Die Mail sah täuschend echt aus – und war es auch. Eine Swisspass-Kundin erhält eine E-Mail von Swisspass mit dem drängenden Betreff: «Ihr Swisspass-Kundenkonto wird in 30 Tagen gelöscht.» Sie solle sich innert 30 Tagen in ihr Kundenkonto einloggen, um dieses zu behalten. 

Im Hinterkopf meldet sich das Cybersecurity-Training ihres Arbeitgebers: auf zeitlichen Druck achten, Drohkulissen, eine Absenderadresse mit @mailing.swisspass.ch.

Partnerinhalte
 
 
 
 

Sie ruft die Hotline der SBB an. Diese mahnt zur Vorsicht: Es seien viele Phishing-Mails im Umlauf – auch zu dem Thema. Sie solle sich nur über die offizielle Seite bei Swisspass einloggen. 

Fake oder nicht? 

Die Swisspass-Kundin wendet sich an den Beobachter. Auf Nachfrage teilt eine Sprecherin der Alliance SwissPass, der Branchenorganisation des öffentlichen Verkehrs, dem Beobachter mit: Die Mail sei tatsächlich echt.

Swisspass führe seit über einem Jahr «Housekeeping» durch und lösche Logins, die über 18 Monate nicht mehr genutzt worden seien. Das Problem: Phishing-Mails werden immer besser, immer glaubwürdiger und professioneller.

Betrüger seien oft so kreativ, dass Phishing-E-Mails nicht auf den ersten Blick erkennbar seien, teilt Swisspass auf Anfrage des Beobachters mit.

Bei E-Mails oder Posts im Namen von SBB oder Swisspass ist also grundsätzlich Vorsicht geboten.

Für die Kundinnen und Kunden wird es teilweise unmöglich, echte Korrespondenz von Phishing-Versuchen zu unterscheiden.

Auch auf Facebook, Instagram und anderen Social-Media-Plattformen tauchen regelmässig gefälschte Werbeanzeigen und Beiträge im Namen der SBB auf.

Oft werben Betrüger mit SBB-Abos zum Spottpreis oder mit Gutscheinen. Bei E-Mails oder Posts im Namen von SBB oder Swisspass ist also grundsätzlich Vorsicht geboten.

«Grundsätzlich misstrauen»

Nur: Wie können diese Unternehmen tatsächlich mit ihren Kundinnen und Kunden kommunizieren, wenn ihre Glaubwürdigkeit direkt in Frage gestellt wird? Das Unternehmen verfolge zum Schutz der Kundendaten laufend Phishing-Kampagnen und stehe mit dem Nationalen Zentrum für Cybersicherheit im Austausch, um gefälschte Swisspass-Seiten rasch zu sperren, teilt Swisspass mit.

Des Weiteren biete man den Kundinnen und Kunden die Zwei-Faktor-Authentifizierung als zusätzliche Sicherheitsstufe an.

Die SBB raten auf Nachfrage des Beobachters, grundsätzlich E-Mails zu misstrauen, die «Sie unaufgefordert oder unerwartet erhalten». So raten sie betroffenen Empfängern, verdächtige Mails zu löschen oder zu melden, keine Links oder Anhänge zu öffnen, keine persönlichen Daten preiszugeben und bei Unsicherheiten die SBB-Hotline anzurufen.

Diese kostet allerdings 8 Rappen pro Minute – dies kann sich schnell summieren, wenn man wegen einer Mail nachfragen möchte.

Swisspass und SBB geben Tipps, woran man Fake-Mails erkennen kann:
  1. Die Maildomain des Absenders überprüfen, also die Adresse nach dem @-Zeichen. Indiz für eine Phishing-E-Mail ist, wenn Absender und Absenderadresse nicht übereinstimmen, suspekt oder unbekannt sind. Häufig haben die Absenderadressen keinen Bezug zu Swisspass.
  2. Phishing-E-Mails kommen oftmals mit einer generellen Anredeformel daher. Skepsis ist geboten, wenn man am Anfang der Nachricht nicht mit Vor-/Nachnamen angesprochen wird (etwa «Lieber Kunde»). In offiziellen Swisspass-E-Mails spricht das Unternehmen die Kundinnen und Kunden immer mit ihrem Namen an.
  3. In vielen Fällen haben die Links in Phishing-E-Mails keinen Bezug zum Swisspass und deuten so auf eine potenziell gefälschte Webseite hin. 
  4. Vorsicht ist geboten, wenn man zur Angabe von Benutzernamen, Passwörtern oder anderen persönlichen Daten (zum Beispiel Geburtsdatum, Kreditkarte) aufgefordert wird. Dies fordern die Unternehmen nie per Mail oder Telefon an. 
  5. Die SBB raten, die Zwei-Faktor-Authentifizierung als zusätzliche Sicherheitsstufe bei Käufen im Kundenkonto zu aktivieren. 
  6. Verwenden Sie nur sichere Passwörter, die den Mindestanforderungen an die Sicherheit entsprechen.