Internet-Kriminalität Die Speerfischer greifen an

Phishing nach persönlichen Daten ähnelt dem Schleppnetzfischen: Viel Aufwand, wenig bleibt hängen. Wesentlich effektvoller und lukrativer ist "Spear-Phishing"

Schock für Otto Normalverbraucher aus Hintertupfingen: Das Ordnungsamt seiner Gemeinde schickt ihm eine Email. „Sehr geehrter Herr Normalverbraucher, Sie haben am 1. August um 13.30 zwischen Hintertupfingen nach Vordertupfingen die zulässige Höchstgeschwindigkeit um 50 km/h überschritten. Wir bitten Sie, dazu den Anhörungsbogen unter www.ordnungsamt.hintertupfingen.de bis zum 30. August auszufüllen.“

Wie reagiert Herr Normalverbraucher? Vermutlich wird er die genannte Internetseite mit Schweißtropfen auf der Stirn öffnen – zumal, wenn er sich an die fragliche Fahrt zu erinnern glaubt – und den „Anhörungsbogen“ downloaden. Und schon hat er sich Schadsoftware eingefangen, die jegliche Tastatur- oder Mausbewegung protokolliert, um so beispielsweise die Zugangsdaten zu seiner Bank auszuspähen oder den kompletten Inhalt seiner Festplatte zu kopieren und an Dritte zu verkaufen.

Otto N. wäre das Opfer einer spezialisierten Form von Phishing geworden. Phishing nennt man den Versuch des Ausspionierens etwa von Bankdaten durch Massenspam. Jede Mail sieht aus wie die andere; durch den unpersönlichen Charakter fallen inzwischen selbst Gutgläubige auf die Aktionen von „Schleppnetzfischern“ nicht mehr zuverlässig herein - nur noch ein verhältnismäßig kleiner Teil solcher Attacken ist erfolgreich. Heimtückischer wirkt sogenanntes Spear-Phishing . Hier wird punktgenau mit dem „Speer“ gefischt. Dabei werden die Mails mit individuellen und persönlichen Angaben des Adressaten angereichert und von einem Account verschickt, der vertrauenswürdig wirkt. So gestaltete Emails wirken glaubwürdig - und machen unvorsichtig.  

Erfolgreich sind Cyberbetrüger mit individuellen Mails bereits seit rund drei Jahren in den USA. Vor einigen Wochen etwa erhielt eine Reihe von Vorstandschefs eine fingierte Vorladung des US-amerikanischen Bundesgerichts. Verisign, ein US-Unternehmen, dass sich unter anderem mit Internetsicherheit beschäftigt, schätzt, dass derartige Attacken täglich bis zu 10.000 Mal vorkommen. Schäden in Höhe von bis zu 188.000 Dollar verursachen solche Angriffe nach Auskunft des finnischen IT-Sicherheitsexperten F-Secure bei einzelnen Unternehmen.

Von Spear-Phishing gegen deutsche Topmanager ist noch nichts bekannt geworden, allerdings ist sich die Sprecherin des amerikanischen Softwarehauses Symantec sicher: „Da vielen Unternehmen das Thema unangenehm ist und sie einen signifikanten Image-Schaden fürchten, verschweigen sie diese Vorfälle - die Dunkelziffer ist hier sehr hoch und wird sicher weiter ansteigen. Die Welle ist also sicher nach Deutschland geschwappt, ihre Größe können wir leider nicht beziffern.“

Wie aber kommen die Angreifer überhaupt an die personalisierten Daten von Otto und Liese Normalverbraucher? Das ist offenbar das geringste Problem. Personenbezogene Daten sind allzu oft miserabel geschützt. Der Umgang mit ihnen geschieht auf fahrlässige Weise leichtsinnig.