Die E-Mail, die ich hier als Screenshot zeige, ist keine Spam. Sie stammt wirklich von eBay. Um das herauszubekommen, musste ich in die Mailheader schauen. Das werden die allermeisten Empfänger nicht tun, und ich vermute, dass über neunzig Prozent der Empfänger im Lande des digitalen Analphabetismus nicht einmal wissen, wie das geht. Der „Button“ – in Wirklichkeit ein Link mit einer Hintergrundgrafik – geht auch wirklich auf die Website von eBay. Es ist kein Phishing. Obwohl wirklich alles daran wie Phishing aussieht (für eine Ansicht in Originalgröße bitte auf das Bild klicken):

Auf eine digitale Signatur dieser E-Mail, die ein Empfänger dann einfach mit ein paar Klicks in seiner Mailsoftware überprüfen könnte, um Sicherheit über den Absender zu bekommen, wurde selbstverständlich verzichtet. Ein technisch weniger versierter Empfänger, also ein so genannter „normaler Mensch“, der nicht in die Mailheader schaut und anschließend schnell an der Kommandozeile überprüft…

$ whois 66.211.185.160 | grep ^Org
Organization:   eBay, Inc (EBAY)
OrgName:        eBay, Inc
OrgId:          EBAY
OrgAbuseHandle: EBAYN-ARIN
OrgAbuseName:   eBay Network
OrgAbusePhone:  +1-408-376-7400 
OrgAbuseEmail:  network@ebay.com
OrgAbuseRef:    https://rdap.arin.net/registry/entity/EBAYN-ARIN
OrgTechHandle: EBAYN-ARIN
OrgTechName:   eBay Network
OrgTechPhone:  +1-408-376-7400 
OrgTechEmail:  network@ebay.com
OrgTechRef:    https://rdap.arin.net/registry/entity/EBAYN-ARIN
$ _

…dass diese Mail wenigstens von einer IP-Adresse von eBay versendet wurde, hat ungefähr die folgenden Möglichkeiten, sich davon zu überzeugen, dass diese E-Mail wirklich von eBay kommt:

1. Da ist eine Grafik mit dem eBay-Logo drin. 🔍️
2. Der Absender kennt meinen richtigen Namen und weiß auch, welchen Nick ich auf eBay benutze¹. 🔍️
3. Der Absender hat in einem Anfall von Dummheit eine hochwichtig aussehende und für den Empfänger vollständig unverständliche „Referenznummer“ für seine E-Mail in die E-Mail reingeschrieben, als ob es nicht seit dem 13. August 1982 [!] technischer Standard wäre, dass jede Nachricht eine Message-ID im Header hat, die bei einer Antwort auf diese Nachricht im Mailheader als In-Reply-To referenziert wird. Dies ist bis heute technische Praxis, und ein Internetunternehmen wie eBay sollte das eigentlich auch wissen. Auch die schlechteste Mailsoftware kann das, sei es ein Webmailer, sei es ein sonderbarer Sonderling wie Microsoft Outlook. Es ist ja auch nicht so schwierig zu implementieren. Der Anwender braucht nur auf „Antworten“ zu klicken und muss nicht irgendwelche Referenznummern über die Zwischenablage kopieren – wenn die Antworten dann auch gelesen werden. Das ist hier allerdings lt. Text der Mail nicht der Fall… 🤡️
4. Man wird freundlich von einem „eBay Accounts-Team“ gegrüßt. 👋️
5. Die postalische Anschrift einer eBay GmbH steht im Impressum der Mail, falls man sie mit einem Sackpostbrief beantworten möchte. 📯️
6. Der Absender macht sich große Sorgen, dass das Konto bei eBay unsicher sein könnte. 🤭️
7. Der Absender hat ein „geistiges Eigentum“ für den Text der E-Mail deklariert, obwohl diesem Text jegliche Schöpfungshöhe fehlt und damit auch der Schutz der Urheberrechte. Na, eBay, wollt ihr mir kein Feuer unterm Arsch machen, weil ich euer wertvolles „geistiges Eigentum“ einfach ignoriere und hier eine Kopie eurer E-Mail in diesem Blog veröffentliche? 🔥️

Alle diese Merkmale können mit Leichtigkeit von einem Trickbetrüger in einer Phishingmail nachgemacht werden. Daten für die Zuordnung eines Namens zu einer Mailadresse wurden leider massenhaft veröffentlicht und werden unter Kriminellen gehandelt. Allerdings würde dann der Link auf eine andere Website gehen, in der man die Zugangsdaten seines eBay-Kontos an einen Kriminellen gäbe, wenn man darauf klickte und sich scheinbar „bei eBay anmeldete“. Diese andere Website könnte in einer Domain liegen, die durch „kreative“ Verwendung von Subdomains mit ebay.de anfängt, so dass es auf dem ersten Blick nicht auffällt. Danach hätte man den Schaden. ☹️

Tatsächlich habe ich diese Mail auf dem ersten Blick sofort für Phishing gehalten. Sie trägt alle Merkmale einer Phishingspam. Phishing ist immer noch eine der häufigsten Betrugsformen im gegenwärtigen Internet, und wie groß der Schaden ist, der zum Beispiel durch Betrugsgeschäfte unter der Identität eines anderen Menschen mit gephishten eBay-Konten jeden verdammten Tag angerichtet wird, weiß eBay wohl genauer als ich. 😠️

Mit solchen Mails gewöhnt eBay seine Nutzer daran, dass eine Mail von eBay genau so aussieht wie ein betrügerisches Phishing. Empfängt ein Nutzer dann irgendwann einmal eine Phishingmail, so handelt es sich nicht um einen ungewöhnlichen Vorgang, der sofort auch eine gewisse Skepsis weckt, sondern um eine scheinbar ganz normale Mail von eBay. Das ist sehr dumm von eBay. 🤦‍♂️️

Man könnte es auch etwas schärfer sagen: Was eBay mit solchen Mails betreibt, ist eine Förderung der Internetkriminalität. Und nein, dies geschieht nicht aus Unwissen, sondern in genauer Kenntnis des durch Phishing angerichteten Schadens. Ach, den Schaden haben ja andere Menschen und die Gesellschaft, und deshalb ist es eBay egal? Das wäre aber schon ein bisschen asozial, nicht wahr? 🤢️

Aber ich will diesmal nicht nur meckern, obwohl ich glaube, dass die folgenden Anmerkungen unnötig sind. Ein großes Internetunternehmen sollte das selbst wissen. 😉️

Was könnte eBay in solchen Mails besser machen?

Zuvörderst sollte eBay in solchen Mails keinen Link setzen. 🚫️

Stattdessen sollte da so etwas wie „Bitte melden sie sich jetzt gleich mit ihrem Browser oder ihrer App bei ihrem eBay-Konto an, um zu überprüfen, ob ihre persönlichen Daten noch aktuell sind. Wir setzen in unseren E-Mails keinen Link. Sollten sie eine E-Mail erhalten, die scheinbar von eBay kommt und einen Link enthält, dann handelt es sich immer um Phishing. Klicken sie nicht auf diesen Link!“ stehen. 💡️

Natürlich könnte man das noch ein bisschen glatter formulieren. Aber deutlich müsste es schon sein. 😉️

Denn es gibt einen hundertprozentig sicheren, preiswerten und ganz einfachen Schutz gegen Phishing: Niemals in eine E-Mail klicken! Wenn man nicht in eine E-Mail klickt, kann einem auch kein Krimineller so einfach einen giftigen Link unterschieben. Stattdessen einfach für häufig besuchte Websites ein Lesezeichen im Browser anlegen und diese Websites nur noch über dieses Lesezeichen aufrufen. Wenn man dann eine „komische Mail“ empfängt – wie zum Beispiel diese Mail von eBay – ruft man einfach die entsprechende Website über das Lesezeichen auf und meldet sich dort wie gewohnt an. Stellt man danach fest, dass das behauptete Problem gar nicht existiert, dann hat man einen dieser gefürchteten „Cyberangriffe“ abgewehrt und sich möglicherweise monate- bis jahrelangen Ärger und finanzielle Schäden erspart². So einfach geht das! 🛡️

Und es geht ohne Komfortverlust. Man klickt. 🖱️

In diesem Fall wurde mir natürlich auch auf der Website angezeigt, dass ich eine Nachricht habe. 😊️

Wenn derartige E-Mails keinen Link mehr enthalten, werden eBay-Nutzer nicht daran gewöhnt, typische Merkmale von Phishingmails für normale eBay-Nachrichten zu halten. Wenn dazu kommuniziert wird, warum auf den Link verzichtet wird, werden eBay-Nutzer zur Aufmerksamkeit und Vorsicht angehalten. Es wird sicherlich immer noch ein paar Naive und Dumme geben, die auf alles klicken, was man nur anklicken kann, aber daran kann eBay nichts ändern… und ich übrigens auch nicht. 😐️

Desweiteren lege ich eBay nahe, E-Mails von eBay digital zu signieren. Es ist die einzige Möglichkeit für den Empfänger, sich durch eine Prüfung der Signatur mithilfe eines öffentlichen Schlüssels von zwei Dingen zu überzeugen:

1. Der Absender ist im Besitz des privaten Schlüssels von eBay, und
2. der Inhalt dieser E-Mail wurde auf dem Transportweg von niemanden verändert.

Ohne digitale Signaturen ist beides, also die Identität des Absenders und die Integrität der Nachricht, Glaubenssache. Sich in einem Internet, das leider auch von einer erheblichen Kriminalität geprägt ist, auf den Glauben verlassen zu müssen, weil einem keine bessere Möglichkeit eingeräumt wird, führt schnell dazu, dass man verlassen ist. Vor allem, wenn man kein über reine Anwenderkenntnisse hinausgehendes technisches Wissen hat. Digitale Signaturen gibt es seit über dreißig Jahren. Gute und reife Software steht frei und kostenlos zur Verfügung. Digitale Signaturen hätten das Potenzial gehabt, den Phishingsumpf trockenzulegen, bevor er so richtig mit dem Wandel des Internets zu einem Massenmedium entstanden ist, wenn sie nur genutzt worden wären. Wurden sie aber nicht. Internetunternehmen wie eBay scheinen immer noch der Meinung zu sein, dass die Nutzer ihrer Website zu dumm zum Klicken sind und setzen sie deshalb einem erhöhten Kriminalitätsrisiko aus. Ich empfinde die zusammen mit dieser Haltung verabreichte Einschätzung „du bist eh zu doof zum Klicken“ übrigens als Beleidigung. 😡️

Und ansonsten täte es bei der Formulierung einer solchen E-Mail gut, wenn sie nicht viele Merkmale aufwiese, die man sonst nur aus Phishingmails kennt. Dies lässt sich jedoch ohne technischen Aufwand, nur durch eine andere Formulierung des Textes, verbessern. Die folgende Liste ist sicherlich nicht vollständig, denn ich werde nicht von eBay dafür bezahlt, dass ich die Probleme von eBay löse, und gehe deshalb etwas entspannter an die Sache heran:

• Die Ansprache mit „Hallo Nickname“, wenn man den echten Namen kennt, ist selbst dann noch dumm, wenn der echte Name in kleiner Schrift an einer Stelle erwähnt wird, die kaum jemand liest. Besser wäre eine Ansprache mit dem Namen, vielleicht in Klammern vom Nicknamen gefolgt, für den Fall, dass jemand mehrere eBay-Konten (zum Beispiel zur sauberen Trennung von Geschäftlichem und Privatem) verwendet.
• Die Angabe einer für den Empfänger kryptischen „Referenznummer“ ist ein typisches Merkmal einer Phishingspam, die ein Gefühl von Wichtigkeit vermitteln soll, hier aber ohne Verlust weggelassen werden könnte.
• Die Proklamation eines „geistigen Eigentums“ für den Text einer automatisch und massenhaft versendeten E-Mail ist kindisch und dumm. So etwas sehe ich sonst nur in Spam. Diese Proklamation hinzuschreiben, verändert rechtlich nichts und schafft auch nicht hokuspokus ein Schutzrecht für einen 08/15-Text ohne schützenswerte Schöpfungshöhe. Sie könnte einfach weggelassen werden.

In diesem Sinne, eBay, meine Bitte: Macht es bitte etwas besser! Ihr könnt das, und eure vielen Nutzer haben ein großes Interesse daran, dass sie von euch nicht lernen, das typische Muster einer Phishingspam in jeder echten Mail von eBay auftauchen können. 👍️

Denn der Phishingsumpf muss ausgetrocknet werden. 🎣️

¹Ich habe diesen Nick im Screenshot der Mail mit einem schwarzen Balken unkenntlich gemacht.

²Eine Betrügerbande, die das gephishte eBay-Konto eines anderen Menschen für Betrugsgeschäfte missbraucht, kann mit Leichtigkeit einen sechsstelligen Schaden binnen eines Tages anrichten. Die machen das sehr effizient. Die leben davon. Die Strafanzeigen und Ermittlungen richten sich erst einmal gegen den Inhaber des Kontos.