Es ist mir auch ohne das Wort „Betreff“ im Betreff klar, dass es sich um einen Betreff handelt.

Die E-Mail ist HTML-formatiert und ahmt im Großen und Ganzen das Design der Website der Comdirekt Bank AG nach. Das großformatige, für eine E-Mail völlig ungeeignete Layout wird sicherlich häufig nicht gut lesbar dargestellt.

Wer diese Mail bekommen hat und sich unsicher ist: Nein, trotz des Layouts kommt diese Mail nicht von der Comdirekt Bank AG, sondern von Kriminellen, die Menschen zur Preisgabe ihrer Daten überrumpeln wollen, damit sie das Konto übernehmen können. Ich kann leider nicht beurteilen, ob die Comdirekt Bank AG zurzeit ihre Kunden vor dem laufenden Phishing warnt, da die Comdirekt Bank AG eine Website betreibt, die ohne aktiviertes Javascript keine Inhalte darstellt. Einer in meinen Augen unseriösen und verachtenswerten Unternehmung wie einem Kreditinstitut werde ich gewiss nicht gestatten, Code in meinem Browser auszuführen…

Es gibt übrigens keinen sachlichen oder technischen Grund, öffentlich lesbare Inhalte nicht in textueller Form zu hinterlegen – also so, wie es zum Beispiel hier bei Unser täglich Spam geschieht. Wenn die Comdirekt-Bank Interessierten und Kunden auf der Startseite – siehe Screenshot rechts – verkündet, dass dies nicht möglich sei, handelt es sich um eine Unwahrheit; in Wirklichkeit sind die Betreiber dieser Website aus mir unbekannten Gründen unwillens, die einfachen Dinge auf einfachem Wege zu machen. Welche Gründe das sein könnten, gehört zu den Fragen, über die ich nur spekulieren kann, und keine meiner Annahmen würfe ein gutes Licht auf die Comdirekt Bank AG.

Jetzt aber zur Spam:

Sehr geehrte Kundin,
Sehr geehrter Kunde,

wie Sie wissen, wird unser online-banking stets aktualisiert, um immer den höchsten Standart [sic!] an Synchronität [oha!] und Sicherheit beizubehalten. Um sicherzustellen, dass Sie das neue System des online-bankings problemlos und synchron nutzen [sic!] können, müssen Ihre persönlichen Address- und Telefondaten noch einmal von Ihnen bestätigt werden. Dies ist notwendig um keine alten Daten in das neue Onlinebanking zu übernehmen [sic!]. Um Ihre persönlichen Daten zu aktualisieren, melden Sie sich hier bitte zunächst bei Ihrem Onlinebanking an.

Klicken Sie hier – >

Sehr geehrtes Namenloses,

für den gar nicht so seltenen Fall, dass sie mehrere Konten haben, sagen wir ihnen nicht, um welches Konto es sich handelt. Wir fummeln ständig an unserem Technozauber für die Internet-Fernkontoführung herum, und sie wissen das ja schon. Das machen wir wegen Standarten, Sicherdingsbums und zeitlicher Übereinstimmung. Damit sie das Dingens jetzt weiter nutzen können, müssen sie uns eine Menge Daten mitteilen, die wir schon längst wüssten, wenn wir ihre Bank wären. Warum? Damit wir nicht versehentlich veraltete Daten benutzen. Ihre vertragliche Verpflichtung, Änderungen umgehend mitzuteilen, bleibt davon natürlich unberührt. Und jetzt melde sie sich an und klicken sie auf „klick hier“, einem dummen Text, der nur in Spams und anderen unerwünschten Mails zu finden ist! Wundern sie sich nicht darüber, dass die Website der „Comdirekt Bank“ jetzt in einer russischen Domain liegt, und wundern sie sich auch nicht darüber, dass der Link indirekt gesetzt ist und einen Umweg über eine andere gehackte Website geht!

Die Phishing-Seite sieht so aus:

Herzallerliebst auch die Warnung vor Wischofon-Trojanern! Aber natürlich sollte man generell niemals in eine E-Mail klicken, um die Website einer Bank aufzurufen, denn damit wird man leicht von Verbrechern überrumpelt. Seit ungefähr 21 Jahren¹ haben Webbrowser so genannte „Lesezeichen“.

Nachdem Sie das Formular im Onlinebanking ausgefüllt haben, wird von Ihnen kein weiterer Schritt zur Aktualisierung benötigt. Sie werden innerhalb von 48 Stunden nach dem Ausfüllen des Formulars von einem Mitarbeiter unserer online-banking Abteilung telefonisch kontaktiert, um die Aktualisierung Ihres Online-Banking abzuschließen. Vielen Dank für Ihr Verständnis und Ihr Vertrauen in die comdirect.

Nachdem sie aufs Phishing reingefallen sind, sind sie fertig und brauchen nichts mehr zu tun. Sie müssen nur noch eines tun: In den nächsten Stunden jemanden, der sie anruft, weitere Daten am Telefon sagen! Vielen Dank für ihre Dummheit und ihr Vertrauen in etwas Layout in einer HTML-formatierten Mail – aber da können sie ja auch gar nicht anders, weil die meisten Kreditinstitute sich nach wie vor ohne jeden technischen und sachlichen Grund dagegen verwehren, grundsätzlich nur noch digital signierte E-Mail an ihre Kunden zu versenden, um auf diese Weise den Absender und den unveränderten Inhalt überprüfbar zu machen und so den Phishing-Sumpf langsam auszutrocknen. Die dafür erforderliche Technik steht sogar schon viel länger zur Verfügung als die Lesezeichen in Webbrowsern, und sie kostet nichts.

Vielen Dank für Ihr Verständnis und Ihr Vertrauen in die comdirect.

Ach ja, und danke, dass sie volles Verständnis dafür haben, dass ich als Spammer es nicht so mit der Sorgfalt habe und deshalb sehr nachlässig werde, wenn ich meinen eigentlichen Betrugstext fertig habe.

Mit freundlichen Grußen [sic!],

Kundendienst,

Mit freundlichem Gruseln
Dein Phishing-Spammer

¹Der erste Webbrowser mit Lesezeichen war meines Wissens der Mosaic Netscape 0.95 beta aus dem Jahr 1994.