Vorab: Es geht hier nicht um eine Spam, sondern um eine echte E-Mail von PayPal. Diese ist allerdings ausgesprochen dumm und ein Beitrag PayPals dazu, dass sich das kriminelle Phishing nach Login-Daten von PayPal-Nutzern auch in Zukunft lohnen wird.

Diese E-Mail von PayPal ist echt (nur die schwarzen Balken sind von mir):

Ebenso echt ist die Warnung von Thunderbird, dass diese Nachricht ein Betrugsversuch sein könnte. Diese Warnung hat auch einen guten Grund. Sämtliche Links in der Mail von PayPal gehen nicht auf die Website in der Domain von PayPal, sondern stattdessen in die Domain paypal (strich) communication (punkt) com. Das ist sehr dumm von PayPal, und diese Dummheit ist sehr gefährlich für naive PayPal-Kunden.

Denn so trägt die E-Mail von PayPal alle Kennzeichen einer Phishing-Spam.

PayPal-Kunden gewöhnen sich durch dumme E-Mails wie diese daran, dass eine echte E-Mail von PayPal „aussieht wie eine Phishing-Spam“, weil Links aus der E-Mail in andere Domains gehen. Sie werden so auch daran gewöhnt, in derartige E-Mails zu klicken – was im Falle eines echten Phishings auf eine „liebevoll“ nachgemachte PayPal-Seite in einer anderen Domain führen würde, wo man Gelegenheit erhält, Kriminellen die Zugangsdaten zum PayPal-Konto zuzustecken, damit diese Leute ihre „Geschäfte“ über dieses Konto machen können.

Mir als denkenden Menschen ist es ja schon unbegreiflich, warum eine E-Mail von PayPal nicht standardmäßig digital signiert ist, um jedem Empfänger wenigstens die Möglichkeit zu gewähren, diese digitale Signatur zu überprüfen und damit den Absender und den unverfälschten Inhalt der E-Mail jenseits jedes vernünftigen Zweifels sicherzustellen. Verbunden mit einer sinnvollen Aufklärung der Kunden (und vielleicht sogar der Erstellung von Addons für beliebte E-Mail-Software, die dann die Signatur überprüfen) könnte eine solche Maßnahme wie keine zweite einen Phishing-Sumpf austrocknen, der übrigens auch die Reputation PayPals als die eines „sicheren Zahlungsdienstleisters“ beschädigt. Erfreulicherweise würde eine digitale Signatur von E-Mail noch nicht einmal Geld kosten, aber Schäden in einer derzeit nur PayPal genauer bekannten Größenordnung abzuwenden helfen.

PayPal ist dazu nicht bereit. PayPal scheint wichtigere Anliegen und Pläne als den Kampf gegen die Internetkriminalität zu haben. Das ist schade. Leider kann ich es auch nicht ändern. PayPal könnte es ändern. Aber dort hat man ja leider wichtigere Anliegen und Pläne. Ja, ich werde etwas ätzend, ich merke es ja selbst…

Aber wenn man die E-Mail schon nicht digital signiert, obwohl das kein Geld kostete und mit relativ geringem Aufwand durchführbar wäre, dann kann man doch wenigstens die verlinkten Seiten in der eigenen Domain halten, die jedem PayPal-Kunden vertraut sein sollte.

Ich kann durchaus verstehen, wenn man die Website unter www (punkt) paypal (punkt) com leicht durchschaubar halten möchte und sie deshalb nicht mit solchen Texten „vollmachen“ mag. Aber auch dafür gibt es eine einfache, kostenlose und weisere Lösung, nämlich die Verwendung einer anderen Subdomain. Die Links aus einer derartigen E-Mail würden dann zum Beispiel in eine dafür vorgesehene Domain tos (punkt) paypal (punkt) com gehen, und es wäre klar, dass diese Domain vom Betreiber der Domain paypal (punkt) com eingerichtet wurde. Neben der Kostenlosigkeit eines solchen Vorgehens hätte dies sogar noch einen weiteren Vorteil: Die DNS-Konfiguration für eine zweite Domain würde wegfallen, an ihre Stelle träte eine einzige zusätzliche Zeile in der Konfigurationsdatei für die Domain paypal (punkt) com.

Es hätte also nur Vorteile, wenn man es so machte. Und man müsste schon ein bisschen dumm sein, wenn man es anders machte – etwa so, wie PayPal es hier in seiner E-Mail mit der Mitteilung geänderter AGB vorgemacht hat.

Vor allem, weil ein Mailclient den Empfänger dann auch gleich in rotesten Alarmfarben vor Phishing warnt, weil es nicht nur dumm wäre, sondern auch wie Phishing aussähe. Oh, es wäre ja nicht nur dumm. Der Konjunktiv ist eine Möglichkeitsform, aber diese E-Mail ist bittere Realität. Es ist dumm. Egal, aus welchem Blickwinkel man es betrachtet, sieht es bei genauerem Hinschauen nur immer dümmer aus.

Und es nützt nur der Organisierten Kriminalität.

Sonst hat niemand einen Nutzen davon. Ganz im Gegenteil.

Ich sage ja: Es ist dumm. Es ist gefährlich und unverantwortlich dumm, was PayPal hier tut. Und es wäre gut für alle, wenn PayPal klüger vorginge.

Leider ist diese Dummheit bei PayPal regelmäßig und offenbar völlig beabsichtigt. Meinem Offenen Brief vom 10. Januar 2014 habe ich auch heute kein weiteres Wort hinzuzufügen.