Studentische Monatszeitung für Duisburg, Essen und das Ruhrgebiet

RATGEBER & TERMINE

Phishing-Angriffe per E-Mail: So könnt ihr euch schützen

Angriff auf sensible Daten

[Symbolbild: Jacqueline Brinkwirth]

09.03.2020 13:59 - Jacqueline Brinkwirth

Hinter harmlos aussehenden E-Mails, die vermeintlich von Dienstleister*innen oder Online-Shops verschickt werden, verbergen sich oft Phishing-Angriffe. Über einen Link werden Nutzer*innen auf falsche Websites gelockt, um dort sensible Daten preiszugeben. Auch Studierende stehen im Fadenkreuz solcher Angriffe. Woran man Phishing-Mails erkennt und wie man sich dagegen schützen kann, haben wir mit dem Zentrum für Informations- und Mediendienste (ZIM) und dem CISO der Uni Duisburg-Essen (UDE) besprochen.

Ob als Loginadresse, zur Kommunikation oder für die Wiederherstellung von Passwörtern – Mailadressen sind ein Dreh- und Angelpunkt der digitalisierten Welt. Gerade weil sie so vielseitig verwendet werden und Accounts verschlüsseln, in denen sensible Daten wie Kreditkarteninformationen hinterlegt sind, sind die Adressen und das dazugehörige Postfach von großem Interesse für Betrüger*innen.

Eine einfache Methode, wichtige Daten auszuspähen, ist das sogenannte Phishing. „Begrifflich leitet sich Phishing von engl. password und fishing ab. Im ursprünglichen Sinne bezeichnet es also das Angeln nach Kennwörtern“, erklärt Marius Mertens, Informationssicherheitsbeauftragter (kurz CISO) der UDE.

„Es gibt verschiedene Arten von Phishing. Der Klassiker ist eine Mail, die vorgaukelt, von einem bestimmten Dienst zu sein und mit einem Link auf eine falsche Website verweist, um dort an Informationen zu kommen“, ergänzt Martin Zeiler. Er ist IT-Sicherheitsbeauftragter des ZIM und weiß, welchen Hintergrund solche Phishing-Angriffe haben: „In der Regel steht als oberstes Ziel Geld, also dass Angreifer versuchen, sich zu bereichern. Ein zweiter Grund, besonders im universitären Umfeld, ist, an Forschungsergebnisse oder wichtige Dokumente zu gelangen.“ 

Gefahren von Phishing 

Eine Problematik bei Phishing-Mails ist, dass Nutzer*innen häufig nicht unterscheiden können, ob es sich um eine gefälschte E-Mail handelt oder sie dem enthaltenen Link vertrauen können. „Es gibt schlecht gemachte Phishing-Seiten, wo sofort erkennbar ist, dass sie keinerlei Ähnlichkeit zu bekannten Diensten haben. Aber es gibt natürlich auch besser gemachte Seiten, die das Nutzer-Interface von solchen Diensten komplett kopieren. Die erkennt man eigentlich nur daran, dass die Webadresse in irgendeiner Form anders ist als die gewohnte“, erläutert Zeiler.

„Das kann sogar bis zum Identitätsdiebstahl gehen.“

Marius Mertens gibt ein Beispiel: „Für die UDE haben wir die authentischen Webadressen uni-due.de und uni-duisburg-essen.de. Gut gemachte, aber falsche Webadressen wären zum Beispiel universitaet-due.de oder u-due.de oder Seiten ganz ohne Bindestriche, die versuchen, der Originaladresse ähnlich zu sehen.“ Nur anhand des Interface sei es für Nutzer*innen so gut wie unmöglich eine gefälschte Website zu erkennen. „Wenn die Verbindung zur Seite nicht verschlüsselt wird, könnte das ein Indiz sein. Rein optisch können die Websites jedoch exakt so aussehen wie das Original. Letztlich können alle Details, die man bei einer guten Website erwarten würde, von den Angreifern kopiert werden.“ 

Wie kann man sich schützen?

Sollten Nutzer*innen auf einen Phishing-Angriff hereinfallen, können die Konsequenzen weitreichend sein. „Bei Phishing-Angriffen auf Studierende werden die Mailadressen häufig für Spam weiter genutzt. Das geht dann einher mit der Sperrung des Accounts durch uns. Unangenehmere Konsequenzen kann es haben, wenn Zugangsdaten zu kommerziellen Diensten wie Amazon abgefischt worden sind und darüber Bestellungen ausgeführt werden“, meint Martin Zeiler. Letzteres könne im schlimmsten Fall nicht nur einen hohen finanziellen Schaden verursachen, führt Mertens aus. „Wenn Mailadressen als Wiederherstellungsadressen verwendet werden, kann über diese Funktion das Passwort zu anderen Diensten geknackt werden.

Je nachdem, wie viel Mühe sich ein Angreifer gibt, kann er sich sehr tief im Leben des Opfers verankern. Das kann bis zum kompletten Identitätsdiebstahl gehen.“ Der beste Schutz gegen Phishing-Angriffe sei eine gute Vorbereitung. „Am besten sollte man bereits vorher schauen, ob eine Mail vertrauenswürdig aussieht und ob an einem Link etwas auffällig ist, bevor man ihn aufruft“, gibt Mertens zu verstehen. Um die Folgen eines potentiellen Abfischens so gering wie möglich zu halten, seien Nutzer*innen mit zusätzlichen Sicherheitsvorkehrungen gut beraten.

Ganz grundlegend „sollte man für jeden Account ein eigenes Passwort verwenden, sofern es angeboten wird, eine 2-Faktor-Authentifizierung nutzen oder für bestimmte Dienste eine extra eingerichtete Alias-Adresse verwenden“, meinen die Experten. Doch was tun, wenn man bereits auf den Link in der Mail geklickt hat? Das alleine sei noch nicht brandgefährlich, erklärt Martin Zeiler. Habe man allerdings schon Daten preisgegeben, solle man „sofort das Passwort für den Dienst ändern, bei dem man reingefallen ist. Und danach auch bei den Diensten, wo man das gleiche Passwort verwendet hat. Diese Accounts dann auf Unregelmäßigkeiten prüfen, Kommunikationspartner in Kenntnis setzen und den eigenen Rechner auf Viren prüfen.“

Das Risiko, als Angehörige*r der UDE eine Phishing-Mail zu bekommen, sei hoch – trotz strenger Sicherheitsvorkehrungen und stetiger Verbesserung der Spam-Filter. „Sollten Sie eine Phishing-Mail erhalten haben, leiten Sie diese idealerweise an hotline.zim@uni-due.de weiter, mit der Mail im Anhang. Im Voraus können Sie die Mail mit den vorhandenen Meldungen auf der ZIM-Seite abgleichen und wenn diese schon gemeldet wurde, müssen Sie die Mail einfach nur noch löschen. Wenn Sie bereits geklickt haben, wäre ebenfalls die Hotline erster Ansprechpartner“, rät Mertens. Grundsätzlich gilt: „Die Angreifer halten sich immer auf dem Laufenden, um die Angriffe besser zu machen und das sollten Nutzer auch tun, um sich zu schützen.“ 

Hinweis der Redaktion: In der Printversion dieses Artikels ist ein Fehler in einem der Zitate. Fälschlicherweise wurde die Adresse udue.de dort als nicht-legitime URL aufgeführt. Diese Information ist nicht richtig, denn udue.de ist die Adresse des unieigenen Linkverkürzers, also eine vertrauenswürdige Webadresse. 

Welche Daten wir Digitalkonzernen liefern und was damit geschieht

Digitalkonzerne sammeln und verkaufen Daten systematisch. Wie, warum und worauf wir achten sollten, erklärt Prof. Dr. Stefan Stieglitz.
 

So finanziert sich das digitale Programm der UDE

Was kostet eigentlich die Digitalisierungsstrategie der UDE? Und woher kommt das Geld für Projekte und Mitarbeitende? Wir haben nachgefragt.
 

Digitale Hacks fürs Studium

Dieser Ratgeber verrät euch, wie ihr mithilfe digitaler Tools und ein bisschen Vorsicht sicher durchs Studium kommt.
 
Konversation wird geladen