Könntest du mir bei einer Aufgabe helfen?
Die erste Mail war ein einziger Satz. „Könntest du mir bei einer Aufgabe helfen?" Absender: die Vorstandssprecherin eines Sportvereins, mit Namen, so wie er in jedem Rundschreiben steht. Kein Link, kein Anhang, keine Bitte um irgendetwas.
Ein Abteilungsleiter antwortete am nächsten Abend: „Moin, wobei soll ich dir helfen?"
Acht Minuten später kam die Aufgabe. Sie sei im Urlaub. Er möge acht Geschenkkarten zu je hundert Euro besorgen und ihr die Codes schicken, sie erstatte alles zurück, sobald sie wieder da sei. Es sei eine Überraschung für verdiente Mitglieder — auch für ihn — und müsse deshalb vertraulich bleiben. Und er könne ihr gern gleich seine Kontodaten mitteilen.
Ein zweiter Abteilungsleiter hatte dieselbe Mail bekommen. Beide hatten geantwortet. Keiner hatte Karten gekauft. Beide haben es der echten Vorstandssprecherin gemeldet, die hat es uns gemeldet. So weit die gute Nachricht.
Die Mail, die nichts will, ist der Filter
Das Muster ist dasselbe wie bei der Überweisung, die eine Besprechung verhinderte , nur anders gebaut. Dort kam die Forderung sofort. Hier kam sie erst in der zweiten Runde, und das ist kein Zufall.
Die erste Mail hat keine Merkmale, an denen ein Filter oder ein Mensch hängen bleibt. Kein Betrag, kein Link, kein Zeitdruck, keine Rechtschreibfehler — ein Satz, den die Vorstandssprecherin genau so schreiben könnte. Sie tut nur eines: Sie sortiert. Wer antwortet, hat bewiesen, dass die Adresse lebt, dass er die Absenderin kennt und dass er hilft, wenn sie fragt. Erst an diese Leute geht die zweite Mail.
Die zweite Mail ist dann ein Lehrbuch. Urlaub erklärt, warum man nicht anrufen kann. Überraschung und vertraulich sorgen dafür, dass niemand einen Kollegen fragt. Auch für dich macht aus der Forderung ein Kompliment. Ich erstatte es zurück macht aus Geld ausgeben ein Auslegen. Und die Bitte um Kontodaten am Ende ist die zweite Ernte, falls die erste ausfällt.
Eine Mail, die nichts will, ist verdächtiger als eine, die etwas will — wenn sie von jemandem kommt, der sonst nie so schreibt.
Was auf dem iPad zu sehen war
Der Abteilungsleiter hat die Mail auf dem Tablet gelesen. Dort steht im Absender der Name. Die Adresse dahinter sieht man erst, wenn man auf den Namen tippt — und wer tippt auf den Namen der Vorstandssprecherin?
Die Adresse gehörte zu einer fremden Domain in einem anderen Land, die mit dem Verein nichts zu tun hat. Am Rechner, mit vollständiger Absenderzeile, wäre das in einer Sekunde klar gewesen. Auf dem Handy und dem Tablet ist der angezeigte Name die ganze Information, und genau darauf verlässt sich die Masche.
„Sind unsere Mails gehackt?"
Das war die erste Frage des Vorstands, und sie ist die häufigste. Die Antwort war nein, und sie ist bei dieser Masche fast immer nein.
Niemand musste ein Postfach knacken. Der Name der Vorstandssprecherin steht auf der Vereinsseite, im Impressum, im Vereinsregister — er muss dort stehen. Die Abteilungsleiter stehen mit Namen und Mailadressen daneben, damit Mitglieder sie erreichen. Ein Verein ist von Gesetzes wegen und aus gutem Grund transparent. Der Angreifer hat nur gelesen, was jeder lesen kann, und daraus ein Organigramm gebaut: Wer hat Autorität, und wer tut, was diese Person sagt?
Dann hat er sich ein beliebiges Postfach bei einer beliebigen Domain besorgt und als Anzeigenamen den Namen von oben eingetragen. Das ist alles. Es kostet nichts und hinterlässt beim Verein keine Spur, weil es den Verein nie berührt hat.
Warum unser Filter nichts gesehen hat
Der Verein ist unser Kunde. Seine Adressen laufen über einen Server, den wir betreuen, mit einem Filter davor. Diesmal ging die Mail an die privaten Adressen der Abteilungsleiter, aber das ist nicht der Punkt — beim nächsten Mal geht sie an die Vereinsadresse, und dann sieht der Filter sie.
Und tut wenig. Ein Abgleich des Anzeigenamens gegen die Namen des Vorstands kann eine solche Mail markieren — blockieren darf er sie nicht, sonst bleibt auch die echte Vorstandssprecherin hängen, wenn sie aus dem Urlaub von ihrer privaten Adresse schreibt. Die Mail selbst hat nichts, was ein Filter beanstanden könnte: kein Link, kein Anhang, ein Satz. Das war schon in der Firma mit der Überweisung so. Der Angriff zielt nicht auf ein System, sondern auf einen Ablauf: Wer darf um Geld bitten, und auf welchem Weg?
Die Antwort ist deshalb in beiden Fällen dieselbe, und sie ist im Kern keine technische. Bis auf eine Zeile.
Was danach lief
Eine Zeile über jeder Mail von außen. Das ist das Einzige, was wir technisch einführen: Jede Mail, die nicht aus dem Verein kommt, bekommt auf dem Vereinsserver ganz oben einen Hinweis eingefügt — WARNUNG: Diese E-Mail stammt von einem externen Absender. Öffnen Sie keine Links oder Anhänge, wenn Sie den Absender nicht kennen. Der Hinweis blockiert nichts und weiß nichts über Betrug. Er sagt nur: nicht von intern. Steht darüber der Name der Vorstandssprecherin, passt das nicht zusammen, und genau dieser Widerspruch ist auf dem Tablet zu sehen, wo die Absenderadresse es nicht ist. Die Grenze ist klar: Das geht nur für die Vereinspostfächer. Ein privates Postfach beim Provider bekommt die Zeile nicht.
Kein Schaden, aber eine Meldung. Beide Abteilungsleiter haben die Mail weitergeleitet statt gelöscht. Damit wusste der Vorstand innerhalb eines Tages, dass gerade in seinem Namen geschrieben wird — und konnte alle anderen warnen, bevor der Dritte antwortet.
Ein Hinweisblatt für alle, vom Dienstleister. Zwei Seiten: Was die Masche ist, fünf Warnzeichen, fünf Schritte. Wir hatten es für einen anderen Kunden schon fertig, weil es dort denselben Anlass gab. Es geht bewusst mit unserem Absender raus, nicht mit dem des Vorstands — ein Sicherheitshinweis vom Vorstand ist Vereinspost, derselbe Hinweis vom Administrator ist eine Fachauskunft.
Eine Regel, die ins Vereinsleben passt. Wer Geld auslegen, überweisen oder Karten kaufen soll, ruft vorher an. Nicht auf die Nummer in der Mail, sondern auf die, die im Telefon steht. Wer im Urlaub ist, ist auch im Urlaub erreichbar. Wer es nicht ist, kann warten.
Woran man es erkennt
Nicht am Absendernamen — der stimmt. Nicht an der Rechtschreibung — die stimmte hier auch. Sondern an drei Dingen, die zusammen auftreten:
- Eine Bitte ohne Inhalt. „Kannst du mir helfen?", „Bist du gerade erreichbar?", „Hast du kurz Zeit?" — ohne zu sagen, wobei. Menschen, die etwas brauchen, schreiben, was sie brauchen.
- Ein Grund, warum man nicht anrufen kann. Urlaub, Sitzung, Ausland, Handy kaputt.
- Ein Grund, warum man niemanden fragen soll. Überraschung, vertraulich, noch nicht spruchreif.
Wer eines davon sieht, tippt auf den Absendernamen und liest die Adresse. Wer zwei sieht, ruft an. Wer alle drei sieht, hat den Betrug gefunden, bevor er die zweite Mail bekommt.