Phishing und Social Engineering: Abwehr

Kryptowerte werden fast nie durch „Hacking“ im Hollywood-Sinne gestohlen. Wallets werden geleert, weil ihre Besitzer überredet, getäuscht oder gedrängt wurden, den Zugriff herauszugeben – eine Seed-Phrase auf einer gefälschten Seite eingetippt, eine bösartige Transaktion ohne Lesen bestätigt, einem „Support-Mitarbeiter“ fünf Minuten zu lange vertraut. Phishing-Abwehr ist daher kein Software-, sondern ein Gewohnheitsproblem, und eine kleine Menge unnachgiebiger Gewohnheiten stoppt nahezu alles davon.

Warum gerade Sie ein Ziel sind

In Krypto zahlt sich ein erfolgreiches Phishing sofort, unumkehrbar und pseudonym aus. Es gibt keine Bank, die die Überweisung zurückholt, und keine Betrugsabteilung, die man anrufen könnte. Diese Ökonomie hat ein industrielles Ökosystem hervorgebracht: Entwickler von Phishing-Kits verkaufen „Drainer“-Software an Affiliates, die die eigentlichen Kampagnen fahren und die Beute teilen. Von einzelnen Drainer-Operationen ist dokumentiert, dass sie Dutzende Millionen US-Dollar von Tausenden Opfern stahlen, bevor sie schlossen und sich unter neuem Namen neu aufstellten.

Angreifer müssen Sie nicht persönlich ins Visier nehmen. Sie werfen weite Netze aus – vergiftete Suchanzeigen, Massen-DMs, gefälschte Airdrop-Ankündigungen – und lassen die Opfer sich selbst auswählen. In dem Moment, in dem Sie einem Krypto-Discord beitreten, Krypto-Konten folgen oder eine öffentliche Transaktion signieren, gelangen Sie in den Pool. Gehen Sie davon aus, dass jeder unaufgeforderte krypto-bezogene Kontakt feindlich ist; damit liegen Sie weit öfter richtig als falsch.

Die Angriffsmuster, die Wallets tatsächlich leeren

Die Standardtricks zu erkennen ist wichtiger als jedes Tool.

Gefälschte Websites und vergiftete Suchergebnisse

Angreifer kaufen Suchanzeigen oder registrieren ähnlich aussehende Domains (unlswap für uniswap, Varianten mit Bindestrich oder falscher Schreibweise), die eine echte Wallet-, Börsen- oder DeFi-Seite pixelgenau klonen. Alles funktioniert – bis Sie eine Wallet verbinden und signieren oder Ihre Wallet „wiederherstellen“, indem Sie Ihren Seed eingeben. Nach einer Krypto-Seite zu suchen und auf das oberste Ergebnis zu klicken ist einer der verlässlichsten Wege, geleert zu werden.

Gefälschter Support

Sie posten im Discord eines Projekts oder antworten einer Börse in sozialen Medien und bitten um Hilfe. Binnen Minuten schreibt Ihnen der „Support“ per DM, mitfühlend und professionell, mit einem Link zu einem „Validierungsportal“ oder der Bitte um Ihre Wiederherstellungsphrase, um Ihre Wallet zu „resynchronisieren“. Echter Support schreibt nie zuerst per DM, fragt nie nach einer Seed-Phrase und braucht nie, dass Sie etwas signieren, um ein Anzeigeproblem zu beheben. Diese Masche hält sich, weil sie bei klugen, gestressten Menschen funktioniert.

Bösartige Signaturen und Drainer

Moderne Drainer fragen selten nach Ihrem Seed. Stattdessen präsentieren sie eine Wallet-Signaturanfrage, die routiniert aussieht – ein „Claim“, „Mint“, „Eigentum verifizieren“ oder eine gasfreie Off-Chain-Signatur –, aber tatsächlich Übertragungsrechte über Ihre Token und NFTs gewährt. Eine einzige bestätigte Signatur kann das Abräumen ganzer Vermögenskategorien autorisieren. Die Abwehr ist, zu lesen, was die Wallet tatsächlich sagt: Legitime „Anmelden“-Signaturen bewegen nichts und kosten nichts; alles, was Freigaben, Permits, setApprovalForAll oder konkrete Token-Beträge erwähnt, verdient volle Aufmerksamkeit. Moderne Wallets simulieren Transaktionen zunehmend und warnen „Das gibt X die Erlaubnis, Ihre Token zu bewegen“ – behandeln Sie diese Warnungen als Feueralarm, nicht als Pop-ups, die man wegklickt.

Address Poisoning und Clipboard-Hijacking

Zwei Angriffe auf die Copy-Paste-Gewohnheit. Beim Address Poisoning sendet ein Angreifer Transaktionen mit Kleinstbeträgen (Dust) von einer Adresse, die so gestaltet ist, dass sie in den ersten und letzten Zeichen mit einer von Ihnen häufig genutzten Adresse übereinstimmt, in der Hoffnung, dass Sie sie später aus Ihrem Transaktionsverlauf kopieren. Clipboard-Malware geht weiter: Sie ersetzt unbemerkt jede kopierte Krypto-Adresse durch die des Angreifers. Beides wird auf dieselbe Weise vereitelt – prüfen Sie vor dem Senden mehr als nur die Enden einer Adresse und bestätigen Sie sie auf dem Bildschirm Ihrer Hardware-Wallet, den Malware nicht verändern kann.

Vorwände mit Dringlichkeit und Angst

„Ihre Wallet wird gesperrt.“ „Migrationsfrist heute Abend.“ „Sie haben einen kompromittierten Token erhalten – klicken Sie, um ihn zu entfernen.“ „Der Airdrop schließt in 2 Stunden.“ Dringlichkeit ist der tragende Bestandteil nahezu jedes Phishings, weil gehetzte Menschen die Überprüfung überspringen. Die Folgerung ist eine der wertvollsten Regeln in Krypto: Es gibt keinen legitimen Krypto-Notfall, der verlangt, dass Sie innerhalb der nächsten zehn Minuten etwas signieren. Alles, was wirklich Ihnen gehört, gehört Ihnen auch noch, nachdem Sie langsamer gemacht und geprüft haben.

Höherwertige Ziele werden maßgeschneidert behandelt: gefälschte Vorstellungsgespräche mit einem „Programmiertest“, der Malware installiert, gefälschte Podcast- oder Partnerschaftseinladungen mit einer vergifteten Meeting-App, kompromittierte Konten echter Freunde, die Sie bitten, ihr neues Projekt zu testen. Das Erkennungszeichen ist die Bitte: Irgendwann werden Sie dazu gelenkt, Software auszuführen, einen Link anzuklicken oder etwas zu signieren. Der Beziehungsaufbau vor diesem Moment ist der Angriff.

Die Gewohnheiten, die sie stoppen

Nichts davon erfordert technisches Können. Alles davon erfordert Konsequenz.

Lesezeichen, niemals Suche. Pflegen Sie Lesezeichen für jede Börse, Wallet und DeFi-Seite, die Sie nutzen, einmal sorgfältig angelegt, und nutzen Sie ausschließlich diese. Tippen Sie nichts, klicken Sie keine Anzeigen an, folgen Sie keinen Links aus Nachrichten – auch nicht solchen, die scheinbar vom echten Dienst stammen.
Behandeln Sie alle DMs als feindlich. Stellen Sie Discord und Telegram so ein, dass DMs von Nicht-Freunden blockiert werden. Wer Sie zuerst zu Krypto kontaktiert – Support, Gewinnspiele, „Sie wurden ausgewählt“ –, ist ein Angreifer, bis das Gegenteil bewiesen ist, und das Gegenteil zu beweisen heißt, die Organisation selbst über einen mit Lesezeichen gespeicherten Kanal zu kontaktieren.
Die Seed-Phrase-Regel ist absolut. Sie wird bei bewusster Einrichtung oder Wiederherstellung in eine Wallet getippt und nirgendwo sonst. Nicht auf Websites, nicht in Formulare, nicht jemandem vorgelesen. Es gibt keine Ausnahmen; jede behauptete Ausnahme ist die Betrugsmasche.
Lesen Sie jede Signatur. Wissen Sie, was sie bewirkt, bevor Sie in Ihrer Wallet etwas bestätigen. Verlangt eine Seite, die Sie nur besuchten, um einen Artikel zu lesen, eine Signatur, verlassen Sie sie. Verlangt ein „Claim“ Token-Freigaben, schließen Sie ihn. Können Sie nicht erklären, was eine Anfrage tut, kostet Sie das Ablehnen nichts – diese Asymmetrie gilt es auszunutzen.
Prüfen Sie Adressen richtig. Prüfen Sie mindestens 8–10 Zeichen verteilt über Anfang, Mitte und Ende, oder besser noch die vollständige Adresse auf dem Display einer Hardware-Wallet. Senden Sie bei jedem neuen Empfänger einer nennenswerten Überweisung zuerst einen kleinen Testbetrag – 5 US-Dollar Gebühren sind eine günstige Versicherung für eine Überweisung von 5.000 US-Dollar.
Legen Sie eine Abkühlphase fest. Jede Anfrage, die Dringlichkeit erzeugt, bekommt automatisch eine Wartezeit – schon 15 Minuten brechen den Bann. Knappheit plus Countdown ergibt Phishing, fast immer.
Begrenzen Sie den Schadensradius. Führen Sie riskante, neuartige Interaktionen (neue Mints, unbekannte dApps) aus einer separaten Wallet durch, die nur das enthält, was diese Interaktion braucht, damit eine schlechte Signatur Ihre Hauptgelder nicht erreichen kann.

Wenn es Sie erwischt hat – oder fast

Haben Sie etwas Verdächtiges signiert, aber es sind noch Gelder da, handeln Sie sofort: Widerrufen Sie die erteilten Freigaben und verschieben Sie Vermögenswerte in eine saubere Wallet, die wertvollsten zuerst. Wurde Ihre Seed-Phrase offengelegt, ist die Wallet dauerhaft verbrannt – migrieren Sie jetzt alles in eine frisch erzeugte Wallet; Drainer automatisieren das Abräumen oft binnen Minuten.

Hüten Sie sich dann vor der zweiten Welle: „Recovery-Dienste“, die Opfer kontaktieren und versprechen, gestohlenes Krypto gegen eine Vorauszahlung zurückzuholen. Bis auf seltene Ausnahmen durch Strafverfolgung ist gestohlenes Krypto nicht wiederbeschaffbar, und Recovery-Angebote sind ein Folgebetrug, der Menschen in ihrer größten Verzweiflung anvisiert. Melden Sie den Diebstahl der imitierten Plattform und den Strafverfolgungsbehörden, bewahren Sie Belege auf und zahlen Sie niemandem, der verspricht, Ihre Kryptowerte zurückzuholen.