13 Tipps gegen Cyberangriffe

Internetbetrüger wenden raffinierte Methoden an, um an das Geld anderer Menschen heranzukommen. Im Herbst 2023 kam es in der Schweiz bei verschiedenen Banken zu einer Häufung von Angriffen. Noch ist nicht in jedem Fall klar, wie die Attacken abgelaufen sind. Ausser Frage steht aber, dass Betrugstechniken wie Malvertising oder Phishing grossen Schaden anrichten können.

Cyberkriminelle haben ein ganzes Arsenal an Betrugstechniken zur Verfügung. Derzeit sind Malvertising und Phishing hoch im Kurs.

Ein Angriff könnte wie folgt ablaufen: Eine Bankkundin oder ein Bankkunde will sich beim E-Banking anmelden und tippt den Namen seiner Bank zusammen mit dem Begriff «Login» in das Suchfeld seiner Suchmaschine. Die Trefferliste enthält schädliche Anzeigen, die von Angreifern ins Werbenetzwerk des Suchmaschinenbetreibers geschmuggelt wurden. Von Laien sind sie von echten Treffern kaum zu unterscheiden.

Klickt ein Nutzer oder eine Nutzerin auf eine schädliche Anzeige, könnte das die Installation von Schadsoftware auf dem Gerät auslösen. Einmal installiert können die Betrüger die Nutzer ausspionieren und so in den Besitz des Zugangscodes für das E-Banking gelangen. Es gibt auch Varianten, bei denen man auf eine betrügerische Webseite einer Bank weitergeleitet wird. Diese sieht formal wie die echte Webseite der Bank aus. Die Betrüger haben sie aber nur zu einem Zweck angelegt: Sie wollen damit an die sensitiven Login-Daten der Nutzerinnen und Nutzer gelangen.

Eine reine Phishing-Attacke könnte beispielsweise über eine vermeintliche Mail einer Bank laufen. Damit wird man aufgefordert, sich via Link beim E-Banking der Bank anzumelden. Die Mail enthält das Logo der Bank und die Absenderadresse ähnelt der richtigen Adresse der Bank. Aber der Link in der Mail enthält die Weiterleitung auf eine gefälschte Login-Seite. Die Seite sieht vielleicht ähnlich aus wie die echte Login-Seite der Bank, ist aber Teil des Betrugs. Wenn man sich auf einer solchen Seite mit seinen Zugangsdaten wie Kontonummer und Passwort anmeldet, gibt man die Daten an die Betrüger weiter.

Auch Authentifizierungsprozesse mit zwei Faktoren, die über Smartphones laufen, bieten keine absolute Sicherheit vor solchen Angriffen. Im Besitz der persönlichen Login-Daten melden sich die Angreifer beim E-Banking an und lösen damit automatisch eine Meldung der zweiten Authentifizierungsinstanz aus – im Falle der Hypothekarbank Lenzburg eine Meldung der FinSign-App. Die Meldung landet dann auf dem Handy der echten Kontoinhaberin oder des echten Kontoinhabers. Merken diese nicht, dass sie getäuscht werden – etwa indem sie die Prüfziffer kontrollieren und feststellen, dass die Ziffern im E-Banking und in der FinSign-App nicht übereinstimmen (s. Tipps unten) – und akzeptieren sie die Anfrage, öffnen sie den Betrügern Tür und Tor für ihre Machenschaften.

Weil die Angriffe über die Kundinnen und Kunden einer Bank laufen, ist es für Banken schwierig, sie rechtzeitig zu erkennen. Es gibt allerdings Hinweise für mögliche Phishing-Angriffe auf Kundenseite. Etwa wenn bei einem Kunden oder einer Kundin plötzlich ein neues Gerät im Authentifizierungsprozess auftaucht. Wurde es bewusst von der Kundin oder dem Kunden hinzugefügt oder stecken dahinter Betrüger? In kritischen Fällen kann eine Bank verdächtige Konten sperren, sodass der Zugang zwar noch aktiv ist, aber keine Transaktionen mehr ausgelöst werden können.

Die Hypothekarbank Lenzburg hat jüngst eine solche Massnahme im Sinne einer ausserordentlichen Sorgfaltspflicht zugunsten der Kundensicherheit ergriffen. Im Rahmen einer Prüfung mussten dabei die Fälle einzeln geklärt werden. Insgesamt sind missbräuchliche Transaktionen im Rahmen von Phishing-Angriffen für Banken aber schwierig zu erkennen. Umso wichtiger ist es deshalb, dass sich Bankkundinnen und Bankkunden persönlich schützen und alles daransetzen, dass ihre Daten nicht in die Hände von Internetbetrügern gelangen.

So können Sie sich schützen und die E-Banking-Sicherheit erhöhen.