GMX Sicherheitsexpertin zu Spam & Phishing

GMX Blog: Diätmittel, Sexspielzeuge oder Gewinncoupons: Was ist aktuell das häufigste Thema bei Spam und Phishing-Betrügereien?

Viviana: Also Diätmittel dürften nach Ostern definitiv wieder eins der Top-Spam-Themen sein. Da beobachten wir saisonale Effekte. Eine große Spam-Kategorie, die aber ein echter Dauerbrenner ist: Die vielen gefälschten DHL-, Amazon-, GLS-Spam- und Phishing-E-Mails.

Die Spammer nutzen die simple Tatsache, dass wir alle fleißig online bestellen und diese Versand- bzw. Logistikdienste regelmäßig nutzen. Und deswegen versenden die Kriminellen massenhaft gefälschte Auftragsbestätigungs- und Lieferbenachrichtigungs-E-Mails. Diese E-Mails führen zu gefakten Webseiten, die der Original-Webseite ähneln. Dort wollen sie den Nutzern dann persönliche oder finanzielle Kundendaten stehlen.

Aber Achtung: Die gefälschten E-Mails transportieren im Anhang gerne auch Trojaner, Schadcodes und andere fiese Malware. Und zwar in Form von .ZIP-, .exe- oder anderen Dateitypen. Einmal geöffnet oder heruntergeladen, hat man schnell ein richtiges Problem.

GMX Blog: Okay, hier ist also definitiv Vorsicht angebracht. Doch bevor wir näher darauf eingehen, wie man die gefälschten E-Mails erkennt: Können wir uns mal die Begriffe "Spam", "Spoofing" und "Phishing" ansehen? Sie werden ja häufig synonym verwendet – aber sie sind doch unterschiedlich in ihrer Bedeutung.

Viviana: Ja, das sind sie. Der Begriff "Spam" bezieht sich auf unerwünschte bzw. unverlangte E-Mails. Diese müssen nicht immer bösartig sein, können aber durchaus Links zu betrügerischen Webseiten enthalten. In der Regel sind Spam-Mails jedoch eher lästig als gefährlich.

Der Begriff "Phishing" wiederum bezeichnet Cyberangriffe, bei dem Angreifer meist in großem Stil betrügerische, täuschend echt aussehende E-Mails versenden, um Empfänger zur Preisgabe vertraulicher Informationen wie z. B. Passwörtern oder zur Zahlung von Geld zu verleiten.
Die E-Mails sind so gestaltet, dass sie von seriösen Unternehmen oder Organisationen zu stammen scheinen: Mit ähnlichen Logos, ähnlichen sprachlichen Elementen und einer ähnlichen Formatierung. Denken wir doch nur an die eben beschriebenen gefälschten DHL, GLS- und Amazon-Mails!

Zudem stammen sie häufig von scheinbar bekannten E-Mail-Adressen. Doch nur scheinbar – es handelt sich hierbei nämlich um das Täuschungsmanöver "Spoofing":
Beim E-Mail-Spoofing werden Informationen im Kopf der E-Mail so gefälscht, dass die verwendete Absender-E-Mail-Adresse echt aussieht. In Wirklichkeit steckt dahinter jedoch der Spammer! Er täuscht der Zielperson nur eine echte Identität vor.
Spoofing tritt übrigens auch in anderen Formen auf wie z. B. Call-ID-Spoofing, bei dem Rufnummern für Betrugszwecke vorgetäuscht werden.

GMX Blog: Viviana, im vergangenen Jahr haben Du und Dein Team einen dramatischen Anstieg von Spam- bzw. Phishing-Mails registriert. Von welchen Zahlen sprechen wir da grob?

Viviana: Bei GMX haben wir im Zeitraum von 2022 bis 2023 einen Anstieg um fast zehn Milliarden Spam-Mails registriert. Das entspricht einem Anstieg von ca. 30 Prozent.

GMX Blog: Das sind ja irre Zahlen…

Viviana: Ja, das klingt enorm, aber man muss bedenken, dass das Volumen des E-Mail-Verkehrs grundsätzlich ständig zunimmt. Sowohl seriöser erwünschter Mails als auch unerwünschter Nachrichten.

Wobei jedoch der Anteil an Spam-Mails beträchtlich stärker wächst als der Anteil guter E-Mails. Spam wird für viele verschiedene Betrügereien verwendet, darunter Phishing, Identitätsdiebstahl und andere betrügerische Machenschaften. Und solange den Tätern ein finanzieller Gewinn winkt, ist und bleibt der Anreiz zum Versenden von Spam sehr hoch.

Das Problem steigender Spam-Zahlen sehen übrigens nicht nur wir bei GMX – es betrifft die gesamte E-Mail-Branche.

GMX Blog: Setzt sich dieser Trend weiter fort?

Viviana: Das ist zu erwarten. Und dafür gibt es mehrere Gründe:
Dank Künstlicher Intelligenz erstellen Spammer im Handumdrehen Phishing-Mails mit sehr gutem passendem Inhalt und erreichen durch die automatisierten Prozesse viele Menschen – mit wenig Geld und wenig Aufwand.

Und dann wäre da noch die Sache mit den Botnets und der Malware: Cyberkriminelle nutzen häufig Botnets, also Netzwerke kompromittierter Computer, um Spam zu verbreiten. Je größer diese Netzwerke sind, desto größer ist auch die Möglichkeit, große Mengen an Spam zu versenden.
Kurz gesagt: Spammer haben es heutzutage also viel leichter als früher, Spam-Kampagnen durchzuführen.

GMX Blog: Und wie reagiert GMX auf diese Entwicklung?

Viviana: Ohne hier zu sehr ins Detail zu gehen: Bei GMX haben wir ein ausgeklügeltes System zur Erkennung von Anomalien und bösartigem Verhalten in E-Mails eingeführt. Wir investieren in die Nutzung Künstlicher Intelligenz und werden dies auch weiterhin tun. KI wird derzeit und auch in Zukunft bei der Bekämpfung von Spam und bösartigen E-Mails eingesetzt werden.

GMX Blog: Viviana, das klingt gut, aber wie schaut es auf Nutzerseite aus: Kann z. B. ich als normale E-Mail-Nutzerin eine Phishing-E-Mail von einer echten E-Mail unterscheiden, wenn sich eine in meinen Posteingang verirrt?

Viviana: Aufgrund der Raffinesse moderner Phishing-Techniken ist es tatsächlich schwierig, Phishing-E-Mails von echten E-Mails zu unterscheiden.
Es gibt jedoch einige Anzeichen, die bei der Unterscheidung helfen können:

Überprüfen Sie die E-Mail-Adresse des Absenders: Phishing-Mails kommen oft von Adressen, die echte, existierende Adressen imitieren, aber kleine Unterschiede aufweisen, z. B. Rechtschreibfehler oder zusätzliche Zeichen.

Achten Sie auf allgemeine Anreden: In Phishing-E-Mails werden oft unpersönliche Anreden wie "Sehr geehrter Kunde" oder "Sehr geehrter Benutzer" anstelle Ihres echten Namens verwendet.

Prüfen Sie die E-Mail auf schlechte Grammatik und Rechtschreibung: Die offensichtlichsten Anzeichen sind tatsächlich immer noch Grammatikfehler oder falsch geschriebene Wörter.

Last but not least: Seien Sie vorsichtig bei dringenden oder drohenden Formulierungen: Phishing-Mails erwecken oft den Eindruck von Dringlichkeit oder drohen mit schlimmen Konsequenzen, wenn Sie nicht schnell handeln.

GMX Blog: Und was wäre sonst noch wichtig?

Viviana: Wenn eine E-Mail eine Verlinkung enthält, prüfen Sie den Link unbedingt, bevor Sie draufklicken: Fahren Sie mit der Maus über Links in der E-Mail (ohne darauf zu klicken), um die URL zu sehen. Der Spammer will Sie auf seine betrügerische Website locken. Wenn Sie z. B. eine E-Mail von Amazon erhalten, sollten alle darin enthaltenen Links zu Amazon und nicht zu einer unbekannten dubiosen Website führen.

Seien Sie auf der Hut vor Phishing-Versuchen: Lassen sie beim Empfang von E-Mails generell Vorsicht walten, vor allem bei E-Mails, die personenbezogenen Daten von Ihnen verlangen oder unerwartete bzw. auffällige Links oder Anhänge beinhalten.

Und natürlich sollten E-Mails im Spam-Ordner immer mit Vorsicht behandelt werden – sie wurden von unseren Systemen ja als potenziell verdächtig eingestuft und stellen daher auch ein potenzielles Risiko dar.

Ein Hinweis an dieser Stelle: Aktuell ist es übrigens noch möglich, das GMX Postfach ohne Spam-Schutz und damit auch ohne Spam-Ordner zu verwenden. Aus Sicherheitsgründen werden wir dies nun unterbinden und den GMX Spamschutz für alle E-Mail-Konten in Kürze standardmäßig aktivieren.

GMX Blog: Und wie kann ich mich prophylaktisch vor Phishing- und Spam-Mails schützen?

Viviana: Zur Bekämpfung von Spam empfehle ich eine Kombination aus technischen Lösungen und Datensparsamkeit:
Jedes internetfähige Gerät, ob Handy, Tablet oder Computer sollte regelmäßig ein Software-Update erhalten. Es sollten eine Firewall und ein Antivirenprogramm installiert sein.

Auf "menschlicher" Seite sollte man darauf achten, seine Haupt-E-Mail-Adresse nicht überall preiszugeben – vor allem nicht auf unbekannten Webseiten. Allzu oft landet die E-Mail-Adresse dann doch mal auf einer Spammer-Adressliste. Dafür gibt es einen eigenen Markt im Internet. Und ich rate unserer Leserschaft: Seien Sie generell vorsichtig mit E-Mail-Anhängen.

Und zu guter Letzt können natürlich auch IT-Schulungen hilfreich sein, um Gefahren im Netz leichter erkennen zu lernen. IT-Experten bieten Kurse für Anfänger, Fortgeschrittene usw. an.

GMX Blog: Warum erhalten Nutzerinnen und Nutzer überhaupt Spam-Mails, wo doch die Wahrscheinlichkeit besteht, dass diese Mails gefährlich sind?

Viviana: Als deutscher E-Mail-Anbieter unterliegen wir der Zustellpflicht. Daher müssen wir bestimmte E-Mails zustellen, auch wenn unsere E-Mail-Nutzer sie vielleicht als nervig empfinden.  Diese E-Mails landen dann zumeist im Spam-Ordner.

Wenn eine E-Mail jedoch gefährlich ist (z. B. einen Virus enthält) oder nicht unseren "Zugangs"-Regeln entspricht, die erforderlich sind, um als gültig bzw. erlaubt anerkannt zu werden, weisen wir sie zurück. Das bedeutet, wir stellen sie dann gar nicht zu – auch nicht in den Spam-Ordner.

GMX Blog: Es gibt aber auch den anderen Fall: E-Mails, die ein Nutzer erhalten will, landen im Spam Ordner und müssen von dort erst wieder in den Posteingang verschoben werden. Kommt das häufig vor, und kann der Nutzer etwas dagegen tun?

Viviana: Diese E-Mails werden als sogenannte "False Positives" bezeichnet. Spam-Filter versuchen, ein Gleichgewicht zwischen dem Blockieren von Spam und dem Zulassen berechtigter E-Mails herzustellen.

Dabei besteht immer die Gefahr von False Negatives (Spam-E-Mails, die nicht erkannt werden) und False Positives (berechtigter E-Mails, die als Spam markiert werden). Strengere Filter können die Zahl der False Negatives zwar verringern, aber auch zu mehr False Positives führen.

Wenn berechtigte, gute E-Mails also fälschlicherweise als Spam klassifiziert werden, sollten Kunden auf den "Kein Spam"-Button klicken, um die Nachricht als gewünscht zu markieren. Auf diese Weise können sie die Spamfilter trainieren.

GMX Blog: Zum Thema Spamfilter trainieren hat uns auch eine Frage eines Nutzers erreicht: "Wenn man eine Spam-Mail vom Posteingang in den Spam-Ordner verschiebt, wird ja der persönliche Spam-Filter trainiert. Wie lange muss sich eine Spam-Mail im Spam-Ordner befinden, damit das Anti-Spam-System sie erkennt? Gibt es eine Mindestdauer oder reicht es, sie zu verschieben?"

Viviana: Nein, das geschieht tatsächlich sofort beim Verschieben. Unsere Systeme lernen direkt: "Diese E-Mail dieses Absenders ist unerwünscht" und speichern dies für immer ab. Künftig landen diese Mails dann in Spam.

GMX Blog: Und in punkto E-Mail- bzw. Account-Sicherheit: Was sind wichtige und effiziente Maßnahmen, die ich als Nutzer(in) selbst ergreifen kann?
 
Viviana: Starke Passwörter. Allerdings muss man beachten, dass sich die Bedeutung des Begriffs "starkes Passwort" alle paar Jahre ändert: Die zunehmende Rechenleistung von Computern macht aus Passwörtern, die vor einigen Jahren noch als sicher und stark galten, heute schwache Passwörter – Hacker können sie dank verbesserter Technologien leichter knacken als noch vor ein paar Jahren. Die Kriterien eines "starken Passworts" ändern sich also.
Wichtig daher für unsere Leserschaft: Checken und ändern Sie Ihre Passwörter von Zeit zu Zeit und erhöhen Sie deren Komplexität und Länge. Und nutzen Sie auf keinen Fall ein und dasselbe Passwort für alle Konten, sondern pro Online-Account ein eigenes, individuelles.
 
Als zweite ergänzende Schutzmaßnahme für Ihre Online-Zugänge empfehle ich die Zwei-Faktor-Authentifizierung. Diese Authentifizierungsmethode ist ja bereits bei vielen Anbietern Standard – z. B. beim Online-Banking oder bei PayPal. Aber auch für Ihr E-Mail-Konto ist sie verfügbar. Wenn Sie sie aktivieren, reduziert dies das Risiko eines unerlaubten Zugriffs erheblich. Selbst dann, wenn Ihr Passwort geknackt wurde.
 
GMX Blog: Und noch eine letzte Frage an Dich persönlich: Was reizt Dich an Deinem Job?

Viviana: Die Arbeit, die wir in der Abteilung für E-Mail-Sicherheit und -Übertragung machen, ist aufregend und hält einen auf Trab. Ich habe gelernt, dass man die Motivation und die Innovationskraft der Gegenseite nicht unterschätzen darf. Wir versuchen wie die Angreifer zu denken, uns in ihre Köpfe hineinzudenken. Wir wollen ihnen immer einen Schritt voraus sein!

Die Leute, mit denen ich hier arbeite, sind intelligente, einfallsreiche und engagierte Profis, und wir werden immer neue Herausforderungen haben, die wir mit neuen Ideen bewältigen müssen. In diesem Job wird es nie langweilig.
 

Wenn Sie den Artikel hilfreich fanden, teilen Sie ihn gerne auch per E-Mail.