Vorab: Diese E-Mail kommt nicht von der Sparkasse. Es ist eine Spam. Die Sparkasse schreibt solche E-Mails nicht. Der Absender…

Von: Sparkassen-Finanzgruppe <noreply-65454@sparkassen-finanzgruppe.de>

…ist gefälscht. Nicht darauf oder auf ähnliche Spam reinfallen! Alle Daten, die nach einem Klick auf der verlinkten Website eingegeben werden, gehen an Kriminelle, nicht an die Sparkasse.

Wichtige Kundendurchsage
Datum: 26.03.2017

[Die Spam ist vom letzten Sonntag, also schon drei Tage alt.]

Hui, eine „Kundendurchsage“. Da fühlt man sich ja wie im Supermarkt, wenn das konsumfördernde Bandgedudel von einer scharfen und deutlich lauteren Stimme unterbrochen wird: „Bitte beachten sie auch unser Frischfleischangebot des Tages“ nebst Ansage der verbilligten Preise für das Gammelfleisch, das gerade ganz schnell raus muss.

Genau die Vorstellung, die an eine Sparkasse erinnert.

Und, was wird jetzt durchgesagt?

Guten Tag Vorname Nachname,

Erstmal der Name. Im Original stand hier der Vorname und der Nachname des Empfängers. Was dort allerdings nicht stand, war die Kontonummer, um die es geht – denn gar nicht so wenige Menschen unterhalten mehrere Bankkonten. Aber woher sollte der Spammer eine Kontonummer wissen? Die ist doch bei den großen Datenschleudereien der letzten Jahre nicht bekannt geworden. Also kann er keine Kontonummer nennen.

Merke: Wenn ein Kreditinstitut eine Mitteilung zu einem Konto macht, dann steht immer die betreffene Kontonummer dabei. Wenn die Kontonummer nicht erwähnt wird, handelt es sich entweder um Spam oder um Reklame ihres Kreditinstitutes, also um dumme Kommunikationsversuche, die ohne weitere geistige Anstrengung und Lebenszeitvergeudung gelöscht werden können.

in den nächsten Tagen erfolgt eine Aktualisierung unserer Sicherheitsnetzwerke bezüglich des Online-Bankings.

Schön, aber was habe ich damit zu tun? Die Herstellung der Sicherheit ist genau so eine Angelegenheit der Bank wie der Aufbau und die Unterhaltung von Filialen und die technische Vorsorge, dass man sich am Geldautomaten nicht mit einem kleinen Trick den Jackpot im Form einer zügigen Ausgabe sämtlicher bunter Läppchen ziehen kann. Der Kunde bekommt von solchen Dingen nichts mit. Warum auch? Er hat ja auch nichts damit zu tun.

Dabei wird insbesondere die Gewährleistung Ihrer Sicherheit eine große Rolle spielen.

Schön, aber was habe ich damit zu tun? Ach, ich wiederhole mich. 😉

Damit die Aktualisierung allerdings bei Ihnen ausgeführt werden kann, ist eine Bestätigung Ihrer Daten erforderlich, um die Sicherheitsstandards zu erfüllen.

Aha, das funktioniert jetzt angeblich nur, wenn ich gegenüber der Spaßkasse Daten „bestätige“, die die Spaßkasse längst hat. Es ist der Spaßkasse nicht möglich gewesen, sich selbst darum zu kümmern, obwohl die Daten bei der Spaßkasse vorliegen. Und es ist völlig unklar, bei wem dadurch welcher „Sicherheitsgewinn“ entstehen soll, denn es ändert sich ja nichts an der Datenhaltung der Spaßkasse, wenn man dort längst bekannte Daten noch einmal eingibt.

Diese völlig unlogisch klingende und von einem Menschen mit nur durchschnittlichem technischen Verständnis als lachhaft empfundene Behauptung der Spaßkasse ist der klassische Bullshit-Grund, den Phisher in ihren Spams anführen, um den Empfängern zu erklären, warum sie jetzt ihre ganzen Bankdaten noch einmal in einer Website angeben sollten.

Wir leben zurzeit im Jahr 2017. Die erste derartige Phishing-Spam auf Bankkonten mit Online-Banking habe ich in der ersten Hälfte der Nuller Jahren gesehen. Dieser internetgetriebene Trickbetrug hat einen enormen Bart. Es ist eigentlich kaum zu glauben, dass noch jemand darauf hereinfällt – aber ich habe erst vor ein paar Wochen einen rd. sechzigjährigen Mann durchschnittlicher Intelligenz (also wahrlich kein Dummkopf!) erlebt, der in diesem Jahr auf eine derartige Phishing-Spam hereingefallen ist und der Organisierten Kriminalität neben den für einen kriminellen Identitätsmissbrauch hinreichenden persönlichen Daten einen vollen Zugriff auf sein Postbank-Konto gegeben hat. Er hatte tatsächlich vorher nicht ein einziges Mal vom Phishing und den dabei angewendeten Methoden gehört. Sicher, wenn er auf der Postbank-Website danach gesucht hätte, hätte er auch deutliche, allgemeinverständlich formulierte Hinweise in einer Übersicht technischer Begriffe gefunden [Dauerhaft archivierte Version der verlinkten Seite in der Postbank-Website]. Aber: Das Wort war für ihn ein Fremdwort, das er noch nie gehört hatte, bis er selbst zum Opfer der Kriminellen wurde. Wie hätte er auf die Idee kommen sollen, danach zu suchen?

Die Überheblichkeit der „Wissenden“ ist hier völlig fehl am Platze. Besser wären Versuche, jene zu erreichen, die noch nicht wissen. Versuche die man so lange wiederholt, bis jeder weiß, was Phishing ist und wie man sich davor schützt. Die Postbank scheint sich keine besondere Mühe gegeben zu haben, ihn als ihren Kunden darüber aufzuklären (zum Beispiel mit einer kleinen Broschüre, die zusammen mit der normalen Post immer wieder an alle Kunden versendet wird und die von ihrem Design her nicht nach müllwürdiger Reklame mit hochglanzlächelnden Glücksmotiven zum Postbank-Gelb, sondern nach wichtiger, Aufmerksamkeit erfordernder, lesenswerter Information aussieht). Vom Journalisten erwarte ich ja gar nicht mehr, dass er sich im mies bezahlten Ringen um contentindustrielle Werbeplatzvermarktung auch noch um die lebenspraktische Bildung seiner Leser bemüht, aber ein Kreditinstitut dürfte enorme Verluste durch den internetgetriebenen Betrug aller Art haben und sollte allein deshalb ein deutliches Eigeninteresse entwickeln.

Für die Verbrecher ist diese Passivität derer, die eigentlich ein Interesse an der Bekämpfung des Phishings haben müssten, ein unglaublicher Glücksfall. Sie können auch im Jahre 2017 immer noch ein paar Millionen Spams versenden und sich darauf verlassen, das sie hinterher zwanzig bis dreißig Bankkonten und Identitäten anderer Menschen für ihre Betrugsgeschäfte zur Verfügung haben. Die angebliche „Aufklärung“ der Kunden ist ein Feigenblatt, das nur jene erreicht, die schon ein gewisses Wissen um kriminelle „Geschäftsmodelle“ aus anderer Quelle erworben haben.

Klicken Sie diesbezüglich bitte auf die untenstehenden Fläche.
Sie werden daraufhin zu einer sicheren Seite der Sparkassen AG weitergeleitet. Weitere Schritte werden Ihnen auf der Seite mitgeteilt.

Zum Online-Banking

So so, „diesbezüglich“. Ein schönes Wörterbuch hat er, der Phisher.

Dieser – hier mit einem „Click here“ eingeleitete – Teil ist das wichtigste Erkennungszeichen für Phishing. Es soll auf einen Link in einer E-Mail geklickt werden (manchmal auch ein Anhang einer E-Mail geöffnet und ausgefüllt werden), um anschließend irgendwelche Daten zu „bestätigen“.

Genau das sollte man NIEMALS tun!

Wenn man es sich angewöhnt, die Website seiner Bank niemals über einen Link aus einer E-Mail aufzurufen, sondern sie immer direkt im Browser öffnet, kann man gar nicht auf Phishing hereinfallen. Die Webbrowser haben dafür praktische Lesezeichen, so dass man die URL seiner Bank nicht immer wieder von Hand eingeben muss.

Wenn man nach Empfang einer derartigen Mail – und es gibt Phishing-Mails, die deutlich besser als die hier vorliegende gemacht sind – die Website seiner Bank im Browser aufruft und sich dort wie gewohnt anmelden kann, ohne irgendeinen Hinweis zu sehen, dass man etwas tun muss, hat man einen Betrugsversuch erfolgreich abgewehrt. Wenn ein solcher Betrugsversuch gelingt und es auch zu einem Missbrauch der Identität durch die Verbrecherbanden kommt, kann das dem Betroffenen leicht mehrere Lebensjahre mit allerlei Ärger verhageln. Denn die Polizei schläft nicht, und wer als erstes ermittelt wird und nach einer Anklage wegen Betruges als Beschuldigter zur Aussage anreisen muss, ist klar: Der, dessen Name, Anschrift, Konto und Geburtsdatum verwendet wurde. Nebenbei darf man sich dann auch noch mit der Schufa streiten. Und mit allerlei Anwälten und Inkasso-Klitschen, die beidesamt sehr scharfe Briefe schreiben. Und dass es im Rahmen von Ermittlungen in Sachen gewerbsmäßiger Computerbetrug auch einmal zu einer Durchsuchung und Beschlagnahme von Geräten am Arbeitsplatz kommt und dass man das dann anschließend seinen Kollegen und seinem Chef erklären darf, ist gar nicht so selten. 🙁

Niemand will diese Art von Ärger. Deshalb ruft man die Website seiner Bank (und die von eBay, Amazon, PayPal und dergleichen) niemals auf, indem man in eine E-Mail klickt.

Der persönliche Aufwand, den man mit dieser sehr einfachen Vorsichtsmaßnahme hat, ist beinahe gar keiner: Man muss nur einmal die Startseite seiner Bank als Lesezeichen im Webbrowser speichern, fortan dieses Lesezeichen verwenden und um jeden Preis vermeiden, in E-Mails zu klicken, die aussehen, als kämen sie von der Bank. Es ist nicht einmal ein Komfortverlust. Aber es ist ein riesiger Sicherheitsgewinn – der sogar noch in solchen Fällen wirkt, wenn die Website der Bank einmal eine üble XSS-Sicherheitslücke haben sollte, die es Verbrechern ermöglicht, über einen präparierten Link eigenen Code im Kontext der Website der Bank auszuführen. (Nein, das ist keine rein theoretische Gefahr, sondern es ist schon einmal passiert.)

Und auch, wenn Wissende darüber lachen, sage ich es hier lieber noch einmal ganz deutlich: Antivirus-Programme helfen nicht gegen Phishing. Es gibt im Phishing keinen Schadcode, der eine Gefahr für die Computersicherheit darstellt. Phishing zielt nicht auf den Computer, sondern auf die Psyche, das Unwissen, die Unsicherheit oder die Angst des Anwenders.

Vielen Dank für Ihre Geduld und Ihr Verständnis in dieser Angelegenheit.

Vielen Dank für den pseudohöflichen Dank für Haltungen, die ich nicht habe. Vor meinem Arsch ist auch kein Gitter!

Diese E-Mail wurde automatisch generiert. Bitte antworten Sie nicht darauf.
Beachten Sie bitte, dass Ihre Mitteilung an uns via E-Mail nicht verschlüsselt wird.

Natürlich wurde die Spam automatisch generiert. Und ein paar Millionen weitere davon. Und natürlich ist eine E-Mail, die man nicht explizit selbst verschlüsselt, unverschlüsselt. Das heißt, dass sie…

Eine Kenntnisnahme durch Dritte ist daher nicht auszuschließen.

…jeder mitlesen (und sogar verändern) kann, weil sie offen wie eine Postkarte durch das Internet befördert wird. Dass Kreditinstitute mit ihrem doch etwas vertraulichen Geschäftsfeld auch im Jahre 2017 immer noch nicht dazu imstande sind, einen PGP-Schlüssel für die E-Mail-Kommunikation mit ihnen zu hinterlegen, ist auch so ein Hassthema von mir. Niemand würde einen Kontoauszug auf einer Postkarte akzeptieren, niemand würde eine Anfrage nach einem Beratungsgespräch wegen eines Darlehens oder einer Geldanlage auf einer Postkarte verfassen. Aber genau das muten Banken – und zwar nach meinem Kenntnisstand: Sämtliche Banken in der Bundesrepublik Deutschland – ihren Kunden bei der E-Mail-Kommunikation mit Bankmitarbeitern zu.

© 2017 Sparkassen-Finanzgruppe GmbH

Urheberrecht auf eine E-Mail. Fast so wertvoll wie ein kleines Steak.

Handelsregisternr. HRB 91513B | USt-ID DE 214205098

Natürlich hatte die Sparkasse mit dieser Spam nichts zu tun.

Diese aktuelle Phishing-Spam ist ein Zustecksel meines Lesers B.S.