Der Homographen-Angriff – Das č, das aussieht wie ein c: wie eine gefälschte Rechnung Sie täuschen will

Die Nachricht wirkt tadellos. In Deutschland kursieren in den letzten Tagen Millionen von gefälschten IONOS-Rechnungen. Vorab: IONOS kann nichts dafür und ist selber Opfer. Im Kopf das blaue Logo, daneben der Satz, Ihre IONOS-Rechnung vom 12. Juli sei da, eine Kundennummer, ein Betrag von 48 Euro, ein Knopf, der die Rechnung zeigen soll. Wer eine solche Firma als Anbieter hat, klickt in einem unbedachten Moment. Und genau auf diesen Moment ist alles gebaut.

Denn die Adresse, von der die Nachricht kommt, ist nicht die echte. Sie sieht nur so aus. In dem, was wie ionos.com erscheint, steckt kein gewöhnliches o, sondern ein griechisches Omikron, und in dem, was wie das Endstück com aussieht, kein gewöhnliches c, sondern ein tschechisches c mit Häkchen, das č. Für das Auge sind noreply@ionos.com und noreply@iοnos.čom kaum zu unterscheiden. Für den Rechner sind es zwei völlig verschiedene Adressen. Man nennt das einen Homographen-Angriff. Er nutzt fremde Schriftzeichen, die den lateinischen Buchstaben täuschend ähnlich sehen, um bekannte Namen nachzubauen.

René Descartes stellte sich einst einen bösartigen Geist vor, der alle seine Kräfte darauf verwende, ihn zu täuschen, und setzte ihm den Zweifel als Methode entgegen: nichts für wahr halten, was die Prüfung nicht überstanden hat. Genau das ist hier verlangt, das genaue Hinsehen, bevor man handelt.

Die Fälschung trägt noch weitere Zeichen, wenn man sie sucht. Der Text ist mit zufälligen Buchstaben durchsetzt, mitten in den Wörtern, was kein Schreibfehler ist, sondern Absicht: So umgeht die Nachricht die Filter, die Spam erkennen sollen. Die Unterschrift nennt einen angeblichen Vorstandschef, dessen Name im echten Unternehmen manchmal existiert, manchmal nicht . Auch die Empfängeradresse ist verstümmelt. Und die Nummern, die Vertrauen stiften sollen, die Rechnungs- und die Vertragsnummer, sind frei erfunden. In diesem Fall verrät sich der Betrug sogar durch sich selbst, denn die Rechnungsnummer im sichtbaren Kopf und jene im Text stimmen nicht überein. Wer prüft, findet den Riss.

Die technische Wahrheit dahinter ist rasch erzählt und überführt. Die wahre Absenderadresse lautet, in ihrer maschinenlesbaren Form, xn--inos-0nd.xn--om-dma. Das ist die nüchterne Schreibweise einer internationalisierten Adresse, die Programme wieder in hübsche Buchstaben zurückverwandeln. Eben diese Rückverwandlung machen sich die Betrüger zunutze, damit aus der Ferne etwas erscheint, das wie der vertraute Name aussieht.

Ein guter Trick ist auch: Klicken Sie einfach auf „Antworten“ und schauen Sie sich die E-Mail-Adresse des Absenders genau an.

Daraus folgt eine schlichte Ordnung der Vorsicht, die keinen Fachmann verlangt. Prüfen Sie, bevor Sie einen Link anklicken oder Daten in ein Feld eingeben, und prüfen Sie genau. Sehen Sie sich die Absenderadresse Zeichen für Zeichen an, nicht flüchtig, sondern Buchstabe für Buchstabe. Vergleichen Sie die Angaben mit dem, was Sie sicher wissen, in diesem Fall Ihre Kundennummer, die Sie in Ihren Unterlagen finden. Stimmt sie nicht, ist die Sache entschieden. Und wenn ein Rest an Unsicherheit bleibt, gibt es eine letzte, unbestechliche Kontrolle: Rufen Sie bei Ihrem Vertragspartner an und fragen Sie, ob diese Rechnung wirklich von dort stammt. Ein Telefonat kostet Minuten, ein falscher Klick kann Sie Ihr Passwort und mehr kosten.

Haben Sie bereits geklickt und Daten eingegeben, dann ändern Sie sofort Ihr Passwort bei dem betroffenen Anbieter und schalten Sie, falls noch nicht geschehen, die Bestätigung in 2 Schritten ein. Öffnen Sie keine Anhänge, folgen Sie keinen Verweisen, löschen Sie die Nachricht oder melden Sie sie als Betrug. Diese Fälschung ist so grob gemacht, dass ein wacher Mensch sie erkennt. Doch sie wird millionenfach verschickt, und die Rechnung der Betrüger geht schon auf, wenn nur wenige stolpern. Gegen sie hilft nur das eine: erst zweifeln, dann klicken, und im Ernstfall lieber einmal zu viel nachfragen als einmal zu wenig.