Beispiele für suspekte, gefährliche, aber gut getarnte E-Mails

[#1]

verstehe ich nicht. In der Mail steht ja explizit, daß man sie ignorieren soll, wenn man nicht der Adressat ist.

Wie kann da Betrug vonstatten gehen?

[#2]

Er sprach davon, die E-Mail nicht weiterzuleiten oder zu beantworten. In dem Falle bestätigt man erst einmal nur die Korrektheit der eigenen E-Mailadresse und dass dort jemand sitzt, der E-Mails an diese Adresse auch liest - die eigene E-Mail-Adresse wird dann wertvoller für die digitalen Unholde. Sollte also die E-Mail nicht irrtümlich fehlgeleitet sondern bewusst abgeschickt worden sein, braucht man sich dann nicht wundern, wenn in Kürze mehr Spam oder Phishing eintreffen sollte. Aus dem selben Grunde sollte man auch nie irgendwo auf "Abbestellen / Unsubscribe" klicken, wenn "Newsletter" unangefordert eintreffen, stattdessen besser als Spam wegsortieren/löschen.

[#3]

... die 'Primitiv-Variante' solcher E-Mails gibt es ja schon länger, nämlich z.B. die Zusendung einer Rechnung, die eigentlich an jemand Anderen gerichtet ist.

... das verlockt anscheinend Einige, in fremde Rechnungen zu schauen 

[#4]

Das ist ja ein alter Hut. Insofern ist diese Phishing-Mail mE noch dümmer als der andere Müll, den man so bekommt.

Gelegentlich bekomme ich Newsletter von im Grunde (halb)seriösen Absendern, die ich allerdings nicht will. Da hilft Abbestellen tatsächlich.

[#5]

---

@kai-n  schrieb:

In dem Falle bestätigt man erst einmal nur die Korrektheit der eigenen E-Mailadresse und dass dort jemand sitzt, der E-Mails an diese Adresse auch liest - die eigene E-Mail-Adresse wird dann wertvoller für die digitalen Unholde.

---

Und bei zeitnahem Weiterleiten hat der Empfänger obendrein noch einen 2FA-Code für irgendeinen Account, zu dem er womöglich vorher keinen Zugang hatte, so dass man dort auch noch "geholfen" hat. Dafür wird man zwar wahrscheinlich nicht vor Gericht landen, aber ob man das mit dem eigenen Gewissen vereinbaren kann und will?

[#6]

---

@metalposaunist  schrieb:

Zusammen mit @janm haben wir schon versucht den Grund dafür zu erörtern: leider erfolglos. Wir nehmen an, dass freenet.de ggf. ein "Täter" sein könnte.

---

Der nachfolgende Text ist Unsinn, da die Mail von MS ja aufgrund einer Pushanfrage direkt von MS verschickt wurde. Ich lasse ihn dennoch stehen, ein wenig Informationsgehalt hat der Text ja trotzdem. 😉


Den vollständigen E-Mail-Header, also die E-Mail-Kopfzeile, haben sie sich angesehen? Der Code-Schnipsel wird ja vom Client-Mail-Programm generiert, von dem die E-Mail ursprünglich gesendet wurde.

Jeder Mail-Server, den die E-Mail dann im Anschluss durchläuft, fügt zusätzlichen Text hinzu. Somit müsste der E-Mail-Header also fast eindeutig darüber Auskunft geben, wer die Mail initiiert hat.

Feierabend...

Beste Grüße

Bob

[#7]

... neues 'Spiel' ... neues Glück !

... mittlerweile traue ich keiner Html-E-Mail-Anlage mehr über den Weg

Die heute eingetroffene E-Mail auf einem privaten Account sieht echt aus, ist es vielleicht sogar, aber ich wüsste nicht, welchen Grund es für die Änderung der AGB für die E-Mail-Dienste geben könnte.

... also werde ich die Html-Anlage erst speichern, um die Datei dann mit einem Editor oder einem Html-Editor anschauen zu können.

... oder gibt es bessere (und kürzere) Wege ?

Nachtrag:

... gesagt ---> getan ...

mE war es eine gute Idee, die Html-Anlage nicht zu öffnen.

Man wird nämlich auf eine (mir) suspekte Internetadresse weitergeleitet.

Wer weiß schon, was einem dort erwartet

Ich nehme an, dass einem dort eine Login-Maske angeboten wird, in die man seine Zugangsdaten eintragen soll ...

... mit denen dann irgendwelche Ganoven irgendetwas anstellen, was einem so gaaar nicht gefällt

[#8]

Anrede "Hallo!" ist verdächtig. 1&1 spricht einen eigentlich mit vollem Namen an.

HTML-Anhänge sind sehr verdächtig, oft ist da JavaScript drin, das unerwünschte furchtbare Dinge tut. Eigentlich ist alles, was nicht .pdf ist, verdächtig.

(Zeitlicher) Druck ist sehr verdächtig: "Wichtig!", "Handeln Sie jetzt!", "Letzte Chance".

[#9]

... inzwischen misstraue ich vielen E-Mails, aber diese E-Mail sah in den ersten paar Momenten **bleep** ʇɯɯɐpɹǝʌ echt aus, vor allem die Absender-Domain noreply@1und1.com

Es zeigt sich mal wieder, dass man dem Impuls, E-Mail-Anlagen in vertrauenswürdig wirkenden E-Mails per Doppelklick zu öffnen, nicht automatisch nachgehen darf und dass man immer auch noch auf Details oder Ungereimtheiten und auf das eigene Bauchgefühl achten muss

Nachtrag:

mir ist nach wie vor nicht verständlich, warum ein Unternehmen wie IONOS bzw. 1&1 nicht in der Lage ist, solche E-Mails entweder erst gar nicht zuzulassen oder wenigstens flächendeckend zu blockieren.

... keine Ahnung, ob 1und1.com eine registrierte Domain von 1&1 ist

... vermutlich nicht, sonst wäre ich erst recht entsetzt

1&1 ist ja selbst Registrar und sollte mE die allerbesten Möglichkeiten haben, um solche Domains unschädlich zu machen

[#10]

Gerade bei 1&1 ist es schwer zu erkennen, was Fake ist und was nicht. Die verschicken E-Mails, die bei der Grußformel enden und/oder in denen Pflichtangaben fehlen und melden sich auch schon mal samstags, um telefonisch persönliche Daten abzugleichen. Von Call-ID-Spoofing, Signatur und Verschlüsselung hat man dort offenbar noch nichts gehört.

Bezeichnend ist auch, dass das Unternehmen zu Phishing-E-Mails informiert, jedoch keine Bemühungen erkennen lässt, die Kundenkorrespondenz auf ein höheres Sicherheitsniveau zu bringen.   

[#11]

---

@vogtsburger  schrieb:

vor allem die Absender-Domain noreply@1und1.com

---

Die (angezeigte) Absender-Adresse ist eines der am Einfachsten zu fälschenden Merkmale, auf die würde ich gar nichts geben.

@hapet schrieb:

Bezeichnend ist auch, dass das Unternehmen zu Phishing-E-Mails informiert, jedoch keine Bemühungen erkennen lässt, die Kundenkorrespondenz auf ein höheres Sicherheitsniveau zu bringen.

Neulich schon an anderer Stelle verlinkt, aber es passt auch hier wieder wie Ar… auf Eimer: Troy Hunt: Thanks FedEx, This is Why we Keep Getting Phished 

Unternehmen müssten eigentlich viel häufiger für solche Sachen öffentlich an den Pranger gestellt werden. Aber wer soll's tun? Man sollte meinen, dass das Aufgabe des BSI ist, aber die raten ja bloß dazu den Virenscanner und die Firewall nochmal zu updaten. Und noch einen zweiten zu installieren, wenn der erste nicht hilft.

Und die Bundesnetzagentur bekommt die Telefonanbieter nicht mal dazu, ausländische Anrufe mit (vorgeblich) deutscher Festnetznummer zu blocken.

[#12]

---

@vogtsburger  schrieb:

mir ist nach wie vor nicht verständlich, warum ein Unternehmen wie IONOS bzw. 1&1 nicht in der Lage ist, solche E-Mails entweder erst gar nicht zuzulassen oder wenigstens flächendeckend zu blockieren.

Das habe ich mich auch schon oft gefragt. Sicherlich wäre das mit Aufwand verbunden, aber es müsste möglich sein, das zu tun.

[#13]

Da im Outlook-Posteingang standardmäßig Absender-Namen (Spalte <Von>) statt Absender-Adressen angezeigt werden, hier ein Tipp, wie man dort die Adressen sehen kann, ohne die Posteingänge zu öffnen:

Blendet man dann auch noch die Spalte <Von> aus, wird ein Blick auf die E-Mailadresse vor dem Öffnen einer Nachricht quasi erzwungen, was m. E. einen kleinen (aber feinen) Sicherheitsbeitrag im (Kanzlei-)Alltag bringt.  

[#14]

@hapet ,

das habe ich bisher immer mit einem "benutzerdefinierten Outlook-Formular" (*.cfg-Datei) erledigt ...

... und das war sehr gut so und hat schon viele suspekte E-Mail-Adressen angezeigt

Der Anzeigename für die E-Mail ist völlig 'wertlos'

In älteren Outlook-Versionen konnte man standardmäßig die Absender-Email-Adresse in der tabellarischen Ansicht nämlich nicht als Spalte anzeigen

[#15]

Auch die angezeigte E-Mail-Adresse ist wertlos, die kann genau wie der Absender bei einer Postkarte gefälscht sein. Will man sicher(er) sein, schaut man sich den Transportweg der E-Mail im Header an. Aber wer macht das schon und versteht auch das, was er da sieht...

[#16]

... @kai-n & Andere,

... dann würde mich interessieren, was an diesem Header verdächtig oder gefährlich aussieht, außer vielleicht, dass die E-Mail über die Copacabana gelaufen ist 😎

Auf den 1. und 2.  Blick kann ich nichts (sicherheitstechnisch) Suspektes erkennen

... evtl. habe ich ja 'Tomaten auf den Augen' oder sehe den Text vor lauter Hieroglyphen nicht

[#17]

Du gehst die "Received from" von unten nach oben durch, das ist der Weg, den die Mail genommen hat. Und dann fällt gleich ins Auge, dass die erste Station fundacaofemar.com.br auf einem Server mit UTC-03:00 (Deutschland hat aktuell UTC+02:00) war. Dass 1&1 seine Kunden-Mails von einer Stiftung für Meeresstudien aus Brasilien absenden lässt, halte ich für eher unwahrscheinlich.

[#18]

Ich denke, 1&1 würde keine E-Mail von Brasilien aus losschicken. 😉

[#19]

... deshalb hatte ich ja auch die Copacabana erwähnt 😉

aber solche E-Mails könnten ja auch aus der Nachbarschaft oder von Montabaur kommen.

Außerdem liest sehr wahrscheinlich niemand die E-Mail Header der 50 oder 100 E-Mails, die täglich eintreffen 

Mich entsetzt nach wie vor, dass an mehreren Stellen im Header die Domain "1und1.com" auftaucht.

So ganz naiv würde ich jetzt vermuten, dass 1&1 nicht der Eigentümer dieser Domain "1und1.com" ist 

[#20]

Ich denke, da müsste man anfangen konsequent sich Header anzusehen, auch und gerade von "richtigen" E-Mails, damit man ein Gefühl dafür kriegt was normal ist und was anders ist.

Ist ja auch bei unserem Job so, ein Laie sieht nur Zahlenkolonnen mit irgendwelchen Schlagworten daneben, ein Buchhalter wirft einen Blick darauf und sagt "Das kann nicht sein."

[#21]

---

So ganz naiv würde ich jetzt vermuten, dass 1&1 nicht der Eigentümer dieser Domain "1und1.com" ist 

Doch

---

$ whois 1und1.com | grep Registrant
Registry Registrant ID: REDACTED FOR PRIVACY
Registrant Name: REDACTED FOR PRIVACY
Registrant Organization: 1&1 Internet SE

[#22]

Einerseits wird die Mail ja doch recht deutlich als Spam markiert:

X-Spam-Flag: YES

Ansonsten würde ich die Mail direkt entsorgen, da vermutlich SPF nicht stimmt und diese ebenfalls nicht DKIM signiert ist. (Auch wenn 1und1 per DMARC ein "Quarantine" vorschlägt bzw. -gibt.)

nslookup -type=TXT _dmarc.1und1.com

"v=DMARC1; p=quarantine; sp=quarantine; pct=100; adkim=r; aspf=s; rua=mailto:easy180039@easydmarc.com; ruf=mailto:ruf@rep.easydmarc.com; ri=86400; fo=s"

[#23]

... gut, dass Spezialisten solche E-Mails als 'schädlich' oder 'gefährlich' erkennen (können)

... schlecht, dass solche E-Mails trotz dieser Erkennbarkeit immer noch bis zum Endanwender vordringen können

Eigentlich sollte man von heutiger Mail-Software erwarten können, dass solche E-Mails auf dem direkten Weg in den Spam-Ordner wandern oder schon vom E-Mail-Provider herausgefischt werden

Vielleicht werden sie das ja auch, wenn man ganz individuell an irgendwelchen Konfigurationen 'herumschraubt' oder einen zusätzlichen, kostenpflichtigen Spam-Schutz- oder Virenschutz-Service abonniert.

Die E-Mailerei wird mehr und mehr zum großen Ärgernis

[#24]

Outlook sollte per Regel den "X-Spam-Flag" Header auswerten können.

Ansonsten ist das ein weiterer Grund, warum ich nichts von den Providern (Strato, 1und1, IONOS, Host Europe, ...) als "E-Mail-Dienstleister" halte. Es ist ja nicht so, als hätte DATEV hier kein echt gutes Produkt im Portfolio. 😉

[#25]

... das lässt sich ja sehr schnell testen, wie die Datev mit solchen E-Mails umgeht 

... bin gespannt ...

... apropos STRATO, 1&1, IONOS & Co

... da gibt es noch einen 'laaangen Rattenschwanz' an Providern in dieser Liga

... musste gestern z.B. mit jemandem kommunizieren, die noch eine uuuralte aol-Adresse hat (die inzwischen natürlich zu einem anderen Provider gehört, keine Ahnung, zu welchem) 

Daneben gibt es ja noch freenet, arcor web.de versatel.de ... und ... und ... und ... und nicht zuletzt t-online.de ... auch ein spezieller Fall

... wie gesagt: ein großes Ärgernis 

[#26]

---

@vogtsburger  schrieb:

... wie gesagt: ein großes Ärgernis 

---

Wieso?

• Jeder ist seines Glückes Schmied
• You get what you pay for
• ...

[#27]

heute auch wieder :

... neues Spiel, neues Glück ...

... diesmal eine Art Zahlungserinnerung, wie sie im Büroalltag immer mal vorkommen könnte

... E-Mail mit PDF-Anlage, die auf den 1. und 2. Blick nicht gefährlich aussehen würde, wenn man nicht genau wüsste, dass man keine Geschäftsbeziehung zu dem Absender hat.

• ok, die Anrede ist nicht persönlich, aber das alleine ist nicht ungewöhnlich
• ok, die Anrede "Sehr geerhter Damen und Herren" ist ziemlich 'legasthenisch', aber das ist nicht selten
• ok, die E-mail-Anlage hat die Bezeichnung "Rechnung.pdf", ... auch nicht so selten
• ok, im E-Mail-Text versteckt sich ein suspekter Link. Das ist natürlich dann das K.O.-Kriterium
• ob die PDF ebenfalls irgendwas Schlimmes enthalten könnte, weiß man nicht. Egal.

Ich will natürlich nicht jede eintreffende E-Mail mühsam und langwierig prüfen müssen

Apropos, der Tipp von @hapet zum Anzeigen der Absenderadresse ist gut. Ich hatte dasselbe bisher immer mit einem benutzerdefinierten Outlook-Formular gemacht, weil ich keine andere Lösung hatte.

Im Header ist diesmal auf den ersten Blick keine direkte ausländische Quelle erkennbar, höchstens über die Bezeichnung "sistemas", die einem 'spanisch vorkommt' 

... auf den Spam-Flag habe ich diesmal gleich geachtet 😉

Ich selbst bin bisher noch nie auf solche 'schlichte' Fake-E-Mails hereingefallen, aber auch das könnte mal passieren und außerdem sitzt man ja in einer Kanzlei nicht alleine im Boot.

Ich behaupte, dass eine gut gemachte E-Mail in der Hektik des Büroalltags auch mal schnell 'durchrutschen' und Schaden anrichten könnte.

Apropos, @janm ,

... habe es noch nicht geschafft, solche SPAM-Mails per Outlook-Regel herauszufischen.

[#28]

Frequently asked questions — How do I filter spam in Outlook? (domainname.shop)

Die SPAM Filterung im Outlook vorzunehmen ist am Ende des Tages aber auch wie alle Türen und Fenster offen zu lassen und den Einbrecher dann freundlich zu bitten, dass er doch gehen möge.

[#29]

Warum gehen die Mails eigentlich beide an den administrator? Ist da etwa auch noch ein Catch-All Postfach (und ein Pop3 Connector) involviert?

[#30]

... ein "Catch-All" ist tatsächlich eingerichtet

... und es handelt sich hier um meine private Domain

Das mit der Outlook-Regel hätte ich eigentlich sehen müssen, aber ich habe die Regel-Optionen schnell überflogen und das Wörtchen "Header" nicht gesehen.
In der vorliegenden (deutschen) Version nennt sich das "Nachrichtenkopf" 😅

... aber die Regel hat jetzt die beiden suspekten Spam-Mails herausgefischt

Danke für den Tipp.

Ich glaube, vor Dir ist kein Spammer sicher 😅