DMARC: Neue Initiative gegen Phishing-Gefahr

Trotzdem auf Phishing-Mails besser nicht reagieren

Auch wenn sie täuschend echt aussehen: Internetnutzer sollten Mails ignorieren, in denen Kreditkartennummern, Passwörter, PINs oder TANs abgefragt werden. Denn dahinter stecken Betrüger. Seriöse Banken oder Unternehmen fordern ihre Kunden niemals per Mail oder Telefon zur Eingabe sensibler Daten auf, warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Betrüger arbeiteten kreativ mit Sperrandrohungen, vermeintlichen Aktualisierungen oder Bestätigungen aus Sicherheitsgründen, angeblich ablaufenden oder verlorenen Passwörtern oder Kreditkartennummern. Wer unsicher ist, kontaktiert am besten die betreffende Bank oder Firma.

DMARC soll Abhilfe schaffen

Das Validierungsverfahren, wie es von DMARC genutzt wird um die Echtheit einer E-Mail zu überprüfen. Führende Internet-Konzerne verstärken nun den Kampf gegen solche Phishing-Angriffe. In der heute vorgestellten Allianz mit dem Namen DMARC haben sich unter anderem Google, Facebook, Microsoft, der Bezahldienst PayPal und Yahoo zusammengeschlossen. Die Idee ist, hinter den Kulissen kriminelle E-Mails herauszufiltern, damit sie die Nutzer gar nicht erst erreichen. Dies wird erreicht, in dem der Server des Empfängers sich vom Sender die Echtheit der Nachricht bestätigen lässt.

Das DMARC-System sei aber schon in Betrieb, sagte ein beteiligter Facebook-Spezialist dem US-Magazin Wired: "Sie werden bereits seit einiger Zeit durch DMARC geschützt." Die Ursprünge von DMARC liegen in einer Kooperation zwischen Google, Yahoo und PayPal. Seit 2007 werden PayPal-Mails an Kunden von Google und Yahoo speziell geprüft und gekennzeichnet, falls sie tatsächlich echt sind. Dieses System hat offenbar gute Resultate geliefert und wird jetzt in verbesserter und allgemeinerer Form als DMARC bezeichnet. DMARC steht für Domain-based Massage Authentication, Reporting and Conformance (etwa: domainbasierte Authentifizierung, Melden und Konformität von Nachrichten).

Ohne Vorsicht geht es trotzdem nicht

Solche Maßnahmen können aber keinen hundertprozentigen Schutz bieten. Deshalb sollten Nutzer grundsätzlich nicht auf Links in E-Mails klicken und Internetadressen am besten von Hand in die Adresszeile eingeben. In den Browsereinstellungen sollte die Funktion "Aktive Inhalte ausführen" deaktiviert oder so eingestellt werden, dass der Browser jedes Mal nachfragt, rät das BSI. Zudem öffnet man E-Mails und vor allem Anhänge besser nur dann, wenn sie aus vertrauenswürdiger Quelle stammen. Damit Phishing-Betrüger keine Sicherheitslücken ausnutzen können, sollten Nutzer eine Firewall und Virenschutzsoftware einsetzen und diese, wie das Betriebssystem und andere Programme auch, immer auf dem neuesten Stand halten.