Die Angriffsfläche von Privatpersonen und kleinen Unternehmen beschränkt sich längst nicht mehr auf das E-Mail-Postfach. Laut Cybermalveillance.gouv.fr ist die Zahl der Hilfsanfragen im Zusammenhang mit Datenschutzverletzungen 2025 stark gestiegen. Betrugsmaschen kombinieren inzwischen SMS, Telefonanrufe und Bankfreigaben zu einer einzigen Angriffskette. Wer seine Geräte und Daten im Internet schützen will, muss über allgemeine Ratschläge hinausgehen und die tatsächlichen Einfallstore für Angriffe angehen.
Passkeys und Mehr-Faktor-Authentifizierung: Wie sie die Widerstandsfähigkeit gegen Phishing konkret verbessern
Passwörter bleiben selbst dann anfällig, wenn sie lang und komplex sind: Sobald Nutzer sie auf einer gefälschten Website eingeben, können sie abgefangen werden. Passkeys basieren auf einem kryptografischen Schlüsselpaar, das an den jeweiligen Dienst gebunden ist: Der private Schlüssel verlässt das Gerät nie und kann nicht auf einer betrügerischen Domain wiederverwendet werden. Der wichtigste Vorteil ist nicht der Komfort, sondern dass die Eingabe auf einer geklonten Website als Angriffsvektor entfällt.
Die CNIL hat am 20. März 2025 eine Empfehlung zur Mehr-Faktor-Authentifizierung verabschiedet. Darin wird bestätigt, dass die Zwei-Faktor-Authentifizierung weiterhin eine Mindestanforderung ist, aber keine absolute Sicherheit bietet. Wird eine Person am Telefon manipuliert, kann sie eine betrügerische Transaktion immer noch selbst freigeben.
In Ratgebern für ein breites Publikum wird die Zwei-Faktor-Authentifizierung oft als bloße Pflichtübung dargestellt. In der Praxis empfehlen wir, Konten nach ihrer Kritikalität zu priorisieren: zuerst Bankkonten, das Haupt-E-Mail-Konto und Cloud-Speicher, danach soziale Netzwerke. In der Sicherheitsrubrik von Tech Mafia werden die Aktivierungsmethoden für einzelne Dienste ausführlich erläutert, einschließlich der Unterschiede zwischen TOTP, Push-Benachrichtigung und Passkey.
Multikanal-Betrug: Warum ein einzelnes Warnsignal nicht mehr ausreicht, um Betrug zu erkennen
Das klassische Bild einer verdächtigen E-Mail voller Rechtschreibfehler ist überholt. Die von Cybermalveillance.gouv.fr gemeldeten Beobachtungen für 2025 weisen auf eine Zunahme von Angriffen durch falsche Bankberater und die Manipulation von Telefonnummern hin. Ein typischer Ablauf umfasst mehrere Schritte: eine Warn-SMS, gefolgt von einem Anruf von einer Nummer, die der Banknummer ähnelt, und anschließend die Aufforderung, etwas in der Banking-App freizugeben.
Datenschutzverletzungen machen solche Angriffe unmittelbar glaubwürdiger. Kennt ein Betrüger den Namen, die Adresse und die Kontonummer seines Opfers, ist sein Anruf nur schwer von einem legitimen zu unterscheiden. Der einzige zuverlässige Schutz: auflegen und die offizielle Nummer der Organisation zurückrufen – zu finden auf einem Papierkontoauszug oder auf der verifizierten Website, niemals über den erhaltenen Link oder die angezeigte Nummer.
Konkrete Verhaltensregeln bei verdächtigen Kontaktaufnahmen
- Eine von einem eingehenden Kontakt angeforderte Banktransaktion niemals freigeben – unabhängig vom Kanal (SMS, Anruf, Sofortnachricht). Ein echter Bankberater fordert nicht dazu auf, am Telefon in Echtzeit eine Überweisung zu bestätigen.
- Vor der Eingabe von Zugangsdaten die URL der Website prüfen, auf die man weitergeleitet wird. Schon ein verändertes Zeichen im Domainnamen reicht aus, um eine betrügerische Website zu erstellen.
- Jeden Betrugsversuch sofort auf der Plattform Cybermalveillance.gouv.fr melden, auch wenn kein Schaden entstanden ist. Meldungen helfen dabei, schädliche Domains schneller abzuschalten.
Updates und getrennte Nutzung: Die tatsächliche Angriffsfläche Ihrer Geräte
Ein Gerät mit einem veralteten Betriebssystem ist bekannten und öffentlich dokumentierten Sicherheitslücken ausgesetzt. Sicherheitsupdates sind keine kosmetischen Verbesserungen: Sie schließen Schwachstellen, die Angreifer mitunter schon wenige Tage nach ihrer Veröffentlichung ausnutzen. Automatische Updates auf jedem Gerät zu aktivieren, ist gemessen am erforderlichen Aufwand nach wie vor die wirksamste Maßnahme.
Die Trennung privater und beruflicher Nutzung ist mehr als eine Empfehlung zur digitalen Hygiene. Wer einen privaten USB-Stick an einen Arbeitsrechner anschließt oder dieselbe E-Mail-Adresse für einen Behördendienst und ein Freizeitforum verwendet, schafft Verbindungen zwischen Umgebungen mit unterschiedlichem Sicherheitsniveau. Wird eine Seite kompromittiert, kann der Angreifer ohne zusätzlichen Aufwand auf die andere zugreifen.
Berechtigungen und installierte Software verwalten
Apps ausschließlich aus offiziellen Stores (App Store, Google Play) oder von verifizierten Websites der Anbieter herunterzuladen, verringert das Risiko, manipulierte Software auszuführen. Auf einem Computer begrenzt ein Standardbenutzerkonto ohne Administratorrechte für die tägliche Nutzung den Schaden durch Schadsoftware: Sie kann weder Systemdateien verändern noch sich tief im System einnisten.
Jede installierte App vergrößert die Angriffsfläche. Nicht verwendete Software zu deinstallieren und übermäßige Berechtigungen (Zugriff auf Mikrofon, Standort und Kontakte) zu entziehen, verringert die Gefährdung unmittelbar. Unter Android und iOS lassen sich diese Zugriffe in den Datenschutzeinstellungen innerhalb weniger Minuten überprüfen.
Datensicherung und Verschlüsselung: Das oft vernachlässigte Sicherheitsnetz
Ransomware verschlüsselt Dateien und fordert Lösegeld. Ohne aktuelle Sicherung steht das Opfer vor der Wahl: zahlen – ohne Garantie, die Daten zurückzubekommen – oder den Verlust hinnehmen. Eine regelmäßige Sicherung auf einem vom Netzwerk getrennten Datenträger (externe Festplatte, Offline-Speicher) nimmt dem Angreifer sein Druckmittel.
Als gängige Praxis gilt, mindestens zwei Kopien der Daten auf unterschiedlichen Datenträgern aufzubewahren, von denen eine räumlich vom Arbeitsplatz getrennt ist. Synchronisierte Cloud-Dienste ersetzen diese Offline-Sicherung nicht: Ransomware kann sich auf synchronisierte Dateien ausbreiten, bevor sie entdeckt wird.
Die Festplattenverschlüsselung (BitLocker unter Windows, FileVault unter macOS) schützt Daten, wenn das Gerät gestohlen wird. Wird ein Laptop im Zug gestohlen, sind sämtliche Dateien zugänglich, wenn die Festplatte nicht verschlüsselt ist – selbst wenn die Sitzung mit einem Passwort geschützt ist.
Digitale Sicherheit ist kein dauerhafter Zustand. Angriffsmethoden entwickeln sich weiter, Datenlecks liefern Betrügern immer genauere Informationen, und jedes neue vernetzte Gerät schafft einen potenziellen Zugangspunkt. Die hier beschriebenen Maßnahmen erfordern weder ein besonderes Budget noch fortgeschrittene Kenntnisse. Entscheidend ist jedoch, sie konsequent umzusetzen und nicht nur zu kennen.
