Geklickt: was jetzt?

Modul 3: Phishing erkennen · Lesezeit: 12 Minuten

Lernziel: Nach dieser Lektion wissen Sie, was Sie in den ersten Stunden nach einem Klick, einem eingegebenen Passwort, eingegebenen Bankdaten oder einem geöffneten Anhang tun müssen, in der richtigen Reihenfolge, und wie Sie Phishing melden und weiterleiten.
Kernbegriffe: eindämmen, Passwort von einem sauberen Gerät aus ändern, Sitzungen beenden, Bank anrufen, melden, Phishing weiterleiten (zum Beispiel an das Phishing-Radar und die missbrauchte Marke)

Es passiert jedem

Jeder klickt irgendwann auf den falschen Link. Auch Menschen, die diesen Kurs absolviert haben, auch IT-Fachleute. Eine gute Phishing-Mail kommt im richtigen Moment, mit der passenden Geschichte. Scham hilft nicht, schnelles Handeln schon. Je früher Sie eingreifen, desto weniger kann der Angreifer mit dem anstellen, was er bereits hat.

Deshalb ist der erste Schritt in jedem Unternehmen: melden Sie es sofort, der Kollegin oder dem Kollegen, die bzw. der die IT betreut, oder Ihrem IT-Dienstleister. Vereinbaren Sie, dass jemand, der einen Klick meldet, ein Dankeschön bekommt und keine Strafpredigt (mehr dazu in Lektion 9.2). Wer Angst vor Strafe hat, sagt nichts, und dann hat der Angreifer tagelang freie Hand.

Zuerst feststellen: was genau ist passiert?

Was Sie tun müssen, hängt davon ab, wie weit Sie gegangen sind. Klären Sie das zuerst, kurz und ehrlich.

Nur klicken ist meist nicht ernst: moderne Browser sind gut geschützt. Ein Klick kann aber auch einen Download starten. Im Zweifel behandeln Sie es als die schwerwiegendere Situation.

Schritt für Schritt in den ersten Stunden

1. Innerhalb des Unternehmens melden. Sofort, auch im Zweifelsfall. Erzählen Sie, was Sie gesehen haben, wann, und was Sie eingegeben oder geöffnet haben. Bewahren Sie die Nachricht auf: nicht löschen, Sie brauchen sie für die Meldung.

2. Eindämmen. Haben Sie einen Anhang geöffnet oder jemandem Zugriff gewährt? Trennen Sie das Gerät vom Netzwerk: WLAN aus, Netzwerkkabel raus. Schalten Sie es nicht sofort aus, denn was im Arbeitsspeicher steht, kann bei der Untersuchung helfen (Lektion 8.3). Arbeiten Sie nicht weiter auf diesem Gerät.

3. Bei Geld die Bank anrufen. Haben Sie Bankdaten eingegeben oder eine Zahlung bestätigt, rufen Sie sofort Ihre Bank an, über die Nummer auf Ihrer Karte oder die offizielle Website. Je schneller, desto grösser die Chance, dass eine Zahlung gestoppt oder zurückgeholt werden kann. Auch eine Zahlung an eine falsche IBAN nach Rechnungsbetrug melden Sie sofort Ihrer Bank.

4. Passwort von einem sauberen Gerät aus ändern. Ändern Sie das Passwort des Kontos, dessen Daten Sie eingegeben haben. Tun Sie das auf einem anderen Gerät als dem, auf dem Sie den Anhang geöffnet haben, denn dort kann ein Programm mitlesen. Geben Sie die Adresse selbst ein oder nutzen Sie Ihr Lesezeichen, nicht den Link aus der Nachricht. Haben Sie dasselbe Passwort auch anderswo verwendet, ändern Sie es dort ebenfalls (Lektion 2.1).

5. Sitzungen beenden und das Konto überprüfen. Ein neues Passwort wirft einen Angreifer, der bereits drin ist, nicht immer automatisch raus. Melden Sie deshalb alle anderen Sitzungen ab (Lektion 2.5) und prüfen Sie, was er geändert haben könnte:

• Zwei-Faktor-Authentifizierung: steht dort eine unbekannte App oder eine unbekannte Telefonnummer?
• Wiederherstellungsdaten: wurde die Wiederherstellungs-E-Mail-Adresse oder Telefonnummer geändert?
• Weiterleitungsregeln und Filter in Ihrem Postfach: ein Angreifer richtet gern eine Regel ein, die alle E-Mails, oder nur E-Mails mit „Rechnung" darin, an seine Adresse weiterleitet oder sofort löscht. So liest er weiter mit, auch wenn Sie Ihr Passwort bereits geändert haben;
• gesendete Elemente: wurden E-Mails versendet, die Sie nicht geschrieben haben? Dann müssen Sie Ihre Kontakte warnen.

6. Melden und weiterleiten. Siehe unten.

7. Prüfen, ob es sich um eine Datenpanne handelt. Konnte der Angreifer auf ein Postfach, eine Kundendatenbank oder eine andere Umgebung mit personenbezogenen Daten zugreifen? Dann liegt möglicherweise eine Datenpanne vor. Laut DSGVO müssen Sie eine Datenpanne unverzüglich und möglichst innerhalb von 72 Stunden nach Entdeckung der zuständigen Datenschutzaufsichtsbehörde melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die betroffenen Personen. Halten Sie den Vorfall in jedem Fall in Ihrem internen Verzeichnis der Datenpannen fest. Wie Sie das beurteilen, lernen Sie in Lektion 8.2.

Phishing melden und weiterleiten

Melden hat Sinn, auch wenn nichts passiert ist. So kann eine Fake-Website schneller vom Netz genommen werden, und andere werden gewarnt.

An das Phishing-Radar der Verbraucherzentrale. Leiten Sie verdächtige Phishing-Mails mit verdächtigen Links oder Anhängen an die Adresse phishing@verbraucherzentrale.nrw weiter. Dabei gilt:

• leiten Sie die E-Mail am besten als Anhang weiter. Bei normalem Weiterleiten gehen die technischen Daten (die Header aus Lektion 3.3) verloren. Gelingt das nicht, zum Beispiel auf einem Smartphone, leiten Sie sie einfach normal weiter;
• scheint die E-Mail von einer Bank oder einem anderen bekannten Unternehmen zu stammen, setzen Sie die Adresse dieses Unternehmens in die cc;
• SMS, WhatsApp und andere Nachrichten senden Sie nicht an diese Adresse, sondern zeigen Sie sie, auch als Betrug per SMS, über die Onlinewache der Polizei Ihres Bundeslandes an. Das gilt auch für verdächtige E-Mails ohne Links oder Anhänge und für Helpdesk-Betrug am Telefon.

In vielen E-Mail-Programmen heisst das Weiterleiten als Anhang „Als Anhang weiterleiten" oder ähnlich.

An die missbrauchte Marke. Wird der Name einer Bank, eines Transportunternehmens oder eines Lieferanten missbraucht, informieren Sie diese Organisation über einen Kanal, den Sie selbst auf deren echter Website suchen, nicht über die Nachricht. Viele Organisationen haben eine eigene Meldeadresse für Phishing. Geht es um Ihren eigenen Hosting-Anbieter oder E-Mail-Provider, schicken Sie es auch dorthin; bei WebOké geht das über ein Ticket, mit der E-Mail als Anhang (Wissensdatenbank 581).

Anzeige bei der Polizei. Haben Sie Geld verloren, oder liegt Missbrauch oder ein Versuch dazu vor, erstatten Sie Anzeige. Das Phishing-Radar berät und sammelt Meldungen, kann aber selbst nicht ermitteln. Das kann nur die Polizei.

Danach können Sie die Nachricht löschen und den Absender blockieren.

Kontrolle nach einer Woche

Ein Angriff ist nicht immer nach einem Tag vorbei. Stellen Sie eine Erinnerung für eine Woche später:

• Gibt es neue Anmeldemeldungen oder unbekannte Sitzungen?
• Stehen unbekannte Zahlungen auf den Kontoauszügen?
• Gibt es neue Weiterleitungsregeln oder Filter im Postfach?
• Beschweren sich Kunden oder Lieferanten über merkwürdige E-Mails in Ihrem Namen? Dann wird Ihr Postfach möglicherweise noch zum Versenden von Spam missbraucht (Wissensdatenbank 25).
• Was können wir daraus lernen? War die Nachricht gut zu erkennen, und was hätte sie beim nächsten Mal früher auffällig gemacht?

In der Praxis: so sieht es aus

Montag 9:12 Uhr. Fatima von der Bäckerei Example gibt ihr E-Mail-Passwort auf einer gefälschten Anmeldeseite der „Buchhaltungssoftware" ein. Um 9:15 Uhr bemerkt sie, dass die Adresse boekhoudpakket.inlog-check.example lautete. Sie meldet es Kees, der die IT betreut. Um 9:20 Uhr ändert Kees von seinem eigenen Laptop aus das Passwort ihres Postfachs und meldet alle Sitzungen ab. Im Webmail findet er eine neue Regel: alle E-Mails mit „Rechnung" werden an eine unbekannte Adresse geschickt und anschliessend gelöscht. Er entfernt die Regel, aktiviert die Zwei-Faktor-Authentifizierung und überprüft die gesendeten Elemente: nichts versendet. Fatima leitet die Phishing-Mail als Anhang an das Phishing-Radar weiter. Kees notiert es im Vorfallprotokoll und prüft, ob der Angreifer personenbezogene Daten gesehen haben könnte. Nach einer Woche überprüft er die Regeln und Sitzungen erneut.

Wo diese Regeln und Sitzungen zu finden sind, unterscheidet sich je nach Umgebung. Bei WebOké stehen Weiterleitungen einer Adresse in Mein WebOké und in DirectAdmin (Forwarders), und eine Regel kann auch im Webmail oder im E-Mail-Programm selbst stehen. Bei anderen Anbietern funktioniert es ähnlich: suchen Sie nach Weiterleitung, Forwarders, Regeln oder Filtern.

Zusammenfassung

• Jeder klickt mal daneben. Melden Sie es sofort, ohne Scham, und vereinbaren Sie, dass Melden belohnt wird.
• Klären Sie zuerst, was passiert ist: nur geklickt, Passwort, Code, Bankdaten, Anhang oder Fernzugriff.
• Reihenfolge: melden, eindämmen (vom Netzwerk trennen), bei Geld die Bank anrufen, Passwort von einem sauberen Gerät aus ändern, Sitzungen beenden und Konto überprüfen (vor allem Weiterleitungsregeln), melden und weiterleiten, Datenpanne beurteilen.
• Leiten Sie Phishing-Mails als Anhang an phishing@verbraucherzentrale.nrw weiter, mit der missbrauchten Marke in der cc; SMS und Chatnachrichten zeigen Sie über die Onlinewache der Polizei an. Bei Schaden: Anzeige erstatten.
• Überprüfen Sie nach einer Woche erneut.

Quiz

Aufgabe

Aufgabe A3.5: Der Schritt-für-Schritt-Plan nach einem Klick. Sie erhalten eine Situation und einen Stapel Karten mit Schritten. Wählen Sie, welche Schritte nötig sind, und bringen Sie sie in die richtige Reihenfolge. Das Programm überprüft Ihre Antworten und erklärt, warum ein Schritt früher oder später kommen muss.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Ist diese E-Mail wirklich von WebOké? Phishing erkennen und den Aktionscode verwenden
• Postfach übernommen oder Spam von Ihrer Adresse: so räumen Sie auf
• WebOké Anleitung 3.6: Aktive Sitzungen anzeigen und abmelden
• DirectAdmin Anleitung 3.7: Sichere Passwörter und was Sie bei einem geleakten Passwort tun
• Phishing-Radar der Verbraucherzentrale, Phishing-Mail melden: https://www.verbraucherzentrale.de/phishing-radar
• Polizei-Beratung, Betrug und Phishing anzeigen: https://www.polizei-beratung.de/
• BSI, Phishing: https://www.bsi.bund.de/