wenn Kunden grob fahrlässig gehandelt haben. Das kann in diesen Situationen unterstellt werden. So lassen sich gefälschte QR-Codes und Webseiten erkennen Immerhin lassen sich die gefälschten QR-Codes mit etwas Vorsicht recht gut erkennen. Meistens sind sie nachträglich auf Parkuhren oder Speisekarten geklebt, manchmal nicht komplett gerade. Wer einen QR-Code im Kamera-Modus scannt, bekommt in der Regel auf dem Display die Webadresse angezeigt. Die sollte man sich genauer anschauen, bevor man die Weiterleitung bestätigt: Echte Shops nutzen meist „.de“ oder „.com“-Endungen, nicht „.top“ oder „.biz“. Vorsicht auch, wenn Domain oder Schreibweise nicht exakt mit dem Anbieter übereinstimmen. Häufig wird der korrekte Name der eigentlich gewünschten Webseite in den Pfad der gefälschten Seite eingebunden, wie bei „hackerseite.com/paypal/login“. Der eigentliche Domainname lautet hier aber anders: Nur der Text direkt vor dem „.com“ zeigt an, wie die Webseite wirklich heißt. Echte Banken oder Shops fragen nie Passwort und PIN gleichzeitig ab Weitere Hinweise auf Betrug sind die Zugangsdaten. Echte Banken oder Shops fragen nie Passwort und PIN gleichzeitig ab. Für Kreditkartendaten wird man bei echten Shops niemals auf neue Weblinks verwiesen oder aufgefordert, E-Mail- Adressen anzugeben, um einen weiteren Bestätigungslink zu erhalten. Für Bankgeschäfte oder Log-ins sollten zudem keine öffentlich zugänglichen bzw. Gratis-WLANs genutzt werden. Auch die können von Kriminellen so manipuliert werden, dass bei eingeloggten Handys mitgelesen und Zugangsdaten geklaut werden können. Was Sie im Ernstfall sofort tun sollten Wer befürchtet, auf einen Quishing-Betrug hereingefallen zu sein, sollte sofort alle Vorgänge abbrechen und seine Bank informieren, um eventuelle Abbuchungen noch stoppen zu lassen. Anschließend sollten alle relevanten Passwörter geändert werden: angefangen bei Bank- und PayPal-, zusätzlich am besten auch bei E-Mail-Zugängen. „Verhalten Sie sich wie ein U-Boot“, beenden Gütl und Schwarzbauer denn auch ihren Input auf der re:publica. „Tauchen Sie ab, geben Sie also möglichst wenige Infos über sich im Netz preis.“ Außerdem solle man sich, bildlich gesprochen, behäbig bewegen und nicht stressen oder unter Druck setzen lassen. Vor allem aber geben sie mit: „Seien Sie misstrauisch.“ Das schützt am besten vor Betrugsversuchen im Internet. Von Kerstin Butenhoff