Phishing – Versuche und ihr Erscheinungsbild

Phishing

Gerade in Zeiten wie diesen versuchen immer mehr Cyberkriminelle die Situation für sich zu nutzen. Insbesondere der E-Mail-Betrug läuft in solch schwierigen Phasen – wie der Corona-Pandemie – auf „Hochtouren“. Neben dem regulären Spam, wie „Kaufe jetzt billig Klopapier“ oder „DU müssen billig Maske kaufen, weil Corona“ gibt es eben einige weitere Phishing-Methoden. Wie sowas aussieht, zeigen wir anhand eines Beispiels. Hier heißt es erkennen, verstehen und im Zweifel stets die IT-Abteilung oder sonstige, klar definierte Ansprechpartner im Hause des Arbeitgebers, einbeziehen. Zur Prävention oder zum richtigen Umgang sollte auch stets frühzeitig beim Datenschutzbeauftragten angeklopft werden.

Vorsicht Phishing!

Phishing

E-Mail-Versender

Es wird eine E-Mail-Adresse angezeigt, in Wahrheit wurde die E-Mail allerdings von einer völlig anderen Adresse/Domain versendet. Wachsam sein – Phishing-Mail!

E-Mail-Empfänger

Der E-Mail-Empfänger wird regelmäßig über eine Adresse angeschrieben, die öffentlich bekannt ist. Dies kann z. B. eine Adresse aus dem Impressum oder von einer Unterseite der Webseite sein. Typisch ist auch ein flächendeckender Versuch an unterschiedlichste Empfänger, wenn es nicht bei aMustermann@… Klappt, dann wird es mit bMustermann@… oder cMustermann@… versucht. Irgendwo landet die E-Mail schon bei einem „passenden Empfänger“ für den Phishing-Versuch.

E-Mail-Anrede

Nicht selten wird etwas dergestalt der Empfänger angeschrieben wie „Sehr geehrter Dame/Herr“ oder als Anrede die E-Mail-Adresse bzw. etwas allgemein Passendes wie „Sehr geehrter Telekom-Kunde“ oder „Sehr geehrter Bank-Kunde“ verwendet. Ganz klares Zeichen von Corona-Spam bzw. Spam im Allgemeinen und einem Phishing-Versuch.

Typische Dienste

Im Beispiel wird der 1&1-Dienst verwendet. Es könnte sich dabei um zahlreiche andere Dienste handeln, bevorzugt werden solche verwendet, die einen möglichst hohen Kundenkreis haben. Ergebnis: Phishing-Versuch.

Sprache

Ein schlechtes Sprachbild, z. B. Wechsel zwischen „Du“ und „Sie“ oder eine Fremdsprache sind ebenfalls Indizien für eine Phishing-Mail.

Druck – Eilig

Hinweise zu einer besonderen Eilbedürftigkeit, egal ob es sich um ganz unglaublich tolle Schnäppchen handelt oder ansonsten z. B. ein Dienst in kürzester Zeit abgestellt wird, sind auch gängige Hinweise für eine Phishing-Mail. Hier heißt es aber „gründlich prüfen“, denn nicht jede eilbedürftige E-Mail ist gleich auch ein Phishing-Versuch, sondern regelmäßig wirklich etwas Dringliches. Wenn der Versender der E-Mail bekannt ist und man eine gewisse Skepsis hat, dann sollte man einfach mal zum Telefonhörer greifen. Für sehr wichtige Fällen lässt sich vorher auch eine Authentifizierungsmethode absprechen und verwenden.

Impressum

Auch im Impressum bzw. in der vermeintlichen Signatur finden sich regelmäßig Hinweise, die den Verdacht einer Spam-Nachricht / eines Phishing-Versuches bestätigen können.

Verifizierung – Lockversuch auf eine Webseite

Die Aufforderung auf eine Webseite zu gehen, sich dort zu registrieren, zu verifizieren oder dringlich etwas einzutragen ist der absolute Klassiker. So kommen „die Bösewichte“ so ziemlich am besten an die Daten des betroffenen Empfängers der E-Mail. Hier heißt es ebenfalls aufpassen und sofern eine Notwendigkeit gesehen wird, lieber die bekannte Webseite in den Browser eintippen anstatt auf einen solchen Direktlink zu klicken. Beim kleinsten Anzeichen: Bei der IT oder beim Vorgesetzten absichern.

Fazit

Wer richtig in Datenschutzschulungen oder Schulungen zur IT-Sicherheit zuhört, der weiß auch an wen er sich bei möglichen Gefahren im Unternehmen wenden muss. Für den Fall, dass bereits etwas „in die Hose gegangen ist“ helfen Notfallszenarien (Notfallhandbuch, Notfallkonzept etc.). Dieses Wissen und die daraus gewonnene Erfahrung kommt letztendlich auch jedem Betroffenen zugute, egal ob er im Unternehmen, auf Dienstreise, im Homeoffice arbeitet oder gerade privat im Internet surft und E-Mails erhält. Falls nicht, sollte dringend Kontakt zu Beratungsorganen im oder außerhalb des Unternehmen aufgesucht werden.

Niemals auf dubiose E-Mails antworten oder Links anklicken, die sich in den E-Mails befinden. Wenn eine E-Mail, z. B. für eine Verifizierung oder das Zurücksetzen eines Passwortes, explizit angefordert wurde, sollte stets die E-Mail auf Ihre Echtheit und Vertrauenswürdigkeit geprüft werden. Einige Beispiele haben wir für Sie aufgelistet. Im Zweifelsfall lieber auf professionelle Hilfe setzen als am Ende vor einem Chaoshaufen zu stehen.

Haben Sie noch Fragen zu dieser Thematik? Brands Consulting hilft Ihnen gerne weiter. Wir bieten Ihnen kompetente und fachkundige Unterstützung rund um den Bereich Datenschutz. Kontaktieren Sie uns und holen Sie sich ein auf Ihre Bedürfnisse abgestimmtes, unverbindliches und kostenloses Datenschutz-Angebot bei uns ein.

Nützliche Dienstleistungen können z. B. sein:

Unser Dienstleistungsangebot offerieren wir:

  • Unternehmen / Firmen [Einzelunternehmen, kleine und mittelständische Unternehmen (KMU) und Konzerne]
  • Behörden und Körperschaften des öffentlichen Rechts
  • Stiftungen bzw. Gesellschaften in kirchlicher Trägerschaft [unter Anwendung des Datenschutzgesetzes der Evangelischen Kirche in Deutschland (DSG-EKD) bzw. das Gesetz über den Kirchlichen Datenschutz (KDG)]
  • Vereinen / Verbänden
  • sowie in Einzelfällen interessierten Privatpersonen