Phishing-Mails und SMS – so erkennst du sie

Wie ein Fischer mit einem Köder an der Angel versuchen Betrüger:innen, dir unter einem geschickten Vorwand deine Karten-Daten zu entlocken. Ergo der Name Phishing. Oder Smishing, wenn's per SMS passiert. So oder so: Wir wollen dich schützen. Hier entlang für Beispiele, wie du dieses Phishing und Smishing erkennst und nicht darauf reinfällst.

Bevor wir mit den spezifischen Phishing-Beispielen beginnen, einige wichtige Dinge im Voraus:

Für Kartenzahlungen gibt es verschiedene Sicherheitsmechanismen: Beispielsweise die PIN-Eingabe im Kartenlesegerät für Zahlungen im Laden oder der 3DSecure Code per SMS für die Autorisierung von Zahlungen im Internet. Kartenbetrug ist also nicht ganz einfach – aber auch nicht unmöglich.
Gib deine Kartendaten (Kreditkartennummer, 3-stellige Sicherheitsnummer, Ablaufdatum) nur bei vertrauenswürdigen Online-Shops ein. Ein (nicht immer 100% wasserdichter) Hinweis auf eine sichere Seite ist das Vorhängeschloss-Symbol in der Adressleiste oder im Browser. Rechtschreib- und Grammatikfehler oder ein komisches Design der Seite können hingegen darauf hinweisen, dass du auf einer gefälschten Seite bist. Schliesslich kannst du dich, wenn du unsicher bist, auch über Rezensionen im Internet (z.B. auf Social Media) über den Händler informieren.
Achte auf den Inhalt der 3D Secure SMS, welche du mit dem einmal-Code erhältst, um Zahlungen im Internet zu autorisieren (Betrag, Währung, Name des Händlers).
Wenn du Zweifel hast oder die Sorge, deine Kartendaten auf einer unseriösen Seite eingegeben zu haben: Sperre deine Karte vorsichtshalber in der App (in deinem Profil unter «Deine Karte») und kontaktiere uns unter service_at_neon-free.ch oder rufe unsere Hotline an unter +41 43 508 03 76.

Wie Phishing im Detail funktioniert, was wir für dich tun und wie du dich selbst schützen kannst, kannst du hier nachlesen.

«Dein Paket wartet auf Lieferung» – Phishing-Mails im Namen der Post und DHL

Nehmen wir an, du bekommst eine E-Mail oder SMS von der Post. Dort steht drin, dass ein Problem mit dem Versand deines Pakets besteht und fordert dich auf, einen Betrag von beispielsweise 2.99 CHF zu bezahlen. Wenn du nun auf den mitgeschickten Link klickst, wirst du aufgefordert, die Zahlung vorzunehmen und deine Kartenangaben einzugeben.

Wie du dir vorstellen kannst, ist das keine E-Mail der richtigen Post, sondern ein Fake. Sieht aber auf den ersten Blick verblüffend ähnlich aus. Gerissen! Wenn man in die Details schaut – im Beispiel unten widerspricht die Absenderadresse (@sunrise.ch) dem vorgegebenen Absender (Post CH AG) – findet man manchmal Unstimmigkeiten. Manchmal sieht man sie aber nicht. Auch bei den SMS gehen die Betrüger:innen ähnlich vor und fälschen zum Beispiel Nachrichten von DHL inklusive Link auf eine Seite, auf der sie dich dann dazu bringen wollen, deine Kartenangaben einzugeben.

«Ihr Amazon-Konto ist unvollständig» – Phishing im Namen von Amazon

Im Falle von Amazon gaukeln die Betrüger:innen Sicherheitsfälle vor. So wirst du beispielsweise in einem solchen Phishing-Mail gebeten, deine Telefonnummer hinzuzufügen, um dein Amazon-Konto zu schützen. Auch hier ist es die gleiche Masche: über einen Link – der natürlich manipuliert ist – sollst du deine Telefonnummer bestätigen. Über ein Formular versuchen die Kriminellen, neben deiner Telefonnummer an weitere Daten wie deine Kartenangaben oder deine Adresse zu gelangen.

Diese Amazon-Fälle sind besonders fies, denn sie sind oft mit einer Dringlichkeit formuliert, die dich unter Druck setzen sollen. Aber du behältst selbstverständlich einen kühlen Kopf, denn wir haben eine Liste für dich, wie du solche Phishing-Mails oder -SMS erkennst.

Beispiele von Phishing-Mails oder SMS im Namen der Post, DHL oder Amazon.

So erkennst du Phishing-Mails oder -SMS

Checke den Absender: Fahre mit der Maus über die E-Mail-Adresse des Absenders und du wirst sehen, dass da was nicht stimmen kann
Dasselbe Spiel bei Links: Fahre mit der Maus über den Link (ohne zu klicken!) und du wirst sehen, dass mit dieser Ziel-Domain was nicht stimmen kann
Als Letztes: Checke manuell die Sendungs- oder Paketnummer, indem du sie auf der echten Internetseite der Post oder von DHL eingibst
Lade das Amazon Message Center herunter und logge dich in dein Amazon-Konto ein. Dort siehst du alle echten Nachrichten von Amazon – wenn du die verdächtige E-Mail dort nicht findest, handelt es sich um Phishing.

Unter folgenden Links findest du gute Sicherheitshinweise der Post, von DHL und von Amazon.

Falls es noch nicht klar genug war: Niemals, aber auch niemals, auf verdächtige Links klicken und vertrauliche Informationen über dich oder deine Karte preisgeben. Wir würden's auch nicht deinem Hund verraten. Wer weiss, wie smart der ist.

Let’s play devil’s advocate: Nehmen wir an, du würdest auf den Link klicken und deine Kartendetails eingeben.

Fall 1: Die Betrüger:innen können nun mit deinen Kartendaten einkaufen. Du denkst nun: Das geht doch nicht, für eine Bezahlung bekomme ich doch einen 3D-Secure Code per SMS zugeschickt, den ich dann eingeben muss? Aber leider haben nicht alle Händler eine solche Zwei-Faktor Authentifizierung eingestellt.

Du solltest deine SMS generell immer ganz genau prüfen: Stimmt der Name des Händlers, die Währung und der genaue Betrag mit einer Zahlung überein, die du vorgenommen hast? Wenn nicht, dann melde dich sofort bei uns oder sperre deine Karte vorsichtshalber in der App, bis wir den Fall mit dir klären können.

Fall 2: Betrüger:innen können aufgrund von den durch dich preisgegebenen Informationen deine Karte für Mobile Payment (Apple, Samsung oder Google Pay) auf ihren eigenen Smartphones hinterlegen. Wenn sie das tun, bekommst du einen Code für die Mobile Payment Aktivierung per SMS zugeschickt. Im schlimmsten Fall gibst du diesen Code auf der Fake-Seite im Internet ein und schickst dadurch diesen Aktivierungscode an die Betrüger:innen weiter – danach sind Zahlungen ganz einfach für sie auszuführen.

Wenn du also einen Aktivierungscode von Apple Pay, Google Pay oder Samsung Pay erhältst, ohne ihn angefordert zu haben – melde dich sofort bei uns. Also: Gib deinen Apple/Google/Samsung Pay Aktivierungscode niemals im Internet ein. Gib ihn nur auf deinem Gerät im Wallet oder in der Google- oder Samsung-App ein.

Links siehst du ein Beispiel für eine 3-D Secure Code-SMS, rechts Codes für die Mobile Payment Aktivierung (Apple Pay).

Beim 3-D Secure Code SMS steht immer der Name des Händlers, die Währung und der genaue Betrag drauf. Prüfe immer, ob alle diese Angaben mit deiner Transaktion oder deinem Kauf übereinstimmen. Dasselbe beim Code für die Mobile Payment Aktivierung: Diesen bekommst du nur, wenn du ihn beim Hinterlegen der Karte auf deinem Gerät angefordert hast. Sprich: Wenn du deine neon-Karte für Mobile Payment hinterlegst, erhältst du einen Aktivierungscode von uns. Sonst nicht.

Deine neuen Sicherheits-Mantras

Mantra #1: Gebe niemals vertrauliche Informationen über dich oder deine Karte preis. Gib deine Kartendetails nur bei vertrauenswürdigen Händlern ein. Gib nichts an deine Haustiere weiter. Ja, auch nicht an deinen Hamster. Der ist wahrscheinlich noch gerissener als dein Hund.

Mantra #2: Wenn du Zweifel hast oder die Sorge, deine Kartendaten auf einer unseriösen Seite eingegeben zu haben: Sperre deine Karte vorsichtshalber in der App (in deinem Profil unter «Deine Karte») und kontaktiere uns unter service_at_neon-free.ch oder rufe unsere Hotline an unter +41 43 508 03 76.

Falls du dich nun fragst, wie sicher mobiles Banking wirklich ist, findest du hier antworten.