Sicher haben Sie und Ihre Mitarbeiter bereits „klassische“ Phishing-Mails in Ihren Postfächern gefunden. Beim Absender handelt es sich angeblich um eine Bank, Onlinehändler oder einen „speziellen Dienstleister“. Dieser fordert von Ihnen die Bestätigung von Konto- oder Kreditkartendaten, meist durch Klick auf einen in der E-Mail bereitgestellten Link. Ziel der Angreifer ist es, an Ihre Anmeldeinformationen oder andere vertrauliche Daten zu gelangen.
So veraltet die Methode „Phishing“ erscheinen mag, so erfolgreich ist sie noch immer. Fake-Mails moderner Kampagnen kommen inzwischen so gut gestaltet daher, dass sie selbst für geschulte Anwender nur schwer als solche erkennbar sind. Angreifer investieren aus gutem Grund in immer neue Verbesserungen ihrer Angriffswaffe: Phishing ist nach wie vor ein sehr lukratives Geschäft für Cyberkriminelle. Enormer finanzieller Gewinn bei wenig Arbeit, ein Traum für Hacker. Im Vergleich zu anderen Cyber-Attacken gestaltet sich der Aufwand für Phishing oft sehr gering. Ausgefeilte Programmierkenntnisse sind kaum notwendig. Und wer gar keine Ahnung hat, kann im Darknet auf spezialisierte Anbieter zurückgreifen, die Fake-E-Mails und sogar fertige Kampagnen als Service anbieten.
Selbstverständlich wissen Angreifer, dass die meisten E-Mail-Provider eingehende Nachrichten auf gefährliche Inhalte prüfen und potenzielle Phishing-Mails sofort in den Spam-Ordner verschieben. Um dem zumindest eine gewisse Zeit zu entgehen, werden die Nachrichten laufend verändert. So hat beispielsweise die Corona-Pandemie zu einem signifikanten Anstieg an Phishing-Mails geführt, die sich die Ausnahmesituation zunutze machten. Einfach ausgedrückt haben Betrüger keine Zeit verschwendet, um von den mit der Krise verbundenen Unsicherheiten, Ängsten und Versorgungsengpässen zu profitieren. Das ist aber nichts Neues und geschieht eigentlich bei jedem hot topic, das die Menschen bewegt. Ob Sportereignisse, Naturkatastrophen oder Skandale von Prominenten: Es gibt genug Köder, um Internetnutzer reinzulegen und kräftig abzukassieren.
Doch es geht nicht immer nur ums Geld. Immer öfter bildet Social Engineering im weitesten Sinne den Einstieg für weitere, weitaus komplexere Angriffe. Ransomware (auch Verschlüsselungstrojaner genannt) wird häufig über diese Art von Nachrichten verbreitet. Treffen kann es jeden, jeder ist ein attraktives Ziel. Dabei spielt es keine Rolle, ob Sie ein Großunternehmen führen oder als Einmannbetrieb ihren Geschäften nachgehen. Genau aus diesem Grund sollten Sie davon ausgehen, längst im Visier von Cyberkriminellen zu stehen.
Woran erkennen Sie verdächtige E-Mails?
1. Achten Sie auf die E-Mail-Adresse des Absenders, nicht auf den angezeigten Namen
Lassen Sie sich nicht vom Absendernamen täuschen. Der ist absolut einfach zu fälschen. Schauen Sie sich daher die E-Mail-Adresse an, von der die Nachricht stammt. Sobald seltsame Namen mit vielen Nummern auftauchen, ist das schon verdächtig. Auch wenn der Name des Absenders in der E-Mail-Adresse nicht auftaucht, kann die Nachricht bestenfalls aus dem privaten Bereich kommen – wenn überhaupt. E-Mails von Banken sollten sie grundsätzlich ignorieren. Seriöse Banken hinterlegen Nachrichten immer im Postfach des Kontos – also checken Sie lieber Ihr Konto als dass Sie auf eine gefälschte E-Mail hereinfallen.
2. Überprüfen Sie die Anrede. Sie kann darauf hinweisen, ob der Absender seriös ist, oder nicht
Hinter einem „Dear Customer“ oder „Madame/Sir“ kann sich jeder verbergen. Es muss nicht immer etwas heißen, aber es signalisiert definitiv, dass der Absender nicht wirklich viel über Sie weiß. Allerdings ist es ebenfalls keine Garantie, wenn eine Nachricht Ihren richtigen Namen enthält. Es gibt viele Möglichkeiten, an eine solche Information zu gelangen. Tatsächlich kann sie manchmal aus Ihrer vollständigen E-Mail-ID geschlussfolgert werden. Vielen Anwender nutzen nämlich die Kombination vorname.nachname@... Wenn die E-Mail an niemanden konkretes gerichtet zu sein scheint, wurde sie blind an Sie kopiert – und vermutlich auch an eine beliebige Anzahl weiterer Personen.
3. Erwarten Sie das Schlimmste von angehängten Dateien oder unbekannten Links
Anhänge können Malware enthalten und Links Sie auf eine schädliche Webseite leiten. Wenn Sie misstrauisch sind, öffnen Sie solche E-Mails nicht. Seriöse Dienstleister verschicken keine Nachrichten, bei denen Sie sich über einen eingebetteten Link anmelden müssen. Achten Sie auch besonders auf angehängte Dateien. Sobald sie geöffnet sind, können diese einer anderen Person die vollständige Kontrolle über Ihren Computer ermöglichen, Angriffe auf andere Computer auslösen oder Spam an jeden Kontakt in Ihrem Adressbuch senden. Zudem sollten Mitarbeiter beim Erhalt entsprechender Nachrichten unbedingt die IT-Abteilung darüber informieren.
4. Beachten Sie, ob die E-Mail Grammatikfehler enthält
Häufig sind die Angreifer der Sprache ihrer Opfer nur begrenzt mächtig. Sie nehmen sich nicht die Zeit, Details wie Rechtschreibung und Grammatik ihrer Mails zu prüfen. Es lohnt sich daher, Ihre Mitarbeiter dahingehend zu sensibilisieren. Auffällig viele Tippfehler, fehlende Wörter oder viele grammatikalische Fehler sollten Sie stutzig werden lassen. Ein weiterer deutlicher Hinweis auf eine potenzielle Phishing-Mail sind auch generische Formulierungen wie „Lieber Empfänger“ oder „Lieber Nutzer“. Auch diese sollten ein Warnhinweis für Ihre Mitarbeiter sein.
5. Verdächtige Dringlichkeit? Der Betrüger will, dass Sie in Panik geraten
Wie andere Social Engineering-Methoden auch, versucht Phishing typisch menschliche Eigenarten auszunutzen, besonders gern Unsicherheit und Angst. Häufig enthalten diese Nachrichten daher Aussagen, die die Dringlichkeit der Angelegenheit unterstreichen – zum Beispiel, weil sonst ein Paket an den Absender zurückgeschickt, ein Account gelöscht oder ein Konto geschlossen wird.
Weisen Sie Ihre Mitarbeiter darauf hin, dass Banken, Paketdienstleister, Behörden und selbst interne Abteilungen auch in dringlichen Angelegenheiten E-Mails immer sachlich und neutral formulieren. Machen Sie deutlich, dass es sich bei einer Nachricht, die versucht Unsicherheit auszulösen, mit aller Wahrscheinlichkeit um einen Phishing-Versuch handelt.
6. Das Angebot klingt zu gut, um wahr zu sein? Dann ist es das wohl auch
Sensibilisieren Sie Ihre Mitarbeiter vor vermeintlichen Super-Deals im Netz. Das gilt für Geschenke oder Gewinne, die durch Social Media-Posts versprochen werden und für die der Nutzer angeblich „überhaupt nichts“ tun muss. Gleiches gilt für Mails, die eine „todsichere Gelegenheit, Geld anzulegen“ versprechen.
7. Seltsame Zeit. Phishing-E-Mails landen häufig gegen 4 Uhr morgens in Ihrer Mailbox
Klar, einige Ihrer fleißigen Kollegen oder Bekannte mögen zu dieser Stunde tatsächlich E-Mails versenden. Die Wahrscheinlichkeit spricht aber dagegen – und wenn Sie andere oben erwähnte verdächtige Aspekte entdecken, seien Sie besonders vorsichtig.
8. Der Betreff unterscheidet sich von der Nachricht. Das sollte Sie sofort warnen
Der Betreff lautet Äpfel, im Text werden jedoch nur Orangen erwähnt? Häufig hat der Betreff einer Phishing-E-Mail nichts mit der Nachricht zu tun. Oder es werden Dienstleistungen erwähnt, für die Sie sich nie interessiert haben.
Angriffe mithilfe von sogenannten „Homoglyphen“. Homoglyphisches Phishing basiert darauf, Zeichen in Adressen durch solche zu ersetzen, die ähnlich aussehen – oder sogar optisch identisch sind. Ihre Identifikation ist besonders erschwert, wenn diese aus dem Zusammenhang nicht erschlossen werden kann. Eine Null und ein „O“ lassen sich beispielsweise nur schwer unterscheiden.
Solche Angriffe sind für Benutzer äußerst gefährlich, da die Wahrscheinlichkeit, in die Falle zu tappen, sehr hoch ist. Wie bei dem Angriff auf PayPal-Benutzer, bei dem die Adresse die „richtigen Buchstaben“ aus dem lateinischen Alphabet enthielt – mit zwei Ausnahmen. Die Angreifer ersetzten beide Instanzen des Buchstabens P durch ein ähnliches „P“, jedoch aus einem anderen Alphabet. Der mutmaßliche Buchstabe „P“ stammte aus dem russischen Alphabet, wo er dem Buchstaben R entspricht. Bei dieser Art von Angriff sind Sie auf Schutztechnologien angewiesen.