Cookies helfen uns bei der Bereitstellung des IMT HilfeWikis. Bei der Nutzung vom IMT HilfeWiki werden die in der Datenschutzerklärung beschriebenen Cookies gespeichert.Weitere Informationen

Hinweise zu Phishing-E-Mails

IMT HilfeWiki - das Wiki
Wechseln zu:Navigation, Suche
Anleitung
Allgemeine Informationen
Informationen
Betriebssystem Alle
Service Exchange, Informationssicherheit, Mail und Microsoft Office Portale
Interessant für Angestellte, Bereiche, Besucher, Gäste und Studierende
HilfeWiki des IMT der Uni Paderborn
no displaytitle found: Hinweise zu Phishing-E-Mails

Leider werden immer wieder E-Mail-Adressen aus dem Namensraum der Universität zum Versenden von Spams und Phishing-Emails missbraucht. Bitte seien Sie misstrauisch, wenn Sie eine E-Mail erhalten, die Sie keinem Kontext zuordnen können.

Checkliste zur Abgrenzung von Spam und Phishing-Nachrichten

  1. Absender prüfen
    • Ist die E-Mail-Adresse wirklich vom erwarteten Absender?
      • info@uni-paderborn.de
      • info@unl-paderborn.de
    • Können Sie die E-Mail-Adresse verifizieren?
      • Durch Vergleichen mit einer bekannten E-Mail-Adresse
      • Durch kontaktieren des Absenders (telefonisch oder über eine verifizierte E-Mail-Adresse)
    • Ein legitimer Absender allein ist kein Zeichen für eine vertrauenswürdige E-Mail, da dessen E-Mail-Postfach von einem möglichen Angreifer kompromittiert sein kann.
  2. Inhalt prüfen (Kommt Ihnen der Inhalt verdächtig vor?)
    • Wird die Nachricht des Absenders erwartet?
    • Signalisiert die E-Mail Handlungsbedarf oder Dringlichkeit?
    • Gibt es Auffälligkeiten bei der Formatierung?
    • Ist die Anrede unpersönlich formuliert?
    • Fordert die E-Mail zu Eingabe von Passwörtern oder persönlichen Informationen auf?
  3. Links prüfen (Sind die angezeigten Links vertrauenswürdig?)
    • Welche Ziel-URL wird in der Statusleiste angezeigt, wenn Sie die Maus über den Link halten?
    • Passt der Wer-Bereich zu einer vertrauenswürdigen Nachricht
      • serviceportal.uni-paderborn.de
      • uni-paderborn.serviceportal.de
    • Ist der Wer-Bereich richtig geschrieben
      • serviceprotal.uni-paderborn.de
      • serviceprotal.uni-padreborn.de
  4. Anhang prüfen
    • Öffnen Sie Dateien nur, wenn Sie diese für absolut vertrauenswürdig halten
    • Vorsicht vor Dateiformaten, wie .exe oder .bat
      • Rechnung-05-18-2021.pdf
      • Rechnung-05-18-2021.pdf.exe
    • Vermeiden Sie unbedingt das Aktivieren von Marcos in Microsoft Office Dokumenten
    • Versichern Sie sich im Zweifel (z.B. auch schon bei einem “komischen Gefühl”) über einen alternativen Weg beim Absender, Beispielsweise per Telefon.


Sollte auch nur einer der oben genannten Punkte misstrauen erwecken, wenden Sie sich an den Absender oder löschen Sie die E-Mail. Wenn Sie sich unsicher sind, können Sie immer einen Kollegen zu Rate ziehen.

Was tun, wenn ich getäuscht wurde

Es ist wichtig, schon bei dem Verdacht durch eine Phishingnachricht getäuscht worden zu sein, eine Meldung zu machen. Die einzige Möglichkeit, möglichen Schaden zu begrenzen ist, dass unsere Experten so schnell wie möglich auf eine solche Situation reagieren können. Je schneller, desto besser.

Um eine solche Meldung zu machen gibt es drei Möglichkeiten:

  • Falls Sie wissen, wer Ihre Infrastruktur betreut, wenden Sie sich an diese Person (am besten per Telefon)
  • Machen Sie eine Vorfallsmeldung an vorfall@upb.de
  • Sollten Sie sich unsicher sein, kontaktieren Sie die IMT-Hotline unter (05251) 60-5544 oder unter imt@upb.de



Phishing

Eine Angriffsmethode, um an Benutzernamen und Passwort zu kommen, sind die sogenannten Phishing-Mails. Unter Phishing versteht man Versuche, über gefälschte Webseiten, E-Mail oder Kurznachrichten an Daten eines Internet-Benutzers zu gelangen und damit Identitätsdiebstahl zu begehen. Ziel des Betrugs ist es, mit den erhaltenen Daten beispielsweise das Konto zu plündern und den entsprechenden Personen zu schaden.

Darunter fallen durchaus auch gezielte Angriffe, die u.U. in Gesprächsverläufe eingebettet sein können. Daher sollten Sie die oben stehende Checkliste für jede E-Mail verwenden. Mit etwas Routine reichen schon wenige Sekunden um immensen Schanden zu verhindern.


Bin ich ein mögliches Ziel?

Die Antwort ist eigentlich immer, ja. Für einen Angreifer ist es wesentlich einfacher, über Phishing Zugriff auf Systeme zu bekommen als über Angriffe, die rein auf einem technischen Angriffsvektor basieren. Selbst wenn Sie keinen Zugriff auf wichtige Zugangsdaten für Infrastruktur haben, kann mit Ihren Zugangsdaten dennoch erheblicher Schaden angerichtet werden. Allein schon der Zugriff auf Ihr E-Mail-Postfach kann einem Angreifer helfen, mehr Vertrauenswürdigkeit zu erwecken, da er nun Zugriff auf Gesprächsverläufe hat und außerdem u.U Ihre E-Mail-Adresse verwenden kann.

Phishing stellt eine erhebliche Gefahr dar, indem Sie einmal mehr nachfragen oder einmal mehr einen Link oder eine Datei nicht öffnen können Sie erheblichen Schaden verhindern.


Wer-Bereiche

Wohin ein Link führt, ist nicht immer offensichtlich. Daher hier einige Beispiel, um das Erkennen des eigentlichen Ziels eines Links und die Identifizierung des eigentlichen Absenders zu vereinfachen.

Alle Zeichen, die im Wer-Bereich stehen können von einem Angreifer nicht verändert werden. Das heißt, dass Sie nur am Wer-Bereich erkennen können, ob ein Link vertrauenswürdig ist oder nicht.

Der bereich, der nicht zum Wer-Bereich gehört wird oftmals ausgenutzt, um den Anschein von Vertrauenswürdigkeit zu erwecken, da auch zum Beispiel der Text uni-paderborn.de in diesen Bereichen von einem Angreifer verwendet werden kann.

Die am meisten verwendeten offiziellen Wer-Bereiche der Universität Paderborn sind upb.de und uni-paderborn.de

Wer-Bereich eines Links

Der Wer-Bereich eines Links wird von Punkten . und Querstrichen / begrenzt. Wichtig sind die Zeichen vor und hinter dem letzten Punkt bis zum ersten Querstrich. Also für den Link https://serviceportal.uni-paderborn.de/web/portal/registrierung ist der Wer-Bereich uni-paderborn.de.

  • https://serviceportal.uni-paderborn.de
  • https://uni-paderborn.serviceportal.de
  • http://dokumente.de/uni-paderborn.de/
  • http://131.234.152.9/upb.de/


Wer-Bereich einer E-Mail-Adresse

Der Wer-Bereich einer E-Mail Ardesse, wird von Punkten und At-Zeichen @ begrenzt. Wichtig sind wider die Zeichen vor und hinter dem letzten Punkt. Also für die E-Mail-Adresse mustername.musternachname@mail.uni-paderborn.de ist der Wer-Bereich uni-paderborn.de.

  • mustername.musternachname@uni-paderborn.de
  • mustername.musternachname@uni-paderborn.unimail.de
  • uni-paderborn@mustername.de


Überprüfung Änderungsprotokoll des Uni-Accounts

Im Änderungsprotokoll können Sie prüfen, ob die Aussage einer Warnmail über die Sperrung Ihres Accounts der Wahrheit entspricht.


SP-Accountprotokoll-01.png


  • Rufen Sie das IMT-Service-Portal auf: https://sp.uni-paderborn.de
  • Melden Sie sich mit Ihren Uni-Accountdaten an.
  • Wählen Sie im Menü "Benutzerverwaltung" den Punkt "Uni-AccountDer nach der erfolgreichen Immatrikulation (Studierende) oder Anstellung (Angestellte) beim IMT erstellte Zugang. Einstellungen".

SP-Accountprotokoll-02.png


  • Wählen Sie dann den Punkt "Protokoll anzeigen" und prüfen Sie das Protokoll auf Sperrvorgänge.

Beispiele für Phishing-Nachrichten

Beispiel 1


Von: Universitat Paderborn [mailto:noreply@upb.de]
Gesendet: Freitag, 23. Oktober 2015 00:51
An: winner
Betreff: AKTUALISIERUNG!!!

Universität Paderborn hat eine neue Version web-Mail, die Edition 2015 freigegeben.
 
Diese neueste Web-Mail-Version kommt mit neuen und erweiterten Funktionen gesichert und Anti-Spam-Schutz.
 
Es wird empfohlen, bitte  klicken Sie hier heute zu migrieren und den erweiterten Sicherheitsfunktionen zu aktivieren.
 
Mit freundlichen Grüßen,
© 2015 Informatikdienst.
  1. Absender
    • Wer-Bereich des Absenders korrekt
    • Derartige E-Mails des IMT kommen meist von imt@uni-paderborn.de
  2. Inhalt
    • Unerwartete E-Mail
    • Es wird Handlungsbedarf suggeriert, um Sie zu einer schnellen und unüberlegten Handlung zu drängen
    • Unübliche Formatierung (offizielle Formatierung nicht eingehalten)
    • Unpersönliche Anrede
  3. Links
    • Der nächste Schritt wäre hier den angegebenen Link zu prüfen (Das wahre Ziel des Links wird Ihen nur in der Statuszeile ihres E-Mail Programms angezeigt).

Beispiel 2



      Datum: Mon, 10 Nov 2014 19:10:23 +0100
        Von: Telekom Leiter Kundenservice <werbung@mmgarten.com>
    Betreff: RechnungOnline Monat November 2014 (Buchungskonto: 5405293552)
         An: rza@mail.uni-paderborn.de

    TELEKOM - ERLEBEN, WAS VERBINDET.

     Telekom Leiter Kundenservice

     Ihre Rechnung für November 2014

Guten Tag,

     mit dieser E-Mail erhalten Sie Ihre aktuelle
Rechnung. Die Gesamtsumme im Monat November 2014 beträgt: 166,92 EURO.

Im Anhang finden Sie die gewünschten Dokumente zu Ihrer Mobilfunk
RechnungOnline für November 2014. Ihre Rechnung für November 2014[1]
- (PDF-Dokument).
     Die vorliegende Nachricht wurde automatisch
versandt. Bitte antworten Sie nicht an die Adresse des Absenders.

    Mit freundlichen Grüßen

Ralf Hoßbach
Leiter Kundenservice

    © Telekom Leiter Kundenservice 2014 | Hilfe |
Kontakt | Datenschutz | AGB | Impressum
    Sie haben eine Frage an den Kundenservice? Dann
nutzen Sie bitte unser E-Mail Kontaktformular.



Links:
------
[1] http://hostomanXXXX.net/XXXXXX (verändert)

  1. Absender
    • Der Wer-Bereich des Absenders Baum ist auffällig für eine E-Mail, die vermeintlich von der Telekom kommen soll.
    • ggf. bei der Telekom über einen selbst recherchierte Kontaktdaten nachfragen
  2. Inhalt
    • Unpersönliche Anrede
  3. Links
    • Wer-Bereich des angegebenen Links (hostomanXXXX.net) passt nicht zu einer E-Mail der Telekom
  4. Anhang
    • Mit den oben beschriebenen Auffälligkeiten sollten Sie den Anhang dieser E-Mail nicht oder nur nach sehr gründlicher Rücksprache (über einen alternativen Kommunikationsweg) öffnen.

Beispiel 3

Von: Universitat Paderborn <noreply@upb.de>
Betreff: Dringende Benachrichtigung!!!
Datum: 12. Mai 2014 02:35:18 MESZ
An: Recipients <noreply@upb.de>
Antwort an: noreply@upb.de
 
Sehr geehrter Nutzer,
 
Sie erhalten diese Nachricht aus dem webmailservice@upb.de. Ihre E-Mail-Konto wurde
gehackt / kompromittiert und für verschiedene Spam / Phishing-Aktivitäten genutzt Bitte
klicken Sie oder die universelle folgenden Link kopieren und ändern Sie Ihre Kontodaten, 
 
http:/upb.de/correo/Konto
 
 
Bitte beachten Sie, dass dies versäumt, so gilt für die Kündigung Ihres Kontos führen. 
  
Webmail-Team



  1. Absender
    • Wer-Bereich des Absenders korrekt
    • Derartige E-Mails des IMT kommen meist von imt@uni-paderborn.de
  2. Inhalt
    • Unerwartete E-Mail
    • Es wird Handlungsbedarf suggeriert, um Sie zu einer schnellen und unüberlegten Handlung zu drängen
    • Unübliche Formatierung (offizielle Formatierung nicht eingehalten)
    • Unpersönliche Anrede
  3. Links
    • Der Text in der E-Mail kann beliebig gewählt sein (hier http:/upb.de/correo/Konto) nur der in der Statuszeile angezeigte Link ist das wahre Ziel.

Siehe auch



Bei Fragen oder Problemen wenden Sie sich bitte telefonisch oder per E-Mail an uns:

Tel. IT: +49 (5251) 60-5544 Tel. Medien: +49 (5251) 60-2821 E-Mail: imt@uni-paderborn.de

Der Servicepoint auf N5 bleibt geschlossen.

Das IMT:Notebook-Café (Raum I0.401) bietet derzeit eingeschränkten Support und hat Montags bis Donnerstags von 10:00 - 14:00 geöffnet. Bitte beachten Sie die derzeit geltenden Hygienebestimmungen.

Das IMT:Servicecenter Medien auf H1 hat aktuell Montags bis Donnerstags von 9:00 - 13:00 Uhr und Freitags von 9:00 - 12:00 Uhr geöffnet.