Namen von Bundesstellen und Firmen missbraucht

In den letzten Wochen haben Betrüger vermehrt E-Mails verschickt, die angeblich von der Eidgenössischen Steuerverwaltung (ESTV) stammen, schreibt die Melde- und Analysestelle Informationssicherung (Melani). Dabei würden auf eine fiktive Steuerrückerstattung Bezug genommen, welche man durch Ausfüllen eines angehängten Dokumentes erhalten soll. In anderen Fällen versuchten die Betrüger, mit der gefälschten Absenderadresse der ESTV, den Steuerpflichtigen eine Dienstleistungen anzubieten. Beim Öffnen des Dokuments werde dann allerdings eine Schadsoftware installiert. Solche Betrugsmails werden laut Melani zu Hunderttausenden in Umlauf gesetzt. Neben Schadsoftware-Varianten für das Betriebssystem Windows seien auch solche für  MacOSX verschickt worden, wie die Bundesstelle schreibt.

Auch gefälschte Einladungen zu Gerichtsverhandlungen

Auch gefälschte Einladungen zu Gerichtsverhandlungen oder E-Mails, die angeblich von der Kantonspolizei stammen, benutzen die Angreifer, um den Empfänger zu verunsichern und diesen zu verleiten auf einen Link zu klicken.

Ziel der Angreifer sei es, den Benutzer zu überrumpeln, seine Neugier zu wecken oder ihm Angst zu machen, um ihn dann zu einer unbedachten Aktion zu verleiten. In den meisten Fällen werde schnell klar, dass es sich um eine Fälschung handelt. So kommuniziert beispielsweise die ESTV nur auf dem Postweg und nie via E-Mail, wie Melani in seiner Mitteilung betont.

Was soll man tun?

Tipps für E-Mail-Empfänger: 

• Misstrauen Sie E-Mails, die Sie unaufgefordert erhalten: Es gilt nicht mehr nur bei E-Mails von unbekannten Personen kritisch zu sein, sondern auch bei bekannten Absendern Vorsicht walten zu lassen. Besonders vertrauenswürdige Firmen werden gerne als gefälschte Absenderadressen missbraucht.
• Lassen Sie sich nicht unter Druck setzen. Nehmen Sie sich genügend Zeit für Abklärungen und fragen Sie im Zweifelsfall bei der Firma nach.
• In seltenen Fällen kann es vorkommen, dass das Opfer zufälligerweise tatsächlich ein E-Mail von der Firma erwartet. Aber auch in diesen Fällen gibt es  zahlreiche Hinweise, mit welchen man ein betrügerisches E-Mail von einem echten E-Mail unterscheiden kann. Auch hier gilt: Nehmen Sie sich Zeit die Plausibilität zu überprüfen. Achten Sie zum Beispiel auf die Verwendung von Vor- und Nachnamen: In legitimen E-Rechnungen wird der Empfänger mit Vor- und Nachnamen angesprochen. Diese Anrede ist bei betrügerischen Mails immer noch die Ausnahme. Im Zweifelsfall erkundigen Sie sich bei der Firma, ob eine Rechnung ausgelöst wurde oder bitten Sie diese, die Rechnung erneut zuzustellen.

Für Firmen, deren Namen als Absender missbraucht wurde, gilt: 

• Sollte Ihr Firmenname für Betrugs-E-Mails missbraucht werden, weisen Sie auf der Startseite gut sichtbar darauf hin, dass ihre Firma als Absender für Schadsoftware-E-Mails missbraucht wird. Geben Sie den Kunden Ihre Empfehlung ab, wie sie sich verhalten sollen.
• Weisen Sie Ihre Kunden mittels einem regelmässig erscheinenden Newsletter oder direkt auf die Betrugsversuche hin.
• Halten Sie bei der Kundenkommunikation via E-Mail folgende Grundregeln ein und teilen Sie diese den Kunden mit:
  • Mit Links in E-Mails sparsam umgehen und nur auf die eigene Domäne verlinken. Wenn möglich Links auf durch Verschlüsselung gesicherte Seiten (https) verwenden und dies dem Empfänger mitteilen.
  • Keine versteckten Links benutzen, sondern immer die Links für den Benutzer sichtbar machen.
  • Nicht auf Webseiten verlinken, die Benutzername und Passwort oder andere Eingaben verlangen.
  • Kunden mit Vor- und Nachnamen anschreiben, sofern diese Information vorhanden ist.
  • Wichtige Informationen zu Konten schriftlich per Brief versenden – gerade im Finanzsektor.

Quelle: Melde- und Analysestelle Informationssicherung