Täglich grüsst das Murmeltier

„Lieber Coach, ich sende alle meine Spammails an den IT Support und bekomme trotzdem weiterhin Spamnachrichten. Was kann ich tun?“

Leserin G. aus Q., Name der Coach Redaktion bekannt

Ein wiederkehrendes und etwas nerviges Phänomen des Internet-Zeitalters ist die Flut von Fake Mails, die jeder Inhaber / Inhaberin eines Mailkontos erhält. Die Kriterien woran ein Phishing Mail ersichtlich ist sind den meisten bekannt oder sie lassen sich durch eine einfache Google Suche finden. Auch die IT kann oft ein Merkblatt dazu abgeben. Ich wiederhole diese Infos hier absichtlich nicht. Es geht mir um den Umgang mit solchen Informationen und um die Eigenverantwortung.

Unterdessen dürfte jeder wissen, dass:

• …die Bank kein Mail schickt um die Kontonummer und PIN zu überprüfen
• …der Zoll keine Gebühren verlangt für Pakete, die wir gar nicht bestellt haben
• …wir nicht jede Woche wieder ein Preisauschreiben gewinnen können
• …der Prinz von Zagalamunda nicht gerade uns ausgesucht hat um seine Millionen zu investieren
• … was zu gut ist um wahr zu sein auch nicht wahr ist

Ein echtes Problem im Zusammenhang mit Fake Mails ist aber die starke Verbreitung von Cloud Diensten. Weil natürlich eben diese Dienste vor allem per Mail kommunizieren. Verlockend ist es nun also, wenn ich ein Mail von solchem Inhalt erhalte:

„Es warten 20 Sprachnachrichten in Ihrer VOIP Box. Klicken Sie hier….“

Anders als bei den oben genannten Beispielen ist das gar nicht so unrealistisch und wer verpasst schon gerne eine Nachricht?

Schlussendlich sind aber auch das Fakes und es geht auch hier darum:

• Informationen zu erhalten (Passwörter, Kontonummern..)
• ein Programm zu installieren um dann Passwörter oder ähnliches abzugrasen
• oder Inhalte zu verschlüsseln um diese dann gegen Zahlung eines Lösegeldes („Ransomware“) wieder freizugeben
• Den Nutzer zu verleiten z.B. Geld zu überweisen

Ein weit verbreiteter Fehlglaube ist, dass die IT etwas gegen solche Mails unternehmen kann. Wann sollte ich ein Mail mit solchem Inhalt an die IT weitersenden?

• Wenn ich unsicher bin! Dann nachfragen. Aber nicht beim Spammer! Nicht auf verdächtige Mails antworten!
• Selbst wenn ich den Absender kenne: Der ist gefälscht! Es ist nicht der Chef oder Kollege, sondern nur eine gefälschte Inhaltsangabe.

Kann ich denn nicht andere schützen wenn ich mein Spammail an die IT schicke? Eher Nein. Zwar kann der Mail-Administrator eine Sperre errichten nach diesen Kriterien:

• IP Adresse des Mailservers sperren, der das Mail verschickt hat
• Absenderadresse sperren
• Inhaltliche Sperre (Schlüsselsätze)

Aber das ist so wie wenn man nach einer Ueberschwemmung noch Sandsäcke zum Fluss trägt. Professionelle Spammer wechseln jedes Mal alles, d.h. beim nächsten Mal wird das Mail nicht gleich aussehen, nicht die gleiche IP verwenden und auch nicht den Absender nochmal benutzen. Das Pferd ist schon aus dem Stall und kommt nicht zurück.

Wenn Du also das Mail bereits selber als Spam erkannt hast dann:

• Löschen und nicht reagieren

Es ist auch nicht so, dass Deine Firma einen schlechten Spamfilter hat weil ab und zu eine solche Nachricht zu Dir durchdringt. Es ist die schiere Masse der Nachrichten. Du kannst davon ausgehen, dass 90 Prozent aller Nachrichten die an ein Unternehmen geschickt werden gar nicht bis zum Enduser durchkommen sondern direkt vom Spamfilter abgelehnt werden. Weil sich aber Spam und Phishing Mails inhaltlich nur in ganz wenigen Bereichen von echten Mails unterscheiden können sie maschinell nicht alle erkannt werden. Das kann am Ende nur der Mensch, der vor dem Computer sitzt. Also Du selbst.

Mail ist kein sicheres Medium. Es sollte auch nicht so behandelt werden.

Was kann man aber nun selber tun um sich zu schützen?

• Bescheid wissen über die Cloud Dienste, die man tatsächlich im Einsatz hat
• Bei allen Diensten, die man benutzt immer Zwei-Faktor Authentisierung nutzen (z.B. mit Bestätigung am Mobiltelefon)
• Dienste, die keine Zwei-Faktor Authentisierung anbieten, schlicht NICHT nutzen (Unsicher!)
• Verschiedene Passwörter nutzen für verschiedene Dienste
• Die geschäftliche Mailadresse klar von der privaten trennen
• Mails im Zweifelsfall ignorieren oder löschen
• Nicht auf Links klicken auch wenn diese noch so spannend daher kommen
• Nachfragen auf anderem Kanal (Telefon!) Aber nicht die Telefonnummer anrufen, die in der Spamnachricht stand. Dort wird sicher ein netter Mitarbeiter abnehmen und alles bestätigen, vielleicht nach Angabe der Kreditkarte….

Ich bin interessiert zu hören wie das Phänomen Phishing im Jahr 2021 von den Lesern eingeschätzt wird und welche Fragen dazu noch herumschwirren. Nutzt die Kommentarfunktion oder den Vorschlagshammer um euch an der Diskussion zu beteiligen.

Oder wollest Du nur das T-Shirt?