Wie geleakte Daten Phishing befeuern

Phishing bedeutet, dass sich jemand als ein Unternehmen oder eine Person ausgibt, der du vertraust, um dich dazu zu bringen, auf einen Link zu klicken, einen Code weiterzugeben oder Geld zu überweisen. Am besten funktioniert das, wenn der Betrüger schon etwas über dich weiß. Geleakte Daten liefern ihm genau das.

Woher die Daten stammen

Große Datenpannen und automatisiertes Abgreifen bringen persönliche Angaben für Jahre in Umlauf. 2021 wurden die Telefonnummern und Profildaten von rund 533 Millionen Facebook-Nutzern online veröffentlicht, nachdem sie von der Plattform abgegriffen worden waren. Die irische Datenschutzbehörde verhängte dafür später ein Bußgeld von 265 Millionen Euro gegen Meta (Quelle).

Warum das Betrug überzeugend macht

Eine Nachricht, die deinen echten Namen, deine Telefonnummer, die letzten Ziffern deiner Karte oder den Namen eines Dienstes enthält, den du tatsächlich nutzt, ist viel glaubwürdiger. Mit genug geleakten Daten kann ein Betrüger:

• eine SMS schicken, die aussieht, als käme sie von deiner Bank oder einem Paketdienst,
• dich als angeblicher Kundendienst anrufen und dabei deine Kontodaten schon kennen,
• deine Telefonnummer übernehmen (SIM-Swapping) und Anmeldecodes abfangen.

KI macht es billiger

Betrüger nutzen inzwischen KI, um flüssige, persönliche Nachrichten in jeder Sprache zu schreiben und Stimmen aus kurzen Tonaufnahmen zu klonen. Je mehr deiner Daten im Umlauf sind, desto überzeugender können sie auftreten.

Was du tun kannst

• Prüfe, ob du von einer Datenpanne betroffen bist, bei Have I Been Pwned.
• Nutze einen Passwortmanager und für jede Website ein anderes Passwort.
• Nutze eine Authenticator-App oder einen Passkey statt SMS-Codes, wo es geht.
• Sei misstrauisch bei Eile. Betrüger drängen dich, innerhalb von Minuten zu handeln. Wenn eine Nachricht angeblich von deiner Bank kommt, antworte nicht und klicke nicht: Wende dich selbst an die Bank, über die Nummer auf deiner Karte oder über ihre App.
• Gib weniger preis. Daten, die ein Unternehmen nie gesammelt hat, können nicht durchsickern.