Phishing-Betrug

Kurze Definition

Phishing-Betrug bezeichnet Betrugsversuche, bei denen Angreifer vertrauenswürdige Stellen oder Personen nachahmen, etwa Broker, Handelsplätze, Banken, Aufsichtsbehörden, Kundendienstmitarbeiter oder Bekannte. Über E-Mail, SMS, soziale Medien, Telefonanrufe oder gefälschte Websites sollen Nutzer dazu gebracht werden, sensible Informationen preiszugeben oder Geld zu überweisen.

Für Trader sind häufig folgende Daten betroffen: Login-Passwörter, Einmalcodes, Ausweisdokumente, Bankkartendaten, Zugriffsrechte für Trading-Konten, API-Schlüssel, Seed-Phrasen oder Private Keys von Krypto-Wallets. Phishing-Betrug ist keine Handelsstrategie, sondern ein Risiko für Konto- und Vermögenssicherheit.

Funktionsweise

Phishing nutzt meist „Vertrauen“ und „Dringlichkeit“, um Betroffene zu Handlungen zu bewegen. Typische Abläufe sind:

1. Nachahmung einer vertrauenswürdigen Stelle: Namen, Logos, E-Mail-Adressen oder Webdesigns ähneln denen seriöser Broker, Börsen oder Banken.
2. Aufbau von Druck: Es wird behauptet, das Konto sei auffällig, die Margin reiche nicht aus, eine Auszahlung sei eingefroren, eine erneute Identitätsprüfung sei nötig oder eine Sicherheitsmeldung müsse „fristgerecht“ bearbeitet werden.
3. Lenkung auf Links oder Kontaktwege: Nutzer sollen Links anklicken, Anhänge herunterladen, QR-Codes scannen, Chatgruppen beitreten oder angebliche persönliche Betreuer kontaktieren.
4. Abgreifen von Daten oder Übernahme des Kontos: Über gefälschte Login-Seiten, Fernwartungssoftware oder schädliche Anhänge werden Passwörter, Codes oder Gerätezugriffe erlangt.
5. Überweisung von Geldern oder weiterer Betrug: Angreifer loggen sich in echte Konten ein, ändern Auszahlungsdaten, veranlassen Auszahlungen oder verlangen weitere Zahlungen für angebliche Steuern, Sicherheiten oder Freischaltungsgebühren.

Häufige Szenarien im Trading

Einfache Beispiele

• Sie erhalten eine E-Mail, die scheinbar von Ihrem Broker stammt. Der Betreff lautet: „Ungewöhnlicher Login festgestellt, bitte innerhalb von 30 Minuten verifizieren“. Die verlinkte Seite sieht der echten Website fast gleich, die Domain enthält jedoch einen zusätzlichen Buchstaben. Nach Eingabe von Nutzername und Code kann der Angreifer sofort versuchen, sich in das echte Konto einzuloggen.
• Eine Person gibt sich in einem sozialen Netzwerk als Kundendienst einer Kryptobörse aus und behauptet, sie könne eine Auszahlung beschleunigen. Dafür verlangt sie die Seed-Phrase der Wallet. Wird die Seed-Phrase offengelegt, können Wallet-Bestände direkt abgezogen werden; eine Rückholung ist häufig schwierig.
• Eine SMS behauptet, Ihr Trading-Konto müsse zusätzliche Margin einzahlen, damit eine Sperre aufgehoben wird. Die Zahlung soll an ein Privatkonto oder eine Krypto-Wallet-Adresse gehen. Solche Aufforderungen sind besonders verdächtig, wenn sie nicht über die offizielle App oder Website überprüfbar sind.

Warnsignale

Die folgenden Hinweise beweisen einzeln nicht zwingend einen Betrug. Je mehr davon auftreten, desto höher ist jedoch das Risiko:

• Absenderadresse, URL oder App-Name unterscheiden sich nur minimal von der echten Institution, etwa durch ein zusätzliches Zeichen, ausgetauschte Buchstaben oder ungewöhnliche Domain-Endungen.
• Es werden Kurzlinks, QR-Codes oder komprimierte Anhänge verwendet, ohne das Ziel transparent zu erklären.
• Sie sollen Passwörter, Einmalcodes, Seed-Phrasen, Private Keys, API-Schlüssel oder vollständige Bankkartendaten angeben.
• Dringlichkeit wird mit Kontosperrung, fehlgeschlagener Auszahlung, regulatorischer Prüfung oder zeitlich begrenzten Angeboten begründet.
• Zahlungen sollen an Privatkonten, Drittanbieter-Wallets oder nicht verifizierbare Adressen erfolgen.
• Es wird garantiert, Verluste zurückzuholen, ein Konto freizuschalten oder Anlagegewinne zu erzielen.
• Der angebliche Support kommuniziert nur über private Messenger und verweigert eine Überprüfung über Website oder offizielle App.

Schutzmaßnahmen für Trading-Einsteiger

• Über offizielle Zugänge einloggen: Geben Sie die Website-Adresse manuell ein oder nutzen Sie eine App aus verifizierter Quelle. Melden Sie sich nicht über Links aus E-Mails oder SMS in Trading-Konten an.
• Domain und Zertifikatsinformationen prüfen: Achten Sie auf Schreibweise, Endungen und Weiterleitungen. Verlassen Sie sich nicht allein auf Logos oder Seitendesign.
• Mehrfaktor-Authentifizierung aktivieren: Nutzen Sie möglichst sichere Authentifizierungsmethoden und bewahren Sie Backup-Codes sorgfältig auf.
• Keine kritischen Zugangsdaten teilen: Seriöse Anbieter fragen in der Regel nicht nach Ihrem Passwort, Einmalcode, Ihrer Seed-Phrase, Ihrem Private Key oder Fernzugriff auf Ihr Gerät.
• API-Rechte begrenzen: Wenn Sie Trading-APIs nutzen, vergeben Sie nur notwendige Berechtigungen, vermeiden Sie standardmäßig aktivierte Auszahlungsrechte und erneuern Sie Schlüssel regelmäßig.
• Über offizielle Kanäle prüfen: Bei Kontosperren, Auszahlungsproblemen oder Identitätsprüfungen sollten Sie zuerst über Website, offizielle App oder öffentlich gelistete Telefonnummern nachfragen.
• Geräte sicher halten: Aktualisieren Sie Betriebssystem und Browser zeitnah und installieren Sie keine unbekannten Plug-ins, Fernwartungsprogramme oder Trading-Tools aus zweifelhaften Quellen.

Wenn Sie bereits geklickt oder Daten eingegeben haben

Wenn Sie Phishing vermuten, ist schnelles Handeln wichtig. Folgen Sie dabei nicht weiter den Anweisungen der mutmaßlichen Betrüger:

1. Interaktion sofort stoppen: Klicken Sie keine weiteren Links an, laden Sie keine Dateien herunter und überweisen Sie kein Geld.
2. Passwörter ändern: Melden Sie sich über offizielle Zugänge an und ändern Sie Passwörter für Trading-Konten, E-Mail-Konten und verbundene Zahlungsdienste.
3. Verdächtige Berechtigungen widerrufen: Prüfen Sie angemeldete Geräte, API-Schlüssel, verknüpfte E-Mail-Adressen, Telefonnummern, Auszahlungsadressen und Drittanbieter-Zugriffe.
4. Offiziellen Support und Bank kontaktieren: Melden Sie den möglichen Phishing-Vorfall und fragen Sie, ob Konten gesperrt, Transaktionen gestoppt oder zusätzliche Prüfungen eingerichtet werden können.
5. Beweise sichern: Bewahren Sie E-Mails, SMS, Chatverläufe, Links, Zahlungsbelege und Transaktions-Hashes auf.
6. An zuständige Stellen melden: Je nach Aufenthaltsort können Meldungen an Finanzaufsicht, Verbraucherschutz, Cybercrime-Meldestellen oder Polizei sinnvoll sein.

Diese Schritte können eine Rückholung von Geldern nicht garantieren, helfen aber, weiteren Schaden zu begrenzen und Informationen für eine mögliche Untersuchung zu sichern.

Unterschied zu legitimen Sicherheitsmitteilungen

Seriöse Finanzinstitute können Sicherheitswarnungen senden oder eine Identitätsprüfung verlangen. In der Regel verweisen sie jedoch auf offizielle Kanäle, statt Sie zur Eingabe vollständiger Zugangsdaten über unbekannte Links oder zu Zahlungen an Privatkonten aufzufordern. Maßgeblich sollten offizielle App, Website-Mitteilungen, Vertragsunterlagen und öffentlich gelistete Servicenummern sein, nicht allein E-Mails, SMS oder Nachrichten in sozialen Medien.

Verwandte Begriffe

• Social Engineering: Angriffsmethode, die psychologische Manipulation nutzt, um Informationen zu erhalten oder Handlungen auszulösen. Phishing ist eine häufige Form davon.
• Gefälschte Website: Nachahmung einer echten Website samt Design und Domain-Ähnlichkeit, um Login- oder Zahlungsdaten zu stehlen.
• Schadsoftware: Software, die Informationen stiehlt, Geräte überwacht oder Systeme fernsteuert.
• Mehrfaktor-Authentifizierung: Zusätzliche Prüfschritte neben dem Passwort, die das Risiko einer Kontoübernahme senken können.
• Kontoübernahme: Angreifer erlangen Kontrolle über ein Konto und ändern Daten, handeln oder transferieren Vermögenswerte.

Quellen

• https://consumer.ftc.gov/articles/how-recognize-and-avoid-phishing-scams
• https://www.finra.org/investors/insights/phishing-scams
• https://www.sec.gov/investor/pubs/onlinebrokerage.htm
• https://www.cisa.gov/secure-our-world/avoid-phishing