Die E-Mail ist ein häufig genutztes Kommunikationsmittel in fast allen Geschäftspraktiken. Leider dient sie auch als Einfallstor für Betrüger, die Sie erreichen wollen. Phishing-Betrügereien sind nicht immer sofort zu erkennen und Cyberkriminelle können Sie leicht dazu verleiten, personenbezogene Daten preiszugeben, ohne es zu wissen.
Nach Angaben des FBI haben Cyberkriminelle allein im Jahr 2019 57 Millionen US-Dollar von ihren Opfern erbeutet. Phishing-Methoden nutzen eine Kombination aus gefälschten Websites und E-Mails, um Opfer zur Herausgabe sensibler Daten zu verleiten, was zu Identitätsdiebstahl, finanziellen Verlusten und mehr führen kann. Am besten schützen Sie sich, indem Sie lernen, wie Sie einen Phishing-Angriff erkennen und eine Reihe von Protokollen zum Schutz vor Phishing einrichten. So geht’s.
Was sind E-Mail-Phishing-Angriffe und -Betrügereien?
Phishing-E-Mails sind E-Mails von Betrügern, die aussehen, als kämen sie von einer seriösen Quelle. Die Betrüger haben möglicherweise umfangreiche Nachforschungen über Sie oder Ihr Unternehmen angestellt. Und sie nutzen diese Informationen, um Sie dazu zu bringen, ihnen zu vertrauen. So kann es vorkommen, dass Phishing-Angreifer mehrmals mit Ihnen kommunizieren, bevor sie Sie um sensible Informationen bitten, z. B. um die Überweisung von Geldern auf ein gefälschtes Konto.
Phishing-E-Mails können auch einen CEO-Betrug beinhalten, bei dem sich der Betrüger als CEO eines vertrauenswürdigen Unternehmens ausgibt, um an Informationen zu gelangen oder einen Mitarbeiter zu veranlassen, Geld auf ein gefälschtes Konto zu überweisen. Außerdem werden Sie in Phishing-E-Mails möglicherweise aufgefordert, Malware herunterzuladen, mit der Ihre Daten gestohlen werden können. Allerdings sind Phishing-E-Mails oft schwer zu erkennen, da sie scheinbar von seriösen Quellen stammen.
Phishing-E-Mails oder -SMS sind so gestaltet, dass sie aussehen, als kämen sie von einem Unternehmen, das Sie bereits kennen und dem Sie vertrauen, z. B. von einer Bank, einer Website eines sozialen Netzwerks, einem Online-Bezahldienst, einem Online-Shop oder einer Bank. Sie erzählen oft eine Geschichte oder verwenden einen einprägsamen Eröffnungssatz, um Sie dazu zu bringen, die E-Mail zu öffnen und auf einen Anhang oder Link zu klicken. In Phishing-E-Mails wird oft behauptet, dass verdächtige Aktivitäten oder ungültige Anmeldeversuche in Ihrem Konto festgestellt wurden. Darüber hinaus können sie auch behaupten, dass es ein Problem mit Ihrer Zahlung oder Ihren jüngsten Aktivitäten gibt.
Andere Taktiken, die Betrüger anwenden können, sind:
- Sie werden möglicherweise aufgefordert, personenbezogene Daten zu bestätigen.
- Möglicherweise werden Sie auch darüber informiert, dass Sie für eine Rückerstattung in irgendeiner Form in Frage kommen.
- Ihnen wird möglicherweise ein kostenloser Gutschein angeboten
- Oder Sie werden aufgefordert, auf einen Phishing-Link zu klicken, um eine Zahlung zu leisten oder Geld anzunehmen
- Die Betrüger können eine gefälschte Rechnung von einem Unternehmen senden, dem Sie vertrauen.
Eine große Bank, mit der Sie Geschäfte machen, kann Ihnen beispielsweise eine E-Mail mit der Betreffzeile „Sofortiges Handeln erforderlich – Probleme mit Ihrem Konto“ schicken. Wenn Sie die E-Mail öffnen, wird im Text behauptet, es gebe ein Problem mit Ihrem Konto und Sie müssten es bestätigen, um Ihre Daten zu schützen. Betrüger können diese E-Mail an Tausende von Personen senden. Einige glauben vielleicht, dass die E-Mail echt ist, und klicken auf den Link in der E-Mail.
Die meisten Menschen bemerken jedoch nicht, dass der Link sie auf eine Website führt, die nicht von der tatsächlichen Organisation stammt. In einigen Fällen stimmt die URL der Website nur teilweise mit der besagten Website überein. Der Benutzer wird dann auf eine gefälschte Website geleitet, die wie die echte aussieht. Von hier aus fordern die Spammer zur Eingabe personenbezogener Daten auf, darunter Name, Adresse, Kontonummer, Online-Banking-Benutzername und Passwort.
Sobald Sie diese Informationen eingegeben haben, haben die Hacker alles, was sie brauchen, um Ihr Geld zu stehlen. Damit können sie sich in Ihre privaten oder geschäftlichen Konten einhacken und E-Mails an Ihre Kunden senden. In vielen Fällen wird ein Angestellter durch Phishing-E-Mails dazu verleitet, Geld auf ein gefälschtes Konto zu überweisen, indem er sich als Geschäftsführer des Unternehmens ausgibt. Es kann sogar vorkommen, dass Angestellte eine E-Mail vom Konto des Geschäftsführers senden, in der dieser darum bittet, Geld auf ein Konto in einem anderen Land zu überweisen.
Spear-Phishing
Spear-Phishing ist eine raffiniertere Art des Angriffs, bei der eine E-Mail an eine bestimmte Person gesendet wird. Die Cyberkriminellen verfügen in der Regel über Informationen über die Person, an die sie die E-Mail senden. Dazu gehören die Berufsbezeichnung, der Name, der Ort der Beschäftigung, die E-Mail-Adresse und andere spezifische Informationen über die Tätigkeit der Person. Spear-Phishing zielt in der Regel auf einen Mitarbeiter ab, in der Hoffnung, dass er seinen Benutzernamen und sein Kennwort preisgibt oder eine Überweisung auf ein gefälschtes Konto tätigt. Manchmal haben es Cyberkriminelle auf Führungskräfte abgesehen: Sie fragen nach sensiblen Dokumenten, wie z. B. Steuererklärungen.
So erkennen Sie eine Phishing-E-Mail
Betrüger aktualisieren ihre Taktiken ständig. Dies kann es schwierig machen, einen Phishing-E-Mail-Angriff zu erkennen. Viele Betrüger haben zum Beispiel einen Weg gefunden, um sicherzustellen, dass ihre E-Mails Ihren Spam-Ordner umgehen und in Ihren Posteingang gelangen. Sie können auch andere Sicherheitskontrollen austricksen. Es gibt jedoch einige Dinge, an denen Sie eine gefälschte E-Mail oder SMS erkennen können.
Viele Phishing-E-Mails geben vor, von Finanzinstituten wie Banken, Kreditkartenunternehmen und Online-Zahlungsmethoden wie PayPal zu stammen. Sie können auch von Online-Shops stammen, mit denen Sie normalerweise Geschäfte machen. In vielen Fällen wird ein Hacker umfangreiche Nachforschungen über ein Unternehmen anstellen, um zu erfahren, wie er Ihr Vertrauen gewinnen kann. Sie wissen möglicherweise, mit wem Sie Geschäfte machen und welche Plattformen Sie für Geldüberweisungen nutzen.
Wenn Sie eine E-Mail von einer Bank oder einem Online-Unternehmen erhalten, sollten Sie sie sorgfältig prüfen, um festzustellen, worum sie Sie bitten. Wenn Sie in der E-Mail aufgefordert werden, Ihre Kontoinformationen zu bestätigen, sensible Daten anzugeben oder auf einen Link zu klicken, der Sie auf eine andere Website führt, handelt es sich möglicherweise um einen Phishing-Betrug.
Einige der häufigsten Phishing-Angriffe und Betrügereien verwenden in ihren E-Mails folgende Inhalte:
Gefälschte Mitteilungen von Auktionsdiensten, Online-Zahlungsdiensten oder Internetdienstanbietern, in denen behauptet wird, dass es ein Problem mit Ihrem Konto gibt. In diesen E-Mails werden Sie in der Regel aufgefordert, auf eine gefälschte Website zu klicken, um Ihre personenbezogenen Daten zu überprüfen.
E-Mails, in denen behauptet wird, Sie hätten gegen den Patriot Act verstoßen. Diese E-Mails geben vor, von der Federal Deposit Insurance Corporation (FDIC) zu stammen, und erklären, dass die FDIC Ihr Konto nicht verifizieren wird, weil sie vermutet, dass Sie gegen den USA Patriot Act verstoßen haben. Der Betrüger fordert Sie auf, Informationen zur Überprüfung Ihrer Identität anzugeben, indem Sie auf einen Link klicken, der Sie auf eine andere Webseite führt, die in der Regel gefälscht ist: Sie wird Ihre Identität stehlen.
E-Mails von einer IT-Abteilung, sogar von Ihrem eigenen Unternehmen, die versuchen, Ihr Passwort und andere Informationen zu stehlen. Hacker können sich als Mitarbeiter Ihres Unternehmens ausgeben und Sie auffordern, Informationen zu bestätigen oder Ihre Anmeldedaten zu senden. Sobald sie diese Daten haben, können Hacker Zugang zu den Bankkonten Ihres Unternehmens, zu E-Mails, sensiblen Daten und vielem mehr erhalten.
In der Regel können Sie eine Phishing-E-Mail erkennen, indem Sie auf die Zeichen in der gefälschten Domain achten. Einige gefälschte Konten senden Ihnen beispielsweise eine E-Mail mit einem „r“ und einem „n“ nebeneinander anstelle eines „m“.
Es kann auch vorkommen, dass sie den Namen einer Organisation in einem Teil der Domain verwenden, in der Hoffnung, sich mit der Organisation zu identifizieren, die sie zu kopieren versuchen. Sie könnten zum Beispiel eine E-Mail von [email protected] erhalten. Der Hacker hofft, dass Sie das „PayPal“ in der E-Mail-Adresse sehen und annehmen werden, dass es sich um eine legitime Domain handelt. Achten Sie daher immer auf die Adresse der Domain.
So schützen Sie sich vor Phishing-Angriffen
Der beste Weg, sich (und Ihr Unternehmen) vor Phishing-Betrug von Ihrer Domain aus zu schützen, ist die Implementierung von DMARC-E-Mail-Authentifizierungsprotokollen auf Ihrer Domain. DMARC mit einer Ablehnungsrichtlinie hält Cyberkriminelle davon ab, Ihnen betrügerische E-Mails von Ihrer Domain aus zu senden. Es hindert sie auch daran, betrügerische E-Mails an Ihre Geschäftspartner, Mitarbeiter und Kunden zu senden. So schützen Sie sich vor Daten-, Kunden- und Finanzverlusten. DMARC ist eine E-Mail-Authentifizierungsstrategie, die die Standards Domain Keys Identified Mail (DKIM) und Sender Policy Framework (SPF) erweitert und sicherstellt, dass E-Mails, die in Ihrem Posteingang landen, legitim sind.
DMARC unterzieht alle E-Mails, die bei Ihnen ankommen, einem Test. Es funktioniert auf zwei Arten. Zunächst wird mithilfe von SPF sichergestellt, dass die Domain sowohl mit dem „Rücksendepfad“ als auch mit dem „Header von“ übereinstimmt, und die Absenderquelle wird überprüft. Anschließend wird sichergestellt, dass der „Header von“ mit der DKIM-Signatur übereinstimmt. Wenn diese Elemente nicht übereinstimmen, werden die E-Mails nicht an Ihren Posteingang gesendet.
Sie können DMARC auch verwenden, um Ihren empfangenden E-Mail-Anbietern mitzuteilen, wie sie alle E-Mails von Ihrer Domain behandeln sollen. Sie können DMARC verwenden, um den E-Mail-Status zu überwachen, unabhängig davon, ob sie eine Prüfung bestanden hat oder nicht, um fehlgeschlagene E-Mails an Ihre Spam-Box zu senden oder um fehlgeschlagene E-Mails ganz abzulehnen. Dadurch verringert DMARC das Risiko, dass Phishing-E-Mails in den Posteingang Ihres Unternehmens oder Ihrer Partner und Kunden gelangen, wo Hacker Informationen oder Geld stehlen könnten. Folgen Sie dem Link, um zu erfahren, wie Sie DMARC mit EasyDMARC implementieren können.
Was Sie tun sollten, wenn Sie eine Phishing-E-Mail erhalten
Wenn Ihnen eine E-Mail verdächtig vorkommt, öffnen Sie sie nicht und klicken Sie nicht auf die Links, die sie enthält. Rufen Sie stattdessen das Unternehmen an, das Ihnen die E-Mail geschickt hat, und erkundigen Sie sich nach dem Problem. Antworten Sie niemals direkt auf die E-Mail, da Sie Ihrem Angreifer ungewollt vertrauliche Daten übermitteln könnten. Und geben Sie niemals sensible Daten an eine Website weiter, wenn Sie skeptisch sind.
Fazit
E-Mail-Phishing-Angriffe sind etwas, von dem Sie vielleicht denken, dass Sie es selbst erkennen können. Aufgrund der ausgefeilten Methoden und der sich ständig ändernden Taktiken der Hacker ist es jedoch schwieriger als Sie denken, Ihre Daten zu schützen. Bei einer Phishing-E-Mail sendet ein Cyberkrimineller eine E-Mail von einer Domain, die wie eine seriöse Quelle aussieht, und gelangt so an personenbezogene Daten wie Ihren Benutzernamen, Kennwörter und Finanzdaten. Durch Phishing-E-Mails können Unternehmen um Millionen von Dollar betrogen werden.
Klicken Sie niemals auf einen Link in einer E-Mail, die Ihnen verdächtig vorkommt. Sie können sich vor Phishing-E-Mails schützen, indem Sie DMARC-E-Mail-Authentifizierungsprotokolle auf Ihrer Domain verwenden. DMARC fungiert als Verkehrspolizei und prüft jede E-Mail, die in Ihrem Posteingang ankommt. Wenn die Prüfung fehlschlägt, können Sie Ihre Domain anweisen, die E-Mail durchzulassen, sie vollständig abzulehnen oder sie an Ihren Posteingang zu senden. DMARC trägt dazu bei, die Möglichkeit von Phishing-Angriffen einzuschränken, indem Ihre Domain vor Betrug geschützt wird.