Schutz vor Phishing, Schadsoftware und Betrug per E-Mail

Schützen Sie Ihre Geräte durch die Installation der Sicherheitsupdates Ihrer Software

Nicht selten erhalten wir Office-Dokumente per E-Mail, die mit einem bestimmten Programm geöffnet oder bearbeitet werden müssen. Diese Programme stehen im Fokus der Angreifer. Über die Zeit werden Schwachstellen an diesen Produkten entdeckt, die die Hersteller auch übrlicherweise unmittelbar mit Security-Updates Ihrer Produkte schließen. Diese Updates werden kostenneutral angeboten und sind oft schnell erledigt.

Wenn Du auf diese Updates verzichtest, können Angreifer diese Schwachstellen ausnutzen. Man könnte Dir eigens dafür manipulierte Dateien zusenden, die diese Schwachstellen ausnutzen und dem Angreifer so Zugriff zu Dienem System verschaffen.   

Jedes System arbeitet mit einem grundsätzlichen Betriebssystem, auf welchem die eigentlichen Nutzprogramme laufen. Bei einem sehr großen Teil der Arbeitsplätze in Deutschland ist das eine Windows Version. Es könnte auch auch ein Mac-OS oder ein Linux Betriebssystem sein. Für alle gilt dasselbe, wie für die Nutzprogramme auch - sie müssen aktuell gehalten werden und Sicherheitspatches müssen installiert werden, damit Angriefer die über die Zeit offen gelegten Schwachstellen nicht ausnutzen können. Aktualisiere regelmäßig, am Besten automatisch Dein Betriebsystem auf sämtlichen System, Smartphones, Tablets, Fernseher usw. (einfach jedes Gerät dass bei DIr am Internet hängt).

Der Große Fokus bei den Software-Updates und Sicherheitslücken liegt natürlich beim E-Mail Client. Also der Software mit der Du Deine E-Mails liest.

Für die Meisten dürfte hier Outlook eingesetzt werden. Es gibt aber auch jede Menge nicht kommezielle Software, gerade auch im Smartphone App-Bereich. Achte auf ein aktuelles E-Mail Programm, wenn Du Deine Mails abholst und liest.

Da Deine E-Mails wie bei allen anderen auch voller Internet-Links sind und Du auch regelmäßig welche davon anklicken musst, musst du ganz Besonders auch auf den Einsatz eines aktuellen Browser achten. Dein Brwoser ist die Software mitder Du Websites öffnest. In den meisten Fällen ist das Chrome von Googel, Firefox von Mozilla, der Apple Safari oder der Microsoft Edge. Hier gibt es Aufrund der komlexität und der Internetnähe besonders oft Sicherheitslücken zu schließen. Achte ganz besonders auch hier auf regelmäßige Aktualisierung

Denken Sie auch an Ihre mobilen Geräte

Lesen Sie Ihre E-Mails auch auf dem Smartphone oder Tablet?

Denken Sie an Nachrichten die Sie über Soziale Netzwerke erhalten. Aktualisieren Sie alle Apps.

Wussten Sie, dass man beim Empfang einer E-Mail als Empfänger, nie pauschal sicher sein kann, dass der Absender die E-Mail auch wirklich verfasst hat?

Also, dass weder der Name, noch die Absender-Adresse stimmen muss …

Erklärung: Es ist ohne Aufwand möglich eine Email von irgendwo per SMTP an einen Mailserver zu übermitteln und dabei für das „From“ eine frei wählbare Absender Adresse und Namen einzutragen, die vielleicht auch jemand anderen gehört. Jeder Mensch auf der Welt kann also Emails in Ihrem Namen und mit Ihrer E-Mail Adresse versenden. Es kommt auf den empfangenden Mailserver an, ob die E-Mails angenommen oder verworfen werden. Beim Empfang einer E-Mail von einem anderen Mailserver, kann Ihr Mailserver die Absender-Domain anfragen, ob dieser Mailserver berechtigt ist E-Mails für die Domain zu versenden. Ist Ihr Mailserver unvollständig konfiguriert kann es sein, dass sogar Phishing E-Mails in Ihrem Postfach landen, die angeblich aus der eigenen Firma stammen – z. B. von der Geschäftsleitung o. ä. oder von anderen Unternehmen.

Mein Empfehlung: Verlasse Dich also nicht pauschal darauf, dass der angegebene Absender auch wirklich der Absender ist!

Man muss sich bei E-Mails ohne Digitale Signatur des Absenders immer die Frage stellen, ob das Ganze Sinn ergibt und lieber ein Mal mehr bei Absender nachfragen, falls Zweifel am Inhalt der Mail bestehen, gerade wenn es um Aufforderung geht etwas bestimmteszu tun oder anzuklicken.   

Wussten sie aber, dass man bereits beim Öffnen der HTML E-Mails, auch schon der Vorschau, zusätzliche Ressourcen wie z.B. Bilder vom Internet-Server des Erstellers der E-Mail herunter lädt und diesem somit vieles über sich selbst preisgibt?

Es wurde schon längst zum privaten und zum Business-Standard, dass Emails nicht nur den einfachen Text des Absenders wiedergeben sondern mit Schriftarten und Größen sowie zusätzlichen Bildern ausgeschmückt werden, oft auch in der Signatur des Absenders als Unternehmslogo o. ä. In fast allen Fällen sind daher bei den Anwedern HTML-Nachrichten aktiviert.

Erklärung: Es ist eine Einstellung Deines E-Mail Programms z. B. Outlook, ob die Bilder in einer E-Mail automatisch heruntergeladen werden, oder zunächst eine Warnung angezeigt wird. HTML-Emails sind im Grunde auch nur Web-Sites die im E-Mail Programm angezeigt werden. Lädt man die Inhalte, die der HTML-Code an der Position der Bilder referenziert herunter, stellt Ihr Computer eine Anfrage per http/https an die betreffenden Webserver, um die Bilder zu bekommen. Das ist zu werten wie einen regulären Webseitenbesuch mit Ihrem Browser.

Der Anbieter der Website erhält dadurch bereits zahlreiche Informationen über Sie: Ihre IP-Adresse, Informationen über Ihre Spracheinstellungen, Browser-Versionen, die Zeit der Betrachtung, etc.

Betrüger verstecken oft winzig kleine, oder unsichtbare Bilder in in Phishing-Emails, sodass es Ihnen als Betrachter nach dem Download der Bilder auch nicht auffällt, dass zusätzlich zu den sichtbaren Bildern der erwarteten Domain, auch Bilder einer anderen Domain (der des Angreifers) heruntergeladen werden.

Mein Tipp: Lade die Bilder der HTML E-Mails immer nur bewusst herunter. Deaktiviere den automatischen Download in allen Mail Programmen. Vergiss dabei nicht ihr Smartphone! So entscheidest Du, wer diese Informationen über Dich erhält.

Wusstest Du, dass der Text und die Anhänge einer E-Mail grundsätzlich unverschlüsselt kommuniziert und gespeichert werden?

Also, dass jeder Knoten (Server Sender, Server Empfänger, Hacker, …) auf der Strecke zum Empfänger Ihrer E-Mail die Inhalte einsehen und sogar verändern kann, ohne dass Sie es bemerken.

Erklärung: Oftmals werden lediglich die Kommunikationswege verschlüsselt auf denen die E-Mails ausgetauscht werden. Davon kann man zwischen Mail-Servern in Deutschland heutzutage ausgehen. Die Wege von den Mailservern zu den Absendern oder Empfängern werden aber oft von den Anwedern konfiguriert und sind daher anfällig für die Konfiguration unsicherer Protokolle (ohne Verschlüsselung).

Die eigentlichen E-Mails werden im Klartext versendet und empfangen entsprechend zwischengelagert und endgespeichert. Ein Angreifer, der Zugang zu den rot markierten Speicherorten in der Skizze erlangt, oder gar als Zwischenknoten agiert, erhält alle Informationen und kann diese auch verändern. Eine echte E-Mail-basierte Ende-Zu-Ende Verschlüsselung, wird nur in äußerst seltenen Fällen eingesetzt.

Mein Tipp: Kommuniziere per E-Mail NIEMALS schützenswerte Informationen. Keine persönlichen Daten, keine Passwörter, keine geheimhaltungswürdigen Anhänge. Selbst wenn die Übertragung nicht sofort abgefangen wird, sind die Postfächer auf beiden Seiten Jahre später noch zukünftigen Angriffen ausgesetzt, die diese E-Mails im Klartext zugänglich machen.

Wenn Du mit Ihren Kommunikationspartnern keine Schlüssel ausgetauscht hast, wird mit großer Wahrscheinlichkeit höchstens der Transportweg verschlüsselt oder gänzlich unverschlüsselt kommuniziert. Auf die vollständige Verschlüsselung der kompletten Kommunikation hast Du alleine keinen Einfluss. Damit Du sicher Ende-zu-Ende verschlüsselt E-Mail austauschen kannst, müssen Schlüsselpaare erzeugt und getauscht werden. Sender und Empfänger müssen diese in ihr jeweiliges E-Mail Programm importieren. Die E-Mais tragen dann entsprechend ersichtliche Markierungen oder sind zunächst nicht lesbar bis sie entschlüsselt werden, je nach Prinzip. Siehst Du also keine Merkmale und kannst Du die E-Mails im Klartext lesen, wird nicht Ende-zu-Ende verschlüsselt.

In dieser Lektion geht es darum zu erlernen, wie man E-Mails richtig auf die Fallen des Phishings untersucht, also wie man erkennt, ob eine E-Mail tatsächlich echt ist, oder nicht.

Schütze Dich und Andere im Unternehmen durch eine Meldung verdächtiger E-Mails an die IT-Abteilung

Es hat sich herausgestellt, dass sich das Risiko durch Angriffe mit Schadsoftware für ein Unternehmen signifikant reduzieren lässt, wenn Vorfälle unmittelbar zentral gemeldet werden und somit reagiert werden kann.

Meine Empfehlung: Wenn Du nicht weißt, an wen Du identifizierte Phishing Mails weiterleiten kannst, informiere Dich oder frage die Kollegen! Das ist im Grunde genommen so ähnlich, wie zu wissen wo der Sani-Koffer oder der Feuerlöscher installiert ist. Leite Mails weiter, die Du als Phishing erkannt hast. Leite auch weiter, wenn Du Dir unsicher bist. Eine IT-Abteilung kann bei entsprechender Häufung oder bei Betrachtung des gessamten Empfängerkeises bestimmter Phishing-Versuche bei Bedarf reagieren und Schutzmaßnahmen ergreifen. Diese E-Mail dienen am Ende auch der Nachvollziehbarkeit, wenn Dein System einen Angriff ausgesetzt ist und nicht mehr zugänglich ist.

Du hast  das Ende des Online-Kurses erreicht

Herzlichen Glückwunsch!

Nun wünsche ich Dir viel Erfolg für das abschließende Quiz auf Basis der hier behandelten Themen.

Wie geht es weiter? Melde Dich doch gerne ergänzend auf meiner Plattform für ein kostenloses und unverbindliches Phishing-Training mit Deiner eigenen E-Mail Adresse an um alles sicher und praktisch zu trainieren:

https://secureit.icu/wp/training