Phishing

Als Phishing (aus dem Englischen als Homophon von "fishing") bezeichnet man Methoden, die digitale Identität (also meist Nutzername + Passwort) eines Benutzers auszuspähen. Das Ziel ist es, sich als dieser Nutzer ausgeben zu können (Identitätsdiebstahl) und z.B. auf unberechtigten Zugriff auf Daten oder Resourcen zu erlangen.

In einigen Fällen läuft dies auch auf klassischer Betrug hinaus: Es werden dann zum Beispiel angebliche Rechnungen verschickt, die ungeprüft gezahlt werden sollen. Es erfolgt eine Auszahlungsanordnung mit der E-Mail-Adresse des Chefs oder ein(e) Mitarbeiter*in wird gebeten, im Auftrag der Vorgesetzten eine Besorgung zu erledigen (beliebt ist die Beschaffung von sofort einlösbaren Gutschein-Codes).

Im Falle von Mitarbeiter-Konten der Universität erlaubt ein erfolgreiches Phishing Zugriff auf die Resourcen der Universität, z.B. Rechenleistung, aber auch Zugriff auf gesicherte Datenspeicher, z.B. auch auf nicht veröffentliche Forschungsergebnisse. Vielfach interessant ist aber die Ausnutzung der Vertrauensstellung der Universität gegenüber Dritten.

Typische Phishing-Nachrichten

In den meisten Fällen wird eine Phishing-Nachricht als wichtige Information mit dringender Handlungsaufforderung formuliert. In einigen Fällen sind die Nachrichten relativ gut nachgemacht, teilweise sogar mit dem offiziellen Logo der CAU. Üblich sind zum Beispiel

• Hinweise auf Erreichen einer Speicherbegrenzung ("Webmail-Quote", etc. pp.) mit unmittelbar bevorstehender Sperrung der Zugangskennung. Die Nutzerin wird aufgefordert, sich auf einer bestimmten Webseite anzumelden, um die Sperrung abzuwenden (Das RZ sperrt keine Nutzerzugänge wegen Speicherüberschreitungen).
• Auch sehr häufig sind Aktualisierungs-Benachrichtigungen vom Systemadministrator zur Aktualisierung des Passworts aufgrund einer Dienst-Umstellung (Solche E-Mails aus dem RZ sind digital signiert).

Nachdem einige dieser Nachrichten in ähnlicher Form auch tatsächlich legitime Inhalte haben können ("Postfach-Beschränkung auf dem Exchange-Server überschritten"), ist es wichtig, Phishing-Nachrichten von echten Nachrichten zu unterscheiden. Es gibt hierfür oft eindeutige Hinweise.

Allgemeines zur Phishing-Prävention

• Achten Sie genau auf den Absender einer Nachricht. Vergessen Sie aber nicht, dass Absender bei Spam- und Phishing-Mails regelmäßig gefälscht werden.
• Überprüfen Sie Links aus E-Mails immer, bevor Sie den Link aufrufen. Klicken Sie insbesondere nicht einfach auf Links in E-Mails ohne vorherige Überprüfung des Linkziels. Bitte beachten Sie, dass der angezeigte Text sich von dem tatsächlichen aufgerufenen Link unterscheiden kann!
• Geben Sie das Passwort für Ihr Universitäts-Konto nicht auf Webseiten außerhalb der Universität an. Überprüfen Sie vor Eingabe von Nutzername und Passwort immer die Identität der Webseite und stellen Sie sicher, dass die Verbindung verschlüsselt erfolgt.