Spam Allgemein

Spam-Mails gehören leider immnoch zum Alltag. Die meisten Anbieter sind mittlerweile sehr gut in der Erkennung und filtern bis zu 99% davon raus. Das heißt aber, dass die restlichen 1% der unerwünschten Mails so gut „gemacht/getarnt“ sind, dass sie durch automatische Anti-Spam-Filter nicht erkannt wurden. Ihr müsst nun also schlau und informiert genug sein, um diese letzten ungewünschten E-Mails erfolgreich zu erkennen und zu vernichten.
Den Begriff „Spam(-Mails)“ verwende ich in diesem Artikel mal als Oberbegriff für alle Formen unerwünschter Mails, auch wenn Spam inhalt nicht ganz korrekt ist. Der Begriff ist den meisten Menschen aber negativ Genug im Bewusstsein, sodass es sich einfacher liest als „Malicious Mails“.
Je nach Sinn und Zweck der Mail, soll diese den Nutzer ausspähen oder Werbung verbreiten (Spam), Nutzerdaten durch gefälschte Seiten und Formulare abfangen (Phishing), den Rechner infizieren oder anderen Schaden anrichten (Malware Mails). Somit sind sie neben dem zeitlichen Aufwand der Prüfung aber vor allem eine Gefahr für PC und User, wenn sie nicht erkannt und beseitigt werden. Bestenfalls markiert ihr alle gefundenen Mails als Spam, das bieten die meisten Web-Mailer an und es verbessert die Algorithmen und Erkennungsraten.

Wie erkennt man Spam Mails?

Bei Billionen Spam Mails gibt es natürlich kein eindeutiges Kennzeichen, jedoch mittlerweile ziemlich klare Strategien zur Erkennung von schädlichen Mails. Viele Sicherheitsmaßnahmen werden bereits angewendet bevor die Mail zum Nutzer gelangt. Wenn dann aber doch eine Mail im Postfach eintrudelt, ist der Nutzer gefragt. Also, hier die Basics zum Erkennen von Spam.

Logisches Denken (immer eine gute Methode)

Generell sollte erst einmal abgewägt werden, ob diese Mail überhaupt eine Daseinsberechtigung im Postfach hat. Die Deutsche Bank warnt mich vor unzureichender Sicherheit meines Kontos obwohl ich gar kein Konto bei dieser Bank habe? Da könnte wohl was faul sein 😉
Wurde also mit der E-Mail Adresse, bei der die Mail einging, tatsächlich der angesprochene Service benutzt? Nein, dann entweder direkt entsorgen oder mit umso mehr Argwohn die folgende Punkte unter die Lupe nehmen.

Der Absender und die E-Mail Adresse

Mit ein klein wenig IT- und Programmiererfahrung ist es ein Leichtes, E-Mail Absender, Absenderadresse und andere Informationen der E-Mail an sich zu fälschen. Ich habe das vor einem Jahrzehnt in meinem Fake-Mail Artikel schonmal in seiner einfachsten Grundlage erläutert. Also selbst wenn der Absender „Amazon“ <info@amazon.de>, „Steve Jobs“ <jobs@apple.com> oder „Hannes Schurig“ <schurigh@gmail.com> ist, sollte die Mail bei Verdacht auf Spam genauestens untersucht werden. Ein Großteil der Spammer gibt sich hier keine bis wenig Mühe, seriös zu wirken. Hier ein paar Beispiele von schlechten bis halbwegs guten Versuchen:
„Sparkasse-deutschland“ <daveanna@megalink.net>
„Google Incorporation“ <noreply@googleincuk.com>
„Sparkass“ <Informationen@sparkasse.de>
„Sparkasse“ <noreply@sparkasse.de> 
Die letzten 2 Adressen wären grundsätzlich legitime E-Mail-Adressen der Sparkasse, wobei die dritte mit einem Großbuchstaben ungewöhnlich formatiert wäre. Der Spammer geht hier zusätzlich das Risiko ein, dass eure Antworten auf diese Mail (auch wenn die wenigstens auf sowas mit einer Antwort-Mail reagieren) nicht bei ihm landen sondern bei dem echten Besitzer der gefälschten Adresse – z.B. informationen@sparkasse.de, falls es diese Adresse geben sollte. Dem Spammer ist das aber vermutlich egal, er möchte euch eh nur zum Öffnen eines Links oder eines Anhangs verleiten und keine Antworten bekommen. 

Der Betreff und Text

In den besseren E-Mails werden dem Nutzer im Text einige Informationen präsentiert, die sich schlüssig anhören können: Konto gesperrt, neue Sicherheitsfeatures für das Konto können aktiviert werden, unbekannte oder fehlerhafte Zahlungen oder Abbuchungen müssen bestätigt werden, ungewöhnliche Kontobewegungen oder Nutzeraktivitäten, irgendwie sowas. Erster Hinweis auf unerwünschte Mails ist natürlich schlechtes oder zumindest leicht fehlerbehaftetes Deutsch. Warum auch immer die Spammer sich bis heute keine Mühe geben, eine einzige Spamvorlage in lupenreinem Deutsch zu verfassen, weiß ich nicht. Aber gut für uns.
Dies sind meistens auch E-Mail-Texte, die nach Massenmails aussehen, also beispielsweise mit „Sehr geehrte/r Frau/Herr“, „Liebe User“ oder einer anderen unpersönlichen Anrede beginnen.
Auch in groß angelegten seriösen Rundmails steht heutzutage fast immer euer Nutzername/Name drin, das können die Firmen mittlerweile schon.

Das Design

Als nächstes ist das Design entscheidend. Mails von größeren Unternehmen sehen stimmig aus: Logo, Hintergrundfarbe, Umrahmung des Textes, einheitliche Schriftart und guter Textstil, die meisten Unternehmen geben sich hier viel Mühe. Umso besser fallen schlechte Spam Mails ohne jegliche Formatierung oder mit nur 1 Logo lieblos reingeklatscht auf.

Der Link/URL

Spam Mails, die im Endeffekt Daten klauen oder Schaden anrichten sollen, sind in erster Linie an einer der zwei folgenden Punkten zu erkennen: Entweder haben sie einen Anhang oder einen Link in der Mail.
Selbstverständlich öffnet ihr erstmal keine Links und Anhänge, wenn die Mail und der Inhalt nicht vollständig seriös erscheinen.
Links vor dem Aufruf ansehen und Anhänge vorher von einem Antivirenprogramm checken lassen. Es gibt natürlich noch weitere Formen, beispielsweise mit Text den Nutzer dazu zu bringen, eine Überweisung zu tätigen oder andere Handlungen einzufordern. Aber ich denke das ist klar soweit, dass niemand einfach so Geld irgendwohin überweist, um damit einen Gewinn/Jackpot in Anspruch zu nehmen oder die Lieferung eines wertvollen Gegenstandes zu bezahlen.

Am häufigsten wird versucht, mittels eines Links den Nutzer auf eine gefälschte oder sonstwie vorbereitete Seite zu ziehen. Auf dieser Seite sollen die Nutzer dann private Informationen eingeben, beispielsweise Kontodaten – hier handelt es sich dann um klassisches Phishing. Also der Link, der in solchen Spam Mails immer enthalten ist, sollte besonders aufmerksam angeschaut werden. Der Link wird meistens angezeigt, wenn man mit der Maus über den Linktext fährt. Wenn das nicht geht, lassen sich die Links oftmals per Rechtsklick-Menü kopieren und zumindest in einem Texteditor vorbetrachten. Aber bitte nicht Linksklicken.
Bei 90% der Spam Mails sind vor allem die Links/URLs verräterisch, hier ein paar typisch schlechte Beispiele:
(ACHTUNG! LINKS NICHT ÖFFNEN)
http://juwenalia.poznan.pl/amazon/0?m=meinemail@gmail.com
http://raevin.org/admin/other/sparks/0
http://www.teprometoanarquia.com/wp-admin/includes/sparkassed/0
http://stcde.pt/libraries/phputf8/utils/sparkassed/0
http://rutaverde.cl/language/spakolp/0

Manchmal sieht man hier aber schon bessere Versuche:
(ACHTUNG! LINKS NICHT ÖFFNEN)
http://sparkase.de/kundencenter/kontowiederherstellung/
http://berliner-sparkasse.de.tf/kundencenter/kontowiederherstellung/
http://e.bay.de/kontowiederherstellung/
Es geht also darum in der Top Level Domain zwar auf den ersten Blick eine seriöse URL stehen zu haben, welche jedoch entweder durch kleine Buchstabenverdreher, zusätzliche oder fehlende Buchstaben verfälscht wurde oder weitere Top-Level-Domainendung besitzt. Diese Domains können sich Spammer normal registrieren und somit die Chance auf Klicks erhöhen.
Besucht der Nutzer nun eine solche Seite, ist es meistens schon aber nicht unbedingt erkennbar, ob es sich hier um eine gefälschte oder echte Seite des Anbieters handelt. Sollte das Design ungewöhnlich sein, die Seite nicht zum eigentlichen Anbieter passen, der Text in der falschen Sprache sein, reagiert mit Vorsicht.
Die Seite selbst kann aber auch komplett seriös aussehen; beispielweise ist es vergleichsweise leicht, das komplette Webseitendesign von Amazon oder einer beliebigen anderen Internetseite zu kopieren und ein Eingabeformular damit nachzubauen. Auch die URL in der Adresszeile des Browsers kann Aufschluss geben. Diese wäre zwar auch mit 1 Codezeile Javascript fälschbar, diese Technik wird aber selten von Phishern benutzt.

Demo / Test

Hier mal ein perfektes Beispiel für ein gut gewolltes aber nicht ausreichend gut umgesetztes Phishing-Beispiel:

Folgende Merkmale entlarven diese Mail als Spam/Phishing:

1. Der Betreff ist für einen kritischen Inhalt wie „ungewöhnliche Kontobewegungen“ viel zu generisch, das würde Amazon so nie machen. Eine Konto-ID mit falscher Groß- und Kleinschreibung machen den Betreff nicht glaubwürdiger.
2. Der Absender ist mit „info@amazon.de“ nicht schlecht gefälscht, aber ein „Name“, der anstatt der Mail primär angezeigt wird, fehlt und ist normalerweise aber immer vorhanden. Amazon verwendet beispielsweise „Amazon.de <versandbestaetigung@amazon.de>“.
3. Man hat sich an ein Amazon-Design versucht, aber es wirkt noch etwas unfertig. Es fehlt Spacing über dem Logo und ein paar mehr Informationen, die Amazon auch im Jahre 2014 schon in den Mail Footer gepackt hat – Links, Impressum, Hinweise für den Kunden usw.
4. Die allgemeine Anrede „Lieber User“ ist ein Killer bei dem
   „ungewöhnliche Kontobewegungen“ Inhalt. Hier müsste selbstverständlich euer Name stehen.
5. Der Text ist von der Satzstruktur nicht optimal und es fehlen mehrere Kommata.
6. Zu guter Letzt der Link: Hier wurde probiert, mit einem Linktext nicht direkt den auffällig unseriösen Link zu verschleiern, aber per Mouseover wird dieser natürlich trotzdem gezeigt.

Fazit

Mit diesen Tricks solltet ihr Spam und andere unerwünschte Mails mit einer sehr hohen Chance erkennen und aussortieren können. Damit sorgen wir gemeinschaftliche dafür, die Statistik der Spammer noch unwirtschaftlicher zu machen. Denn laut diesem FAZ Artikel (etwas älter aber vermutlich immernoch wahr), müssen Spammer ca. 12 Millionen Pharma Werbemails verschicken, um einen einzigen Nutzer zum Kauf eines solchen Produktes zu bewegeben. Die Rate muss noch mehr versaut werden! 🙂