Mitarbeitende der MacEwan University in Edmonton, Kanada, erhielten eine E-Mail eines vertrauten wichtigen Geschäftskontakts, eines Bauunternehmens, in der man die Universität über die Änderungen der elektronischen Bankdaten informierte. Zahlungen an das Unternehmen seien demnach auf ein neues Konto zu entrichten.

In der Annahme, dass man den Angaben in der E-Mail trauen könnte, kam die Universität der Aufforderung nach und tätigte innerhalb von 10 Tagen drei Überweisungen auf das neue Bankkonto.

Vier Tage später jedoch ging bei der Universität in Edmonton ein Anruf ein, in dem sich das betreffende Unternehmen nach den ausstehenden Zahlungen erkundigte. Verwirrt teilte man seitens der Universität mit, dass man die Überweisungen erst kürzlich auf das neue Bankkonto vorgenommen hätte.

Doch auf Empfängerseite waren keinerlei Zahlungen eingegangen.

Wie sich anschließend herausstellte, war das Geld in der Tat nicht an das richtige Konto überwiesen worden, sondern ging an Cyberkriminelle in Kanada und Hongkong, die jetzt um 11,8 Millionen Dollar reicher waren.

Derartige E-Mails, die Zahlungsaufforderungen enthalten und mit betrügerischen Konten in Verbindung stehen, sind keine Ausnahmeerscheinung und die MacEwan University ist nur eine von vielen Institutionen, die ins Visier von Cyberkriminellen geraten. Genauer genommen handelt es sich hierbei um eine äußerst weitverbreitete Form des Cyberangriffs, der jedes Jahr Tausende von Unternehmen zum Opfer fallen: Phishing.

HubSpot Website Grader: Lassen Sie Ihre Website auswerten und erfahren Sie,  welche Verbesserungen Sie vornehmen können. In nur wenigen Sekunden und völlig  kostenlos!

 

Ziel von Phishing-Angriffen ist es, an private Daten zu gelangen. Dazu zählen Passwörter, Kreditkartendaten, Bankanmeldeinformationen und Sozialversicherungsnummern.

Die meisten Cyberkriminellen verüben Phishing-Angriffe per E-Mail, mittlerweile erfreuen sich jedoch auch soziale Medien, Messaging-Apps und SMS immer größerer Beliebtheit, um an die vertraulichen Daten anderer zu gelangen.

Die Zahl der Phishing-Fälle ist in den letzten Jahren gestiegen – allein im März 2020 wurden über 60.000 Phishing-Seiten gemeldet. Diese Form der Cyberkriminalität könnte auch Ihrer Marke und Ihrem Geschäft schaden. Wie können Sie also Ihre Kundschaft und Ihre Mitarbeitenden erfolgreich vor Phishing schützen?

So schützen Sie Ihr Unternehmen vor Phishing-Angriffen

Wir stellen Ihnen drei Maßnahmen vor, die Sie ergreifen können, um Ihre Marke vor diesen weitverbreiteten Angriffen zu schützen.

1. Erstellen Sie einen DMARC-Eintrag.

DMARC (Domain-based Message Authentication Reporting and Conformance) ist ein hochmodernes E-Mail-Authentifizierungsprotokoll, das zwei andere Authentifizierungsprotokolle, SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail), nutzt, um vertrauenswürdige Nachrichten, die von Ihrer Domain gesendet werden, zu verifizieren und betrügerische E-Mails zu blockieren, die den Anschein erwecken, von Ihrer Domain gesendet zu werden.

Diese E-Mail-Authentifizierungsprotokolle sind technisch eher kompliziert. Kurz gesagt ist SPF ein Datensatz von IP-Adressen, die berechtigt sind, E-Mails in Ihrem Namen zu versenden, und die von E-Mail-Diensten überprüft werden. Bei DKIM handelt es sich um einen Verifizierungsprozess, der kryptografische Authentifizierung nutzt.

DMARC ist die einzige Technologie, die sicherstellen kann, dass Ihre Absenderadresse in der E-Mail-Kopfzeile, also das, worauf Empfänger und Empfängerinnen normalerweise zuerst schauen, vertrauenswürdig ist.

Für eine erfolgreiche DMARC-Authentifizierung muss eine E-Mail die SPF-Authentifizierung und den SPF-Abgleich oder die DKIM-Authentifizierung und den DKIM-Abgleich bestehen. Wenn eine Nachricht eine dieser beiden Authentifizierungen und Abgleiche nicht besteht, wird sie von der DMARC-Technologie zurückgewiesen.

Die Nutzung von DMARC ermöglicht es Ihnen auch, E-Mail-Diensten mitzuteilen, was sie mit betrügerischen E-Mails tun sollen, die scheinbar von Ihrer Domain gesendet werden. Sie können entweder alle E-Mails überwachen, nicht authentifizierte Nachrichten in die Spam-Ordner der Benutzenden verschieben oder entscheiden, diese Art von E-Mails überhaupt nicht an Posteingänge auf Ihrem Server zuzustellen.

Zusätzlich senden Ihnen E-Mail-Dienste regelmäßig detaillierte DMARC-Berichte. So wissen Sie, welche E-Mails authentifiziert werden und welche nicht, und können besser nachvollziehen, wieso das der Fall ist.

2. Stellen Sie Informationen zur Erkennung von Phishing-Angriffen bereit

Laut PhishMe, einer Lösung zur Abwehr von Phishing, sind Unternehmen, die ihre Mitarbeitenden darin schulen, Phishing-Versuche zu erkennen und zu melden, nur zu 5 % anfällig für diese Art der Cyberattacke.

Um Ihren Mitarbeitenden und Ihrer Kundschaft bei der Erkennung derartiger Angriffe zu helfen und Ihr Unternehmen besser davor zu schützen, sollten Sie sie über diese häufigen Phishing-Merkmale aufklären:

Inkorrekte Rechtschreibung, Grammatik oder Wortwahl

Cyberkriminelle mit wenig Erfahrung auf ihrem Gebiet nehmen sich in der Regel nicht die Zeit, klare und überzeugende E-Mails zu verfassen – etwas, worauf echte Marken hingegen viel Wert legen. Zudem verlassen sich ausländische Cyberkriminelle meist auf Google Translate, um ihre Nachrichten zu übersetzen. Wenn Sie also eine schlecht geschriebene E-Mail aus scheinbar seriöser Quelle erhalten, sollten Sie vorsichtig sein.

Verdächtige URLs

Die meisten Phishing-E-Mails sollen Personen dazu verleiten, sich zu einer bösartigen oder gefälschten Webseite durchzuklicken. Um dies zu erreichen, fälschen Cyberkriminelle in der Regel die URL der Webseite, indem sie eine ähnlich aussehende URL erstellen. Alternativ maskieren sie ihre fragwürdige URL, indem sie sie verkürzen.

Wann immer Sie eine seltsame oder verkürzte URL sehen, sollten Sie mit der Maus darüber fahren, um zu sehen, ob die Webadresse der Landing-Page anders lautet oder gefälscht ist.

Abweichende Absenderadresse

Selbst wenn eine Phishing-E-Mail mit zahlreichen Attributen aufwartet, die Ihre Marke in puncto Stil, Formatierung, Logo, Anschrift und Kontakt-E-Mail-Adresse überzeugend imitieren, verfügen Sie jedoch über ein Merkmal, das nicht kopiert werden kann: Ihre Absenderadresse.

Cyberkriminelle erstellen in der Regel eine ähnlich aussehende Absenderadresse oder verwenden einfach eine Zeichenfolge, in der Hoffnung, dass Sie diese nicht überprüfen. Um die Absenderadresse einer Marke zu verifizieren, überprüfen Sie die Absenderdomain in der Kopfzeile der Nachricht unter „Von“ und sehen Sie, ob diese mit der Domain der Marke übereinstimmt.

3. Investieren Sie in E-Mail-Sicherheitssoftware.

Wenn Ihr Unternehmen über die Mittel verfügt, bietet es sich an, in eine gute E-Mail-Sicherheitssoftware zu investieren. Proofpoint und Barracuda zum Beispiel, zählen zu den zuverlässigsten und effektivsten Lösungen, die Schutz vor Phishing-Angriffen bieten.

Selbst versierte Mitarbeitende können Opfer raffiniert gestalteter Phishing-E-Mails werden, denn Cyberkriminelle verfeinern ihre Strategien ständig. Zum Beispiel versenden sie Phishing-E-Mails von den legitimen Domains kompromittierter Webseiten.

Da E-Mail-Sicherheitssoftware ungewöhnlichen Datenverkehr identifiziert und verdächtige URLs überwacht, kann sie auch derartig raffinierte Angriffe effektiv erkennen, blockieren und darauf reagieren, bevor sie den Posteingang von Kundinnen und Kunden oder Mitarbeitenden erreichen.

Lassen Sie sich nicht ködern

Nutzen Sie DMARC, stellen Sie Ihren Mitarbeitenden wichtige Informationen rund um Cyberangriffe und -sicherheit zur Verfügung und investieren Sie in eine E-Mail-Sicherheitssoftware, die am besten für Ihre spezifischen Systeme und Bedürfnisse geeignet ist. Somit können Sie Ihre Kundinnen und Kunden, Ihre Mitarbeitenden und Ihre Marke erfolgreich vor Phishing-Angriffen schützen – egal wie verlockend der Köder ist.

New Call-to-actionTitelbild: weerapatkiatdumrong / iStock / Getty Images Plus

Ursprünglich veröffentlicht am 19. August 2021, aktualisiert am August 19 2021

Themen:

DSGVO