Die 4 größten E-Mail-Irrtümer

E-Mails sind mittlerweile weltweit der Hauptangriffsweg von Hackern. Der Umsatz mit Cyberkriminalität ist weltweit viel höher als der Umsatz mit Drogen. Ein sicherer Umgang mit E-Mails und Passwörtern muss für jeden von uns selbstverständlich sein.

E-Mail Sicherheit

Hier geben wir Ihnen wichtige Hinweise für Ihre tägliche E-Mail Verwendung.

Bekannter Absender
Sie sollten Nachrichten nur dann öffnen, wenn Sie sicher sind, dass sie von einem Ihnen bekannten Absender sind (genaue Prüfung der Absenderadresse). Bei merkwürdigen Nachrichten von Bekannten, rufen Sie diese an und fragen Sie nach, ob die Nachricht wirklich von dem oder der Bekannten stammt. Seien Sie wachsam und vorsichtig.

Genauso wie auf einen Briefumschlag kann man auch in eine E-Mail beliebige Absender schreiben. Vertrauen Sie nicht blind auf den Absender. Löschen Sie außerdem Kettenbriefe. Darin werden oft Viren verteilt bzw. gilt der Inhalt als „Hoax“ – eine belästigende Falschmeldung!

E-Mail-Adresse nicht an jeden weitergeben
Geben Sie Ihre eigene E-Mail-Adresse nur dann weiter, wenn es wirklich notwendig ist. Gelegentlich benötigt man eine E-Mail-Adresse zwar auch für Webseiten, denen man nicht unbedingt blind vertraut, doch für solche Fälle können Sie sich eine Zweitadresse bei einem Free-Mailer zulegen. Verwenden Sie dafür nicht Ihre wtkedu-Adresse oder andere dienstliche E-Mail-Adressen.

Spammer benutzen spezielle Programme, um im Netz nach E-Mail-Adressen zu suchen und massenweise Werbemüll zu versenden. Die Spam-Mail-Accountkontrolle auf wtkedu erkennt zwar schnell das Verschicken von Spam über einen Account und sperrt diesen entsprechend, aber bis zur Sperrung sind in der Regel schon einige tausend Mails verschickt worden. In Ihrem wtkedu-Account existiert eine SPAM-Regel, diese dürfen Sie nicht verschieben oder löschen. Diese Regel sollte immer an oberster Stelle in Ihren wtkedu-Mailservice-Filterregeln stehen.


Betreff
Virenmails verwenden gelegentlich Betreffzeilen wie "Mahnung" oder auch "Ihre Rechnung", die zum Öffnen provozieren sollen. Wenn aber aus dem Absender und Mailinhalt nicht deutlich wird, wer Ihnen schreibt und warum, öffnen Sie keinesfalls den höchstwahrscheinlich virenverseuchten Anhang oder Link.

Datei-Anhänge und Links
Sie sollten Anhänge in E-Mails nur öffnen, wenn Sie einen Link oder Dateianhang auch erwarten.

Passwörter
Hacker verfügen über Werkzeuge, die automatisch alle möglichen Zeichenkombinationen ausprobieren. Daher muss ein Passwort bestimmte Qualitätsanforderungen erfüllen (Groß- und Kleinschreibung, Kombination von Zahlen, Buchstaben und Sonderzeichen) und sollte immer nur für einen einzigen Zugang genutzt werden. Eine Bekanntgabe von Passwörtern, weder schriftlich noch mündlich, darf NIE erfolgen. Auch der Wetteraukreis fragt NIEMALS Ihre Passwörter ab. Geben Sie Ihre Passwörter NIE weiter.

Das Nichtbeachten von Passwort-Sicherheitsstandards kann zur Folge haben, dass der wtkedu-Mailaccount gekapert und zum Verschicken von Spam missbraucht wird. Das wiederum führt dazu, dass die Maildienstleister (wie zum Beispiel web.de oder gmx.de) die von wtkedu gesendeten E-Mails sperren.

Tricks der Angreifer kennen
Vergleichbar mit dem Trickbetrug an der Haustür setzen auch Angreifer im Internet auf die Vortäuschung einer persönlichen Beziehung zum Opfer oder machen Gewinnversprechen. Viele weitere Varianten dieser Social Engineering genannten Vorgehensweise sind denkbar und werden eingesetzt. Zum Teil wird dabei auch ein indirekter Kontakt über Freunde des eigentlichen Opfers gewählt.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt diese hilfreiche Informationen für Bürger zur Verfügung.
Das BSI hat zudem einige gängige Irrtümer identifiziert und zeigt auf, wie die Risiken, die aus einem falschen Verständnis von IT-Sicherheit resultieren, minimiert werden können:

Irrtum 1: "Wenn ich eine E-Mail nur anschaue, aber keinen Anhang öffne, kann nichts passieren."

Das trifft leider nicht zu.

Viele E-Mails werden heute im HTML-Format verschickt. Im Gegensatz zu reinen Text-E-Mails sind diese oftmals farbig, mit verschiedenen Schriften und Grafiken gestaltet. Im so genannten Quellcode einer HTML-formatierten E-Mail lauert die Gefahr: Denn dort kann schädlicher Code versteckt sein, der bereits beim Öffnen der HTML-E-Mail auf dem Computer des Empfängers ausgeführt wird, ohne dass dafür ein Anhang angeklickt werden muss. Auch Spammer greifen gerne auf HTML-E-Mails zurück, um die Gültigkeit einer E-Mail-Adresse zu verifizieren. Dies erfolgt über sogenannte "Webbugs", kleine meist unsichtbare Bilder, welche beim Öffnen der E-Mail von einem Server der Spammer geladen werden und diesen damit den Empfang der E-Mail signalisieren. Deshalb sollten Nutzer in ihrem E-Mail-Programm die Anzeige von E-Mail im HTML-Format deaktivieren. Die E-Mails werden dann zwar nur im Reintext angezeigt und können schlecht lesbar und unvollständig erscheinen. Doch bei vertrauenswürdigen Absendern kann der Empfänger die HTML-Ansicht der E-Mail per Klick auf eine Schaltfläche aktivieren und die Inhalte vollständig betrachten.
Deshalb werden E-Mails aus wtkedu auch immer standardmäßig im reinen Text-Format versandt.

Irrtum 2: "Das Antworten auf Spam-Mails birgt keine Gefahr, man kann auch den Links zum Löschen aus dem Verteiler folgen."

Das stimmt nicht.

Unter dem Begriff Spam werden verschiedene Arten unerwünschter E-Mails zusammengefasst. Dazu gehören unaufgefordert zugesandte Werbung für teilweise zweifelhafte Produkte und Dienstleistungen, Nachrichten mit merkwürdigen Inhalten und so genannte Phishing-Mails, die dem Empfänger unter Vorspiegelung falscher Tatsachen Zugangsdaten zu Online-Shops oder Zahlungsdiensten entlocken wollen.
Egal, um welche Art unaufgeforderter E-Mail es sich handelt, sollten Empfänger diese ignorieren und umgehend löschen, am besten ohne sie zuvor überhaupt zu öffnen. Auf gar keinen Fall sollten Nutzer Links folgen, die vermeintlich dazu führen, dass die Empfängeradresse aus der Liste gelöscht wird. Denn sobald Sie als Empfänger auf solch eine E-Mail reagieren, weiß der Versender, dass Ihre Adresse gültig und aktiv ist. Die Folge ist ein umso höheres Aufkommen an unerwünschten E-Mails, also Spam, im E-Mail-Eingang. Es kann empfehlenswert sein, sich eine zweite E-Mail-Adresse für die Nutzung von Online-Diensten etc. anzulegen. So kann man Spam-E-Mails zumindest aus seinem Haupt-E-Mail-Postfach weitgehend fernhalten. Zudem können als Freeware erhältlich Spam-Filter genutzt werden.

Irrtum 3: "Eine E-Mail kommt immer von der Adresse, die im Absender-Feld steht."

Das ist falsch, denn Absenderadressen von E-Mails können mit geringem Aufwand beliebig gefälscht werden.

Hinter dem in einer E-Mail angezeigten Namen einer Person oder Organisation kann sich ein ganz anderer Absender verbergen – dies ist üblicherweise bei illegalen Aktivitäten der Fall, wie Spam-Versand oder den Versuch, den Computer eines Nutzers mit Schadsoftware zu infizieren.
Einen ersten Hinweis auf den Absender erhält der Nutzer, wenn er mit der Maus über den angezeigten Namen fährt. Je nach E-Mailprogramm wird dann neben der Maus oder am unteren Bildschirmrand die – angeblich – verwendete E-Mail-Adresse angezeigt.
Die Echtheit des Absenders lässt sich durch die Verifikation des so genannten E-Mail-Headers ermitteln. Der Header beziehungsweise Quelltext der E-Mail kann im E-Mail-Programm angezeigt werden. In den mit "Received From" bezeichneten Zeilen können Nutzer den Weg der Mail verfolgen, der Versender findet sich in der letzten Received From-Zeile. Teilweise manipulieren Angreifer aber auch die Received-Zeilen, sodass es schwieriger wird, die tatsächliche Herkunft der E-Mail festzustellen. Deswegen gilt bei Zweifeln an der Herkunft einer E-Mail immer: Nicht öffnen, sondern direkt löschen.

Auch bei E-Mails von scheinbar bekannten Absendern kann es sich um Spam handeln, beispielsweise wenn ein Rechner von einem Schadprogramm befallen wurde, das automatisch Nachrichten an die Personen im Adressverzeichnis des Opfers versendet. Hier hilft oftmals schon ein Blick auf die Betreffzeile, um zu beurteilen, wie wahrscheinlich es ist, dass gerade diese Person beispielsweise eine englische Formulierung oder einen für sie untypischen Ausdruck verwendet.

Irrtum 4: "Phishing-Mails sind leicht zu erkennen."

Das ist nicht korrekt.

Ziel von Phishing (zusammengesetzt aus den englischen Begriff "fishing" für Angeln und dem voran gestellten "P" wie Passwort) ist, den Opfern Zugangsdaten zu Online-Shops, Online-Banking, E-Mail-Konten oder anderen Internet-Diensten zu entlocken. Eine der beliebtesten Methoden dabei ist, E-Mails von Diensten wie Paypal oder Amazon zu fälschen und die Empfänger darin aufzufordern, einem Link zu folgen, um dort beispielsweise Stornierungen oder eine angeblich sicherheitsrelevante Bestätigung der Nutzerdaten vorzunehmen.
Die Aufmachung solcher Mails und auch der Webseiten, auf die darin enthaltene Links führen, sehen den Original-Mails und Webseiten oftmals täuschend ähnlich. Einen Hinweis, ob es sich um eine Phishing-Mail handelt, gibt die bereits in Irrtum 3 erwähnte Kopfzeile der E-Mail (Header), wo die vollständige Absenderadresse sichtbar wird und teilweise nur marginal vom Original-Absender abweicht. Manchmal fehlt auch die Anrede im E-Mail-Text. Die Versender von Phishing-Mails agieren jedoch immer professioneller, sodass auch eine korrekte Anrede oder ein plausibler Inhalt keine Gewissheit bieten.

Auf keinen Fall sollten Empfänger Links in solchen E-Mails folgen! Im Zweifel können Nutzer die Seite des Anbieters im Browser aufrufen und sich direkt auf der dortigen Plattform einloggen, um sich zu vergewissern. Empfehlenswert ist zudem die Deaktivierung der HTML-Anzeige im E-Mail-Programm (siehe Irrtum 1).