Was ist Spoofing? Formen und wie man es erkennt

Spoofing ist eine Betrugsform, bei der sich Kriminelle als vertrauenswürdiger Absender ausgeben: beispielsweise als bekannte Telefonnummer, E-Mail-Adresse Ihrer Bank oder Website, die dem Original täuschend ähnlich sieht. Das Ziel ist fast immer dasselbe: Ihr Vertrauen zu gewinnen, um an Ihre Daten zu gelangen oder Geld zu überweisen. Für Verbraucher ist es ein lästiger Betrugsanruf. Für Unternehmen hingegen sieht die Situation anders aus: Spoofing ist eine der Techniken, mit denen eine falsche Identität einen Verifizierungs- oder Registrierungsprozess umgehen kann.

Inhalt

• Was ist Spoofing?
• Welche Formen des Spoofing gibt es?
• Spoofing vs. Phishing: Was ist der Unterschied?
• Spoofing als Identitätsbetrug
• Wie erkennt man Spoofing?
• Wie kann man Spoofing verhindern?
• Wie DataChecker hilft

Was ist Spoofing?

Spoofing stammt aus dem Englischen to spoof: nachahmen, jemanden täuschen. Der Kern ist immer derselbe: Ein Angreifer fälscht ein erkennbares Merkmal eines Absenders. Das kann eine Telefonnummer sein, eine E-Mail-Adresse, eine Webdomain oder sogar ein Standortsignal.

Das Gefährliche daran ist, dass es auf Vertrauen setzt. Sie sehen den Namen Ihrer Bank auf dem Bildschirm oder eine Handynummer, die zu stimmen scheint, und lassen sich auf das Gespräch ein. Die Technik dahinter ist oft simpel. Der Schaden entsteht durch die Annahme, dass der Absender der ist, für den er sich ausgibt.

Welche Formen des Spoofing gibt es?

Spoofing ist ein Oberbegriff. Dies sind die Formen, die Ihnen in der Praxis am häufigsten begegnen:

• Telefon- oder Anrufer-ID-Spoofing. Der Anrufer fälscht die Nummer, die auf Ihrem Bildschirm erscheint, oft die einer Bank, einer Behörde oder eine bestehende Handynummer.
• E-Mail-Spoofing. Die Absenderadresse scheint von einer vertrauenswürdigen Person zu stammen, die E-Mail selbst stammt jedoch von einem Angreifer. Dies ist häufig der Auftakt zu Phishing oder Rechnungsbetrug.
• SMS-Spoofing. In einem bestehenden Nachrichtenverlauf erscheint eine Nachricht, beispielsweise von einer Bank oder einem Paketdienst, weil der Absendername gefälscht ist.
• Website- oder DNS-Spoofing. Man landet auf einer gefälschten Webseite, die dem Original täuschend ähnlich sieht, um Anmeldedaten oder Zahlungsdetails zu erbeuten.
• GPS-Spoofing. Das Standortsignal eines Geräts wird gefälscht. Dies spielt unter anderem bei Betrugsfällen im Zusammenhang mit standortbezogenen Diensten eine Rolle.

Kurz gesagt: Die Form unterscheidet sich, das Prinzip nicht. Es wird immer ein erkennbares Merkmal nachgeahmt, damit der Empfänger dem Absender vertraut.

Spoofing vs. Phishing: Was ist der Unterschied?

Die beiden Begriffe werden oft synonym verwendet, sind aber nicht dasselbe. Spoofing ist die Tarnung: die Fälschung des Absenders. Phishing ist der Angriff: die eigentliche Gewinnung von Daten oder Geld.

In der Praxis hängen sie voneinander ab. Eine Phishing-E-Mail wirkt überzeugender, wenn die Absenderadresse gefälscht ist. Ein gefälschter Anruf ist effektiver, wenn das Gespräch auf eine Phishing-Frage hinausläuft („Bitte bestätigen Sie Ihre PIN“). Durch die Fälschung wirkt die Lüge glaubwürdig. Phishing-Angreifer nutzen dies aus.

Spoofing als Identitätsbetrug: Warum es Organisationen betrifft

Für Privatpersonen beschränkt sich Spoofing meist auf einen gefälschten Anruf oder eine verdächtige E-Mail. Für Unternehmen birgt es jedoch weitreichendere Risiken. Spoofing ist schließlich eine Technik, um sich als jemand anderes auszugeben. Und genau hier beginnt der Identitätsbetrug.

Stellen Sie sich einen Bewerber oder neuen Mitarbeiter vor, der aus der Ferne eingearbeitet wird. Oder einen Kunden, der digital ein Konto eröffnet. Gelingt es einem Angreifer, eine gefälschte E-Mail-Adresse, ein manipuliertes Dokument oder eine nachgemachte Identität einzuschleusen, ist das Risiko nicht der lästige Anruf. Das Risiko ist, dass diese falsche Identität durch Ihren Verifizierungs- und Onboarding-Prozess kommt und erst viel später auffällt.

Aus diesem Grund ist Spoofing nicht nur ein Sicherheitsthema, sondern auch ein Verifizierungsthema.

Wie erkennt man Spoofing?

Spoofing fällt selten durch ein einzelnes starkes Signal auf. Es liegt vielmehr an den Details, die einfach nicht ganz stimmen:

• Der Absendername ist korrekt, aber die E-Mail-Adresse oder Domain weicht geringfügig ab.
• Es werden unerwartet Daten, Codes oder eine Zahlung angefordert.
• Es herrscht Zeitdruck („Ihr Konto wird heute gesperrt“).
• Der Tonfall bzw. der Schreibstil passt nicht zur Organisation.
• Eine bekannte Nummer ruft wegen etwas an, worüber diese Person normalerweise nie anruft.

Sind Sie unsicher? Brechen Sie den Kontakt ab und nehmen Sie selbst über einen offiziellen Kanal Kontakt auf, den Sie selbst recherchieren. Nicht über die Telefonnummer oder den Link aus der Nachricht.

Tipp: Eine seriöse Bank oder Behörde wird Sie niemals telefonisch nach Ihrer PIN, Ihrem vollständigen Anmeldecode oder der Überweisung von Geld auf ein „sicheres Konto“ fragen. Sollte dies dennoch geschehen, gehen Sie bitte von einem Betrugsversuch aus.

Wie kann man Spoofing verhindern?

Für Verbraucher gilt am wichtigsten: Lassen Sie sich nicht von der Dringlichkeit täuschen, klicken Sie nicht auf Links in unerwarteten Nachrichten, rufen Sie die angegebene Nummer nicht zurück und melden Sie verdächtige Fälle. So einfach und gleichzeitig so schwierig ist es, denn der Druck in solchen Momenten ist real.

Für Unternehmen liegt die Lösung auf einer anderen Ebene. E-Mail-Spoofing lässt sich durch Techniken wie SPF, DKIM und DMARC einschränken, die es empfangenden Mailservern ermöglichen zu überprüfen, ob eine E-Mail tatsächlich von der eigenen Domain stammt. Dies schützt jedoch nicht vor dem gravierendsten Risiko: einer gefälschten Identität, die im Rahmen eines Registrierungs- oder Onboarding-Prozesses entsteht.

Hier hilft eine starke Identitätsprüfung. Dabei wird ein echtes Ausweisdokument auf Echtheitsmerkmale geprüft, das Dokument der Person zugeordnet, die es vorlegt, und mit biometrischer Verifizierung und Liveness-Erkennung festgestellt, dass eine echte, lebende Person vor der Kamera ist und kein Foto, kein Video und keine Maske. So wird es deutlich schwieriger, eine gefälschte oder gestohlene Identität durch die Prüfung zu schleusen.

Wie DataChecker hilft

DataChecker unterstützt Organisationen dabei festzustellen, dass jemand wirklich die Person ist, die er vorgibt zu sein. Mit der Identitätsprüfung werden Ausweisdokumente auf Echtheit geprüft und der Person zugeordnet, die sie vorlegt, unterstützt durch Biometrie und Liveness-Erkennung. Das schließt die Tür, die Spoofing und Identitätsbetrug öffnen wollen: das Einschleichen unter falscher Identität.

Auf diese Weise verringern Sie die Wahrscheinlichkeit, dass eine gefälschte Identität Ihren Onboarding- oder Registrierungsprozess durchläuft, ohne dass legitime Benutzer auf zusätzliche Hürden stoßen.

Vereinbaren Sie eine Demo und entdecken Sie, wie zuverlässige Identitätsprüfung Ihnen hilft, Betrug beim Onboarding in den Griff zu bekommen.