Noch ein kleiner Beitrag mit Warnungen von Phishing-Versuchen im Oktober. Phishing von Online-Banking-Kunden ist ja an der Tagesordnung. Neu war mit ein Phishing-Versuch mit einer Fake Elster-App, sowie eine Mail mit angeblicher GEZ-Rückerstattung, vor denen die Verbraucherzentrale Nordrhein-Westfalen warnt.
Die neuesten Phishing-Warnungen lassen sich auf dem Phishing-Radar der Verbraucherzentralen abrufen.
Phishing mit „GEZ-Rückerstattung“
Die Warnung stammt bereits vom 18. Oktober 2024 und betrifft eine Phishing-Mail mit einer vermeintlichen Rückerstattung des Rundfunkbeitrags im Namen des ARD ZDF Deutschlandradio Beitragsservice. Der Betreff lautet: „Wichtige Informationen zur Rückerstattung!“
Nach einer kurzen und unpersönlichen Anrede wird der Empfänger informiert, dass eine Rückerstattungsanfrage in Bearbeitung sei, aber leider ein Konto Abrechnungsfehler aufgetreten ist. Das Opfer soll zur Rückerstattung über „Rückerstattungsstatus prüfen“ persönliche Daten angeben. Ist natürlich Fake, die Welt ist schlecht und es gibt keine Rückerstattung der GEZ. Die Verbraucherschützer raten davon ab, auf den beigefügten Button zu klicken. Besonders auffällig seien in der Phishing Mail die unseriöse Absenderadresse und die falsche Verlinkung innerhalb der Mail. Ja mei, die Phisher passen sich in der Qualität dem Programm der GEZ-Abonnenten an. Diese Mail gehört einfach unbeantwortet gelöscht.
Phishing mit „Fake-Elster-App“
Die Steuererklärung 2023 sollte eigentlich längst erledigt sein. Die Verbraucherzentrale warnte Mitte Oktober 2024 vor brisanten Phishing-Mails, die angeblich vom Stellvertreter des ELSTER Portals stammen.
Besonders brisant stuft die Verbraucherzentrale diese Phishing-Mails aufgrund der äußerst sensiblen persönlichen Daten, die potenziell an die Kriminellen weitergegeben werden können, ein. Die Mails werden versendet unter dem Betreff „Ihr Digitales Zertifikat – Handlungsbedarf“.
Inhaltlich geht es um die Forderung Ihrer Mitwirkungspflicht im Rahmen der steuerlichen Nachweisführung nachzukommen und aus diesem Grund die „ElsterSecure+ App“ herunterzuladen. Diese App diene der sicheren Authentifizierung und dem Schutz Ihrer sensiblen Daten.
An der Stelle kann man bei genauem Lesen bereits feststellen, dass es Unstimmigkeiten gibt. Es existiert eine derartige App zur Authentifizierung, jedoch unter dem Namen „ElsterSecure“ ohne das „+“. Weiterhin existiert auch die App „MeinELSTER+“ für eine Belegerfassung. Die App „ElsterSecure+“, welche man über den beigefügten Link herunterladen und einrichten solle, existiert hingegen nicht.
Es handelt sich um einen Phishing-Versuch, der das Opfer zur Preisgabe seiner persönlichen Daten bewegen soll. Die unseriöse Absendeadresse ist dabei ein eindeutiges Indiz für einen Betrugsversuch. Weiterhin liefert die Verlinkung innerhalb der Mail einen zusätzlichen Hinweis auf die unseriösen Absichten der Mail.
Der konkrete Link lässt sich nämlich mittels eines sogenannten „Mouse-Over“ ermitteln. Für ein „Mouse-Over“ positioniert man den Zeiger der Computermaus über den Link, ohne auf den Link zu klicken. Anschließend kann man in der Statusleiste des Mail-Clients oder des Webmailers eine Vorschau des Links ablesen ohne dem Link folgen zu müssen.
So können Opfer beispielsweise erkennen, ob der Link zur Webseite des ELSTER Portals leitet oder ob der Link wie in diesem Fall verdächtige Schlagwörter enthält, die auf einen Phishing-Versuch schließen lassen. Daher empfehlen die Verbraucherschützer diese Mail unbeantwortet in den Spam-Ordner zu verschieben. Ich empfehle die Mail zu löschen.
Naja, die meisten Leute bekommen nicht mal ihren Offline-Alltag datenschutztechnisch vernünftig gebacken. Da werden in Geschäften oder der Fußgängerzone fleißig Daten an Infoständen mit Angeboten aller Art auf Zettel gekritzelt.
Es gibt Leute die beim Bezahlen etwas teurerer Sachen (so ab 300 Euro aufwärts) immer neue 0%-Finanzierungen nutzen, was sie gar nicht nötig hätten. Und in den Zeiten von 0,0001% Zinsen auf Tagesgeldkonten noch sinnloser war …
Es gib Leute die werfen Papierunterlagen, welche Adress- und Kontoinformationen und sonstige persönliche Daten von alten Steuerbescheiden bis hin zur halben Krankengeschichte (Diagnosen auf alten Arztrechnungen) … einfach in die blaue Tonne, machen sich nicht mal die Mühe die Unterlagen wenigstens mit einem billigen Gerät zu Schreddern.
Immer noch funktionieren diese Drücker-Geschäfte, wo schlechte Angebote mit schönem Geschwätz an Haustüren und Telefon unter die Dummen gebracht werden, offenbar hervorragend.
So mancher nimmt an jeder Verlosung, jedem Gewinnspiel teil, das sich bietet …
Und es gibt sogar Leute, die jedem Hinz und Kunz der am Telefon oder der Türe Klingelt und irgendeine Umfrage macht freimütig Auskunft geben, von den Einkommensverhätlnissen über die Anzahl der Mitbewohner bis … ja wo ist eigentlich die Grenze? Ich glaube heutzutage nicht einmal da wo es richtig intim wird. Die Leute sind noch Stolz darauf all das in die Öffentlichkeit geben zu dürfen … ist eine Exhibitionisten-Republik geworden. Und das nicht nur Online auf Fakebuch, Insta und Co.
Und all diese Intelligenzbestien, sollen jetzt ausgerechnet im Internet auf den Schutz ihrer Daten achten? Im Ernst?
👍 Den gesellschaftlichen IST-Zustand perfekt formuliert zusammengefasst – und genau dsh. benötigte es leider auch den/einen gesetzlich verhafteten konsequenten und damit konsistenten Grundschutz für die ganzen „Unbedarften“! 🤷♂️
Wenn der Gesetzgeber und/oder die Lobby dahinter jetzt aber andere Interessen an den Daten aller inklusive der „Unbedarften“ hat, wird es das nie geben, eher im Gegenteil.
Glaube eher weniger ein Phishing-Opfer wird eine URL per Mouse-Over analysieren können. Fängt ja schon damit an, dass man so etwas auf dem Smartphone gar nicht hat.
Zumal die Leute bei solchen technischen Details & Erklärungen zwar immer schön nicken und angeben es verstanden zu haben, aber 10 Minuten später ist das Wissen auch schon wieder weg.
Da halte ich einen sehr viel simpleren Ansatz für erfolgreicher: Man wird überraschend aufgefordert etwas zu machen, dann ist es Betrug bzw. etwas, was i.d.R. nicht im eigenen Interesse ist und mit der Einstellung geht man die Sache an.
Funktioniert von der E-Mail über Messenger / SMS bis hin zu Popup-Meldungen und natürlich auch alle nicht IT-Fälle, wie Brief, Anrufe oder vor der Tür / auf der Straße angesprochen. Damit ist man nicht nur gegen Phishing gewappnet, sondern auch gegen viele anderen Möglichkeiten, die einem immer mal wieder untergeschoben werden sollen (Vertragsänderungen / Aktivierung von Premiumfunktionen / etc.).
99% der Internetnutzer „wissen“ nicht mal so richtig was ein Cookie ist, können häufig auch mit Begriffen wie Browser, URL oder Link … nichts anfangen. Die wissen auch nicht was der Unterschied zw. einer Datei und einem Ordner ist oder was ein Laufwerk sein soll. Unter Festplatten verstehen die so was wie Steintafeln. Es ist schon erschreckend, wenn man bedenkt, was all diese Leute im Netz so treiben und für Geschäfte machen … von nichts irgendeine Ahnung, aber sie sind sich total sicher, das ihnen schon nichts passieren wird …
Eigentlich ist es an der Zeit das ein neuer Gott für Digitales erfunden wird (oder gibt es den schon?), den die Menschen Anbeten und bei dem sie sich Ausheulen können, wenn es sie dann eben doch voll getroffen hat. ;-)
Volle Zustimmung. Selbst habe ich 1990 meinen ersten 80386SX gekauft (Jahre vorher ’nen Schneider Z80) – seit bald 40 Jahren hat die Bevölkerung rein gar nichts dazu gelernt – im Gegenteil: schon – oder immer noch – vor 20 Jahren wurde man mit großen unwissenden Augen selbst von IT-Studenten angeschaut, wenn man Basicbefehle nutzte.
Es ist kein Wunder, dass D immer auf den hinteren Rängen landet – die Einwohner dieses Landes sind – und waren – in der Masse einfach zu blöde (Denk ich an D in der Nacht …).
Wir hier leben eben auch in einer Blase.
> die Einwohner dieses Landes sind – und waren – in der Masse einfach zu blöde …
… und wurden und werden aktiv weiterverblödet, mit allen Mitteln.
alle anderen sind blöd, nur ich selber nicht ist vermutlich die am meisten verbreitete Meinung in so ziemlich jeder Gesellschaft.
„Ich weiß es doch besser“ stammt nicht umsonst aus einem Märchen :)
Der Punkt mit der Dringlichkeit die suggeriert wird ist entscheidend.
Darauf weise ich meine Anwender immer wieder hin. Egal was ist, einfach nach 5 Minuten nochmal lesen und hinterfragen ob das wirklich so sein kann.
Wie kann ich GEZ zurückkriegen wenn ich nie im Leben für die Zwangssteuer bezahlt habe?! :)
Wenn Sie „nie im Leben […] die Zwangssteuer bezahlt habe“n sind sie für Phischer eher uninteressant, denn dann leben sie sehr wahrscheinlich unter der Pfändungsfreigrenze (Alternative wäre Reichsbürger).
Hmm…
Auch ’n sehr spekulatives „Framing“, oder?
oder er ist erst 15 und wohnt noch bei Mutti
Nicht wirklich: @Dennis suggeriert Verweigerung. Unterstellt, er trolle nicht, ist er also zahlungspflichtig.
Die 2 mir bekannten Wege, sich der Zahlungspflicht zu entziehen, sind der Reichsbürgeransatz oder das Leben unterhalb der Pfändungsfreigrenze – jeder andere längerfristige Beitragsschuldner wurde in der Vergangenheit gnadenlos gepfändet*, bis hin zu Erzwingungshaft bei Verweigerung der Vermögensauskunft. Zeigen Sie mir gerne weitere Wege**, dann hätte es sich für mich doppelt gelohnt, zu kommentieren.
* aktuell scheint es zumindest regional etwas lockerer gehandhabt zu werden
** mit überschaubarem juristischen Risiko (es nützt mir wenig, wenn ich am Ende doch ‚GEZ‘ zahle und zusätzlich noch hunderte € Gebühren)
Eine Anekdote dazu: Ich habe mal von einem guten Freund gehört, dass der Beitragsservice (wie er heute ja korrekterweise heißt) nicht mit einer monatlichen Zahlung umgehen kann. Der Freund hatte ein Dauerauftrag und hat jeden Monat schön seinen Beitrag überwiesen. Irgendwann wurde er dann vom Beitragsservice informiert, dass er eine Überzahlung getätigt hat und man das zurückzahlen müsse. Der Freund hat dann ganz verwundet dort Kontakt gesucht und es stelle sich heraus, dass die Überweisung nur zu den Intervallen (vierteljährlich) berücksichtigt werden. Also den Beitrag wie bei Netflix monatlich zu zahlen geht nicht. Echt schon verrückt wie unflexibel es dem Beitragszahler gemacht wird.
Das ist nun schon einige Jahre her und vielleicht auch ein Einzelfall, also kann heute ganz anders sein.
Nein, kein Einzelfall: ich habe auch letzte Jahr versucht, den Betrag jährlich abbuchen zu lassen – der Rest bis auf die vierteljährliche Summe wurde mir prompt zurück überwiesen. Eine Anfrage bei dieser Behörde blieb bis heute ohne Antwort, so nach dem Motto: „Haben wir bisher immer so gemacht, wird nicht geändert!“
Bei solchen Mails sollte man diverse Dinge prüfen.
1. Habe ich demjenigen, von dem die Mail angeblich stammt, überhaupt meine Mailadresse mitgeteilt?
2. Wenn ja, dann kennt der Absender auch meinen Namen und wird mich NIE mit „Sehr geehrte Damen und Herren“ anschreiben, sondern mit meinem Namen.
3. Gibt es den angeblichen Absender überhaupt?
4. Stimmt das, was da in der Mail steht, überhaupt?
Im Falle des GEZ-Schreibens, hat man überhaupt eine Rückerstattungsanfrage gemacht?
5. Ist die Absenderadresse stimmig?
Falls der Hover nicht funktioniert, Mailanzeige auf „Nur Text“ umschalten, dann sieht man die Links im Klartext.
etc. etc.
Im Übrigen sollte man NIE auf Links in Mails klicken
Eine sehr effiziente Methode ist, dedizierte Adressen je (ernsthaftem) Kommunikationspartner zu nutzen*.
Eine Mail von der ‚GEZ‘, die nicht an meine ‚GEZ‘-Adresse kommt ist mit Sicherheit Fake. Grösstes Risiko ist dann, zu sorglos zu werden, denn der Umkehrschluss (Absender stimmt mit Adresse überein == legititimes Mail) gilt natürlich nicht.
* Zusatznutzen: Bekommt man dort SPAM/Phishing/… kann man diese 1 Adresse sperren (und ggf den Absender informieren), ohne alle anderen Mailabsender zu beeinträchtigen.