Spear Phishing kann Wahlen beeinflussen

Spear Phishing

Ein Klick auf den falschen E-Mail-Anhang – und schon sind Rechnersysteme mit Schadsoftware infiziert. Eine mögliche Folge: Sensible Daten werden abgegriffen und zur Spionage oder Erpressung oder für gezielte Meinungsmanipulationen genutzt. Auch in Deutschland kam es bereits zu solchen digitalen Beutezügen – Spear Phishing genannt –, etwa im Bundestag.

2015, Berlin: Hacker haben den Deutschen Bundestag im Visier und erbeuten 16 Gigabyte an Daten. Sie stammen in erster Linie aus E-Mail-Postfächern in Abgeordnetenbüros. Die deutschen Sicherheitsbehörden wissen inzwischen wer die Angreifer waren – kennen aber nicht deren Intention. Zu befürchten ist, dass möglicherweise brisante Informationen aus dem Beutezug im Bundestagswahlkampf eingesetzt werden. Jüngst meldete die rheinland-pfälzische CDU-Vorsitzende Julia Klöckner, dass ihre Internetseite Hackerangriffen ausgesetzt sei1.

Angriffe in Deutschland an der Tagesordnung

Cyber-Angriffe dieser Art sind heute an der Tagesordnung.2

Jeden Monat fängt das Bundesamt für Sicherheit in der Informationstechnik (BSI) 44.000 feindliche E-Mails in Regierungsnetzen ab.
Arne Schönbohm
Chef des Bundesamtes für Informationstechnik (BSI)

So funktioniert Spear Phishing

Spear-Phishing sind raffinierte, sehr gezielte und quasi maßgeschneiderte Betrugsversuche per E-Mail. In der Regel erhält ein bestimmter Mitarbeiter der Zielorganisation von einem vermeintlich vertrauenswürdigen Absender, etwa dem Chef oder einem guten Freund, eine persönliche E-Mail. Darin wird er beispielsweise gebeten, eine Information zu bestätigen oder eine Aktion zu veranlassen. Klickt der Mitarbeiter auf den dafür mitgesendeten Anhang, verbreitet sich die dahinter verborgene Schadsoftware im gekaperten System und die Cyberangreifer können Informationen stehlen. Diese Phishing E-Mails sind extrem professionell und nur sehr schwer als Angriff zu erkennen.

Deutschland zunehmend Ziel von Spionageaktivitäten

IT-Sicherheitsexperten sind sich einig, dass Cyberkriminelle weltweit vermehrt politisch motivierte Angriffe ausüben. Dieser Trend ist auch in Deutschland zu beobachten. Laut Verfassungsschutz3  haben sich Cyberangriffe zu einer wichtigen Methode der Ausspähung durch Nachrichtendienste entwickelt. Nachhaltigkeit und Zielauswahl der Angriffe würden deutlich den Versuch zeigen, Politik und Bundesverwaltung strategisch auszuspionieren.

Die deutschen Sicherheitsexperten sehen im Kontext der anstehenden Bundestagswahl auch noch andere Gefahren. So könnten Täter versuchen, IT-Systeme anzugreifen, die für die Wahl verwendet werden, also etwa Wahlsoftware, die Ergebnisse aus Wahlkreisen zusammenträgt. Arne Schönbohm, Präsident des für die Wahlsicherung zuständigen BSI: "Wir optimieren kontinuierlich die Verteidigungsfähigkeit der Regierungsnetze, um gegen mögliche Cyber-Angriffe gewappnet zu sein.“4  Auch könnten Cyberkriminelle nach der Wahl versuchen, das Vertrauen der Wähler zu beeinträchtigen, indem sie falsche Behauptungen über Unregelmäßigkeiten streuen.

8 Tipps zum Erkennen von Spear Phishing

Ob privat oder geschäftlich – Anhänge und Links sollten Sie in jedem Fall mit Vorsicht behandeln. Lesen Sie unsere acht Tipps dazu:

  • Auch wenn Ihnen der vermeintliche Absender einer Mail sehr vertraut vorkommt – machen Sie Plausibilitätstests, bevor Sie auf Anhänge oder Links klicken. Kann es wirklich sein, dass Ihr Chef Sie bittet, eine große Geldsumme zu überweisen – und in der Mail darauf hinweist, dies bitte ohne andere Mitwisser zu tun? Ist es denkbar, dass Ihr bester Freund eine Mail mit Anhang schickt, in dem sich angeblich hilfreiches Material für die Arbeit findet, an der Sie gerade sitzen? Im Zweifel fragen Sie lieber bei den vermeintlichen Absendern per Telefon oder persönlich nach.

  • Vermeiden Sie eine zu große Offenheit in sozialen Netzwerken und anderen Internet-Plattformen. Oft werden konkrete Informationen für Betrugsmails aus einer solchen Quelle bezogen.

  • Seien Sie misstrauisch bei verdächtigen Links und ungewöhnlichen Website-Adressen. Wenn Sie bei einem Link in der E-Mail den Mauszeiger auf den Link scrollen, ohne diesen anzuklicken, wird Ihnen die vollständige Linkadresse angezeigt. Prüfen Sie diese Adresse genau – manchmal haben Kriminelle der Originaladresse nur einen Buchstaben oder ein Satzzeichen hinzugefügt. Wenn Sie immer noch unsicher sind, setzen Sie sich mit dem in der Mail genannten Absender in Verbindung.

  • Achten Sie bei Websites darauf, ob die Adresszeile sich grün färbt. Vertrauenswürdige Websites besitzen ein Transport-Layer-Security-Zertifikat (TLS-Zertifikat). Dabei wird geprüft, ob das Zertifikat der Webseite von einem vertrauenswürdigen Dienst ausgestellt wurde und ob es noch gültig ist. Nur wenn alle Prüfungen erfolgreich waren, wird die Browserzeile auf Grün gestellt, also Vertrauenswürdigkeit signalisiert. Auf diese Weise können Phishing-Angriffe vermieden werden.

  • Sollten Sie betrügerische E-Mails erhalten und diese aufgedeckt haben, informieren Sie alle wichtigen Stellen darüber: also etwa Ihre Vorgesetzten, den „echten“ Freund, in dessen Namen die Betrugs-Mail versendet wurde und die Polizei.

  • Installieren Sie eine verlässliche Software, die Angriffe erkennt. Aktualisieren Sie Ihre Schutzmaßnahmen regelmäßig.

  • Für Führungskräfte: Informieren Sie Ihre Kollegen und Mitarbeiter! Sensibilisieren Sie Ihr Team dafür, wie leicht man Opfer von Spear Phishing werden kann. Mitarbeiter sollten sich stets bewusst sein, dass es sich bei E-Mails im Posteingang auch um Fälschungen handeln kann. Investieren Sie in spezielle Technologien zur Verbesserung der E-Mail-Sicherheit.

  • Und weil man es nicht oft genug sagen kann: Vertrauen Sie Ihrem Bauchgefühl. Kommt Ihnen eine E-Mail oder ein Link komisch vor, ergreifen Sie die genannten Vorsichtsmaßnahmen!

 

1 Quelle: Die Welt, 4.9.2017
2 Quelle: Die Zeit, Dezember 2016, http://www.zeit.de/2016/47/arne-schoenbohm-cyberclown-hacker-regierung-schutz 
3 Quelle: Bericht des Verfassungsschutzes, 2016
4 Quelle: Bundesamt für Sicherheit in der Informationstechnik, Pressemitteilung Dezember 2016,
 

Cyberkriminalität

Cyberkriminalität: deutsche Unternehmen beliebtes Ziel der Attacken

Digitale Sicherheit

Cybersicherheit – Herausforderungen, Fakten und Praxistipps

Keine Smart Factory ohne IT-Sicherheit. Lesen Sie hier unsere fünf Tipps für mehr Sicherheit in der Industrie 4.0.

Cyberkriminalität

Sicherheitslücke E-Mail schließen

Erfahren Sie, wie Sie in fünf Schritten die wichtigsten Grundlagen für eine sichere und vertrauenswürdige E-Mail-Kommunikation schaffen.