Wie Sie Identitätsfälschung per E-Mail erkennen

Techniken zur Identitätsfälschung können sowohl Spamfilter als auch den Empfänger selbst täuschen. Die Nachrichten versuchen meist, Sie dazu zu bringen, einen Anhang zu öffnen, einen Link aufzurufen oder Zugangsdaten preiszugeben.

Auf diese Anzeichen sollten Sie achten, bevor Sie einer Zahlungs-, Zugangs- oder Download-Aufforderung vertrauen.

Gefälschter Absender

Dabei wird die Absenderadresse manipuliert, damit die Nachricht scheinbar von einer anderen Person stammt. Lassen Sie den Spamfilter aktiviert, betrachten Sie ihn aber nicht als absoluten Schutz. SPF, DKIM und DMARC liefern ergänzende Prüfungen für die Domains, die Sie kontrollieren.

Gefälschter Name bei echtem Absender

Auch wenn manche Systeme eine gefälschte Domain erkennen, sind nicht alle gefälschten Nachrichten leicht zu identifizieren. Eine weitere Variante besteht darin, den angezeigten Namen zu verändern.

Wenn Sie eine E-Mail senden, können Sie einen Namen festlegen, der die Absenderadresse begleitet, um die Person oder das Unternehmen zu kennzeichnen, von dem sie stammt. Der Name kann beliebig gewählt werden, und sofern er vorhanden ist, zeigt das Webmail oder der E-Mail-Client ihn in den Absenderangaben an und blendet die Adresse dabei teils sogar aus, weil er entscheidend dafür ist, dass der Absender vertraut wirkt, z. B. der vollständige Name einer Person.

Den angezeigten Namen legt der Absender fest, und die Authentifizierungsstandards beweisen nicht, dass er der genannten Person gehört. Filter können einige Fälschungsversuche erkennen, aber ein Angreifer könnte sogar eine bekannte Adresse als Namen verwenden.

Deshalb nutzen manche Angreifer diese Technik zur Identitätsfälschung: Eine E-Mail stammt zum Beispiel von usuario@dominioexterno.com, der Absender gibt als Namen aber ayuda@banco.com an. Beim Empfang hebt der E-Mail-Client den Namen hervor, in diesem Fall ayuda@banco.com, was die Verwirrung auslöst.

Gleichzeitig kann die Nachricht tatsächlich von usuario@dominioexterno.com stammen, was es erschwert, automatisch zu erkennen, ob der angezeigte Name täuschen soll.

Kampagnen ändern ihre Links, Anhänge und Texte häufig, daher sollte kein Virenschutz und kein Filter als Garantie gegen eine neue Variante gelten.

Klappen Sie im Zweifel immer die vollständige Adresse auf und prüfen Sie die Domain Zeichen für Zeichen, die Authentifizierungshinweise und jede abweichende Reply-To-Adresse. Dass die Adresse echt oder die Nachricht authentifiziert ist, schließt nicht aus, dass das Konto kompromittiert wurde.

Antwort innerhalb einer bekannten Konversation

Ein Angreifer kann innerhalb einer echten Konversation antworten, wenn er Zugriff auf ein Konto oder frühere Nachrichten erlangt hat. Dass Sie den Betreff oder den Verlauf wiedererkennen, beweist nicht, dass die neue Aufforderung legitim ist.

Meist drängt die Nachricht darauf, ein Dokument, einen Vertrag oder einen neuen Tarif zu unterschreiben, ohne weitere Angaben zu machen, und bleibt so allgemein wie möglich, um keine Zweifel zu wecken und den Empfänger dazu zu bringen, die angehängte Datei zu öffnen.

Öffnen Sie keine unerwarteten Anhänge oder Links. Bestätigen Sie die Aufforderung über einen unabhängigen Kanal, den Sie bereits kannten, etwa die übliche Telefonnummer; antworten Sie nicht auf dieselbe Nachricht und verwenden Sie keine darin enthaltenen Kontaktdaten, denn das Konto könnte kompromittiert sein. Halten Sie außerdem Ihren Rechner und seinen Sicherheitsschutz auf dem neuesten Stand.

Spamversand über das eigene Konto

Es kann auch vorkommen, dass das Konto des Empfängers selbst das Opfer ist. Diesen Fall behandeln wir in der folgenden Anleitung

Wenn Sie bereits auf die Nachricht reagiert haben

Wenn Sie Zugangsdaten eingegeben haben, ändern Sie sie über die gewohnte Adresse des Dienstes und prüfen Sie Sitzungen, Weiterleitungen und Zugriffe. Wenn Sie einen verdächtigen Anhang geöffnet haben, prüfen Sie den Rechner und ändern Sie Passwörter nicht weiter aus dieser Sitzung heraus. Bei einer geänderten Bankverbindung oder einer Zahlungsaufforderung bestätigen Sie die Angaben über einen bekannten, unabhängigen Kanal.

Bewahren Sie die Originalnachricht und ihre Header für die Analyse auf. Ein Screenshot des angezeigten Namens reicht nicht aus. Ein korrektes SPF-, DKIM- oder DMARC-Ergebnis schließt ebenfalls nicht aus, dass das legitime Konto kompromittiert wurde.