Die anonyme Ansprache in einer Mail ist längst kein Kriterium mehr, um eine Spam sicher erkennen zu können. In den letzten Tagen häufen sich große Spamwellen von Schadsoftware-Mails mit namentlicher Ansprache. Diese sind teilweise leicht erkennbar, etwa, wenn eine angebliche Rechnung von einem Unternehmen kommt, mit dem man es bislang noch nie zu tun hatte, sie sind aber auch teilweise hochgefährlich wie die angeblichen Rechnungen von Groupon, bei denen zumindest in einigen Fällen die gleiche abweichende Namensschreibweise wie gegenüber Groupon verwendet wurde.
Zurzeit werden derartige Spams vor allem verwendet, um Menschen mit alarmierenden Texten zur Installation von Schadsoftware zu bewegen, indem sie einen Mailanhang mit einer ausführbaren Datei für Microsoft Windows öffnen. Die Schadsoftware ist in der Regel „frisch“ und kann vom Schlangenöl der gängigen Antivirusprogramme nicht zuverlässig erkannt werden. Die so installierten Trojanerpakete ermöglichen einen beliebigen Missbrauch des Computers und der Internetleitung, insbesondere auch für betrügerische Geschäfte, kriminelle Attacken auf IT-Infrastruktur, manipulierte Online-Kontoführung, Phishing und den Versand von Spam. Wer derartige Trojaner auf seinem Rechner laufen hat, wird mit Sicherheit zu Schaden kommen. Mit dieser Spam wird nicht gespielt! Ob das Konto geplündert wird, oder ob die Kriminalpolizei vor der Tür steht – eine Menge Ärger ist programmiert.
Der einzig sichere Schutz dagegen ist es, wenn der Empfänger die Spam als solche erkennt und löscht. Das ist bei einer Spam mit namentlicher Ansprache erschwert, vor allem, wenn es sich um die angebliche Rechnung (oder ein sonstiges Dokument) eines Unternehmens handelt, mit dem man in geschäftlicher Beziehung steht. So lange diese Spamwelle läuft – und ich befürchte, sie wird noch Monate oder Jahre laufen – gibt es nur eine Möglichkeit, sich zu schützen: Niemals einen Mailanhang öffnen, der in einer nicht digital signierten Mail ohne Absprache zugestellt wurde!
Es ist den Spammern gelungen, die echten Namen zu außerordentlich vielen E-Mail-Adressen zuzuordnen. Eine Spam mit persönlicher Ansprache ist wesentlich gefährlicher als eine anonym formulierte Spam, weil ihr mit weniger angemessener Vorsicht begegnet wird. Es könnte sogar noch schlimmer sein: In einem Kommentar habe ich einen Hinweis darauf erhalten, dass die Spammer sogar wissen, welches Betriebssystem genutzt wird und gezielt eine passende Schadsoftware anhängen. Das ist mit so wenig Beleg wie einem einzigen Blogkommentar bei über 10.000 Lesern des Postings zwar keineswegs gesichert, aber allein diese Vorstellung ist höchst alarmierend und sollte nicht einfach abgetan werden. Denn das wäre eine neue Dimension in der Perfidie der Schadsoftware-Spam, die sich deutlich von der üblichen „Streumunition“ der Spam unterscheidet.
Es gibt in dieser Situation eine Frage, die in meinen Augen unbedingt geklärt werden muss:
Woher haben diese Verbrecher ihre Daten?
Natürlich liegt es nahe, ein Datenleck bei Groupon zu vermuten, wenn sogar die Schreibweise des Namens in Einzelfällen mit den gleichen Fehlern behaftet ist wie der Name, der in der Spam verwendet wird. Groupon hat diesen Verdacht bislang in Kommentaren im Groupon-Blog zurückgewiesen. Auf mich wirkt es zwar nicht sonderlich glaubwürdig, wenn einerseits gesagt wird, dass noch untersucht wird und andererseits schon zugesichert wird, dass keine Daten „geklaut“ wurden, aber hier kann nur eine unabhängige Untersuchung abschließende Aufklärung bringen. Strafanzeigen wegen Computersabotage nimmt übrigens jede Staatsanwaltschaft entgegen, und betroffen ist jeder, dessen Daten für die Zustellung einer Schadsoftware Verwendung fanden. Bis zu einer derartigen Klärung des Sachverhaltes sollte man sich besser in Zurückhaltung bei Schuldzuweisungen üben – und auch ein kleines bisschen Verständnis für die Groupon-Mitarbeiter aufbringen, die im Moment eine sehr unangenehme und arbeitsreiche Zeit durchstehen müssen.
Diese Zurückhaltung empfiehlt sich um so mehr, als dass Spams mit namentlicher Ansprache auch ohne Groupon-Kontext versendet werden, und das durchaus schon seit längerer Zeit. Es müssen also weitere Datenlecks vorliegen, aus denen die Spammer ihren Datenbestand gefüllt haben. Die Frage, wo diese Daten herkommen, führt im Moment zu allerlei Spekulationen.
Es ist an der Zeit, diese Spekulationen mit überprüfbaren Fakten zu unterlegen und vielleicht herauszubekommen, woher die Daten stammen.
Ich sehe die folgenden Möglichkeiten, woher die Namen (und möglicherweise weitere Informationen, etwa, welches Betriebssystem genutzt wird) stammen können – die Links führen jeweils zu weiteren Informationen:
- App-Store für Android
Wenn man bei „Google Play“ eine App kauft, werden die Daten des Besitzers an den Verkäufer weitergegeben. Dazu gehört auch der von Google verpflichtend eingeforderte (und gegebenenfalls durch ein gescanntes Ausweisdokument zu belegende) Realname, zusammen mit der Mailadresse. Alles, was Spammer tun müssen, um an einen Datenbestand zu kommen, ist, ein paar alles in allem schnell zu programmierende Apps zu bauen und dafür zu sorgen, dass diese auch gekauft werden. Google würde – falls das die Quelle der Daten ist – zur helfenden Hand für die organisierte Internet-Kriminalität.
- Trojanische Apps auf Smartphones
Es gibt jede Menge trojanischer Apps auf Smartphones, teilweise sogar von Unternehmungen mit einer zu Unrecht viel zu guten Reputation. Diese Apps können auf die gesamten Adressbestände des Telefons zugreifen und diese an andere Stellen im Internet übertragen, und darunter befinden sich auch jede Menge Kombinationen aus Mailadresse und Realname. Natürlich sind die abgegriffenen Daten nicht darauf beschränkt. Wenn das Smartphone mit dem PC synchronisiert wird, könnte dabei auch durchaus die Information anfallen, welches Betriebssystem auf dem PC verwendet wird.
- Social-Web-Sites
Bei Facebook war es für registrierte App-Entwickler möglich, auf sämtliche Daten beliebiger Facebook-Konten zuzugreifen, auch hier wird sich häufig der echte Name zur E-Mail-Adresse gesellen. Es war möglich, sich fälschlich als Entwickler auszugeben. Der Zugriff gelang auch auf Konten, in denen keine App installiert wurde. Natürlich lässt sich ein derartiges Abgreifen von Daten automatisieren, und natürlich weckt eine große, zentrale Datensammlung auch Begehrlichkeiten von Kriminellen. Einmal ganz davon abgesehen, dass einigen dieser Geschäftsleute ohne seriöses Geschäftsmodell der Datenschutz vollkommen gleichgültig zu sein scheint.
- Kommerzielle Anbieter
Mindestens ein kommerzieller Anbieter im deutschsprachigen Web hat mutmaßlich Adresshandel mit den gesammelten Daten betrieben. Es würde mich nicht überraschen, wenn es viele Unternehmen gäbe, die sich dieses zwar illegale, aber dennoch lukrative Zusatzgeschäft nicht entgehen lassen möchten.
- Gewinnspiele im Fernsehen
Zumindest an halbseidene Callcenter sind Daten, die über Gewinnspiele im Fernsehen erhoben wurden, schon gegangen. Vermutlich werden die Daten ganz allgemein gehandelt.
- Datenlecks
In den letzten achtzehn Monaten kam es zu einer außerordentlichen Häufung von Datenlecks auch bei renommierten Unternehmen, bei denen große Teile des Datenbestandes abgegriffen werden konnten. Betroffen waren unter anderem die belgische Staatsbahn, Coca-Cola, verschiedene so genannte „Singlebörsen“ (hier nur meetOne als ein Beispiel) und mutmaßlich DHL. Desweiteren können im Regelfall schlecht bezahlte Mitarbeiter gewisser Callcenter frei auf Daten zugreifen, und es würde mich sehr überraschen, wenn da nicht der eine oder andere nach Möglichkeiten suchen würde, sein mieses Gehalt aufzubessern. Dass selbst bei großen Anbietern von Pornografie sehr wenig Wert auf Datensicherheit gelegt wird, sei hier nur eine kleine Ergänzung.
- Cloud-Dienste
Es kam bis jetzt immer wieder zu teilweise erheblichen Datenlecks bei so genannten Cloud-Diensten. Je nach dem, welche Daten dort abgelegt sind (zum Beispiel E-Mail-Adressbücher, aber auch andere Dokumente), können dabei personenbezogene Daten in erheblicher Menge abgegriffen und automatisiert ausgewertet werden.
Seit Mitte 2010 kann ich verschiedene Versuche der Spammer und halbseidenen Anbieter irgendwelcher Nutzlosgüter ausmachen, dass sie echte Namen zu den Mailadressen zu erhalten versuchen, und ich habe immer deutlich davor gewarnt – leider nur nach meinen beschränkten Möglichkeiten; in einem kleinen, eher unbedeutendem Blog, das ich nur einmal angefangen habe, um die Spam nicht mehr stumm hinzunehmen…
Dass es irgendwann zu überzeugender Spam mit namentlicher Ansprache kommt, ist zumindest für mich keine große Überraschung.
Meine Frage/Bitte an die Leser
Ich habe weiter oben viele mögliche Quellen für die Kombination Mailadresse und Name im Datenbestand der Spammer genannt. Vermutlich habe ich genau so viele mögliche Quellen vergessen, weil ich sie einfach nicht „auf dem Schirm“ habe. Wenn beim einen oder anderen Leser ein gewisses Entsetzen aufgekommen ist, entspricht das durchaus meiner Absicht – denn die Zeit der Sorglosigkeit gegenüber der organisierten Internet-Kriminalität muss aufhören, und der erste Schritt in einen verantwortungsvolleren Umgang mit dem Internet ist ein Verständnis für das Ausmaß der möglichen Probleme. Es mag sein, dass jemand anders zu anderen Schlüssen kommt als ich, aber ich kann nur eines empfehlen: Niemanden persönliche Daten ohne zwingenden Grund anvertrauen, niemanden glauben, dass er sorgsam mit persönlichen Daten umgeht, niemals persönliche Daten auf Geräten vorhalten, die der eigenen Kontrolle entzogen sind und diese Tatsache hinter einer gefälligen Benutzerschnittstelle verbergen. Ja, mit dem letzten Punkt meine ich Pads und Phones, aber auch generell gewisse Betriebssysteme.
Meiner Meinung nach sollte so genau wie möglich aufgeklärt werden, wie die Spammer in diesem Fall an die Daten gekommen sind. Das kann im günstigen Fall erkennbar machen, welche Menschen in naher Zukunft von möglicherweise perfiden und stark personalisierten Spamattacken betroffen sein könnten, und es kann für diese Menschen ein Beitrag zur angemessenen Vorsicht angesichts der Gefährdung sein. Diese Vorsicht ist der einzige Schutz, so genannte „Antivirenprogramme“ sind hingegen relativ wertlos.
Wie wäre es mit einem heiteren Detektivspiel zu einer wenig heiteren Form des Verbrechens. Wer kann und will dabei helfen, folgende Fragen zu klären – damit eventuell in den zusammengetragenen Informationen Klarheit aufkommt oder wenigstens, damit bestimmte Möglichkeiten ausgeschlossen werden können:
Besonders wertvoll sind dabei Angaben mit E-Mail-Adressen, die an genau einer Stelle verwendet wurden und jetzt zum Ziel der Spam geworden sind; ebenfalls wertvoll sind einmal verwendete Pseudonyme oder falsch angegebene Namen, die jetzt in personalisierter Spam auftauchen. Diese sind eine klare Spur, die zur Quelle der Daten führt.
- Woher kommen die Daten?
Hat jemand bei einem einzigen Dienst eine Mailadresse verwendet, die jetzt personalisiert zugespammt wird? Hat jemand ein Pseudonym oder einen falschen Namen angegeben, für den jetzt „Rechnungen“ kommen? Welcher Dienst war das? Oder taucht eine Falschschreibweise eines Namens in einem Adressbuch auf einem Smartphone oder innerhalb eines Cloud-Dienstes auf und geht jetzt Spam an diesen Namen? Solche Kleinigkeiten können helfen, das Datenleck zu identifizieren und gezielt andere Anwender zu warnen.
- Wenn die Spur zu einem Smartphone führt…
Welches Version hat das Betriebssystem? Welche Apps sind darauf installiert? Welche Apps waren einmal darauf installiert und wurden wegen Nutzlosigkeit oder weil sie einfach nicht funktionierten, wieder gelöscht? Irgendetwas auf diesem Smartphone war nicht koscher, und es gilt, herauszufinden, was das war und wer dafür verantwortlich ist. Wenn genügend derartige Informationen zusammengeführt werden, können sich viele derartige Spuren zu einem konkreten Verdacht verdichten, dem man nachgehen kann.
- Wenn die Spur zu einem Unternehmen führt…
Wann wurde die Registrierung oder Datenangabe durchgeführt? Eventuell lässt sich so eingrenzen, wann die Daten abgegriffen wurden, wenn man feststellt, dass spätere Nutzer nicht betroffen sind. Gab es eine spätere Änderung der Mailadresse oder des Namens, die den Zeitrahmen fassbarer macht?
- Gab es Angriffe, die Kenntnisse über das Betriebssystem voraussetzen?
So lange ich nur einen etwas fragwürdigen Kommentar habe, glaube ich es nicht. Aber wenn es weitere Mac-Anwender gibt, die ebenfalls gezielt Schadsoftware für Mac OS erhalten haben, ist das ein deutliches Indiz dafür, dass die Kriminellen wissen, welches Betriebssystem verwendet wird. An dieses Wissen können sie auf verschiedenen Wegen kommen; am einfachsten übrigens, indem sie es schaffen, dass man auf einen Link in einer Mail klickt und dass der Browser dann über den User-Agent im HTTP-Header mitteilt, welches System verwendet wird. (Das ist ein Grund mehr, niemals in eine Spam zu klicken.) Werden Adressbücher, Terminkalender etc. mit einem Smartphone synchronisiert, dass hierüber die Information abgegriffen werden kann? Wenn ja, siehe weiter oben: Welche Betriebssystemversion und welche Apps sind (oder waren) auf dem Smartphone installiert? Wenn das Smartphone erstmal trojanisiert ist und auch zum Surfen verwendet wird, ist es für die Kriminellen relativ leicht, herauszubekommen, welche Websites häufig aufgerufen werden und daraus zu schließen, wo jemand Kunde sein könnte, um dann „Groupon-Rechnungen“ zu verschicken – und vergleichbar leicht ist ein ähnlich gezielter Angriff auf das Online-Banking, mit namentlicher Ansprache und scheinbar vom richtigen Kreditinstitut.
Ich weiß, dass ich in meinen Punkten sehr auf Smartphones herumreite. Es ist einfach mein stärkster Verdacht, übrigens ohne weitere Anhaltspunkte als „nur“ dem einen Punkt der außerordentlichen Einfachheit, auf diesem Weg persönliche Daten von Menschen abzugreifen. In den Smartphones hat sich die Sicherheits-Blauäugigkeit der Neunziger Jahre mit der organisierten Internet-Kriminaliät der Zehner Jahre kombiniert und ist mit den in meinen Augen fragwürdigen Geschäftsmodellen Apples und Googles eine unheilige Allianz in der Entrechtung, Verdummung und Abzocke der Nutzer eingegangen. Bei den meisten Anwendern ist in all der kindischen Freude an den neuen Möglichkeiten leider noch kein ausgeprägtes Bewusstsein für die möglichen Probleme gewachsen – und die von namhaften Unternehmen installierten Trojaner sind nur ein kleiner Teil des ganzen Wahnsinns, ein Teil übrigens, der leider viel zu wenig Ächtung erfährt. (Meiner Meinung nach wäre das, was Facebook, Twitter, Path etc. klandestin auf Smartphones betreiben, in einem Rechtsstaat etwas, wofür es Gefängnisstrafen gäbe. Wer Trojaner programmiert und als vergifteten Bonbon zur Installation auf Computern anbietet, hat sich selbst aus dem zivilisierten Miteinander verabschiedet und zeigt, dass er die gleichen widerlichen Methoden anwendet wie eine Bande von Verbrechern. Er zeigt auch, dass er die Menschen nicht anders betrachtet, als ein Verbrecher es täte: Als dumme, verachtenswerte Opfer, die man ausraubt und ausbeutet.) Smartphones sind persönlich genutzte Computer, die bei vielen Menschen deutlich weiter in die Intimsphäre hineinragen als der Computer auf dem Schreibtisch und die dabei deutlich unbefangener genutzt werden. Wenn ich selbst ein Krimineller wäre, würde ich mich darauf konzentrieren.
Wer die von mir angesprochenen Punkte aus seiner persönlichen Erfahrung etwas klären kann, schreibe das bitte öffentlich in einen Kommentar zu diesem Posting. Natürlich gilt das auch für Punkte, die ich vergessen habe. Mit einem bisschen Glück wird es so möglich, das Datenleck aufzuklären, indem man einfach Fakten zusammenträgt. Mit einem bisschen Pech allerdings – und ich befürchte, so wird es kommen – wird dabei klar werden, dass längst Daten aus vielen verschiedenen Quellen zusammenfließen und von organisiert Kriminellen für ihre verachtenswerten „Geschäfte“ benutzt werden.
Natürlich darf hier jeder Kommentar auch schön anonym mit falscher Mailadresse und lustigem Phantasienamen abgegeben werden. Ich werde hier allerdings strikt moderieren und jeden völlig unbegründet geäußerten Verdacht löschen. Die IP-Adressen werden von mir nicht langfristig gespeichert.
Abschließendes
Angesichts der momentan zur Massenpest werdenden Spam mit überzeugender namentlicher Anrede möchte ich noch einmal meinen anderthalb Jahre alten Offenen Brief an alle Bankhäuser in die Aufmerksamkeit rücken. Wer im geschäftlichen Mailverkehr auf digitale Signatur verzichtet, ist selbst fördernder Teil der Kriminalität.
Der Link führt auf eine tolle (wenn auch mit Designschwächen behaftete) Seite unter 
