Phishing erkennen, wenn der Text stimmt

Was sich an diesen Mails geändert hat

Früher war die Personalisierung der teuerste Teil eines Angriffs. Wer tausend Menschen einzeln ansprechen wollte, musste tausendmal recherchieren, deshalb kamen die meisten Mails in einer Fassung für alle, mit schiefer Anrede und schrägem Satzbau. Diese Kostenbremse ist weg, und damit sieht die Massenmail heute aus wie ein persönliches Anschreiben.

Das Material dafür ist öffentlich: die Position aus dem Karrierenetzwerk, das laufende Projekt aus einer Pressemitteilung, der Name der Vertretung aus einer Abwesenheitsnotiz, die Hausschreibweise aus einer beliebigen Mail deines Unternehmens nach außen. Zusammengesetzt ergibt das eine Nachricht, die zum Zeitpunkt passt, im richtigen Ton geschrieben ist und einen Vorgang nennt, den es tatsächlich gibt.

Am unangenehmsten ist die Fortsetzung eines echten Verlaufs. Ist ein Postfach bei einem Partner übernommen, antwortet der Angreifer innerhalb des bestehenden Austauschs, mit korrektem Betreff und der gesamten Vorgeschichte darunter. Dagegen hilft kein einziges sprachliches Merkmal mehr.

Die drei Prüfpunkte, die bleiben

Der erste ist der Absender, und zwar die tatsächliche Adresse, nicht der Anzeigename. Der Anzeigename ist frei wählbar und sagt nichts aus. Lies die Domain Zeichen für Zeichen und achte auf ähnlich aussehende Schreibweisen, auf einen zusätzlichen Bindestrich, eine vertauschte Buchstabenfolge oder eine abweichende Endung. Prüf zusätzlich, wohin eine Antwort ginge, denn Absender und Antwortadresse müssen nicht übereinstimmen.

Der zweite ist der Anlass. Habe ich diesen Vorgang erwartet? Gibt es diese Rechnung, diese Bestellung, diese Fristsetzung überhaupt? Ein Angreifer muss einen Anlass erfinden oder aufgreifen, und je stärker die Nachricht auf einen laufenden Vorgang zeigt, den du selbst nicht angestoßen hast, desto genauer lohnt der Blick.

Der dritte trennt am schärfsten: Was genau soll ich tun? Jede dieser Nachrichten braucht am Ende eine Handlung, eine Anmeldung auf einer Seite, eine Bestätigung im zweiten Faktor, eine Zahlung, das Öffnen einer Datei, die Vergabe einer Berechtigung. Wenn du dir angewöhnst, zuerst diese Frage zu stellen und danach, wem die Handlung nützt, brauchst du den Text gar nicht mehr zu bewerten.

Die Antwort suchst du woanders, nicht in der Mail

Alles, was zur Prüfung angeboten wird, gehört dem Absender: der Link, die Telefonnummer im Text, der Hinweis auf die angebliche Rechnungsnummer. Verlässlich ist nur der Weg, den du selbst kennst. Ruf das Portal über deinen eigenen Lesezeichen-Eintrag auf, nimm die Nummer aus dem Vertrag oder dem Verzeichnis, frag im Nachbarbüro.

Zwei Formen umgehen die üblichen Reflexe. Der QR-Code führt die Prüfung auf ein privates Telefon, das weder der Mailfilter noch die Verwaltung des Unternehmens erreicht, und man sieht dem Muster die Zieladresse nicht an. Und Anhänge sind längst nicht mehr nur ausführbare Dateien, sondern Dokumente, die nur eine Aufforderung enthalten, irgendwo anders weiterzuklicken.

Der zweite Faktor ist kein Freibrief

Viele Angriffe zielen inzwischen nicht mehr auf das Passwort allein, sondern auf die Bestätigung danach. Kommt eine Freigabeanfrage, ohne dass du dich gerade selbst angemeldet hast, ist das kein Fehler des Systems, sondern der Beweis, dass jemand dein Passwort hat. Bestätigen macht daraus eine erfolgreiche Anmeldung, Ablehnen und Melden machen daraus einen Vorfall, der behandelt wird.

Wo verfügbar, hilft die Variante mit Zahlenabgleich, bei der die angezeigte Ziffernfolge zur Anmeldung passen muss. Sie verhindert das gedankenlose Wegtippen, das nach der zehnten Anfrage am Tag jedem passiert. Und für die Person, die eine solche Anfrage bekommt, gilt dieselbe Regel wie beim Anruf: erst nachsehen, wo die Anmeldung herkommt, dann entscheiden.

Was das Haus insgesamt trägt

Einzelne Aufmerksamkeit reicht nicht, weil irgendwann jede Person eine Mail im falschen Moment öffnet. Was trägt, ist die Geschwindigkeit danach: ein Meldeknopf im Mailprogramm, eine Adresse, an die man weiterleitet, und die Gewissheit, dass eine Fehlmeldung nie unangenehm wird. Zehn überflüssige Meldungen sind billiger als eine, die aus Scham unterbleibt.

Simulationen sind sinnvoll, wenn sie mit einer Auswertung enden statt mit einer Quote. Interessant ist nicht, wer geklickt hat, sondern woran die Nachricht glaubwürdig wirkte und wie viele Minuten bis zur ersten Meldung vergingen. Und der stärkste Schutz bleibt der Prozess selbst: Wo eine Zahlung ohnehin zwei Freigaben braucht, ist eine überzeugende Mail allein wertlos.