Fast jeder hat schon einmal eine Spam-Mail in seinem E-Mail Postfach gehabt. Schließlich haben sie eine lange Tradition, da gibt es die lustigsten Geschichten: Gewinnspiele, vermeintliche Abmahnungen, Verwandte, Viagra-Bestellungen, Kontozugriffe, Passwortänderungen, Rechnungen oder Angebote… aber eines haben sie alle gemeinsam – sie wollen einen in die Irre führen.

So eine Spam-Mail kann aber auch täuschend echt sein, besonders, wenn scheinbar private Daten enthalten sind. Vor einiger Zeit habe ich zwei solcher Spam-Mails erhalten und möchte sie nun hier auf dem Blog vorstellen um zu zeigen, woran man erkennt, dass diese Mails falsch sind. Auf keinen Fall sollte man auf so eine Mail antworten (dadurch bestätigt man die Existenz seiner Adresse) oder gar persönliche Informationen wie Passwörter oder Bankdaten eingeben. Wo wir dann auch beim sog. Phishing wären.

Unter dem Begriff Phishing versteht man Versuche, über gefälschte Webseiten, E-Mails oder Kurznachrichten an persönliche Daten eines Internet-Benutzers zu gelangen und damit Identitätsdiebstahl zu begehen. Ziel des Betrugs ist es, mit den erhaltenen Daten beispielsweise Kontoplünderung zu begehen und den entsprechenden Personen zu schaden. (https://de.wikipedia.org/wiki/Phishing)

Lest euch zunächst die folgende Mail durch und stellt euch vor, euer Name und Adresse würde auf den verpixelten Flächen stehen. Wie wirkt das auf euch?

Beispiel 1: Rechnung von Online24 Pay AG (mit Zip als Anhang)

Oh, aber werfen wir mal einen genaueren Blick darauf. Grundsätzlich werden keine Abmahnungen per E-Mail verschickt, man sollte also von Anfang an skeptisch sein.

1. Online24 Pay AG In Google eingegeben, und keinerlei Informationen über so ein Unternehmen gefunden. Bei einer Firma mit der Größe einer Aktiengesellschaft (AG) sollte man schon etwas im Internet finden können.
2. Schreibfehler tragen nicht gerade zur Seriosität bei.
3. Hier wird man misstrauisch. Wie kann es sein, dass der Absender meine Adressdaten kennt? Die Antwort: Einer der vielen Webseiten, bei der man in der Vergangenheit einmal seine persönlichen Daten hinterlegt hat (v.a. Online-Shops), muss kompromittiert und die Daten gestohlen worden sein. Das erklärt dann auch, warum die Angaben (in meinem Fall) veraltet sind. Höchste Zeit, die Passwörter zu ändern!
4. Firmen müssen nicht einen Rechtsanwalt oder Gericht betätigen, um unbezahlte Rechnungen an ein Inkassobüro zu übergeben. Der gerichtliche Mahnbescheid kommt erst im Anschluss. [1]
5. Es wird auf eine vermeintliche Rechnung im Anhang (ZIP-Datei) verwiesen, diese enthält mit hoher Wahrscheinlichkeit Malware, die u.U. sogar Passwörter und Bankdaten abgreifen soll.
6. Signiert ist die Mail von einem angeblichen Rechtsanwalt, diese müssen sich im Anwaltsregister der BRAK registrieren und können dort auf ihre Legitimität geprüft werden. [2] Es fällt aber auch ins Auge, dass jegliche weiteren Kontaktdetails zum Unternehmen, der Anwaltskanzlei oder dem Inkassobüro fehlen. Auch in Google ist nichts zu finden.

Zusammenfassend: Es soll im Laufe des ersten Lesens der E-Mail so viel Druck beim Empfänger aufgebaut werden, dass dieser zunächst den Anhang öffnet um sich die vermeintlichen Rechnungsdetails anzuschauen, bevor Zweifel aufkommen.

Beispiel 2: Zahlung von Sofortüberweisung Co. KG (mit Zip als Anhang)

Auch diese Mail ist nach dem gleichen Prinzip aufgebaut. Von daher decken sich die genannten Erläuterung z.T. mit den obigen. Diesmal gibt es das genannte Unternehmen wirklich (1.). Ist man sich nicht sicher, kann man nach Informationen auf der Webseite dieses Unternehmens suchen und ggf. über die offiziellen Kontaktdaten (nicht aus der Mail!) Kontakt aufnehmen. Streng genommen gibt dieser Satz allerdings kein Sinn, da man „kein Geld an Sofortüberweisung“ überweist. So funktioniert Sofortüberweisung (Wikipedia)…

Beispiel 3 und 4: Bestellungen bei Amazon, PayPal und andere Online-Bezahldienste

Bei den folgenden vermeintlichen Mails von Amazon bzw. PayPal handelt es sich ebenfalls um einen Phishingversuch. Große Internetpräsenzen sind häufig betroffen, da sich damit eine größere Zahl von potentiellen „Opfern“ erreichen lässt. Im folgenden Beispiel haben die Ersteller der Phishing-Mail das Layout der Mails täuschend echt gefälscht. Dabei gehen die Betrüger meist gleich vor: Unter einem vermeintlich dringenden Grund wird der Nutzer gebeten, seine Login-Daten zu „verifizieren“ oder zu bestätigen, also über den in der Mail enthaltenen Link einzugeben. Dieser führt dann auf eine fremde Seite.

Quelle: Screenshot / onlinewarnungen.de

 

Die beiden im Bild gezeigten Nachricht sind gefälscht und man sollte auf keinen Fall seine Login-Daten eingeben. Beim zweiten Lesen fallen diverse kleinere Rechtschreibfehler ins Auge, die zusammen mit einer meist kryptischen Absender-Adresse Zweifel aufkommen lassen sollten. Grundsätzlich hat jeder Anbieter seine eigenen „Regeln“ für Mails bezüglich der Information seiner Kunden, bitte diese aber nicht um die direkte Eingabe bzw. Bestätigung seiner Kontodaten. Weitere Details finden sich auf den offiziellen Hilfeseiten von Amazon und PayPal. Wer sich trotzdem verunsichert fühlt, sollte sich über die reguläre WWW-Adresse (also nicht über den Mail Link) direkt im Browser einloggen und den Inhalt der Mail in der Kontoübersicht prüfen. Vor dem Einloggen unbedingt auf das Sicherheitszertifikat (SSL) in der Browser-Adressleiste achten, ob man auf der „richtigen“ Webseite ist.

 

Beispiel 5: Erbschaften und Geldtransfer

Vermeintliche Erbschaften, lukrative Investitionen oder Mithilfe bei dubiosen Überweisungen aus dem Ausland stellen eine weitere Form des Spam-Betrugs dar. Oft sind die international versandten Mails schon an der schlechten Sprachausführung zu erkennen. Man wird dazu aufgefordert, sich über einen Link zu melden, der dann weitere Instruktionen (Einrichtung eines Bankkontos im Ausland o.Ä.) bereithält oder direkt zur Eingabe von Bankdaten auffordert. Auf jeden Fall nicht anklicken…