Warum der Absender kein Beweis ist
Wie eine Mail zu Ihnen kommt, warum Absender gefälscht werden können und warum selbst eine echte Adresse nicht genügt.
E-Mail wurde für den Austausch gebaut, nicht für Sicherheit. Absender lassen sich fälschen, Anzeigenamen frei wählen, Domains täuschend ähnlich registrieren. Und manchmal kommt die Mail wirklich vom gekaperten Postfach eines Partners, mitten im echten Gesprächsverlauf. Der Absender allein ist kein Beweis.
Kapitel C · Der Posteingang
Jetzt öffnen Sie das Postfach. Die erste und wichtigste Einsicht: Sie wissen nicht sicher, wer Ihnen schreibt. Das liegt an der Technik selbst.
E-Mail wurde für Austausch gebaut, nicht für Sicherheit
Das Protokoll, über das Mails verschickt werden (SMTP), stammt von 1982. Damals ging es darum, überhaupt Nachrichten auszutauschen. Den Absender trägt der Versender einfach selbst ein, so wie man auf einen Briefumschlag jede beliebige Absenderadresse schreiben kann.
Wie einfach das geht: Mit einem schlichten Textwerkzeug verbindet man sich
mit einem Mailserver und tippt ein paar Befehle: Absender (MAIL FROM),
Empfänger (RCPT TO), Text (DATA). Fertig ist eine Mail mit frei
erfundenem Absender. Moderne Prüfverfahren (SPF, DKIM, DMARC) erschweren
das, aber nicht jeder Betrieb hat sie konsequent eingerichtet, und
gegen die folgenden Tricks helfen sie gar nicht.
Auch der Spamfilter fängt nicht alles. Ist er zu streng, verschwinden echte Mails; ist er zu locker, kommt Phishing durch. Je besser eine Phishing-Mail gemacht ist, desto eher landet sie bei Ihnen. Der letzte Prüfschritt sind Sie.
Vier Arten, einen Absender vorzutäuschen
- Nur der Anzeigename ist falsch. Angezeigt wird „Thomas Krämer“, dahinter steht eine beliebige Gratis-Adresse. Am Smartphone sehen Sie oft nur den Namen.
- Eine ähnliche Domain.
secureit-icu.destattsecureit.icu,rnstattm, eine0statto, oder ein zusätzliches Wort wie-rechnungoder-support. Solche Domains kann jeder für wenige Euro registrieren. - Ein gefälschter Absender auf technischem Weg, wie oben beschrieben.
- Ein echtes, gekapertes Postfach. Das Postfach eines Lieferanten oder Kunden wurde übernommen. Die Mail kommt wirklich von dort, oft als Antwort in einem echten Gesprächsverlauf mit allen vorherigen Nachrichten. Das ist die gefährlichste Form.
Der angezeigte Absender ist kein Beweis. Nicht einmal eine wirklich echte Adresse ist es, denn das Postfach dahinter kann übernommen sein. Entscheidend ist, ob Inhalt und Bitte zum Absender und zum üblichen Ablauf passen.
Hilfen, die Ihr Postfach Ihnen gibt
- Viele Betriebe markieren Mails von außen mit einem Hinweis wie [EXTERN]. Steht dieser Hinweis an einer Mail „vom Kollegen“ oder „von der Geschäftsführung“, ist das ein deutliches Warnsignal.
- Klicken oder tippen Sie auf den Absendernamen, um die vollständige Adresse zu sehen.
Eine E-Mail ist eher eine Postkarte als ein versiegelter Brief: Absender und Inhalt können gefälscht, unterwegs mitgelesen und sogar verändert werden. Mit dieser Vorstellung im Kopf trifft man fast immer die richtige Entscheidung.
Ein Lieferant schreibt in einem echten, laufenden Mailverlauf, dass sich seine Bankverbindung geändert hat. Die Absenderadresse stimmt exakt. Was gilt?
Mehrere Antworten können richtig sein.
Gekaperte Postfächer antworten in echten Verläufen. Eine Antwort auf die Mail landet beim Angreifer. Nur ein zweiter, bekannter Weg bringt Sicherheit, mehr dazu in Kapitel D.