Smishing – Definition und Bedeutung

Smishing funktioniert, indem Angreifer SMS-Nachrichten versenden, die den Empfänger dazu verleiten, auf einen Link zu klicken oder persönliche Informationen preiszugeben. Diese Nachrichten können gefälschte Warnungen, Gewinnbenachrichtigungen oder dringende Aufforderungen zur Aktualisierung von Kontoinformationen enthalten. Da SMS oft sofort geöffnet werden, haben Smishing-Angriffe eine höhere Erfolgsquote als traditionelle E-Mail-Phishing-Versuche.

Smishing wird verwendet, um persönliche Informationen wie Passwörter, Kontodaten oder Kreditkarteninformationen zu stehlen. Angreifer nutzen diese Informationen, um finanziellen Schaden anzurichten oder Identitätsdiebstahl zu begehen. Unternehmen sind besonders betroffen, da unaufmerksame Mitarbeitende häufig Ziel solcher Angriffe sind, was zu erheblichen Sicherheitsrisiken führen kann.

Der Hauptunterschied zwischen Smishing und Phishing liegt im Medium, das zur Durchführung der Angriffe verwendet wird. Smishing erfolgt über SMS, während Phishing in der Regel über E-Mails durchgeführt wird. Beide Methoden zielen darauf ab, persönliche Informationen zu stehlen, jedoch nutzen Smishing-Angriffe die direkte und oft vertraute Natur von SMS, um die Empfänger zu täuschen.

Für Angreifer bietet Smishing mehrere Vorteile, darunter eine höhere Erfolgsquote im Vergleich zu E-Mail-Phishing, da SMS-Nachrichten oft sofort geöffnet werden. Zudem ist es für die Empfänger schwieriger, die Echtheit der Nachricht zu überprüfen, da sie oft als dringlich oder wichtig wahrgenommen wird. Die Nutzung von personalisierten und kontextuell überzeugenden Nachrichten, insbesondere durch generative KI, erhöht die Effektivität von Smishing-Angriffen.

Ein Nachteil von Smishing für Angreifer ist, dass die Nutzung von SMS als Kommunikationsmittel durch Mobilfunkanbieter und Sicherheitssoftware zunehmend überwacht wird. Außerdem können Mobilgeräte durch Sicherheitsupdates und Apps geschützt werden, die verdächtige Nachrichten filtern. Zudem kann ein missratener Angriff, der nicht glaubwürdig erscheint, das Vertrauen der Zielgruppe untergraben und die Effektivität zukünftiger Angriffe verringern.

Um Smishing zu erkennen, sollten Nutzer auf bestimmte Anzeichen achten, wie ungewöhnliche Absendernummern, grammatikalische Fehler oder dringende Aufforderungen zur Preisgabe von Informationen. Es ist wichtig, Links in SMS nicht ohne Überprüfung anzuklicken und stattdessen direkt die offizielle Website des Unternehmens aufzurufen. Schulungen und Sensibilisierungsmaßnahmen in Unternehmen können helfen, Mitarbeitende über die Risiken von Smishing aufzuklären.

Um sich vor Smishing zu schützen, sollten Nutzer vorsichtig mit SMS umgehen, die persönliche Informationen anfordern oder Links enthalten. Es ist ratsam, keine unbekannten Absender zu antworten und verdächtige Nachrichten zu ignorieren. Sicherheitssoftware auf Mobilgeräten kann zusätzlichen Schutz bieten, ebenso wie die Aktivierung von Zwei-Faktor-Authentifizierung bei wichtigen Konten.

Generative KI spielt eine zunehmend wichtige Rolle im Smishing, da Angreifer diese Technologie nutzen, um grammatikalisch korrekte und personalisierte Nachrichten zu erstellen, die schwer von echten Mitteilungen zu unterscheiden sind. Dies erhöht die Wahrscheinlichkeit, dass Empfänger auf die Nachrichten reagieren und ihre Daten preisgeben. Der Einsatz solcher Technologien stellt eine neue Herausforderung für die Cyber-Sicherheit dar.

Mit der Verbreitung von Rich Communication Services (RCS) als Nachfolger der SMS entstehen neue Angriffsvektoren für Smishing, die als RCS-Smishing bezeichnet werden. Diese Angriffe nutzen die erweiterten Funktionen von RCS, um interaktive und ansprechendere Nachrichten zu versenden, die die Nutzer noch stärker in die Irre führen können. RCS erlaubt beispielsweise die Einbindung von Bildern und Links, was die Glaubwürdigkeit der Nachrichten erhöht.

Im Jahr 2023 waren weltweit 75 % aller Unternehmen von Smishing-Angriffen betroffen. Diese hohe Betroffenheit zeigt, dass Smishing eine ernsthafte Bedrohung für die Unternehmenssicherheit darstellt. Angreifer zielen häufig auf Mitarbeitende ab, um an sensible Informationen zu gelangen, was die Notwendigkeit von Schulungen und Sicherheitsmaßnahmen in Unternehmen unterstreicht.

Im April 2022 wurden weltweit mehr als 2,6 Milliarden Smishing-Nachrichten per SMS verschickt. Diese Zahl verdeutlicht das massive Ausmaß, in dem Smishing-Angriffe durchgeführt werden, und zeigt, dass diese Methode von Angreifern häufig genutzt wird, um eine große Anzahl von potenziellen Opfern zu erreichen.

Smishing-Angreifer verwenden häufig psychologische Tricks wie Dringlichkeit, Autoritätsimitation und emotionale Manipulation, um die Empfänger zur Preisgabe von Informationen zu bewegen. Sie geben sich oft als vertrauenswürdige Institutionen aus und schaffen ein Gefühl der Angst oder des Drucks, um die Nutzer dazu zu bringen, schnell zu handeln, ohne die Echtheit der Nachricht zu überprüfen.

Smishing-as-a-Service bezeichnet ein Geschäftsmodell im Darknet, bei dem kriminelle Gruppen komplette Smishing-Kits als Dienstleistung anbieten. Diese Kits enthalten alles, was benötigt wird, um Smishing-Angriffe durchzuführen, einschließlich vorgefertigter Nachrichten und technischer Unterstützung. Dieses Modell senkt die Eintrittsbarrieren für potenzielle Angreifer und fördert die Verbreitung von Smishing.

Die Zahl der Smishing-Angriffe in Deutschland hat sich seit 2023 laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) verdreifacht. Diese alarmierende Entwicklung zeigt, dass Smishing zu einer der am schnellsten wachsenden Bedrohungen im Bereich der Cyber-Sicherheit geworden ist und dass sowohl Einzelpersonen als auch Unternehmen verstärkt auf diese Gefahr achten müssen.

Multi-Channel-Kampagnen kombinieren Smishing gezielt mit anderen Phishing-Methoden wie Vishing, E-Mail-Phishing und Social-Media-Manipulation. Diese koordinierten Angriffe erschweren es den Opfern, die Bedrohung zu erkennen, da sie über mehrere Kanäle gleichzeitig angesprochen werden. Solche Kampagnen erhöhen die Wahrscheinlichkeit, dass die Opfer auf die betrügerischen Nachrichten reagieren.

Im Bereich Smishing sind mehrere Trends zu beobachten, darunter der Einsatz von generativer KI zur Erstellung überzeugender Nachrichten und die zunehmende Nutzung von RCS als neuer Angriffsvektor. Zudem bietet das Darknet zunehmend Smishing-as-a-Service an, was die Durchführung solcher Angriffe erleichtert. Diese Entwicklungen machen Smishing zu einer dynamischen und sich ständig weiterentwickelnden Bedrohung.