Der Köder kommt per E-Mail: Die offiziell anmutende Botschaft fordert Kunden dazu auf, dringend die Website eines Unternehmens zu besuchen, bei dem man Kunde ist. Dort darf man sich dann wie gewohnt einloggen - nur, dass sich hinter der Log-in-Seite manchmal eben nicht das Unternehmen des Vertrauens verbirgt.

Soweit das Muster des seit etwa eineinhalb Jahren populären Tricks. Um ihn überzeugend durchzuziehen, braucht man nicht mehr als eine gut "nachgestrickte" Unternehmensseite unter einer möglichst verwirrenden Internet-Adresse, die als einen Bestandteil den Firmenname des Unternehmens trägt, bei dem sich der betrogene Kunde sicher fühlt - fertig. Wie oft loggt man sich eben nicht bei www.bankXYZ.de ein, sondern bei ...0815.5167127187.bankXYZ,4151.htm? Das fällt vielen nicht weiter auf.

Deutsche Surfer kennen den Betrugs-Trick aus einer etwa seit einem Jahr anhaltenden Spam-Mail-Welle mit Post, die angeblich von eBay, Yahoo oder Microsoft kommt. Mal wird die Masche benutzt, um Passwörter abzufischen, mal, um einem Computernutzer ein frisches Virus unterzujubeln.

Offenbar russischen Betrügern gelang es am Wochenende, rund 300 Nutzern einer neuseeländischen Internet-Bank die Passworte abzuluchsen. Noch herrscht Konfusion, und die Bank betreibt Schadensbegrenzung: Ob es den Trickbetrügern gelungen sei, tatsächlich auch Geld abzuziehen, müsse noch geklärt werden. Gelungen war das vor einigen Monaten Betrügern im Fall einer südafrikanischen Bank. Eine ebenfalls auf Mails und gefälschten Bankseiten basierende Betrugsaktion meldeten vor Monaten zwei australische Banken.

Bei echten Hacks zahlt meist die Bank

Weniger freigiebig mit Informationen sind Banken, wenn es darum geht, entstandene Schäden zu benennen: Ängstlich achten sie darauf, den Ruf des sicheren Online-Bankings zu wahren. Bei Schäden, die durch echte Hacks entstehen, leisten Finanzunternehmen darum wohl äußerst kulant Ersatz. Anders ist kaum zu erklären, warum keine Schadensfälle bekannt werden, obwohl es bekannte Methoden gibt, herkömmliches PIN-TAN-Banking zu knacken.

In Fällen wie dem aktuellen Betrug könnte das allerdings ganz anders aussehen: Hier liegt die Sicherheitslücke nicht bei der Bank, sondern beim Kunden, der auf eine Spam-Mail hereinfällt und seine Passwörter und eventuell gar TAN-Nummern "freiwillig" abgibt.

Dagegen hilft eine äußerst einfache Sicherheitsmaßnahme: Nur sehr wenige Unternehmen verschicken "Log-in-Mails" oder solche, die File-Attachments enthalten. Weiß man, dass so etwas gegen die Gepflogenheiten eines Unternehmens verstößt, sind solche Mails einfach zu entsorgen.

Bei Firmen, die wirklich mit solchen Newslettern und Eilmails arbeiten, sind die angebotenen "Abkürzungen" zu ignorieren. Erhält man eine "dringende" Mail eines solchen Unternehmens, bei dem man wirklich Kunde ist, sollte man dieses Unternehmen immer "per Hand" ansurfen. Wirklich wichtige und dringende Nachrichten wird das Unternehmen auch auf seiner Website oder nach dem normalen Einloggen bekannt geben. Alles andere war dann entweder eine Fälschung - oder nicht so wichtig.