Vor diesem Betrugsszenario habe ich bereits sehr oft und eindringlich gewarnt. E-Mail war, ist und bleibt ein unsicheres Kommunikationsmittel, deshalb sollte damit entsprechend sensibel und aufmerksam umgegangen werden.

Warum geht es? Es wird der Name einer höhergestellten Person der Universität der Bauhaus-Universität, meist Professoren und Personen in Leitungsfunktion, missbräuchlich als Mailabsender verwendet (Mailspoofing) und Studierende bzw. Mitarbeitende kontaktiert (CEO-Fraud). Die frei erfundenen E-Mails sind immer sehr unbestimmt, sollen Zeitdruck erzeugen und die Empfänger verleiten, Handlungen zu tätigen, die sie schädigen und dem Angreifer einen monetären Vorteil verschaffen.

Gegen das Betrugsszenario an sich kann man nicht viel tun, denn - wie beweits geschrieben - E-Mail war, ist und bleibt ein unsicheres Kommunikationsmittel. Absendername und Absendermailadresse können leicht gefälscht werden, dazu muss kein Mailaccount kompromittiert werden. Bei Freemailern wie Gmail, kann der Absendername nach Lust und Laune frei gewählt werden, eine Prüfung der Legitimation oder Identität findet nicht statt. Auch kompromittierte Mailaccounts können für den Betrug missbraucht werden. Die Daten potentieller Opfer findet man leicht als öffentlich zugängliche Informationen im Internet, wie beispielsweise auf unserer Webseite. Die Maskierung von Mailadresse ist kein wirksamer Schutz.

Ziel des Missbrauchs ist, es sich das Vertrauen zu erschleichen und Gutscheine zu ergaunern. Werden die Gutscheine tatsächlich gekauft und die Daten übermittelt, ist das Geld (mutmaßlich) für immer verloren. Wir können da gar nichts für die Betroffenen tun, und ob Ermittlungsbehörden eine Chance haben, ist sehr fraglich.

In der Regel wird bei Phishing- und andern Fake-E-Mails immer ein zeitlicher Handlungsdruck aufgebaut. Erhält man also eine E-Mail, die zeitlichen Handlungsdruck aufbaut, ist höchste Wachsamkeit und das genaue Gegenteil, also ruhiges und besonnenes Agieren angezeigt.

Der beste Schutz ist, informiert zu sein, nachzudenken und besonnen reagieren. Hierzu empfehle ich auch den Selbstlernkurs zu IT-Sicherheit: Security-Awareness | Lernplattform Bauhaus-Universität Weimar

Auf derartige E-Mails sollte nicht reagiert werden, sie sind zu löschen.

Die meisten Fakes sind leicht als solche zu entlarven, schon die Verwendung einer anderen - im vorliegenden Fall einer polnischen, statt der Uni-Mail-Adresse ist ein mögliches Indiz für eine Fälschung.

Weitere Fälschungsmerkmale des aktuellen Fakes:

• fehlender Betreff und sehr knapper, völlig unbestimmter Inhalt. Warum so geheimnisvoll? Man kann auch gleich schreiben oder zumindest grob andeuten, worum es geht.
• Um herauszufinden ob jemand erreichbar ist, ist die Verwendung eines asynchronen Kommunikationmittels, wie E-Mail, eine schlechte Idee.
• fehlende persönliche Anrede, fehlende abschließende Grußformel und fehlende Absenderangaben (die an der Bauhaus-Universität übliche E-Mail-Signatur)
• Kommunizieren die Kommunikationspartner für gewöhnlich in Deutsch, sollte eine Mail in Englisch stutzig machen, ebenso alle anderen ungewöhnlichen Merkmale in der Kommunikation, wenn man sich kennt.

--Fake-Mail-- (alle verwendtene Namen nachträglich anonymisiert)

Von: Vornamen Nachname (deskpin10@wp.pl)
Betreff:
Let me know if you are available right now.