Keine Spam, sondern „nur“ ein Link zu einem Artikel über den aktuellen Schadsoftware-Wahnsinn auf Heise Online:
Ein Dienst im Tor-Netzwerk generiert kostenlos maßgeschneiderte Krypto-Trojaner. Und das ist erschreckend einfach: Nach einer kurzen Registrierung fragt der Dienst nur noch, wie viel Lösegeld der Tox gekaufte Trojaner [sic!] von seinen zukünftigen Opfern erpressen soll. Optional kann der angehende Online-Ganove noch eine persönliche Botschaft eingeben, die nach der Infektion angezeigt wird. Ist das kurze Formular ausgefüllt, generiert der Dienst den individuellen Schädling und der Download startet. Es handelt sich um eine .scr-Datei mit Word-Icon.
Hauptverbreitungsweg für diese Pest sind E-Mail-Anhänge. Das Antivirus-Schlangenöl ist regelmäßig machtlos, weil es bei der Überprüfung nur mit Mustern bekannter Schadsoftware abgleicht.
Es gibt gegen diese kriminelle Pest nur einen sicheren Schutz, und der hat wenig mit dem Computer und darauf laufender Software, aber dafür viel mit dem Gehirn des Menschen am Computer zu tun: Äußerste Vorsicht im Umgang mit E-Mail-Anhängen. Niemals einen Mailanhang öffnen, dessen Zusendung nicht explizit vorher abgesprochen wurde! Das gilt auch für scheinbar sichere Dokumentformate wie PDF¹. Wenn der Anhang aus einer Datei besteht, die in einem ZIP-Archiv verpackt wurde, handelt es sich beinahe immer um Schadsoftware – mit der Verwendung eines Archivformates versuchen die verbrecherischen Spammer, eine Erkennung der Schadsoftware mit Antivirus-Schlangenölen auf den Mailservern zu erschweren. Und selbst dann vorsichtig bleiben, weil der Absender einer E-Mail beliebig gefälscht sein kann. Um sicher zu gehen, von wen eine Mail wirklich kommt, helfen nur digitale Signaturen zu jeder einzelnen Mail – eine Technik, die fertig ist und seit zwanzig Jahren darauf wartet, einfach nur noch benutzt zu werden. Die Software dafür ist übrigens nicht nur kostenlos, sondern frei.
Ein aktuelles und typisches Beispiel dafür, mit welchen Tricks die Verbrecher die Empfänger ihrer Spam zum Öffnen der Anhänge „motivieren“ wollen, findet sich im Ratgeber Internetkriminalität des LKA Niedersachsen.
¹Es war eh relativ dumm von diesen kriminellen Geschäftemachern, ein Word-Piktogramm zu verwenden. Einem PDF wird viel mehr „vertraut“.
Was mich allerdings an Enigmail in Thunderbird stört, ist die Tatsache, dass ich die E-Mails nicht entschlüsselt speichern kann (z. B. wenn ich sie auf einen Rechner ohne Internetanschluss verschiebe, um sie dann fürs persönliche Archiv zu sichern). Wenn ich den Schlüssel ändern will, muss ich immer einen neuen Schlüssel drüber speichern. Somit habe ich irgendwann einen Haufen Schlüssel, die ich alle nicht verlieren darf, da ich sonst etliche alte E-Mails nicht mehr entschlüsseln kann. So lange dies der Fall ist, verzichte ich lieber auf Enigmail.
Über das Suchproblem ärgere ich mich auch regelmäßig, vor allem, weil ich an häufig wechselnden Rechnern sitze. Die auf einem Stick mitgenommenen Schlüssel sind inzwischen eine beachtliche Sammlung. 🙁
Allerdings sind signierte E-Mails im Klartext, so dass das Problem dabei nicht auftritt. Die Möglichkeit, dass ein Mailempfänger in die Lage versetzt wird, den Absender einer E-Mail und den unveränderten Text jenseits jedes vernünftigen Zweifels erkennen zu können, ist ein so großer Zugewinn an möglicher Sicherheit für so wenig „Verlust“, dass ich nicht verstehe, dass so viele Menschen und Unternehmen darauf verzichten.
Da helfen nur folgende Sicherheitsmaßnahmen:
- Software immer aktuell halten
- Dateiendungen standardmäßig aktivieren, die Rechnung.pdf.exe oder der Brief.docx.scr sind nicht seriös.
- Rechnungen hängen in der Regel direkt als PDF an, ein einzelnes Dokument im ZIP-Archiv ist verdächtig.
- Warnmeldung nicht einfach wegklicken, sondern aufmerksam lesen (ja, Windows bringt eine Warnmeldung, wenn man eine ausführbare Datei aus dem Internet oder einen E-Mail-Anhang ausführen möchte). Bei Dokumenten kommt diese Warnmeldung nicht.
- Makros nicht einfach ausführen (für 99,99 % der per E-Mail erhaltenen Dokumente braucht man keine Makros)
- E-Mails, die zum schnellen, überstürzten Handeln auffordern, sind fast immer unseriös. Seriöse Sender schreiben rein, worum es geht und wie hoch der Betrag ist. Außerdem kann man fehlgeleitete E-Mails ignorieren. Mir entstehen doch keine Pflichten, weil irgendjemand anderes auf meine E-Mail-Adresse bestellt. Wenn der Besteller zu doof ist, seine richtige E-Mail-Adresse anzugeben, hat er eben Pech gehabt. (Hatte ich schon zweimal: Eine Buchungsbestätigung eines Hotels und eine Kaufbestätigung eines Onlineshops. Ich würde sagen, die beiden waren echt.)