Phishing, Fake-Shops, Betrug: Sechs Experten verraten, wie Sie sich schützen

Wenn es um die Gefahren im Cyberspace geht, beherrschen bereits seit Jahren Themen wie Phishing-Mails, Ransomware und Betrug über Onlineshops die öffentliche Debatte.

Doch wie sieht die aktuelle Sicherheitslage tatsächlich aus? Und was sollte man tun, wenn man den Verdacht hat, selbst Opfer eines Onlinebetrugs geworden zu sein?

Wir haben Experten von der Verbraucherzentrale NRW, vom Chaos Computer Club, von Trend Micro und vom Dezernat Cybercrime des Bayerischen Landeskriminalamts befragt.

Verbraucherschutz: So können sich Internetnutzer absichern

Die Website der Verbraucherzentrale NRW liefert umfangreiche Informationen zu aktuellen Betrugsfällen und immer wieder neuen Maschen von Kriminellen im Internet.

Unsere Fragen wurden beantwortet von:

• David Riechmann, Fachanwalt für Bank- und Kapitalmarktrecht
• Iwona Husemann, Referentin Gruppe Verbraucherrecht
• Dr. Ralf Scherfling, wissenschaftlicher Mitarbeiter in der Gruppe Finanzen und Versicherungen

PC-WELT: Wie sicher sind Zahlungsdienste wie Klarna oder Paypal aus Sicht der Verbraucherzentrale?

Riechmann: Technisch können wir die Dienste nicht auf Sicherheitslücken prüfen. Grundsätzlich können Verbraucher:innen diese Zahlungsdienste nutzen, wenn sie sich an die Vorsichtsmaßnahmen halten, die auch im Onlinebanking gelten, insbesondere ist eine Zwei-Faktor-Authentifizierung empfehlenswert.

PC-WELT: Was sind aktuell die größten Risiken für Verbraucher beim Surfen, Einkaufen oder Kommunizieren im Internet?

Riechmann: Verbraucher:innen werden durch Werbung häufig auf Seiten gelenkt, bei denen entweder ihre Daten abgegriffen werden, oder auf Seiten, die sich im Nachgang als Fakeshops oder unseriöse Geldanlagen herausstellen.

PC-WELT: Was sollte ich tun, wenn ich Ware im Internet bestellt und bezahlt, aber nicht erhalten habe?

Husemann: Sie sollten sich zunächst mit dem Shop in Verbindung setzen. Existiert dieser nicht (mehr), sollten Sie versuchen, über die Bank oder den Zahlungsdienstleister das bereits gezahlte Geld zurückzufordern.

Bei Überweisungen ist das in der Regel allerdings nicht mehr möglich. Haben Sie das Gefühl, betrogen worden zu sein, sollten Sie Strafanzeige bei der örtlichen Polizeidienststelle erstatten.

PC-WELT: Eine unbekannte Person verschickt unter meinem Namen Spamnachrichten. Wie kann ich mich wehren?

Dr. Scherfling: Wenn Sie vermuten, dass sich ein Unbefugter Zugang zu Ihrem Mailkonto verschafft hat, sollten Sie als Erstes prüfen, ob es in Ihrem Account fremde Zugriffe gibt. Viele Anbieter bieten auch die Möglichkeit, online im Kundencenter oder den Mailbox-Einstellungen die Log-ins zu prüfen und unbekannte Log-ins zu trennen.

In dem Zusammenhang sollte man auch nachsehen, ob Kontoeinstellungen geändert und beispielsweise Weiterleitungen eingerichtet wurden.

Gab es unbefugte Zugriffe, sollte zeitnah das Passwort geändert und der Mailprovider informiert werden. Selbst wenn es keine fremden Zugriffe gab, sollte man überlegen, sicherheitshalber das Passwort zu ändern.

Sofern noch nicht geschehen, sollten Sie ferner darüber nachdenken, eine Zwei-Faktor-Authentifizierung zu aktivieren. Außerdem sollten Sie in jedem Fall Strafanzeige stellen.

Biometrische Verfahren: Was spricht dafür, was dagegen?

Jochim Selzer gehört zum Kreis der Sprecher des Chaos Computer Clubs und gibt seit Jahren Seminare zu Datenschutz- und Sicherheitsthemen.

PC-WELT: Wie gut schützt eine biometrische Authentisierung – etwa per Fingerabdruck oder Gesichtserkennung?

Selzer: Biometrische Merkmale haben das Problem, dass sie kopiert und nachgemacht werden können. Die Qualität einer biometrischen Authentifizierung hängt zudem von der Qualität des Geräts oder der Technologie ab.

Fingerabdrucksensoren etwa lassen sich in vielen Fällen überlisten, indem man einen Fingerabdruck von einer Oberfläche abnimmt und in ein Bildbearbeitungsprogramm überträgt. Dann erfolgt ein Ausdruck auf eine Plastikfolie, die anschließend mit Holzleim bestrichen wird, was einen Latexfilm ergibt, den man sich auf den Finger legen kann.

Außerdem lässt sich die digitale Kopie des Abdrucks verschicken, sodass jedermann ihn nachbilden und nutzen kann.

Wenn Sie jedoch nur ein Smartphone entsperren wollen, dann finde ich in einem normalen Kontext das Verwenden eines Fingerabdrucks in Ordnung. Auch als zweiter Faktor für eine Authentifizierung sind biometrische Merkmale aus meiner Sicht zulässig.

PC-WELT: Wie sieht es mit Passkeys aus?

Selzer: Passkeys halte ich von der Idee her für das, was man haben möchte. Sie arbeiten mit einem Challenge-Response-Verfahren, bei dem das Gerät, bei dem Sie sich einloggen wollen, Ihnen eine sich ständig ändernde Frage stellt, die Sie nur dann korrekt beantworten können, wenn Sie im Besitz des Geheimnisses hinter dem Passkey sind.

Allerdings sind Passkeys üblicherweise an ein Gerät gebunden oder sie befinden sich auf einem Stick, Smartphone oder Notebook. Und so ein Gerät kann ja auch abhandenkommen, sodass andere Personen Zugriff auf den Passkey erhalten.

Passkeys sollten daher niemals der einzige Anmeldefaktor sein, sondern immer mit einem zweiten Faktor kombiniert werden.

PC-WELT: Müssen private Anwender davon ausgehen, dass bei amerikanischen Clouddiensten ihre Daten gescannt und ausgewertet werden? Sind europäische Clouds sicherer? Wie können sie ihre Daten schützen?

Selzer: In den USA ist der rechtliche Schutz für Daten sehr schlecht. Die amerikanischen Ermittlungsbehörden haben nahezu unbegrenzten Zugriff auf ausländische Daten. An Onedrive komme ich als Windows-User jedoch praktisch nicht vorbei.

Allerdings können Sie mit Programmen wie Cryptomator (gratis) Daten in der Cloud so verschlüsseln, dass sie vom Cloudanbieter nicht gelesen werden können.

PC-WELT: Welche Programme und Apps zur sicheren Kommunikation empfehlen Sie den Anwendern?

Selzer: Wenn man sich die E-Mail-Kommunikation ansieht, dann zeigt sich, dass Mails im privaten Umfeld maximal von einem Prozent der Benutzer mit Verschlüsselungsverfahren wie PGP geschützt werden.

Deswegen sage ich heute, wenn Sie sicher kommunizieren wollen, dann nehmen Sie Whatsapp, das ist wenigstens ordentlich asymmetrisch verschlüsselt. Aber auch Signal und Threema bieten eine sichere Verschlüsselung.

Bei Whatsapp ist das Problem, dass Besitzer Meta die Metadaten des Messengers liest und auswertet.

Ransomware: Weiterhin sind die Erpresserviren gefährlich

Der Cybersecurity-Anbieter Trend Micro, ursprünglich als Hersteller von Antivirensoftware bekannt, macht oft Tricks von Kriminellen im Internet publik. Viele der Analysen stammen von Richard Werner, dem Security Advisor der Firma in Europa.

PC-WELT: Müssen private Anwender Angst vor Ransomware-Angriffen haben?

Werner: Die meisten Ransomware-Angriffe konzentrieren sich heute auf Unternehmen. Die ganz großen Angriffswellen, die wir noch vor zehn Jahren im Privatbereich hatten, gibt es nicht mehr.

Aber man muss immer eines beachten: Im Privatbereich sehen wir vor allem automatisierte Angriffe. Da wird nicht mit dem Opfer gesprochen. Das System ist verschlüsselt, und entweder derjenige zahlt oder er zahlt nicht. Punkt. Muss man davor noch Angst haben? Ich würde sagen: Ja.

PC-WELT: Wie stark nutzen Kriminelle mittlerweile Systeme mit generativer Künstlicher Intelligenz wie ChatGPT?

Werner: Sehr stark. KI wird für alle Formen von Betrug genutzt, die mit Sprache zusammenhängen. Es gibt Voice-Cloning-KI-Systeme, die es erlauben, Menschen eine andere Stimme zu verleihen und ihnen eine professionell wirkende Ausdrucksweise zu geben.

Die Technik kommt aus dem Callcenter-Bereich. Dort wird sie eingesetzt, um die Herkunft etwa eines Support-Mitarbeiters zu verschleiern. Man hat die Erfahrung gemacht, dass ein Support-Mitarbeiter, der akzentfrei Englisch spricht, für viele Amerikaner vertrauenswürdiger ist als jemand mit einem fremdländischen Akzent.

Voice Cloning ist eine Technologie, die es ermöglicht, dass jemand seinen Akzent verliert. Dafür wurde sie ursprünglich mal entwickelt. Im Privatbereich wird sie zusammen mit Deepfakes häufig für Sextortion eingesetzt, also für gefälschtes Bildoder Tonmaterial, mit dem ein Krimineller droht, eine Person in ein schlechtes Licht zu setzen, um sie damit zu erpressen.

Auch Textnachrichten werden von einer KI geschrieben. Es kommt eine E-Mail von der Bank und besagt, dass Sie die Zugangsdaten für Ihr Konto aktualisieren müssen. Mit der KI lässt sich die Mail so formulieren, dass sie wirklich überzeugend klingt.

Die KI kann nicht nur einen vorgegebenen Text schreiben und übersetzen, sondern man kann die KI so programmieren, dass die Aussage tatsächlich so wirkt, als käme sie von einem Bankmitarbeiter.

PC-WELT: Wie sinnvoll ist die Installation einer Antivirensoftware, wenn in Windows mit dem Defender bereits ein Schutzprogramm enthalten ist?

Werner: Windows ist nicht deswegen so häufig das Ziel von Hacker-Angriffen, weil es sich um eine schlechte Software handeln würde. Es wird angegriffen, weil neunzig Prozent der Weltbevölkerung dieses Betriebssystem einsetzen. Der Defender ist nur eine Erweiterung von Windows.

Eine Angriffssoftware muss sich daher aufgrund der weiten Verbreitung immer daran messen lassen, ob sie an diesem Verteidigungswall vorbeikommt oder nicht. Die Software anderer Hersteller ist solchen zielgerichteten Angriffen weniger stark ausgesetzt.

Betrugsversuche im Internet: Gesundes Misstrauen hilft

Dieter Hausberger ist der Dezernatsleiter Cybercrime beim Bayerischen Landeskriminalamt. Er ist besorgt über die hohe Zahl von Betrugsversuchen, die Privatpersonen im Internet bedrohen, und weist auf die Tausenden von Betrugsfällen im Zusammenhang mit dem Handel von Kryptowährungen hin.

PC-WELT: Bedrohen KI-Systeme wie ChatGPT oder Bildgeneratoren Sicherheit und Datenschutz?

Hausberger: Während noch vor wenigen Jahren Phishing-Mails oft schon an der Rechtschreibung als zumindest unstimmig erkannt wurden, können diese – nicht zuletzt durch Einsatz von KI – mittlerweile so täuschend echt gestaltet sein, dass die E-Mail selbst keinerlei Verdacht erweckt.

Und bereits jetzt gibt es für jedermann zugängliche KI, die ausgehend von einem Bild echt wirkenden Film inklusive Sprachuntermalung generiert.

PC-WELT: Wie kann man sich vor KI-generierten Fake-Nachrichten und -Bildern schützen?

Hausberger: Hier kann ich Ihnen nur den Rat geben, ein gesundes Misstrauen an den Tag zu legen. Es gibt beispielsweise Videos, in welchen von Betrügern per KI generierte Prominente über soziale Medien davon berichten, extrem erfolgreich in Kryptowährungen investiert zu haben.

Ich weiß nicht, ob es künftig Warnmechanismen geben wird, die uns ähnlich einer Firewall vor derartigen Fakes schützen werden. Naheliegend bietet es sich hier an, KI zur Abwehr einzusetzen.

PC-WELT: Ist das Bewusstsein der Bürgerinnen und Bürger für die Gefahren im Internet ausreichend geschärft?

Hausberger: Laut einer aktuellen Pressemeldung der Generalstaatsanwaltschaft Bamberg, Zentralstelle Cybercrime Bayern (ZCB), liefen und laufen dort Ermittlungen gegen etwa 3000 Cybertrading-Plattformen, auf denen betrügerischer Handel mit Kryptowährungen stattfindet beziehungsweise stattfand.

Bislang kam es zum Eingang von 14.000 Anzeigen von überwiegend bayerischen Geschädigten mit einem geschätzten Gesamtschaden von ca. 500 Millionen Euro.

Ich denke, dass wir es noch nicht geschafft haben, die Vorsicht vor Gefahren des Internets auf dieselbe Stufe wie vor Gefahren in der analogen Welt zu heben.

PC-WELT: Was sagen Sie, wenn das Opfer eines Betrugsfalls im Internet keine Anzeige bei der Polizei stellt, mit der Begründung, dass es sich ja um ausländische Straftäter handelt, die für die deutsche Polizei ohnehin nicht greifbar seien?

Hausberger: Da hat die Person nur bedingt recht. Die ZCB führt in ihrem aktuellen Bericht zum Thema Cybertrading mehr als 180 Festnahmen im In- und Ausland seit 2019 auf. Wir selbst haben als Zielgruppe Hightech-Kriminelle und konnten Anfang des Jahres zusammen mit Partnerbehörden vier Beschuldigte in Südostasien festnehmen.

In manchen Ländern sind Festnahmen natürlich sehr schwierig. Aber da ist es mittlerweile so, dass die Täter mit Sanktionen belegt werden können und aufgrund von internationalen Haftbefehlen Probleme haben, zu reisen.

Jede Anzeige ist wichtig, und eine einzelne Anzeige bringt nur vermeintlich wenig. Letztlich ist es oft so, dass eine auf Opferseite als wenig bringend bewertete Einzelanzeige die initiale Spur erzeugt, um einen großen Tatkomplex und viele dahinterstehende Einzelanzeigen zu klären.

PC-WELT: In welchem Bereich sehen Sie derzeit die größten Gefahren für Privatpersonen im Internet?

Hausberger: Alles rund um den Betrug und das Abfangen von Daten, wodurch Kriminelle in der Verlängerung wieder Betrug begehen können, ist für Privatpersonen das Deliktfeld, das wohl am meisten unmittelbare Auswirkungen hat.