Phishing: Banken nutzen halbseidene Domains

Wieder einmal findet sich im Posteingang wie fast jeden Tag eine E-Mail, konkret von der Sparkasse, die auf ein Gewinnspiel im Zusammenhang mit Wero als Zahlungsangebot hinweist. Im aktuellen Fall könnten Empfänger unter der Domain „gewinnspiel-sparkasse.de“ mehr herausfinden und teilnehmen. Der Rest der Mail sieht absolut professionell und korrekt aus, die Ansprache erfolgt mit Vornamen, selbst der zuständige Kundenberater wird genannt. Dennoch ruft die Domain Unwohlsein hervor – so sehen die typischen Phishing-Domains auch aus.

Eine erste schnelle Prüfung erfolgt durch Eingabe des Begriffs „whois“ mit der gesuchten Domain in der Suchmaschine. Google schaltet vor reguläre Suchergebnisse eine KI-generierte Antwort. Die liefert einen Absatz, dass das die offizielle Gewinnspiel-Domain der Sparkassen sei. Dahinter ist unscheinbar eine Quell-URL zu finden, die ihrerseits auf „mehr-sparkasse.de“ verweist – was abermals ein Kandidat für typische Phishing-URLs ist.

Weitere Such-Iterationen führen dann dazu, dass die Sparkassen ihre offizielle Gewinnspiel-Seite benennen. Aber die Verwirrung wird schnell größer:

Die URL soll auf einmal nicht mehr zur Sparkasse gehören, wie laut Googles KI-Exzerpt offizielle Sparkassen-Seiten offenbar angeben.

Trau, schau, wem!

Da Suchmaschinen oftmals Malware-Werbung unter den „Sponsored Links“, also als bezahlte Werbung einblenden und auch Inhalte von diesen Seiten für ihre Antworten verwerten, ist der KI-Antwort an der Stelle eher nicht zu vertrauen. Ohnehin sind diese Zusammenfassungen mit einer inakzeptabel hohen Fehlerquote versehen, das dürfte hier ebenfalls der Fall sein.

Die Indizienlage ist dadurch bis hier nicht eindeutig. Weiterhin erwähnenswert: Die Gewinnspiel-Domain wird bei Hetzner gehostet. Dort kann sich jeder eine Webseite mit beliebigen (freien) Domains einrichten. Die Seite liegt nicht bei der Finanz Informatik, dem IT-Dienstleister der Sparkassen, der auch die Domain „sparkasse.de“ in eigenen Rechenzentren betreibt. Das weckt ebenfalls Zweifel, da das eher für Phishing statt für ein reguläres Angebot der Sparkassen spricht.

Erziehung zu falschem Verhalten

Die Nutzung derartiger Domains stumpft die Nutzerinnen und Nutzer ab. Die gewöhnen sich daran, dass betrügerische URLs wie „portorueckzahlung-post.de“ echt sein könnten. Seriöse Unternehmen, die oftmals in Phishing-Angriffen imitiert werden, erziehen ihre User also entgegen ihren eigenen Warnhinweisen dazu, blindlings solchen Links zu folgen. Schlimmer noch: Die Banken sind die Ersten, die Rückzahlungen verweigern, sofern Kunden und Kundinnen auf solches Phishing hereinfallen.

Abhilfe wäre eigentlich sehr einfach zu schaffen. Das Internet kennt Subdomains. Also so etwas wie „www“ vor dem Seitennamen. Die lassen sich nicht einfach von Dritten registrieren, wie die potenziellen Phishing-Domains. Vorschlag für seriöse URLs wären im konkreten Fall etwa „gewinnspiel.sparkasse.de“ oder „mehr.sparkasse.de“.

Unsere Anfrage diesbezüglich beim Deutschen Sparkassen- und Giroverband (DSGV) blieb mehr als 24 Stunden, bis zum Meldungszeitpunkt, unbeantwortet. Eine Positionierung reichen wir beim Eintreffen nach.

Auch andere Unternehmen und Banken betroffen

Auch andere Banken und namhafte Unternehmen arbeiten mit solchen Domains in der Kundenkommunikation. Das verhindert, dass Tipps wie „prüfen Sie die URLs“ sinnvoll umsetzbar sind. Als Beispiel kann auch die Telekom herhalten. Die setzt als Absender-Domain in Marketing-Kommunikation beispielsweise „dialog-telekom.de“ ein. Auch da läuten nach altem Brauch bei eingesessenen IT‘lern die Alarmglocken. Es gibt zahlreiche Beispiele. Die Deutsche Bahn setzt für die Nacherhebung beim Fahrpreis auf die Domain „db-fn.de“.

Wahrscheinlich geht die Nutzung derartiger Domains auf die Auslagerung an Marketing-Unternehmen zurück. Die Unternehmen und Banken müssen jedoch auch, wenn es um Werbung geht, auf ihren seriösen Domains bleiben. Andernfalls wirken die Phishing-Warnungen ein wenig wie Heuchelei. Der Sicherheitshinweis, dass Nutzerinnen und Nutzer bitte die Domains in der Kommunikation prüfen sollen, ist aufgrund des Verhaltens auch der großen Unternehmen jedoch komplett hinfällig und unbrauchbar.

(dmk)