Ein Brief vom Osterhasen

Vor Kurzem ist mein Beitrag „A Letter from the Easter Bunny – on Email Phishing and Other Spoofs“ auf Translorial.com, dem Online-Journal der Northern California Translators Association erschienen. Hier nun die Version des Beitrags auf Deutsch.

Versetzen Sie sich doch in die folgende Situation: Sie erhalten eine E-Mail-Nachricht von der Personalabteilung eines internationalen Konzerns, in der Sie zu einem Vorstellungsgespräch eingeladen werden. Das Unternehmen sucht nach Sprachmittlern mit genau Ihren Qualifikationen. Das Angebot klingt toll, fast zu gut, um wahr zu sein. Deshalb recherchieren Sie online. Sie finden heraus, dass die Webadresse des Unternehmens mit dem Absender der E-Mail übereinstimmt. Also alles OK, oder? Lesen Sie weiter, um herauszufinden, wie Sie die Echtheit einer derartigen E-Mail-Nachricht prüfen können.

Denn die Online-Betrügereien und Scams werden immer mehr und immer ausgeklügelter. In letzter Zeit geben sich die Betrüger dabei immer häufiger als Vertreter von seriösen Großkonzernen aus. Im Cybersecurity-Jargon nennt man das Spoofing. Eng damit verbunden sind auch Phishing und Smishing. Unter dem Begriff Phishing versteht man laut Wikipedia „Versuche, sich über gefälschte Webseiten, E-Mails oder Kurznachrichten als vertrauenswürdiger Kommunikationspartner in einer elektronischen Kommunikation auszugeben“. Smishing ist das Gleiche, nur via SMS.

Nun stellen sich die Fragen: Ist es möglich, herauszufinden, ob eine Nachricht echt ist und wer diese wirklich verschickt hat? Wie kann man herausfinden, wohin ein Link führt? Wie kann man das auf einem Mobilgerät? Im Folgenden werde ich alle diese Fragen beantworten.

Ein Brief vom Osterhasen?

Im Bild oben sehen Sie einen realen Brief, den ich mir vor Kurzem selbst an meine Geschäftsadresse geschickt habe. Wenn Sie genau hinsehen, erkennen Sie, dass im roten Kästchen der Osterhase als Absender angegeben ist, natürlich mit einer frei erfundenen Absenderadresse. Die US-Post hat den Brief trotz des offensichtlich erfundenen Absenders richtig zugestellt, da die Adresse des Empfängers (in dem Fall meine eigene) richtig ist und auch die Postgebühr mit einer ordnungsgemäßen Briefmarke entrichtet wurde. Die Post prüft den Absender nur, wenn Sie zusätzliche Leistungen wie Einschreiben oder Nachverfolgung kaufen.

Eine E-Mail von BigTranslationAgency.com?

Diese Abbildung hier zeigt eine E-Mail-Nachricht, die ich mir ebenfalls selbst gesandt habe, wieder mit einer frei erfundenen Absenderadresse. Anders ausgedrückt habe ich die Adresse „BigTranslationAgency.com“ gespooft. Ich hätte genauso einfach eine beliebige andere Adresse als Absender verwenden können. Das ist möglich, weil die Absenderadresse einer E-Mail genauso wie die Absenderadresse eines Papierbriefs funktioniert. Sie ist einfach eine Beschriftung. Genau wie bei physischer Post landet elektronische Post beim Empfänger, wenn dessen Adresse korrekt ist, egal ob es den Absender gibt oder nicht.

Wie kann ich herausfinden, ob E-Mail-Spoofing vorliegt?

Wenn Sie den Brief vom angeblichen Osterhasen genau betrachten, erkennen Sie, dass der Poststempel „Santa Barbara, Kalifornien“ als das Ursprungspostamt des Briefs angibt. Santa Barbara, Kalifornien, USA, liegt nicht auf der Osterinsel, die ein Teil von Chile ist. Deshalb sieht man schon am Poststempel, dass dieser Brief nicht vom Osterhasen auf der Osterinsel gesendet wurde.

Gleichermaßen, wenn Sie eine E-Mail-Nachricht auf einem Desktop-Computer ansehen, können Sie den erweiterten E-Mail-Header mit weiteren Informationen anzeigen. In meinem E-Mail-Programm wäre der Befehl Ansicht > Kopfzeile > Alles (anstatt von „Normal“). Dadurch werden weitere technische Details in der Kopfzeile angezeigt, was quasi analog zum Poststempel des Postamts ist, wo der Brief aufgegeben wurde. Die Abbildung unten zeigt den erweiterten Header der gefälschten E-Mail von oben. Sie können erkennen, dass „Message ID“ nicht mit der Absenderadresse übereinstimmt. (Die Domäne corp.parking.ru ist der Dienst, den ich zum Senden der gefälschten E-Mail an mich selbst verwendet habe. Dieser Dienst ist ganz seriös.) Diese Diskrepanz zwischen den beiden Adressen reicht im Allgemeinen aus, um anzuzeigen, dass mit der E-Mail-Nachricht etwas nicht stimmt. In diesem Artikel im The ATA Chronicle (auf Englisch) erkläre ich, wie Sie den Rest der erweiterten Kopfzeile entziffern können.

Dieselbe E-Mail mit erweitertem Header

Auf Mobilgeräten gibt es leider keine Option, den detaillierten Header anzuzeigen. Deshalb müssen Sie eine andere Methode verwenden, um zu ermitteln, ob eine E-Mail echt ist oder nicht. Die folgende Methode funktioniert auch auf Desktop-Computern, wenn Sie sich nicht mit den obigen technischen Details im Header abmühen wollen.

Alternative Methoden zum Ermitteln der Authentizität von E-Mails — Antwortadressen und gefälschte Links

Eine Phishing-E-Mail an mich in meiner Kapazität als NCTA-Webmaster

Die Abbildung oben zeigt eine Phishing-E-Mail, die ich in meiner Kapazität als Webmaster der Northern California Translators Association (NCTA) erhalten habe. Die Betrüger versuchten, sich als GoDaddy, ein seriöses Web-Hosting-Unternehmen, auszugeben. In diesem Fall war mir allerdings sofort klar, dass die Nachricht gefälscht war, denn NCTA hat derzeit einen anderen E-Mail-Dienstanbieter. Diese Nachricht ist jedoch ein sehr gutes Beispiel zur Erläuterung der folgenden Vorgangsweise.

Die Antwortadresse

Alle Betrüger erwarten eine Antwort auf ihre anfängliche Nachricht, andernfalls kann der Betrug ja nicht vonstatten gehen. Da jedoch die Absenderadresse wie oben besprochen gefälscht ist, geben die Betrüger üblicherweise in der Nachricht eine alternative Kontaktmethode an. Eine solche Option ist die Antwortadresse. Dies ist die Adresse, an die Ihre Antwort geschickt wird, wenn Sie auf „Antworten“ in Ihrem E-Mail-Programm klicken. Bei den meisten Desktop-E-Mail-Clients wird die Antwortadresse standardmäßig angezeigt. Wenn das nicht der Fall ist, können Sie das meistens jedoch so einstellen. Für Details hierzu verweise ich Sie an die Dokumentation für Ihre spezifische E-Mail-Software. Kurz, wenn Sie einen Desktop-Computer oder auch einen Laptop-Computer verwenden, sehen Sie sofort, ob die Antwortadresse mit dem angeblichen Absender übereinstimmt, oder zumindest die Domains der beiden gleich sind (der Teil nach dem „@“).

Auf Mobilgeräten ist die Sache leider nicht ganz so einfach. Auch wenn Sie auf „Antworten“ tippen, wird die E-Mail-Adresse nicht einfach angezeigt, wenn die Antwortadresse neben der Adresse auch einen Namen/eine Kennzeichnung enthält. Eine alternative Option zum Anzeigen der Antwortadresse wäre hier, auf „Weiterleiten“ anstatt auf „Antworten“ zu tippen. Wenn Sie Ihre E-Mail-App so eingestellt haben, dass die Nachrichten inline weitergeleitet werden, dann wird der Standard-Header inklusive Sender- und Antwortadresse im Entwurf angezeigt. Wenn ich das mit der obigen Nachricht mache, die angeblich von GoDaddy stammt, wird Folgendes angezeigt:

Nun ist klar, dass diese E-Mail-Nachricht gefälscht ist, da GoDaddy keine E-Mails vom Absender phil arch@t-online.de sendet.

Gefälschte Links

Andere Phishing-Nachrichten (und Smishing-Nachrichten) enthalten gefälschte Links, auf die der Empfänger klicken soll. Diese Links führen dann zu einer gefälschten Website und nicht zu der Website-Adresse, die der Link eigentlich anzeigt. Das heißt, der tatsächliche Link und der angezeigte Link stimmen nicht überein. Auf einem Desktop- oder Laptop-Computer ist es ziemlich einfach, die tatsächlich verlinkte Web-Adresse anzuzeigen, nämlich indem man mit dem Mauszeiger über dem Link verweilt, ohne darauf zu klicken. Der E-Mail-Client zeigt dann die tatsächliche Zieladresse an, üblicherweise (abhängig vom Programm) irgendwo in der Fußzeile des Clients. Im vorliegenden Fall wird Folgendes angezeigt:

Das ist ganz klar keine GoDaddy-URL.

Auf Mobilgeräten ist dieses Verfahren wieder nicht möglich, da Mobilgeräte keine Maus haben. Auf Mobilgeräten können Sie jedoch mit dem Finger den Link oder die Taste gedrückt halten, bis der Link von einem blasenförmigen Gebilde umgeben ist, wie in der Abbildung unten, und ein Pop-up-Fenster erscheint. Hier ist wieder die gleiche gefälschte GoDaddy-Nachricht gezeigt. Die einzelnen Menüelemente und Anzeigeoptionen hängen vom jeweiligen mobilen Betriebssystem ab, auf Ihrem Mobilgerät sollte die Anzeige auf jedem Fall ähnlich sein. Achten Sie jedoch darauf, nicht auf „Link öffnen“ zu tippen und auch nicht versehentlich auf den Link zu tippen, sondern den Link gedrückt zu halten, bis das Blasen-Pop-up-Fenster angezeigt wird. Dieses Verfahren mit dem Gedrückthalten des Links funktioniert auch bei Smishing-SMS-Nachrichten.

Fazit

Betrugsversuche mit Spoofing, Phishing und Smishing werden immer häufiger. Oben habe ich erklärt, wie man die Echtheit von E-Mail- und SMS-Nachrichten prüfen kann, ohne Cybersicherheit studiert zu haben. Wenn Sie sich weiter mit dem Thema befassen wollen, empfehle ich meine vorherigen Artikel zum Thema Scams, die im Translorial: Cautionary Tales for Interpreters and Translators — An Overview of Scams Targeting the Language IndustryThe ATA Chronicle: Translation Scams: Avoiding Them and Protecting Your Identity, Translation Scams Reloaded und New Twists on Old Scams: Language Professionals Beware! (alle auf Englisch) erschienen sind.

Hinweis

Die Domain corp.parking.ru und GoDaddy sind seriöse Dienstanbieter, die hier nur zur Erläuterung herangezogen wurden. Diese Beispiele sollen diese Dienstanbieter nicht negativ darstellen.

Ein Brief vom Osterhasen — oder doch nicht? Phishing und andere Betrügereien