Empfehlung für einfachen phishing Schutz (Browser)

[TechHummel]

Hallo Zusammen,

ich helfe einigen Verwandten bei IT-Themen, von Einrichtung des Email Clients, über "Hey, hier ist ein Fenster aufgepoppt, kannst du mal schauen?". Leider wurde einer meiner Verwandten Opfer einer Phishing Attacke und hat die Telekom Logindaten (und damit auch für T-Online Email) auf einer falschen Seite angegeben. Ergebnis: Mail Account wurde zum Versenden von Phishing Mails Richtung Asien missbraucht und viele Emails sind leider verloren (IMAP, wurden online gelöscht und Thunderbird hat sich synchronisiert).
Es wurde wohl versucht bei der Telekom einen Telefonbucheintrag zu entfernen (und entsprechend gegoogelt) und vermutlich wurde hier irgendwo eine Phishing Seite vorgeschlagen.

Frage an euch: Könnt ihr eine Browser Erweiterung gegen Phishing empfehlen? Ich hab einiges hierzu gefunden, von Avira, Avast, Bitdefender Web of Trust, etc. - Suche aber Empfehlungen, auch mit Fokus auf Einfachheit.

Habe bei AV Test geschaut und tendiere zu Bitdefender Traffic Light, bin mir aber nicht sicher, ob es ggf. für den deutschen Markt bessere Lösungen gibt.

Sonstige Infos:

• Ich nutze immer den Microsoft Defender
• Browser ist in der Regel Firefox
• Nach dem Phishing Angriff habe ich sämtliche Passwörter geändert und 2-Faktor Authentifizierung eingerichtet
• Ich suche noch nach einer guten und einfachen Möglichkeit für ein regelmäßiges Email Backup. Hatte bisher Imap bevorzugt, da hierdurch bei lokalem Datenverlust keine Mails verloren gehen, aber den Fall "Mail Account wird gehackt" dabei nicht bedacht.
• Einige Emails konnte ich in Thunderbird wiederherstellen. Im Profilordner lagen Dateien aus fehlgeschlagenen Komprimierung herum, aber dort waren leider nur ältere Emails gespeichert.

Danke euch vorab.

 

[Hito360]

Verwandte mit dem Schutz versehen, den du nutzt, bzw. aufklaeren wie du dich schuetzt.

 

[AleksZ86]

ich würde mich da nicht auf SW verlassen, bring deinem Verwandten bei nicht auf alles zu klicken und die Link auf die er klickt voher zu kontrollieren und die eigenen Daten nicht weiterzugeben, also die sogenannte "brain.exe", sowas sollte immer der erste Schritt sein, Sicherheit fängt ja shcließlich bei "sich selbst" an.

 

[retho]

Für Backup würde ich MailStore Home empfehlen. Nutze ich selbst auch und hatte noch nie Probleme damit.
https://www.mailstore.com/de/produkte/mailstore-home/

 

[Falc410]

Es gibt keinen 100% wirksamen Phishing Schutz. Die Software die du gelistet hast, kann teilweise Webseiten über Webseiten erkennen welche als Phishing gekennzeichnet sind aber die Seiten werden so schnell erstellt und wieder gelöscht, dass das eben kaum was bringt.
Das einzige was wirklich hilft ist 2FA oder noch besser Passkeys (wenn der Anbieter das unterstützt) - mit letzterem werden Phishingangriffe wirklich unterbunden. Ansonsten kann jeder Angreifer eine beliebige Webseite mit gültigem Zertifikat erstellen und der Anwender sieht ggf. nicht, dass gerade auf einer gefälschten Seite ist.
Tipp: Wenn eine E-Mail dich auffordert dich einzuloggen bei deiner Bank, Paypal etc. nicht den Link aus der Mail verwenden sondern manuell im Browser die Adresse eintippen und dich einloggen.
E-Mail Backup wäre tatsächlich ein Thema, ich lass meinen Server sichern, falls also jemand mein IMAP Konto leerräumt habe ich dort noch Sicherungen, da müsstest mal schauen was es lokal gibt. Keine schlechte Idee auf jeden Fall, auch falls man den Zugang komplett verliert (hatten hier schon Leute die ihren Google Account verloren haben und dann nicht mehr an die Mails rankamen)

 

[SuperHeinz]

Der beste und einfachste Phishing-Schutz ist das eigene Verhalten. So eine Software kann immer nur auf eine bereits erkannte Bedrohung reagieren, bis dahin bleibt man ungeschützt und muss auf das eigene Misstrauen aufbauen können.

Davon ab: Einen echten Phishingschutz kann es gar nicht geben. Dazu sind die Bösewichter zu schnell. Das ist alles nur eine trügerische Sicherheit, die allenfalls im Glauben wiegt, dass man ruhig unvorsichtig sein darf und man sich so in weit größere Gefahr begibt, als dass man es ohne diesen "Schutz" je wagen würde.

 

[Gedankenpolizei]

Gegen die manuelle Eingabe durch den Menschen gibt es keinen Schutz durch Software. Das Problem ist im wahrsten Sinne die Naivität.

Was trotzdem ein bisschen helfen kann:
Firefox mit uBlock:
Damit entfällt das größte Sicherheitsrisiko. Die Werbung mit schädlichen Code beim Klick. Man wird weniger abgelenkt und anormale Inhalte fallen eher auf.
Und weil die Meisten Chrome nutzen, werden die meisten Schädlinge für Chrome entwickelt. Deshalb ist Firefox automatisch ein Stück sicherer, weil es für Hacker uninteressanter ist. Zumindest in der Theorie...

Benachrichtigungen im Browser und Windows und sämtliche Anfragen (wie Webcam, Mikrofon, etc.) deaktivieren.
Damit ist eine versehentliche oder naive Vergabe von Berechtigungen weitgehend ausgeschlossen.
Natürlich musst du bereits vergebene Berechtigungen wieder entziehen. (alle)

Tools wie O&OShutUp10+ können viele weitere Berechtigungen und Telemetrie von Windows deaktivieren oder auf ein Minimum reduzieren.

Der größte Faktor bleibt aber der logische Menschenverstand...

 

[Ja_Ge]

Salopp gesagt gibt es den „einfachen“ Schutz nicht. Security erkauft man sich immer mit Mehrarbeit / Unbequemlichkeit.

Welches Betriebssystem wird denn genutzt? Als Antivirus reicht der Defender völlig aus.
Browserseitig ist ein Addblocker wie z.B. ublock Origin sehr empfehlenswert (wurde ja schon genannt).
Des Weiteren ein NoScript Programm, aber bereits hier wird vom Anwender Mitarbeit gefordert.
Das größte Security „Programm“ sitzt aber vor dem Rechner, da ist (wie in diesem Fall) eine 2-Faktor Authentifizierung ein gutes Mittel.
Letztlich ist das wichtigste aber, dass der User selber genug Verständnis dafür hat, zusammen mit den üblichen Hilfsmitteln wie z.B. den oben genannten zu erkennen, wann etwas unseriös erscheint. Und dann auch entsprechend reagiert (ich habe zwar keinen Ebay Account aber vorsichtshalber die Mahnung trotzdem bezahlt…).

 

[Tzk]

Verwandte mit dem Schutz versehen, den du nutzt, bzw. aufklaeren wie du dich schuetzt.

Brain.exe?

Das Problem ist doch meist, das die Leute unbedarft und leichtgläubig sind. Sieht die Seite "in etwa" wie erwartet aus, geben die ihre Daten ein. Sprich Telekom Logo zu sehen und Seite Magenta? Login Daten futsch...

Hab da auch ein paar Experten im Bekanntenkreis, denen habe ich mittlerweile eingeschärft ihre Login Daten von E-Mail und Banking Sachen nur auf der Seite einzugeben, die sie händisch angesurft haben. Sprich "telekom.de" oder was auch immer. Und nirgendwo sonst! Das klappt erstaunlich gut.

 

[SuperHeinz]

Es ist mitunter ein wenig schwierig zuzugeben, dass man nicht jeden Fehler sozusagen als Mastermind für die betreuten Personen wiedergutmachen kann. Die betreffende Person muss irgendwann einmal lernen, dass sie mit den eigenen Fehlern selbst fertigwerden und damit leben lernen muss. Irgendeine Grenze kann man auch als Betreuer nicht überwinden und das muss die betreute Person lernen einzusehen.

Ist halt so und diese Erfahrung als Betreuer mussten viele, ich eingeschlossen, selbst einmal machen.

 

[nutrix]

In Firmen werden wegen Phishing umfangreiche Schulungen und Trainings angeboten, nicht ohne Grund. Gegen Phising helfen technische Maßnahmen wenig, besonders wenn Täter gezielt unterwegs sind. Ich sitze aktuell in einer der technisch sichersten Umgebungen, die ich je in meiner Berufskarriere gesehen habe, und trotzdem ist Phising passiert.

 

[TorenAltair]

trotzdem ist Phising passiert.

Du sollst doch nicht einfach alles anklicken und Daten eingeben scnr

@TechHummel Existiert bisher gar keine Backupstrategie?

 

[PC295]

Habe bei AV Test geschaut und tendiere zu Bitdefender Traffic Light

Das ist eine Browser-Erweiterung die du ohne Hauptprogramm nutzen kannst.
Es kann also unabhängig vom installieren Antivirenprogramm verwendet werden.

Installiere außerdem im Browser die Erweiterung uBlock Origin und aktiviere entsprechende Filterlisten gegen schädliche Webseiten.

 

[nutrix]

Du sollst doch nicht einfach alles anklicken und Daten eingeben scnr

Ne, ich war nur derjenige, der das mit analysieren mußte.

 

[TechHummel]

Danke schonmal für die vielen Antworten.

Verwandte mit dem Schutz versehen, den du nutzt, bzw. aufklaeren wie du dich schuetzt.

Ich nutze tatsächlich keinen Software Schutz (außer ggf. uBlock). Das Aufklären habe ich schon gemacht und werde es natürlich auch wiederholen.

ich würde mich da nicht auf SW verlassen, bring deinem Verwandten bei nicht auf alles zu klicken und die Link auf die er klickt voher zu kontrollieren und die eigenen Daten nicht weiterzugeben, also die sogenannte "brain.exe", sowas sollte immer der erste Schritt sein, Sicherheit fängt ja shcließlich bei "sich selbst" an.

Da sind sie schon sensibilisiert, aber es kann eben immer mal passieren. Die Phishing Seite sah der offiziellen Telekom Login Seite auch ähnlich, URL war aber natürlich auffallig. Wenn man zu viel Angst macht, traut man sich ggf. auch nicht mehr ins Netz. Leider schwierig!

Für Backup würde ich MailStore Home empfehlen. Nutze ich selbst auch und hatte noch nie Probleme damit.
https://www.mailstore.com/de/produkte/mailstore-home/

Das schaue ich mir mal an, danke!

Das einzige was wirklich hilft ist 2FA oder noch besser Passkeys (wenn der Anbieter das unterstützt) - mit letzterem werden Phishingangriffe wirklich unterbunden. [...]
E-Mail Backup wäre tatsächlich ein Thema, ich lass meinen Server sichern, falls also jemand mein IMAP Konto leerräumt habe ich dort noch Sicherungen, da müsstest mal schauen was es lokal gibt. Keine schlechte Idee auf jeden Fall, auch falls man den Zugang komplett verliert (hatten hier schon Leute die ihren Google Account verloren haben und dann nicht mehr an die Mails rankamen)

2FA hilft nicht zwingend bei Phishing. Wenn das Opfer nichts ahnt, kann auch der 2FA auf der Phishing-Seite eingegeben werden.
Ich selbst sichere auch alle Mails meines Gmail Accounts, aber damals war die Einrichtung hierfür leider nicht einfach.

Was trotzdem ein bisschen helfen kann:
Firefox mit uBlock:
Damit entfällt das größte Sicherheitsrisiko. Die Werbung mit schädlichen Code beim Klick. Man wird weniger abgelenkt und anormale Inhalte fallen eher auf.

uBlock werde ich nochmals vorschlagen, guter Punkt.

Des Weiteren ein NoScript Programm, aber bereits hier wird vom Anwender Mitarbeit gefordert.

Ich denke leider, dass das für viele Anwender, so wie in meinem Fall, zu kompliziert ist.

Hab da auch ein paar Experten im Bekanntenkreis, denen habe ich mittlerweile eingeschärft ihre Login Daten von E-Mail und Banking Sachen nur auf der Seite einzugeben, die sie händisch angesurft haben. Sprich "telekom.de" oder was auch immer. Und nirgendwo sonst! Das klappt erstaunlich gut.

Das, und nochmal betonen auf die hervorgehobene URL zu achten, sind jetzt auch mein Plan.

Es ist mitunter ein wenig schwierig zuzugeben, dass man nicht jeden Fehler sozusagen als Mastermind für die betreuten Personen wiedergutmachen kann. Die betreffende Person muss irgendwann einmal lernen, dass sie mit den eigenen Fehlern selbst fertigwerden und damit leben lernen muss. Irgendeine Grenze kann man auch als Betreuer nicht überwinden und das muss die betreute Person lernen einzusehen.

Vorwürfe mache ich mir tatsächlich eher bei der fehlenden Email-Backup-Strategie, als beim Phishing. Ich bin froh, dass viele meiner Verwandten das Netz selbstständiger nutzen als vor einigen Jahren - bevor ich frage, google ich mal selbst -, aber sowas ist dann natürlich das Risiko.

In Firmen werden wegen Phishing umfangreiche Schulungen und Trainings angeboten, nicht ohne Grund. Gegen Phising helfen technische Maßnahmen wenig, besonders wenn Täter gezielt unterwegs sind. Ich sitze aktuell in einer der technisch sichersten Umgebungen, die ich je in meiner Berufskarriere gesehen habe, und trotzdem ist Phising passiert.

Ich stimme dir zu, aber ich denke der Sachverhalt ist anders. Bei Firmen werden ja oft gezielt einzelne Mitarbeiter mit individualisieren Methoden angegriffen, da ist eine Abwehr wirklich schwierig. Aber in einem solchen Fall, da viele Angegriffen werden, hatte ich mir eine gute Lösung erhofft. Es würde ja reichen, wenn einer von uns versierteren Anwendern eine solche Seite in einem entsprechenden Tool meldet.

@TechHummel Existiert bisher gar keine Backupstrategie?

Für normale Dateien gab's den Rat, gelegentlich alles auf externe Datenträger zu kopieren (nicht dauerhaft angeschlossen). Für Emails hatte ich auf serverseitige Sicherung durch IMAP gesetzt, aber den hier aufgetretenen Fall nicht berücksichtigt.

Das ist eine Browser-Erweiterung die du ohne Hauptprogramm nutzen kannst.
Es kann also unabhängig vom installieren Antivirenprogramm verwendet werden.

Genau, das war meine Absicht. Vor einigen Jahren wurde Kaspersky verwendet, aber ich musste mich doch zu regelmäßig um aufpipoende Fenster kümmern. Microsoft Defender dagegen ist extrem unauffällig und für mich daher Wartungsarm.

 

[TorenAltair]

Etwas, das automatisch synchronisiert wird, ist kein Backup. Da unbedingt nachbessern.

 

[andy_m4]

Da sind sie schon sensibilisiert, aber es kann eben immer mal passieren. Die Phishing Seite sah der offiziellen Telekom Login Seite auch ähnlich, URL war aber natürlich auffallig.

Man kann auch mit indirekten Maßnahmen viel erreichen.
Zum Beispiel muss ja nicht jeder meine eMail-Adresse haben. Wenn beispielsweise meine Bank die eMail-Adresse nicht hat, dann komm ich auch nicht in Versuchung da auf eMail-Passwort-Phishing-Mails reinzufallen.
(Semi-)aktive Inhalte von Mails sollte man stets mit Skepsis begegnen. Links nicht anklicken, sondern lieber über Lesezeichen etc. auf Webseiten gehen. Idealerweise hat man ein eMail-Programm, was so was gar nicht erst als anklickbar anzeigt. Anhänge nur "sandboxed" öffnen lassen.