Sicherheitshinweise
2012 – 2013
Die Tricks von Online-Betrügern, die es auf Ihr Geld abgesehen haben, werden immer raffinierter. War früher eine Phishing-Mail oftmals schon an offensichtlichen Schreibfehlern und an sprachlicher Unbeholfenheit erkennbar, so sind die betrügerischen E-Mails von heute sprachlich ausgefeilt, intelligent aufgebaut und einfallsreich. Sie wirken vertrauenswürdig und erwecken bei Ihnen den Eindruck, als handele es sich um einen offiziellen Geschäftsvorgang.
Zurzeit kursieren erneut Phishing-Mails, die die Umstellung auf SEPA „ausnutzen”. Die Betroffenen werden dabei auf eine gefälschte Online-Banking-Seite geleitet, um dort die Konto- und Adressdaten preiszugeben. Diese Phishing-Mails werden mit unterschiedlichen Betreffzeilen verschickt.
Aufgepasst: Banken und Sparkassen versenden niemals E-Mails, in denen sie Ihre Kunden zur Eingabe der Zugangsdaten auffordern.
Beispieltext einer solchen E-Mail:
Ab dem 1. Februar 2014 verändert SEPA, der einheitliche Euro-Zahlungsverkehrsraum, den bargeldlosen Zahlungsverkehr auch hierzulande.
Alle Überweisungen und Lastschriften in Euro - auch innerhalb von Deutschland - sind dann nach europaweit einheitlichen Verfahren vorzunehmen.
Diese Tatsache macht es für Sie notwendig bis zum 17. November 2013 eine Bestätigung Ihrer Daten durchzuführen.
Es ist kostenfrei bis zum oben genannten Datum, danach wird eine Bearbeitungsgebühr in Höhe von 14 Euro verhängt.
Der kostenfreie Prozess kann mit einem Formular unter dem unten stehenden Link ausgeführt werden:
So sehen die gefälschten Seiten aus:
Mit einem besonders raffinierten Trick versuchen Betrüger derzeit, an die Kontodaten von Postbank Kunden zu kommen. Ziel sind dabei Kunden, die das Online-Banking mit dem Sicherheitsverfahren mobileTAN nutzen.
Aufgepasst: Banken und Sparkassen versenden niemals E-Mails, in denen sie Ihre Kunden zur Eingabe der Zugangsdaten auffordern.
Aktuell sind folgende Phishing-Mails im Umlauf – diese stammen NICHT von der Postbank:
Sobald Sie sich dort mit Ihrer Kontonummer und Ihrer PIN einloggen, werden Sie aufgefordert eine oder sogar mehrere Testüberweisungen durchzuführen. Durch diese gelangen die Täter dann an Ihre Zugangsdaten!
Sobald Sie auf Ihrem Handy, Ihrem chipTAN Generator oder auf Ihrem BestSign Gerät das Wort Überweisung lesen, wird auch eine Überweisung ausgeführt - eine Überweisung zu Testzwecken gibt es nicht!
Sollten Sie unsicher sein, setzen Sie sich bitte mit Ihrer Postbank in Verbindung.
Mit einem besonders raffinierten Trick versuchen Betrüger derzeit, an die Kontodaten von Postbank Kunden zu kommen. Ziel sind dabei Kunden, die das Online-Banking mit dem Sicherheitsverfahren mobileTAN nutzen.
Auf einem infizierten Computer blendet ein Trojaner eine Webseite im Look & Feel der Postbank Webseite ein, auf der die Antiviren-Software „AVG AntiVirus Mobile PRO“ kostenlos zum Download angeboten wird. Diese Seite ist nicht von der Postbank.
Ein Klick auf das Software-Angebot führt direkt zur Anmeldeseite des Online-Bankings, auf der die Kunden aufgefordert werden, zur Identifikation
- ihren Benutzernamen oder ihre Kontonummer
- ihr Passwort oder Ihre PIN
- und ihre Mobilfunknummer, die bei der Postbank registriert ist,einzugeben.
Folgt der Kunde den Anweisungen zur Dateneingabe, erhält er daraufhin eine SMS auf sein Mobilfunktelefon mit einem Link für die Installation einer Software. Führt er diese Installation durch, installiert sich – anstelle der angebotenen Antiviren-Software – eine Schadsoftware auf dem Mobilfunktelefon. Von da an können die Kriminellen eingehende SMS mit der mobileTAN abfangen, auf ihr eigenes Handy umleiten und Transaktionen durchführen.
Wichtige Sicherheitshinweise:
- Die Postbank fordert ihre Kunden niemals auf, bei der Anmeldung zum Online-Banking ihre Mobilfunknummer einzugeben. Auch versendet die Postbank niemals SMS-Nachrichten mit der Aufforderung, speziellen Links zu folgen oder Software zu installieren.
- Folgen Sie keinesfalls Links in einer SMS, deren Quelle Ihnen unbekannt ist oder der Sie nicht vertrauen.
- Achten Sie grundsätzlich darauf, was Sie auf Ihrem Mobilfunktelefon installieren und prüfen Sie genau, ob es sich um eine vertrauenswürdige Quelle handelt.
- Sorgen Sie mit einem Virenscanner und einer Firewall für einen ausreichenden Schutz Ihres Computers. Halten Sie diese ebenso wie Ihr Betriebssystem durch laufende Updates grundsätzlich auf dem aktuellsten Stand.
SMS mit Download-Link versucht Trojaner zu installieren
Auf einem infizierten Computer blendet ein Trojaner eine Webseite im Look & Feel des Online-Bankings ein. Der Kunde wird aufgefordert, seine Mobilfunknummer, sein Handymodell und / oder sein Betriebssystem einzugeben. Wenn der Kunde dieser Aufforderung folgt, erhält er darauf hin eine SMS mit einem Link für die Installation eines Sicherheits-Updates.
So könnte die durch den Trojaner gefälschte Seite aussehen
Niemals fordern Banken ihre Kunden im Online-Banking auf ihr Betriebssystem oder ähnliche Daten preiszugeben! Die Postbank verschickt niemals SMS-Nachrichten mit der Aufforderung speziellen Links zu folgen und diese anzuklicken.
Hier folgende Sicherheitstipps für Sie:
- Werden Sie misstrauisch, wenn Sie im Online-Banking gehindert werden, Ihren Finanzstatus einzusehen – z.B. durch eine vorgeschaltete Nachricht/Hinweis, bei der Sie Daten eingeben sollen o.ä.! Informieren Sie umgehend Ihre Bank und geben Sie niemals Daten preis!
- Achten Sie grundsätzlich darauf, was Sie auf Ihrem Handy/Smartphone installieren und prüfen Sie vorab genau, ob es sich um eine vertrauenswürdige Quelle handelt.
- Folgen Sie niemals Links in SMS oder E-Mails, deren Quelle Sie nicht genau kennen und der Sie nicht vertrauen. Informieren Sie Ihre Bank, wenn Sie verunsichert sind.
- Sichern Sie Ihren Computer und schützen Sie sich vor Schadsoftware! Überprüfen Sie regelmäßig mit einer aktuellen Antivirensoftware Ihren Rechner, nehmen Sie immer die angebotenen Updates Ihres Betriebssystems, z.B. von Microsoft Windows, an und schützen Sie Ihren PC vor ungebetenen Gästen mit einer Firewall.
Seien Sie aufmerksam!
Weiterhin entlocken Betrüger Bankkunden mit Hilfe gefälschter E-Mails deren Zugangsdaten zum Online-Banking, um damit eine Überweisung in die eigene Tasche zu veranlassen. Aufgepasst: Banken und Sparkassen versenden niemals E-Mails, in denen sie Ihre Kunden zur Eingabe der Zugangsdaten auffordern.
Aktuell sind folgende Phishing-Mails im Umlauf – diese stammen NICHT von der Postbank:
Mit diesen E-Mails werden Sie in betrügerischer Absicht auf eine gefälschte Online-Banking-Seite gelockt, die wie eine Postbank Online-Banking-Seite aussieht. Sobald Sie sich dort mit Ihrer Kontonummer und Ihrer PIN einloggen, kennen die Täter Ihre Zugangsdaten!
So verhindern Sie den Betrug durch Phishing:
- Aktivieren Sie nur dann eine Mobilfunknummer für das mobileTAN-Verfahren, wenn es sich hierbei um Ihr eigenes oder ein von Ihnen genutztes Mobiltelefon handelt.
- Die SMS mit der mobileTAN zeigt immer zusätzlich auch den Betrag und die Empfängerkontonummer an, die in den Systemen der Postbank tatsächlich eingegeben wurden. Bei einem Betrugsversuch unterscheiden sich diese von den Daten, die Sie auf Ihrem Computermonitor sehen. Auch hier gilt: Transaktion sofort abbrechen und uns informieren!
- Sorgen Sie mit Virenscanner und Firewall für einen ausreichenden Schutz Ihres Computers. Halten Sie diese ebenso wie Ihr Betriebssystem durch laufende Updates unbedingt auf dem aktuellsten Stand.
Es sind wieder Phishing-Mails im Umlauf, dieses mal mit dem Betreff „Haben Sie den Aktivierungscode von Postbank bekommen?”.
Ziel der Betrüger ist es, an den Freischaltcode für die mobileTAN zu kommen. Diesen versendet die Postbank außerhalb des Online-Bankings an die Postanschrift der Kunden. Die Betrüger versuchen mittels der Phishing-Mail die Kunden auf eine gefälschte Login-Seite zu locken. Nach der Eingabe von Kontonummer und Online-PIN soll man auf der nächsten Seite den Aktivierungscode für ein fremdes Handy eingeben. Als „Belohnung” winkt die Teilnahme an einer Verlosung.
Sicherheitshinweis: Banken verlangen niemals per E-Mail von Ihren Kunden, dass sie das mobileTAN-Verfahren testen sollen! Der Aktivierungscode darf nur im gesicherten Online-Banking eingegeben werden.
So läuft der Betrugsversuch ab
Der Angriff beginnt mit einer Phishing-Email. Der Kunde wird gebeten, an der Verbesserung des mobileTAN-Verfahrens teilzunehmen und nimmt als Dank an einer Verlosung teil.
Nach dem Klick auf den Button gelangt der Kunde auf eine Phishing Seite und wird gebeten sich anzumelden.
Nach der Anmeldung erhält der Kunde die Information, dass die Bank nun im Rahmen des mobileTAN System-Test eine neue Mobilrufnummer zum Konto hinterlegen wird. Dem Kunden wird avisiert, dass er in den nächsten Tagen einen Aktivierungscode erhalten wird und ihm wird die Email angekündigt, die ihn zur Aktivierung anleiten wird. Nun haben die Täter einen vollständigen Datensatz aus Kontonummer, PIN und Email-Adresse.
Mit den gestohlenen Login-Daten wird im Online-Banking eine neue Mobilfunk-Nummer hinterlegt. Im zweiten Teil des Angriffs erhält der Kunde nun per E-Mail die Aufforderung, diese Testrufnummer zu aktivieren. Auch hier gelangt der Kunde zunächst über eine Anmeldeseite auf die folgende Phishing Seite. Hier wird nun der Aktivierungscode abgefragt, den der Kunde zwischenzeitlich von der Bank per Post erhalten hat.
Wichtiger Hinweis:
Banken und Sparkassen versenden niemals E-Mails mit der Aufforderung zur Eingabe der geheimen Zugangsdaten. Solche E-Mails sind immer Phishing-Mails. Leiten Sie diese immer an missbrauch@postbank.de weiter und löschen Sie anschließend die E-Mail.
E-Mail mit Schadsoftware: „Ihr Postbank Online-Kontoauszug”
Aktuell sind Phishing-Mails im Umlauf, die dem Empfänger suggerieren, dass im Postbank Online-Banking ein neuer Kontoauszug für den Kunden bereit stehen würde. Über den in der Mail genannten Link gelangt der Kunde allerdings zu einer Seite, über die Schadsoftware auf dem PC des Kunden installiert wird.
Eine derartige Mail könnte wie folgt aussehen:
Betreff: Ihr Postbank Online-Kontoauszug
Sehr geehrter Kunde, ihr Online-Kontenauszug ist da.
Sie konnen ihr Auszug bequem uber den folgenden LINK abrufen.
Ihre Postbank
Bitte beachten Sie:
Die Postbank verschickt unaufgefordert keine E-Mails mit dem Hinweis, dass Ihr Online-Kontoauszug bereit liegt. Eine Benachrichtigung der Postbank per E-Mail erfolgt nur dann, wenn Sie ein entsprechendes "Signal" im Online-Banking eingerichtet haben.
Betrüger versuchen, Ihre Telefon-Banking-PIN zu stehlen
Bitte lesen Sie unbedingt nachfolgende Hinweise. So schützen Sie sich, Ihre Telefon-Banking-PIN und Ihr Postbank Konto vor fremden Zugriffen.
Wie funktioniert's?
Per E-Mail oder auch per Fax erhalten Sie eine gefälschte Nachricht zur Ihrer Kreditkarte oder Ihrem Girokonto. Darin werden Sie dazu aufgefordert, Ihre Telefon-Banking-PIN zu ändern. Zusätzlich sollen Sie neben Ihrer gültigen Telefon-Banking-PIN eine neue PIN angeben.
Beispiele für gefälschte E-Mails
Beispiele für gefälschte Seiten zur Eingabe der Telefon-Banking-PIN
Ansicht einer gefälschten Fax-Nachricht
Seien Sie aufmerksam!
Weiterhin entlocken Betrüger Bankkunden mit Hilfe gefälschter E-Mails deren Zugangsdaten zum Online-Banking, um damit eine Überweisung in die eigene Tasche zu veranlassen. Aufgepasst: Banken und Sparkassen versenden niemals E-Mails, in denen sie Ihre Kunden zur Eingabe der Zugangsdaten auffordern.
Aktuell sind folgende Phishing-Mails im Umlauf - diese stammen NICHT von der Postbank:
Mit diesen E-Mails werden Sie in betrügerischer Absicht auf eine gefälschte Online-Banking-Seite gelockt, die wie eine Postbank Online-Banking-Seite aussieht. Sobald Sie sich dort mit Ihrer Kontonummer und Ihrer PIN einloggen, kennen die Täter Ihre Zugangsdaten! Damit starten sie im Hintergrund und ohne Ihre Unterstützung eine betrügerische Überweisung und fordern für die Transaktion eine mobileTAN für Ihr hinterlegtes Mobiltelefon an.
Anschließend werden Sie auf einer gefälschten Online-Banking-Seite gebeten, für einen Systemtest eine fremde Mobilfunknummer für das mobileTAN-Verfahren freizuschalten. Die Mitarbeit an diesem Test wird angeblich mit der Teilnahme an einer Verlosung honoriert.
So verhindern Sie den Betrug durch Phishing:
- Aktivieren Sie nur dann eine Mobilfunknummer für das mobileTAN-Verfahren, wenn es sich hierbei um Ihr eigenes oder ein von Ihnen genutztes Mobiltelefon handelt.
- Die SMS mit der mobileTAN zeigt immer zusätzlich auch den Betrag und die Empfängerkontonummer an, die in den Systemen der Postbank tatsächlich eingegeben wurden. Bei einem Betrugsversuch unterscheiden sich diese von den Daten, die Sie auf Ihrem Computermonitor sehen. Auch hier gilt: Transaktion sofort abbrechen und uns informieren!
- Sorgen Sie mit Virenscanner und Firewall für einen ausreichenden Schutz Ihres Computers. Halten Sie diese ebenso wie Ihr Betriebssystem durch laufende Updates unbedingt auf dem aktuellsten Stand.
Seien Sie aufmerksam!
Weiterhin entlocken Betrüger Bankkunden mit Hilfe gefälschter E-Mails deren Zugangsdaten zum Online-Banking, um damit eine Überweisung in die eigene Tasche zu veranlassen. Aufgepasst: Banken und Sparkassen versenden niemals E-Mails, in denen sie Ihre Kunden zur Eingabe der Zugangsdaten auffordern.
Aktuell sind folgende Phishing-Mails im Umlauf - diese stammen NICHT von der Postbank:
Mit diesen E-Mails werden Sie in betrügerischer Absicht auf eine gefälschte Online-Banking-Seite gelockt, die wie eine Postbank Online-Banking-Seite aussieht. Sobald Sie sich dort mit Ihrer Kontonummer und Ihrer PIN einloggen, kennen die Täter Ihre Zugangsdaten! Damit starten sie im Hintergrund und ohne Ihre Unterstützung eine betrügerische Überweisung und fordern für die Transaktion eine mobileTAN für Ihr hinterlegtes Mobiltelefon an.
Anschließend wird Ihnen auf der gefälschten Online-Banking-Seite ein Gewinn vorgespielt, zu dessen Freigabe Sie die soeben erhaltene mobileTAN eingeben sollen. Stattdessen wird damit jedoch die betrügerische Überweisung freigegeben.
Bildschirm / Handy
"Skimming" heißt die Masche, mit der Betrüger versuchen, Daten und PIN an Geldautomaten auszuspionieren. Gelingt dies, heben die Gauner mit kopierten Karten an Automaten im Ausland Geld ab.
Um diese Betrügereien zu verhindern, stattet die Postbank ihre Geldautomaten nach neuesten Sicherheitsstandards aus. Den besten Schutz gegen Skimming bietet jedoch Ihre eigene Aufmerksamkeit. Wir sagen Ihnen, auf was Sie achten müssen.
Wenn Sie folgende Tipps beachten und anwenden, haben Betrüger kaum noch Chancen, an Ihre Kartendaten zu kommen:
Schauen Sie sich den Geldautomaten sowie seine Umgebung genau an. Sieht der Geldautomat aus wie sonst? Fahren Sie auch über die Tastatur oder rütteln Sie leicht an dem Schlitz für die Karte. Erst wenn Ihnen alles okay erscheint, sollten Sie Ihre Postbank-Card hineinschieben.
Wichtig: Manche Geldautomaten haben ein sogenanntes „Froschmaul”. Dies ist ein grün-transparenter Aufsatz oberhalb des Kartenschlitzes mit einem eingravierten Schloßsymbol. Es erschwert Kriminellen das Abringen von Skimming-Geräten.
Eine weitere Sicherheitsmaßnahme seitens der Postbank ist das leichte Rütteln beim Einzug sowie bei der Ausgabe der Karte. Auch dieses „Jitter” (von englisch „to jitter” = ruckeln) erschwert Skimming-Versuche. Bitte warten Sie stets ab, bis die Karte vollständig ausgegeben wurde.
- Wenn Sie Auffälligkeiten am Automaten oder in der Umgebung entdecken, benutzen Sie bitte den Geldautomaten nicht. Informieren Sie sofort das Personal in der Filiale. Außerhalb der Öffnungszeiten oder wenn keine Filiale in der Nähe ist, wenden Sie sich bitte an die kostenlose Telefon-Hotline der Postbank unter 0800 0332565 oder an die Polizei.
- Verdecken Sie das Tastenfeld zum Beispiel mit Ihrer freien Hand, während Sie Ihre PIN eingeben. Fällt Ihnen erst nach Eingabe Ihrer PIN etwas Verdächtiges auf, brechen Sie den Vorgang ab. Btte informieren Sie sofort die Postbank oder die Polizei.
Derzeit sind gefälschte E-Mails im Umlauf, die Postbank Kunden auffordern, Testüberweisungen durchzuführen, um z.B. das mobileTAN-Verfahren freizuschalten bzw. zu testen. Es wird gesagt, dass die Überweisung nicht ausgeführt wird.
Generell gilt: Geben Sie eine Überweisung oder einen anderen Auftrag im Online-Banking ein und bestätigen diesen mit einer gültigen TAN, so führen wir den Auftrag aus.
Bitte beachten Sie:
- Im Onlinebanking werden alle getätigten Überweisungen sofort mit den Daten durchgeführt, die Ihnen auf Ihrem chipTAN-Generator beim Verfahren chipTAN comfort bzw. auf Ihrem Handy beim mobileTAN-Verfahren angezeigt werden.
- Die Postbank wird Sie niemals darum bitten, Testüberweisungen durchzuführen.
Beispiele für gefälschte Seiten:
Grundsätzliche Regeln zur Sicherheit
- Prüfen Sie bei Freigabe von Transaktionen immer sorgfältig, ob die Transaktionsdaten (IBAN des Empfängers und Betrag), die Ihnen in der SMS, per BestSign oder chipTAN comfort angezeigt werden, korrekt sind. Diese Daten werden an die Postbank übermittelt und mit diesen Daten wird Ihre Transaktion ausgeführt. Die Anzeige an Ihrem PC kann durch Schadsoftware gefälscht sein.
- Sorgen Sie mit einem Virenscanner und einer Firewall für einen ausreichenden Schutz Ihres Computers. Halten Sie Ihre Sicherheitssoftware ebenso wie Ihr Betriebssystem durch regelmäßige Updates grundsätzlich auf dem neuesten Stand.
- Folgen Sie keinesfalls Links in einer SMS oder E-Mail, deren Quelle Ihnen unbekannt ist oder der Sie nicht vertrauen.
