Gefälschte Links erkennen

Phishing-Mails an Hosting-Kunden wirken oft echt: Logo, Anrede und Tonfall stimmen. Nur der Link führt nicht dorthin, wo er zu führen scheint. Wer auf der nachgebauten Seite sein Passwort eingibt, gibt Fremden Zugang zu Postfach, Website oder Plesk-Konto.

Die gute Nachricht: Die Adresse verrät die Fälschung fast immer. Man muss nur wissen, welchen Teil man anschauen muss.

Entscheidend ist die Domain

Massgebend ist nur der Name direkt vor der Endung (.ch, .com, .net …), zusammen mit dieser Endung. Alles, was links davon steht, kann der Absender frei wählen. Dasselbe gilt für alles nach dem ersten Schrägstrich.

• webmail.ihredomain.ch/ → Domain ihredomain.ch: Ihre eigene Adresse.
• webmail.ihredomain.ch.mx-login.com → Domain mx-login.com: eine fremde Adresse, auch wenn Ihr Domainname vorne steht.

Lesen Sie eine Adresse deshalb vom ersten Schrägstrich aus nach links. Was direkt vor der Endung steht, gehört dem Eigentümer der Seite.

Die häufigsten Tricks

• Bekannter Name als Vorspann: Bei netzdienst.ch.sicherheit-check.net gehört die Seite sicherheit-check.net.
• Leicht verschrieben: netzdienst-ch.com, netzdeinst.ch oder netzdienst.co. Ein Bindestrich, zwei vertauschte Buchstaben oder eine andere Endung genügen.
• Ähnliche Zeichen: «rn» statt «m», «0» statt «o» oder Buchstaben aus anderen Alphabeten, die gleich aussehen.
• Anderer Linktext: Im Text steht eine vertraute Adresse, der Link dahinter führt woandershin.
• Kurzlinks: Dienste, die Adressen kürzen, verbergen das Ziel ganz.
• Schloss-Symbol: «https» heisst nur, dass die Verbindung verschlüsselt ist. Wem die Seite gehört, sagt es nicht. Zertifikate gibt es auch für Betrüger kostenlos.

So sehen solche Mails bei Hosting-Kunden aus

• «Ihr Postfach ist voll. Bestätigen Sie Ihr Konto, sonst werden Nachrichten gelöscht.» Der Link führt auf eine nachgebaute Webmail-Anmeldung.
• «Ihre Domain läuft ab. Jetzt verlängern.» Der Link führt auf eine Zahlungsseite.
• «Ungewöhnliche Anmeldung in Plesk. Ändern Sie Ihr Passwort sofort.»
• «Nachrichten zurückgehalten. Hier freigeben.»

Das Muster ist immer gleich: Zeitdruck und ein Link zu einer Anmeldung. Wir schicken Ihnen keine E-Mail, in der Sie sich über einen Link anmelden oder Ihr Passwort bestätigen sollen. Die einzige Ausnahme ist die Mail zum Zurücksetzen des Passworts: Plesk verschickt sie nur, wenn Sie selbst «Passwort vergessen» gewählt haben. Kommt sie ohne Ihr Zutun, löschen Sie sie.

So prüfen Sie einen Link, ohne zu klicken

1. Am Computer halten Sie den Mauszeiger über den Link, ohne zu klicken. Das Mailprogramm zeigt dann die Zieladresse an. Auf dem Smartphone drücken Sie lange auf den Link und lesen die Adresse in der Vorschau, ohne «Öffnen» zu wählen.
2. Suchen Sie in dieser Adresse die Domain, wie oben beschrieben.
3. Im Zweifel nehmen Sie nicht den Link, sondern ein eigenes Lesezeichen. Ihre Plesk-Anmeldung liegt übrigens nicht unter netzdienst.ch. Die richtige Adresse finden Sie in der Einführung in Plesk. Speichern Sie sie am besten als Lesezeichen.

Schon geklickt oder das Passwort eingegeben?

• Ändern Sie das Passwort sofort, in Plesk oder in Webmail, und überall dort, wo Sie dasselbe Passwort verwenden.
• Prüfen Sie im Postfach, ob Weiterleitungen oder Abwesenheitsnotizen eingerichtet wurden, die nicht von Ihnen stammen.
• Melden Sie sich bei uns über Support Anfragen oder per Telefon. Wir prüfen, ob über Ihr Postfach Spam verschickt wurde. Das würde sonst früher oder später zu gesperrten Sendungen führen.

Eine echte Nachricht übersteht es, wenn Sie sie auf einem anderen Weg prüfen. Eine gefälschte nicht.