Auf Leichtgläubigkeit setzen die Phisher auch mit Spam-Mails, die hohe Nebeneinkünfte mit leichter Arbeit versprechen. Dem A-I3 liegen komplette, seriös erscheinende Arbeitsverträge inklusive Urlaubsregelung vor, die lediglich zum Ziel haben, dass der geworbene "Mitarbeiter" Geld überwiesen bekommt und weiterreicht. Derzeit eingehende E-Mails zur Anwerbung von Geldwäschern tragen Betreffzeilen wie "Transaction Manager position.", "Regional Manager", "Sind Sie fertig Ihr Einkommen zu erhöhen?", "Mitarbeiter gesucht! TheTraidingBay 2006" oder einfach nur "hi". Die Absender solcher "Stellenangebote" legen in der Regel insbesondere Wert darauf, dass das Opfer schnell im Internet kommunizieren kann und über ein eigenes Bankkonto verfügt.

URL dieses Artikels:
  http://www.heise.de/newsticker/meldung/70836

Links in diesem Artikel:
  [1] http://www.phishing-info.de/
  [2] http://www.heise.de/veranstaltungen/2006/ho_cebit/programm_15.shtml
  [3] mailto:un@ix.heise.de

Kein Vorwissen, wenig Gehalt und volles Risiko

Twister (Bettina Winsemann) 07.08.2006

Neue Geschäftsmodelle und alte Fallstricke

Für wenig Arbeit Geld zu bekommen ist verführerisch. Dies haben auch Zeitungen und Firmen erkannt und locken mit Prämien oder einfachen Geschäftsmodellen. Die rechtlichen Fallstricke sind dabei den wenigsten bekannt, die auf solche Angebote eingehen.

Die Wahrscheinlichkeit, dass in dem Päckchen, das man für den "freundlichen Fremden" über die Grenze bringen soll (was er ggf. mit Geld honoriert), sich etwas befindet, was, sollte es entdeckt werden, dem Boten handfeste Probleme beschert, ist hoch. Ein Ansinnen dieser Art würde von den meisten Menschen zurückgewiesen werden, so ihnen nicht die Gefahr egal ist. Es bedarf einer großen Portion Naivität, hier nicht auf die Idee zu kommen, es könne sich um (Drogen-)Schmuggel handeln. Durch etliche in den Nachrichten erschienenen Fälle sowie Kinofilme, welches das Problem mehr oder minder reißerisch behandeln, hat die Aufklärung hier gefruchtet.

Geht es um Geldwäsche, so sieht dies anders aus. Zwar sollten normalerweise die Alarmglocken läuten, wenn der gute Nebenverdienst von Zuhause aus darin besteht, Gelder von unbekannten Empfängern anzunehmen und diese dann, abzüglich eines Eigenanteils für die Dienstleistung, an Western Union zu transferieren, doch dem ist nicht immer so (1).

Neben der sicherlich vorhandenen Gier vieler ist hier die Naivität hoch, wie ein kleines Experiment im Freundeskreis bewies. Von zwanzig angeschriebenen Bekannten wurde die per Mail beworbene Jobchance als "Finanzagent" mit der oben beschriebenen Tätigkeitsbeschreibung zu 75% als "gut", "sehr gut" oder "verlockend" bezeichnet. Lediglich 5 der kontaktierten Bekannten sahen darin etwas Anrüchiges oder erkannten den Zusammenhang mit Phishingmails. Zu erwähnen ist hier, dass es sich bei den Bekannten keineswegs um Neulinge im Internet handelte.

Doch abgesehen von diesem nicht repräsentativen Beispiel ist bei den vorgenannten Fällen mit etwas Überlegung schon der voraussichtlich nicht ganz legale Charakter der Tätigkeit zu erkennen. Anders sieht dies zum Beispiel bei den selbständig tätigen Callcenteragents aus, die von vielen Arbeitgebern gerne eingestellt werden.

Schneller Verdienst mit Handy und Telefonbuch

Durch günstige Telefonflatrates ist es möglich, auch von Zuhause aus den ganzen Tag zu telefonieren ohne sich dafür finanziell zu ruinieren. Dies legt natürlich die Idee nahe, das Callcenter in die eigenen vier Wände zu verlagern.

Eine Idee, die vermehrt auch von Arbeitgebern aufgegriffen wird, so dass der Arbeitssuchende sich schnell in der (Schein)selbständigkeit wiederfindet, so er das Angebot annimmt. "Eine Telefon- oder Handyflatrate und ein Telefonbuch, mehr brauchen Sie nicht", heißt es lapidar, wenn nach der Ausstattung gefragt wird, denn oft werden nicht einmal die beliebten Adressenlisten mitgeliefert.

Der frisch Selbständige macht sich also nichtsahnend an die Arbeit und kann von Glück sagen, wenn er nicht bald eine teure Abmahnung oder eine Klage erhält (vgl. Der Telefon-Agent, der aus der Kälte kommt... (2)). Die Firma, welche meist lediglich ein Subunternehmen eines Subunternehmens ist, wäscht ihre Hände genauso wie derjenige in Unschuld, dessen Produkt angepriesen wird. Leidtragende ist der ahnungslose Neuselbständige, der vom Gesetz gegen Unlauteren Wettbewerb noch nie etwas hörte und lediglich die oftmals zitierte Meinung "wer nicht angerufen werden will, soll sich kein Telefon anschaffen" verinnerlicht hat.

Die Ahnungslosigkeit hinsichtlich der Kaltaquiseproblematik wird durch gut gemeinte Ratschläge wie "Holen Sie sich eine Handyflatrate, dann wird das Telefonieren supergünstig", noch verstärkt, denn in diesem Ratschlag liegt bereits ein Fehler. Wer nämlich die Allgemeinen Geschäftsbedingungen zur oftmals angepriesenen Handyflatrate "Base" des Anbieters E-Plus studiert, dem fällt auf, dass eine gewerbliche Nutzung der Handyflatrate von E-Plus genauso verboten wird wie die Übersendung von unverlangten Werbesendungen und sonstigen belästigenden Nachrichten, wie man einen Cold Call durchaus interpretieren kann.

Weiterhin dürfen keine Rechte Dritter durch die Nutzung der Flatrate verletzt werden. Dennoch wird die Nutzung eben dieser Flatrate zum privaten Telemarketing von einigen Arbeitgebern direkt empfohlen - auch hier bleibt der Leidtragende derjenige, der leichtgläubig den Empfehlungen vertraut. Er wäre der Erste, der nicht nur für den Mobilfunkbetreiber sondern auch für die Angerufenen greifbar, was im Zuge einer Klage sogar zur Privatinsolvenz führen kann.

Zeigt her eure Fotos

Auch die BILD hat mit ihrer Foto-Aktion etliche Menschen dazu ermuntern können, sich auf Fotosafari zu bewegen. 500 Euro wurden als Belohnung für die Bilder geboten, welche BILD besonders geeignet für die Veröffentlichung fand. Obgleich die Nachwuchspaparazzis erfuhren, dass die eingesandten Bilder noch redaktionell überprüft würden, fand keinerlei Aufklärung in Bezug auf Privatsphäre oder das Recht am eigenen Bild statt, im Gegenteil, es wurde zu Bildern aufgerufen (3), welche schnell eben diese Rechte tangieren:

Blitzte für Sekunden der Busen eines prominenten Stars unter der Bluse hervor?
Wurden Sie Zeuge eines Großbrandes oder eines Unfalls?

Nicht verwunderlich ist es, dass bereits die ersten Unterlassungsklagen in Bezug auf die Fotoaktion gab. Der Fußballer David Odonkor fühlte sich angesichts der Menge der neu- und selbsternannten Paparazzi gar an "1984" erinnert und klagte gegen die Veröffentlichung der Bilder, auf denen er urinierend auf einem Parkplatz zu sehen war. Nicht klar ist den meisten der Fotografen, dass nicht nur die BILD hier zur Verantwortung gezogen werden kann, sondern auch derjenige, der das Bild geschossen hat. Die zu erwartenden Strafen dürften die von BILD gezahlten 500 Euro bei weitem übersteigen.

Blogger im Dienste der Zeitung

Ähnliches spielt sich momentan im Bereich des Bloggens ab. Vielversprechende Blogger werden hierbei von Zeitungen angeworben und erfahren so größere Bekanntheit - das Gehalt ist niedrig oder besteht lediglich aus einer Aufwandsentschädigung. Eine Aufklärung über die grundlegenden Aspekte des Bloggens, die es zu beachten gilt, findet nicht statt.

Bedenkt man die diversen Urteile zur Forenhaftung in den letzten Monaten stellt sich automatisch die Frage, inwiefern dann die Redaktionen für die Blogeinträge bzw. die von den Bloggern freigeschalteten Kommentare haftbar sind und was den Blogger erwartet, der ohne Vorkenntnisse Rechte Dritter verletzt. Da keinerlei schriftliche Verträge bestehen, die über Rechte und Pflichten aufklären, ist für den Blogger diese Tätigkeit eigentlich ein Vabanquespiel, ohne dass ihm dies klar ist.

Geiz ist geil/Jeder kann mitmachen

Neben der rechtlichen Problematik ergibt sich durch die zunehmende "Einbindung" privater Blogger, Fotografen, Callcenteragents etc. für diejenigen, die bisher dieser Tätigkeit für eine bessere Bezahlung nachkamen, automatisch nicht nur ein Leistungs-, sondern auch ein Gehaltsdruck. In den ohnehin schrumpfenden Redaktionen vieler Zeitungen ist die Idee, die Bevölkerung einzubinden, längst auf offene Ohren gestoßen.

So bedarf es keiner teuren Verträge um stets aktuell zu sein und diejenigen, deren Photos oder Texte veröffentlicht werden, haben neben einer Einmalzahlung noch den Stolz auf die "15 Minuten Ruhm" oder mehr. Neben den Gehältern wird aber letztlich auch die Qualität der journalistischen Beiträge sinken, wenn sie nach und nach von immer mehr Laien getätigt werden, welche lediglich den Ruhm und das Geld im Vordergrund sehen und sich nicht die Mühe der Recherche machen. Von gesellschaftlichen Folgen eines "Zuerst das Foto machen"-Denkens bei Unfällen etc. sei hier gar nicht erst gesprochen.

Die euphemistisch als "Lesernähe" und "Einbindung" bezeichnete Idee, Risiko und Arbeit zu kleinen Preisen auf Private auszulagern, ist somit nur ein weiteres Beispiel dafür, wie die "Geiz ist geil"-Mentalität in Unternehmen weiter gepflegt wird und letztendlich zu geringerer Qualität und weniger Arbeitsplätzen führt. Denn warum einen ständigen Berichterstatter einstellen, wenn doch der "nette Blogger von Nebenan" dies gerne für ein bisschen Bekanntheit übernimmt - oft auch darauf hoffend, diese Bekanntheit könne ihm beruflich hilfreich sein.

Eine trügerische Hoffnung, denn er ist in diesen Metier keineswegs allein und hilft tatkräftig mit, die Preise zu drücken. Dafür begibt er sich dann auch freiwillig in rechtliche Gefahr - oft genug ohne dies zu wissen. Für die Arbeitgeber somit durchaus eine praktische Entwicklung: freie Mitarbeiter, die das volle Risiko tragen und dafür nur ein schmales Gehalt bekommen.

Links

(1) http://www.heise.de/security/news/meldung/75899
(2) http://www.telepolis.de/r4/artikel/22/22439/1.html
(3) http://www.bildblog.de/?p=1552

Telepolis Artikel-URL: http://www.telepolis.de/r4/artikel/23/23234/1.html

URL-Wechsel-Dich: Das freut den Phisher

Wolf-Dieter Roth 14.08.2006

Unnötige Unsicherheiten beim Homebanking

"Wie kann man denn nur auf irgendwelche Links in E-Mails klicken?" fragt sich der fortgeschrittene Internetnutzer, wenn jemand im Bekanntenkreis auf eine Phishing-E-Mail hereingefallen ist. Doch die sichere Variante – die Homebanking-URL als Bookmark im Browser abzuspeichern – ist oft nur graue Theorie und wird von den Banken unerwartet sabotiert.

Mit "Phishing" wird der Versuch bezeichnet – meist über E-Mails mit gefälschten Absenderdaten und Links zu ebenso gefälschten Websites –, direkt an Bank- oder Kundenkonten des Opfers zu kommen. Da wird dann beispielsweise behauptet, es habe einen Wasserrohrbruch gegeben, dabei seien Datenbanken beschädigt worden und deshalb solle man nun seine Daten kontrollieren und gegebenenfalls ergänzen – wozu natürlich erst mal das eigene geheime Passwort einzugeben ist.

Mittlerweile erhält ein durchschnittlicher Internetbenutzer drei bis vier solche Betrugs-E-Mails am Tag, statt der spektakulären Wasserrohrbrüche der Anfangszeit wird heute meist nur mitgeteilt, das Sicherheitssystem der Bank solle verbessert werden oder der "Kunde" müsse sich neu identifizieren. Nur absolute Internetneulinge fallen noch auf die immer gleichen, radebrechenden E-Mails herein – doch dies sind bereits genug, dass sich die Betrügerei weiterhin lohnt.

Ist man also so blöd, geht der Betrüger mit den gesammelten Daten auf die echte Website der Bank oder des Online-Shops und räumt dort ab. Dies ist die Online-Variante des alten Tricks, vor der Bank einen gefälschten Geldautomaten aufzustellen, der nach Eingabe der PIN die EC-Karte einbehält. Der Betrüger nimmt dann gespeicherte PIN und EC-Karte und kassiert selbst ab.

Und in diesem Fall gibt es meist keine Möglichkeit, sein Geld wiederzubekommen – schließlich weiß ja jeder, dass er seine Passwörter nicht weitergeben darf, und die Bank trifft keine Schuld. Man sollte deshalb nie auf Links in Mails klicken und dort irgendwelche Daten eintippen, sondern die Site der Bank oder des Shops nur manuell aufrufen. Am besten per Bookmark.

Soweit die Theorie. Die Praxis sieht leider ganz anders aus. Schuld daran haben die juristischen Auseinandersetzungen der letzten Jahre und auch die Banken selbst.

Immer wieder unnötig verkrüppelt: Das DNS

Die ursprüngliche Konzeption des Domain-Name-Systems (1), so wie es die "dummen Techniker" erdacht hatten, gestand jedem Unternehmen ebenso wie jeder Universität oder jedem Internetprovider genau eine Domain zu: compuserve.com, citybank.com, stanford.edu und so weiter. Für verschiedene Firmenbereiche gab es dann ja die Möglichkeit unabhängiger Unterverzeichnisse oder Subdomains unter der Hauptdomain, beispielsweise in der Form www.citybank.com/homebanking/hbci oder besser als sogenannte Third Level Domain homebanking.citybank.com/hbci einzurichten. Damit war auch klar: Alles, was citybank.com enthält, gehört zur Citybank.

Doch dann kamen die Marketingtypen, die meinten, dieses System mit Unterverzeichnissen sei Technikergetüddel und alles müsse direkt im Root des Servers unter einer eigenen unabhängigen Internetadresse liegen – etwas anderes sei dem Besucher nicht zuzumuten. Also wurden nun auch Domains der Art citybankhomebanking.com registriert, damit der Kunde nur noch "www.citybankhomebanking.com" eintippen musste – und dabei teils auch noch www und com sowie die Punkte weglassen konnte. Und weil das immer noch etwas lang ist, schnappte man sich gleich homebanking.com – oder registermyaccount.com und accountonline.com (2).

So findet sich das (fiktive) Produkt "Muemmelchips" nun auch nicht mehr nur unter der absolut logischen, doch marketingtechnisch als unwürdig betrachteten Adresse www.firma.de/muemmelchips, sondern auch direkt unter www.muemmelchips.de, obwohl auch muemmelchips.kekse.firma.de oder muemmelchips.wdr.de möglich und marketingtechnisch sogar effektiver gewesen wären. Eine bekannte, doch verwirrende Verwendung einer Third Level Domain ist dagegen Focus online, das von www.focus.de (3) sofort auf focus.msn.de (4) weiterleitet und sich so nach den Regeln des Domain Name Systems als Produkt des Hauses Microsoft und nicht etwa Burda darstellt oder zumindest signalisiert, dass man bei Microsoft hosten lässt. Inzwischen hat man eine erklärende Zeile "Focus online in Kooperation mit MSN Homepage" eingefügt. Microsoft selbst macht es dagegen mit de.msn.com (5) für die deutsche MSN-Version richtig, ebenso wie die deutsche Wikipedia unter de.wikipedia.org (6) zu finden ist.

Dass hier dann jeweils noch die eigentlich überflüssigen www.msn.de (7) und www.wikipedia.de (8) als Weiterleitungen registriert sind, ist akzeptabel, da diese Schreibweise durchaus zu erwarten wäre. Mit einer eigenen Hauptdomain für jedes Produkt und jeden Dienst eines Hauses wird der Adressraum dagegen künstlich verknappt, die Verwechslungsfähigkeit und die Möglichkeit, andere Domains deshalb anzugreifen, erhöht – und auch die Möglichkeit des Phishing: Heute denkt sich niemand mehr etwas dabei, wenn er als Kunde der Citybank plötzlich eine E-Mail von accountmanagement@citybanksecurity.com bekommt und auf www.citybanksecurity.com geschickt wird, um dort seine PIN und TAN fürs Homebanking einzugeben, statt misstrauisch zu werden, wenn er nicht auf eine Unterseite von www.citybank.com gelangt. Tatsächlich geschehen ist dies als einer von Hunderten frühen Fällen mit value.net (9) und der von einem Betrüger registrierten Adresse valuehelp.net (10).

Kurze Adressen sind nicht sicher

Ein weiterer Grund, warum die Banken heute mehr als eine einheitliche Internetadresse belegen, liegt in der Gefahr des Reverse Domain Hijacking (11). Dem normalen Internetnutzer kaum bekannt, unter Bankern jedoch berüchtigt, ist dabei der Fall Warburg Dillon Read (12): Der Westdeutsche Rundfunk war auf Initiative von Mitarbeitern des WDR-Computerclubs wie Wolfgang Back (13) bereits früh im World Wide Web vertreten; 1995 gehörte www.wdr.com neben www.spiegel.de, www.compuserve.com und einigen wenigen anderen Adressen zum Repertoire erster online nach Nachrichten suchender Surfer. Wohlgemerkt: wdr.com, nicht wdr.de! .de-Domains waren zu jener Zeit nämlich noch relativ teurer, eine .com kam den Sender deutlich billiger. Doch dann wurden .de-Domains billiger, wdr.de wurde registriert und wdr.com freigegeben.

Das US-Schweizer Bankhaus Warburg Dillon Read, das bislang wdr.org benutzt hatte, registrierte nun die frei gewordene wdr.com, da eine .com-Adresse zu einer Bank natürlich wesentlich besser passte als eine .org, und baute dort seine Online-Präsenz – größtenteils in englischer Sprache – auf. Im Jahr 2000 profilierte sich der Intendant des Westdeutschen Rundfunks dann durch Einklagen jeder Menge fremder Domains. Dazu gehörte als Erstes natürlich die einst freigegebene wdr.com, denn der Sender wollte nun – ebenso wie kurz darauf die Deutsche Welle mit dw.com (14) – klarstellen, dass man nun keine öffentlich-rechtliche Anstalt mehr sei, sondern ein kommerzielles Unternehmen, das am Markt mit anderen im Wettbewerb steht.

Der Bank gefiel dies natürlich gar nicht, denn bei Banken laufen durchaus sensible Dinge auf und so ein plötzlicher Besitzerwechsel der Internetadresse hätte die Kunden extrem verunsichert, auch wenn in diesem Fall nicht zu befürchten war, dass auf wdr.com nun eine Phishing-Site eingerichtet würde. Doch schon fehhlaufende E-Mails sind ein ernstes Problem.

Nachdem Warburg Dillon Read Millionen für Anwälte ausgegeben hatte, ohne auch nur einen Millimeter voranzukommen, kapitulierte das Bankhaus jedoch: Mit einer vergleichsweise luxuriösen Übergangszeit von fast einem Jahr, in dem die alten E-Mail-Adressen noch abgerufen und die Kunden auf die neue Adresse und den neuen Namen "UBS Warburg" hingewiesen werden durften, bekam der Sender seine Domain von 1995 zurück, die mittlerweile jedoch deutlich bekannter geworden war und ihm so jede Menge Webtraffic von Leuten brachte, die in Google nach "UBS Warburg" suchten. Als dann der Traffic nachließ, wurde die Domain gelöscht und von einem koreanischen Domaingrabber registriert (15), wo sie bis heute ist.

Die Weiterleitung auf eine ganz andere Adresse wird mit der Unterdrückung der Adresszeile des Browser in einem weiteren, hochpoppenden Browserfenster mittels Javascript vor dem Bankkunden verborgen

Um derartige Pannen zu vermeiden und feindliche Übernahmeversuche auf dem Rechtsweg zu erschweren, haben deshalb praktisch alle Banken inzwischen ihre Webadressen künstlich verlängert: Aus www.seb.de (16) wurde www.seb-bank.de (17), aus www.dab.com (18) wurde www.dab-bank.com (19) und aus www.diba.de (20) wurde – in diesem Fall durch einen Aufkauf – www.ing-diba.de (21). Trotzdem geben die Kunden natürlich noch die alte, kurze Adresse ein und werden dann weitergeleitet – gewöhnen sich so jedoch an mehrere unterschiedliche Internetadressen und verlieren das gesunde Misstrauen, wenn dann plötzlich Adressen wie www.seb-privat-banking.de oder www.dipl-ing-diba.de auftauchen.

Kann man den Schlamassel bis hierher noch auf die durch das deutsche Rechtssystem hervorgerufenen Irritationen schieben, so setzen die Banken jedoch praktisch durchweg noch freiwillig einen drauf: Wer sich zum Homebanking einloggt, wird fast immer ein weiteres Mal auf eine ganz andere Second Level Domain weitergeleitet, wobei mittels Javascript die Adressanzeige des Browsers oft gezielt unterdrückt und teils sogar das Bookmarking über die rechte Maustaste explizit gesperrt wird. So wechselt die SEB von www.seb-bank.de (22) für die Kontoverwaltung ein weiteres Mal auf Unterverzeichnisse (23) von https://www.seb-banking.de (24) und die Raiffeisenbanken gar auf Bandwurmadressen der Art https://www.pilot1.vr-networld-ebanking.de/index.php?RZKZ=XC&RZBK=0150 (25).

Auch erfolgt die Weiterleitung teils extra über Javascript, um die Ziel-URL auch in der Statuszeile des Browser nicht erscheinen zu lassen. Die SEB kämpft denn auch prompt mit Software wie Norton Internet Security, die den Javascript-Adressverschleierungstrick beanstandet und deshalb zu Recht verweigert. Der Kunde wird also dazu gezwungen, über Links statt Bookmarks einzuloggen, was auch dadurch unterstützt wird, dass die Adressen des Homebankings regelmäßig verändert werden. Wer also durch Tricks oder einen Browser, der bestimmte Javascript-Befehle ignoriert, tatsächlich die echte URL des Homebankings ermittelt und gespeichert hat, steht nach einigen Wochen vor einer Fehlermeldung und kann seinen Bookmark nicht mehr verwenden.

Nun gibt es bei der SEB doch wieder richtige HTML-Links, weil Norton Internet Security hinter der Javascript-Trickserei eine Gaunerei vermutete…

Natürlich mag man einwenden, dass es verwaltungstechnisch einfacher ist, die verschiedenen Server für Firmenpräsenz und Homebanking, die ja auch nicht am selben Standort untergebracht sind und unter der Obhut verschiedener Abteilungen stehen, auch mit unterschiedlichen Second Level Domains auszustatten. Doch zeigt dies nur von einem mangelnden Verständnis des Domain Name Systems: statt www.seb-banking.de wäre ebenso gut – und mit weniger Tipparbeit verbunden – banking.seb.de möglich, ein getrennter und getrennt zu verwaltender Server, aber ohne verwirrende andere Second Level Domain. Dass es geht, zeigt übrigens die Deutsche Bank, bei der zum Homebanking von www.deutsche-bank.de (26) auf https://meine.deutsche-bank.de (27) gewechselt wird und auch die DIBA wechselt mit https://banking.ing-diba.de (28) an dieser Stelle kein zweites Mal die Second Level Domain.

Doch selbst, wenn die URL der Bank stimmt, ist es Phishern über Crossscripting möglich (29), wieder eigene Eingabemasken für PIN und TAN einzublenden. Das im mittlerweile abgeschalteten proprietären BTX noch sichere PIN/TAN-Verfahren ist es im offenen Internet eben nicht mehr. Auch Personal Firewalls helfen nicht dabei, trojanische Programme bzw. ihre Aussendungen zu entdecken, da sie sich immer besser tarnen und die Daten mittlerweile in Kontrollpaketen verschlüsselt verstecken (30).

Um die bereits vor einem Jahrzehnt eingeführten Alternativen wie HBCI (31), bei dem sich der Kunde gegenüber der Bank mit einer Chipkarte identifiziert und weder PIN noch TAN erforderlich sind, was ja auch einen Komfortgewinn darstellt, ist es still geworden, obwohl HBCI auf den heutigen, leistungsfähigen Rechnern akzeptabel läuft, während es auf den ersten Pentium-PCs noch eine Geduldsprobe darstellte und dazu führte, lieber bei BTX zu bleiben. HBCI ist jedoch wesentlich weniger anfällig gegen Phishing oder das Abgreifen von PIN/TAN per Trojaner und Keylogger, da eben jene gar nicht übers Netz verschickt werden. Die PIN-Eingabe, die die HBCI-Karte freischaltet, kann nur von Keyloggern ausgelesen werden, wenn einfache Kartenleser ohne eigene Tastatur verwendet werden, und selbst dann ist es deutlich schwieriger, sich in den HBCI-Datenverkehr einzuklinken, als in das normale PIN-TAN-Geplänkel.

Tatsächlich ließ sich die von einer Bank 1998 erhaltene HBCI-Hardware und -Chipkarte problemlos mit neuer Software reaktivieren. Einzige Nachteile gegenüber dem bei praktisch allen Banken inzwischen eingestellten BTX-Dienst sind, dass lediglich bereits gebuchte Transaktionen angezeigt werden können - wird die Internet-Verbindung mitten in einer Transaktion gekappt, ist es nicht vor Ablauf von 24 Stunden möglich herauszufinden, ob die Überweisung nun durchgeführt wurde oder nicht. Da Chipkarte und Kartenleser Geld kosten, schlich sich das auf den ersten Blick (ohne die Kosten durch den Versand der TAN-Listen und den Ärger mit abgephishten Kunden zu berücksichtigen) billigere PIN/TAN-Verfahren jedoch vor etwa fünf Jahren auch bei HCBI wieder durch die Hintertür ein und wird sinnigerweise ausgerechnet HBCI+ genannt.

Der bei Konten bei mehreren Banken notwendige Chipkartenwechsel wäre eigentlich nicht notwendig - theoretisch kann eine HBCI-Chipkarte zur Identifikation bei mehreren Banken dienen, praktisch wäre hierzu eine Kooperation der Institute erforderlich. Immerhin: einfache Kartenleser sind inzwischen in manchen Komplett-PCs bereits eingebaut. Und auf ausdrückliche Nachfragee gibt es von gut der Hälfte der Banken auch HBCI-Chipkarten. Zumindest bei Konten, bei denen man über Homebanking nicht nur den Kontostand abfragt, sondern aktiv Überweisungen auslöst, sollte man im eigenen Interesse über HBCI nachdenken – auch wenn man sich sicher ist, auch im Vollrausch keine Links in E-Mails anzuklicken...

Links

(1) http://domains.dantobias.com/structure/intro.html
(2) http://domains.dantobias.com/structure/subdomains.html
(3) http://www.focus.de
(4) http://focus.msn.de
(5) http://de.msn.com
(6) http://de.wikipedia.org
(7) http://www.msn.de
(8) http://www.wikipedia.de
(9) http://value.net
(10) http://domains.dantobias.com/structure/subdomains.html
(11) http://de.wikipedia.org/wiki/Reverse_Domain_Hijacking
(12) http://de.wikipedia.org/wiki/Warburg_Dillon_Read
(13) http://www.wolfgang-back.com/
(14) http://www.telepolis.de/r4/artikel/4/4727/1.html
(15) http://www.telepolis.de/r4/artikel/15/15721/1.html
(16) http://www.seb.de
(17) http://www.seb-bank.de
(18) http://www.dab.com
(19) http://www.dab-bank.com
(20) http://www.diba.de
(21) http://www.ing-diba.de
(22) http://www.seb-bank.de
(23) https://www.seb-banking.de/pt/
(24) https://www.seb-banking.de
(25) https://www.pilot1.vr-networld-ebanking.de/index.php?RZKZ=XC&RZBK=0150
(26) http://www.deutsche-bank.de
(27) https://meine.deutsche-bank.de
(28) https://banking.ing-diba.de
(29) http://www.heise.de/security/news/meldung/76258
(30) http://www.heise.de/security/news/meldung/76622
(31) http://de.wikipedia.org/wiki/Hbci

Telepolis Artikel-URL: http://www.telepolis.de/r4/artikel/23/23291/1.html

Von Phishern und Jägern

Wolf-Dieter Roth 16.11.2006

"Phishing" ist zum Massendelikt geworden – doch die Polizei schläft nicht

Jeder Internetnutzer hat mittlerweile täglich jede Menge E-Mails von Postbank, Sparkassen, Volksbanken und Ebay in seinem Postfach, auch wenn er dort gar nicht Kunde ist. Die Probleme dieser Firmen mit ihrer Sicherheitssoftware scheinen ja geradezu enorm zu sein. Doch dieser Art Betrugsmails, auf die angeblich ja nur noch Neulinge hereinfallen, in England jedoch bis zu 12% (1) und in Studien bis zu 14% (2), sind nur die Spitze des Eisbergs, so das Bundeskriminalamt.

Die mittlerweile bei weitem häufigste Art der Computer-Kriminalität greift immer weiter um sich. Phishing-Angriffe (3) erreichen Rekordzahlen. Die inzwischen unentbehrlichen Hilfskräfte für das kriminelle Geschäft rekrutieren die Phisher – ebenso wie ihre Opfer – mit Spam-E-Mails und versuchen sie mit scheinbar lukrativen Neben- oder gar Hauptjobs zu ködern, die aber nur Kost und Logis in St. Adelheim einbringen. Experten vermuten in Deutschland dennoch einige Zehntausend derartige Phishing-Helfer, die jährlich Schäden im Wert von mehr als 100 Millionen Euro anrichten. Die wahre Schadenshöhe liegt vermutlich noch weit höher.

Die Polizei bekleckert sich ebenso wie die Gerichte leider nicht immer mit Ruhm, wenn es um Internetangelegenheiten geht. Die ersten Ergebnisse einer einst in München eingerichteten Kripo-Spezialtruppe waren ziemlich peinlich und ärgerlich (4), und Staatsanwaltschaften sind nicht unbedingt besser (5).

Doch über die Jahre haben die "Streifen im Internet" deutlich dazugelernt und sind nun kleinen (6) und auch größeren Gaunern (7) durchaus gewachsen. Selbst die Helfer gewisser verschwörungstheoretischer Kreise (8), die schon nach eigener Aussage Hunderttausende unbescholtener Bürger mit eigener Homepage aus Internet-Cafés heimsuchten, dort volksverhetzende Gästebucheinträge hinterließen und so die Homepagebesitzer gefährdeten, da diese ja hierfür als Inhaber der Seite am Ende verantwortlich gemacht werden, wurden ermittelt und stellen sich deshalb nun als Justizopfer dar. Telepolis konnte sich bei zwei Kriminalhauptkommissaren der Abteilung für Informations- und Kommunikationskriminalität ("IuK") des Bundeskriminalamtes (9) über den heutigen Stand des sogenannten Phishings (10) informieren.

Mittlerweile gute, doch zu wenige Fahnder

Das größte Handikap, das die Fahnder im Netz haben, ist ihre geringe Anzahl: die Einheit SO43, die beim Bundeskriminalamt in Wiesbaden Computerverbrechen (internationaler Begriff: "Hightech Crime") bearbeitet, ist gerade einmal acht Mann stark und muss pro Jahr etwa 3000 Fälle bearbeiten. Unter diesen wächst sich Phishing mittlerweile zum ernsten Problem aus und stellt seit 2005 einen Anteil von 90% der Computerkriminalität, obwohl die meisten derartigen Fälle gar nicht der Polizei gemeldet werden. Dies deshalb, weil die Banken einen treuen Kunden nicht verärgern und ihren Ruf nicht ruinieren wollen und die Vorfälle deswegen oft auf dem Kulanzweg regeln und den Schaden selbst tragen, obwohl sie nach Gesetz derartige Vorfälle wegen Geldwäscheverdacht prinzipiell den Behörden melden müssten.

Wer von Phishing betroffen ist, sollte dies auf seiner lokalen Polizeidienststelle anzeigen, so der Tipp der die Spezialisten. Es kann allerdings sinnvoller sein, eine der in manchen Bundesländern bereits existierenden Online-Meldeseiten (11) zu verwenden, da der Vorfall dann zumindest sofort an Leute gerät, die mit der Thematik etwas anfangen können – der normale Beamte in der örtlichen Polizeirevier ist heute noch nicht immer technisch ausreichend bewandert, um den Vorfall korrekt aufnehmen zu können. Dies soll sich allerdings ändern, "jeder Polizist muss in fünf bis 10 Jahren zumindest mit Log-Dateien und IP-Adressen umgehen können", so Dirk Büchner vom Bundeskriminalamt.

Ein Problem bei der Meldung solcher Vorfälle ist, dass es den Begriff Phishing juristisch gar nicht gibt – die Vergehen fallen vielmehr unter anderem in die Rubriken Geldwäsche, Computerbetrug und Verändern von Daten und tauchen bei der statistischen Erfassung deshalb auch unter diesen Begriffen auf. Es wird gegenwärtig lediglich diskutiert (12), den § 202 des Strafgesetzbuchs zukünftig um den Tatbestand des Phishings zu ergänzen, doch die geplante Gesetzesänderung machte mehr durch die im gleichen Zug geplante fragwürdige Kriminalisierung von "Hacker-Tools" (13) von sich reden.

Organisierte Phishing: Ein eigener (Schatten-)Wirtschaftszweig

Die Phisher sind heute weit organisierter als in den Anfangstagen, es handelt sich nicht mehr um Einzeltäter, die mit ihrem Computer und einem Bulk-E-Mail-Programm Tag und Nacht selbst ihre Spam-E-Mails verschicken. Vielmehr wird – wie in der offiziellen Privatwirtschaft auch – sehr viel "outgesourced" und so beispielsweise zunächst ein Programmierer beauftragt, die Trojaner oder Nachbildungen der offiziellen Bank-Webseiten zu schreiben, dann ein Spammer, der seinerseits auf Bot-Netze (14) von Trojanern gekidnappter Zombie-PCs zugreifen kann, um die Spam-E-Mails mit Trojanern oder Links zu den Phishing-Sites zu versenden und schließlich die sogenannten "Finanzagenten", die das abgegriffene Geld außer Landes schaffen sollen.

Das Hauptproblem sind heute gar nicht einmal mehr geknackte Onlinebanking-Konten, da der durchschnittliche Bürger gar nicht so viel Geld auf seinem Girokonto liegen hat, sich auch sein Dispo-Kredit normalerweise in Grenzen hält und zudem üblicherweise die per Onlinebanking möglichen Überweisungssummen begrenzt sind. Nutzt der Bankkunde sein Konto regelmäßig übers Internet oder durch das Abholen der Kontoauszüge vor Ort, fallen ihm Unregelmäßigkeiten sehr schnell auf und das Einfallstor wird geschlossen. Allerdings gibt es auch besonders naive Kandidaten, die ihrer Bank eine empörte E-Mail schicken, sie bräuchten noch ein neues Eingabeformular, denn die E-Mail "zur Verifikation des neuen Sicherheitssystems" habe nur 30 TANs abgefragt, sie hätten aber noch über 60 zur Verfügung…

Ebenso haben die Banken inzwischen selbst eigene Überwachungsprogramme laufen, ähnlich wie Kreditkartenfirmen, die für einen Kunden untypische Verhaltensweisen entdecken und dann sofort die Überweisung stoppen und erstmal nachfragen – beispielsweise bei einer größeren Überweisung ins Ausland, wenn der Kunde sonst immer nur die Miete per Dauerauftrag überweist und ab und zu mal mit EC-Karte an der Tankstelle bezahlt oder den Geldautomaten besucht. Hier bemerkt die Bank den Kontoeinbruch oder auch eine laufende Phishing-Welle mittlerweile innerhalb von ein bis zwei Stunden.

Ungewöhnliches Überweisungsverhalten wird mittlerweile erkannt

Da Auslandsüberweisungen online inzwischen entweder ohnehin gesperrt sind oder zumindest sofortigen Alarm auslösen, wenn der betreffende Bankkunde sonst nie Geld nach Russland oder Polen schickt, überweisen die Phisher mit Hilfe der von ihnen eingesammelten Konto-Zugangsdaten mittlerweile nur noch ins Inland: Entweder geht das Geld auf ein ebenfalls von ihnen geknacktes anderes Girokonto, von dem dann alles gesammelte Geld auf einmal abgebucht wird, bevor dessen Inhaber vom unerwarteten Geldsegen überhaupt etwas bemerkt hat, oder aber eben zu einem "Finanzagenten".

Auch diese werden über Spam-E-Mails (15) und teils sogar reguläre Zeitungsinserate (16) wie zuletzt in der Frankfurter Allgemeinen Zeitung (17) angeworben und bekommen scheinbar seriös aussehende Arbeitsverträge (18) angeboten, doch ist ihre einzige Aufgabe, das bei ihnen eingehende, von anderen Konten gephishte Geld abzuheben und dann mit einem Bartransferdienst wie Western Union (19) oder Moneygram (20) ins Ausland zu schicken, so dass sein Verbleib nicht mehr zurückverfolgt werden kann. Dort sitzt dann ein weiterer "freier Mitarbeiter" der Phisher, der sogenannte "Money Mule" (Geldesel), der das Bargeld bei Western Union beziehungsweise Moneygram abholt und nun zu den eigentlichen Drahtziehern verbringt. Spätestens hier verliert sich die Spur des Geldes.

Bargeld lacht…beim schnellen Verschwinden…

Die auf den ersten Blick seriös erscheinenden Firmen, für die die "Finanzagenten" arbeiten sollen, mit eigener Website und eine Adresse, die in Wirklichkeit sehr häufig die private Wohnadresse einer Familie auf Sylt ist, die die Phisher vom gesetzlich vorgeschriebenen Impressum der privaten Homepage dieser Familie abgeschrieben haben, oder auch mal – etwas netter, weil es zumindest keine Unschuldigen in die Fälle hineinzieht – ein unbebautes Grundstück auf Sylt bezeichnet, wechseln dagegen alle zwei bis vier Wochen: der eine Firmenname verschwindet und unter einer neuen Webadresse entsteht ein neues "Finanzinstitut". Mitunter werden allerdings auch die Namen existierender Unternehmen missbraucht (21).

Entgegen mancher Befürchtungen werden übrigens die islamischen Geldtransfersysteme wie Hawala ( Das Banksystem der Armen (22)) hier nicht verwendet, da die Phisher bei diesen auf Vertrauen beruhenden Systemen zu wenig Kontrolle über das Geld haben und diese traditionellen Systeme derartige Verbrechen auch nicht unterstützen würden, während es kein Problem ist, einem lokalen Repräsentanten von Western Union oder Moneygram im Ostblock zu seinem Gehalt noch einmal dieselbe Summe monatlich anzubieten, wenn er dafür bei den Personen, die bestimmte Geldtransfers abholen, einmal nicht so genau in den Ausweis schaut. Allein in Moskau gibt es 400 Ausgabestellen von Western Union und das Geld ist ohne eine nachverfolgbare Bankstruktur so in wenigen Minuten verschwunden.

Durch die intensive Berichterstattung über diese faule Masche ( Knast für Dich! (23)) und fortgesetzte Hinweise der Behörden (24) kann ein Finanzagent sich mittlerweile nicht mehr auf Unwissen herausreden, er ist mindestens mit Fahrlässigkeit oder bedingtem Vorsatz dran – und natürlich mit Schadensersatz (25), denn da das Geld der Geschädigten nun einmal über sein Konto gelaufen ist, ist er für diese und die Behörden stets greifbar.

"Finanzagent": Job für Doofe, Kriminelle oder Reingelegte

Erste Urteile beginnen bei 1200 Euro Geldstrafe, doch auch schon über ein Jahr Haft wurden ausgesprochen (26), nach Berufung bleiben immer noch 30 bis 60 Tagessätze (27) – das kann sehr viel Geld sein und ab 90 Tagessätzen verbleibt eine Vorstrafe im Register. § 261 des StGB (28), der die Geldwäsche behandelt, gestattet Freiheitsstrafen bis zu zehn Jahren, wenn ein gewerbsmäßiges Handeln nachgewiesen werden kann, was bei einer nebenberuflichen Tätigkeit, mit der man Geld verdienen will, ja durchaus gegeben ist.

Ein Finanzagent kann deshalb auch nur zwei bis drei Geldtransfer durchführen, mitunter nicht einmal das (29), bevor die Polizei bei ihm im Haus steht. Nur besonders dumme oder dreiste Mitmenschen lassen sich heute deshalb noch hierfür anwerben und die Finanzagenten sind deshalb heute der Engpass, an dem das Phishing zu Fall gebracht werden kann, während gephishte Kontodaten mittlerweile im Überfluss zur Verfügung stehen (30). Die Finanzagenten werden praktisch immer erwischt – die einzigen bislang bekannten Ausnahmen waren Nigeria-Spammer ( Spam, Betrug und Drogen (31)), die sich ihrerseits bei den Phishern als Finanzagent bewarben und das Geld dann nicht nach Russland, sondern nach Nigeria transferierten.

Deshalb verwenden die Phisher nun auch neue Taktiken, auf die auch weniger leichtgläubige Menschen hereinfallen können, und die in ähnlicher Form mit ungedeckten Schecks bislang nur im Gebrauchtwagenhandel grassierten: Es werden zunächst Dienstleistungen bestellt (32), Waren gekauft, Ferienwohnungen angemietet oder ein Lotteriegewinn soll ausgezahlt werden (33).

Dann wird auch bezahlt, doch mit einer viel zu hohen Summe, und um Rücksendung des überzähligen Gelds gebeten (34) – per Western Union, versteht sich, oder auf ein anderes Konto, als das, von dem das Geld kam. Oder die Ware wird nicht abgenommen, doch dem Verkäufer etwas "Entschädigung" angeboten – den Rest möge er doch bitte per Western Union zurücksenden, damit es schneller geht. Dass die ursprüngliche Zahlung von einem kompromittierten Konto kam, erfährt der Geldwäscher wider Willen dann meist erst von den Polizeibeamten.

Geknackte Girokonten sind nicht mehr das Hauptproblem

Beim Angriff aufs Onlinebanking müssen die gefälschten Überweisungen stets innerhalb eines Bankinstituts laufen, weil nur hier die Laufzeiten kurz genug sind: der Finanzagent kann direkt nach Ablauf der gefälschten Überweisung das Geld von seinem Konto abheben. Überweisungen zwischen verschiedenen Banken benötigen dagegen mindestens einen Tag und können daher leicht zurückgerufen werden. Es ist also nicht nur notwendig, einen Blöden zu finden, der sich als Finanzagent zur Verfügung stellt – er muss auch noch sein Konto bei derselben Bank haben wie diejenigen, von denen abgebucht werden soll.

Gefährlicher als der Zugriff aufs Girokonto ist deshalb das Kapern von Shopping-Accounts – wird hier der reguläre Besitzer durch Passwortänderungen ausgesperrt, so merkt dieser gar nicht mehr, was nun in seinem Namen alles angestellt wird und es werden nun nicht nur einmalig 3000 Euro abgehoben, sondern in aller Seelenruhe beispielsweise teure, gut wiederverkaufbare Waren wie Laptops gekauft oder umgekehrt noch einfacher hunderte – nicht existente – Laptops in Auktionshäusern für Sonderpreise von 500 Euro angeboten, was dann einen Schaden im fünfstelligen Bereich erzeugt, bevor sich die ersten Käufer über die nicht auftauchenden Geräte beschweren oder ein Versandhaus bemerkt, dass ein bis dato zuverlässiger Kunde die große Computerbestellung auch nach Wochen nicht zahlt.

Neben dem Hacken der Shoppingaccounts selbst oder dem Abphishen des Passwortes ist es auch möglich, die hierzu meist benutzten Webmail-Accounts anzugreifen – in diesem Fall können sich die Phisher sogar über im gekaperten Webmail-Account hinterlegte Entwurfsmails verständigen, ohne dass der dadurch entstehende Datenverkehr bei Überwachungen offensichtlich wird. Ebay- und andere Shoppingaccounts fest an eine eigene Domain oder gar Firmen E-Mail anzubinden, was diese Gefahr verringern würde, ist ja noch weniger anzuraten. Hierbei verrät der "Ebayer" nicht nur Betrügern (35) vorzeitig seine Identität, es besteht auch die Gefahr, dass neugierige Kollegen in der Mittagspause oder selbsternannte Konkurrenten auf dem Rechtsweg Zugriff auf die E-Mail-Adresse bekommen ( Online-Accounts sind stets nur so sicher wie die zugehörige E-Mail (36)).

Problem: Jede Menge Proxys, auch auf gekaperten PCs

Ein ernsthaftes Problem für die Ermittler der Polizei sind übrigens Anonymisierungsdienste wie ANON und TOR, unzählige Proxys in Botnetzen sowie die teils nicht mehr stattfinde Speicherung von Verbindungsdaten ( Der erste legal anonyme Heise-Forenposter? (37)). Dies müssen nicht einmal die offiziellen Anonymisierungsdienste beispielsweise von deutschen Universitäten sein: Auch die von Trojanern gekaperten Zombie-PCs dienen in Botnetzen nicht nur als gnadenlose Spammaschinen, die innerhalb von 18 bis 20 Stunden 20 Millionen Spam-E-Mails verschicken, die dann bei manchen Empfängern gleich im Dutzend aufschlagen und den entsprechenden Provider für die nächsten Wochen auf alle Spam-Blacklists setzen, sodass die E-Mails dessen regulärer Kunden plötzlich nirgends mehr willkommen sind ( "Sie sind aus Old Europe? Dann benutzen Sie gefälligst das Telefon!" (38)). Ebenso können diese gekaperten PCs nämlich als Proxy verwendet werden, weshalb dann plötzlich die Polizei bei Hans Müller im Wohnzimmer steht und ihm erklärt, dass nachweislich von seinem Computer aus das Sparkassen-Konto seines Nachbarn ausgeräumt wurde. Zombie-PCs können auch zum Hosten der gefälschten Phishing-Website verwendet werden oder als sogenannte "Dropzones", Lagerplätze für die Daten der geknackten Girokonten und bringen so ebenfalls ihre nichtsahnenden Besitzer ins Fadenkreuz de Strafverfolgung.

Auf diese Art von Proxy zu Proxy, von Anonymisierungsdienst zu Anonymisierungsdienst die Spur der Täter zu verfolgen, ist zeitaufwendig, zumal es im Inland typischerweise bereits sechs bis acht Wochen dauert, bis bei einem Provider zu einer IP-Nummer der entsprechende Kunde ermittelt ist, im Ausland jedoch im Fall der USA beispielsweise gleich sechs bis acht Monate, so die Beamten des Bundeskriminalamts. Bis man dann über zwei bis drei Proxys endlich zum wirklichen Ursprung einer Attacke vorgedrungen ist, hat auch der geduldigste Provider keine Verbindungsdaten mehr gespeichert und lediglich die kompromittierten, als Proxy verwendeten PCs sind so aus dem Verkehr gezogen.

Im Jahr 2005 wurden etwa 2500 Phishing-Fälle gemeldet mit 2000 bis 3000 Euro typischem Schaden. Die Bandbreite reicht jedoch insgesamt von einigen 100 Euro bis zum Höchstwert von 102.000 Euro. Letzterer Phishzug geschah bei einem Unternehmen, das gerade eine neue Werkshalle einrichtete, weshalb die Bank bei einer derartig großen Überweisung keinen Verdacht schöpfte, wegen grober Leichtsinnigkeit den Schaden dem Kunden ersetzen musste und anschließend selbst in ernsthafte wirtschaftliche Schwierigkeiten geriet.

"Pharming": Kaperung der DNS

Nachbauten der Seiten von Auktionshäusern oder Bankinstituten auf anderen Adressen, die per Spam näher "beworben" werden, war noch die Taktik der Wahl im Jahr 2005 und Anfang 2006. Diese Seiten werden dabei dynamisch den echten Bankseiten nachgebaut, was inzwischen vom Internet Explorer 7 automatisch entdeckt werden soll, wenn noch mittlerweile allerdings altbekannte Tricks wie Cross-Site-Scripting (39) eingesetzt werden. Die entsprechenden Webadressen werden oft mit @ in der URL oder extra langen URLs so getarnt, dass nur bei sehr genauem Hingucken zu erkennen ist, dass die Adresse der echten Bankadresse nur ähnlich sieht.

Doch diese Technik ist inzwischen bereits veraltet. Stattdessen werden Trojaner auf die Rechner der Opfer geladen, was auch in mehreren einzelnen, unverdächtigen Teilen geschehen kann, die kein Virenscanner erkennt und beim Besuch unerkannt beispielsweise durch Einbruch in einen Webserver infizierter Websites im Hinterrund abläuft. Da die Trojaner inzwischen meist individuell neu erstellt werden, dauert es auch so stets einige Stunden bis zu drei bis fünf Tage, bis die Hersteller der Virenscanner die entsprechend ergänzten Signaturen versenden können. Bis dahin hat der Trojaner längst seinen Dienst getan oder zumindest das Virenscan-Programm abgeklemmt.

Hierzu überschreibt er entweder die "Host"-Datei des Betriebssystems mit eigenen Einträgen, sodass ein Zugriff auch auf vom Benutzer manuell eingetippte, bekannte Adressen seiner Bank oder seines Auktionshauses ebenso wie die des Updates des Virenscanners ganz woanders landen, oder der Trojaner lauscht in den Zahlungsverkehr mit der Bank und unterbricht die Verbindung beispielsweise nach der zweiten Überweisung, um den Bankkunden plötzlich eine Fehlermeldung zu präsentieren, die ihn bittet, es in ein paar Stunden wieder zu versuchen. Die dabei abgegriffenen Kontodaten werden dann sofort verwendet, um Geld beiseite zu schaffen, und der Trojaner hält den Bankkunden bis zum nächsten Tag von seinem Konto fern, damit dieser die Abbuchungen nicht entdecken kann. Mitunter werden auch externe DNS-Server auf die Phishing-Seiten umprogrammiert, was man dann Pharming (40) nennt.

Auch Domains werden mit gephishtem Geld registriert

Wenn Phisher tatsächlich bei einem Hoster eine eigene Domain und Webspace anmelden, so benutzen sie auch hier per Phishing gestohlenes Geld, um die Anmeldegebühren zu bezahlen und die Spur zu jemand anders zeigen zu lassen, nämlich dem bestohlenen Kontoinhaber. Wegen den paar Dollar oder Euro wird üblicherweise keine Strafverfolgung aufgenommen. In Asien werden jedoch sehr oft auch Webserver einfach gehackt, weil diese dort nach der Inbetriebnahme kaum je gewartet oder mit Sicherheits-Updates versehen werden.

Ein leeres Girokonto ohne Dispo-Kredit schützt übrigens nicht automatisch vor Phishing-Attacken: Wenn über den Online-Zugang beispielsweise auch noch auf Wertpapierdepots zugegriffen werden kann, verkaufen die Phisher diese kurzerhand und räumen dann nicht nur 5000, sondern gleich 20.000 Euro ab. RAM-Proxys sorgen wiederum dafür, dass auf den von Trojanern gekaperten Rechnern keinerlei Spuren zurückbleiben und wer denkt, dass er sich dadurch schützen kann, dass er kein Internet-Banking mehr betreibt, könnte feststellen, dass auch Telefon-Banking-PINs gephisht werden, zu deren Benutzung oftmals keine TANs notwendig ist und die deshalb beliebig oft missbraucht werden können.

Um die schädlichen Laufzeiten bei dem häufigen grenzüberschreitenden Vorgehen der Phisher in den Griff zu kriegen, gibt es mittlerweile internationale Polizeinetzwerke speziell zum Thema Computerkriminalität, unter anderem unter dem Dach von Interpol. Hier weiß dann ein Beamter, dass er auf der anderen Seite ebenfalls fachkundige Personen sitzen hat und dies auch am Freitagnachmittag erreichbar sind. Dann laufen nämlich die meisten Phishing-Attacken, weil viele Leute genau dann ihre Bankangelegenheiten erledigen, wenn sie nach der Arbeitswoche Zeit dazu haben – und da die Banken bereits geschlossen sind, tun sie es online. Ein Problem ist allerdings Großbritannien: Hier haben die Phishing-Fälle dermaßen zugenommen, dass die Behörden alle Vorfälle unter 7.500 Euro überhaupt nicht mehr bearbeiten – und dies sind nun einmal die Mehrzahl der Fälle an, denn bei den meisten Konten ist heute ein Online-Überweisungslimit von 5.000 Euro gesetzt.

Ein internationales "Internetrecht" ist deshalb das, was nach Ansicht der Fachleute vom Bundeskriminalamt in den nächsten Jahren dringend notwendig ist. Andernfalls könnte sich der Online-Gelddiebstahl zum "Fahrraddiebstahl des einundzwanzigsten Jahrhunderts" entwickeln.

Links

(1) http://www.heise.de/tp/r4/artikel/21/21759/1.html
(2) https://www.a-i3.org/content/view/901/28/
(3) https://www.a-i3.org/content/view/13/57/
(4) http://ourworld.compuserve.com/homepages/w_d_r/mailraid.htm
(5) http://members.aol.com/jobfallen/bullen.html#handy
(6) http://www.heise.de/tp/r4/artikel/16/16836/1.html
(7) https://www.a-i3.org/content/view/919/28/
(8) http://www.heise.de/tp/r4/artikel/19/19383/1.html
(9) http://www.bka.de
(10) http://www.bsi-fuer-buerger.de/abzocker/05_08.htm
(11) http://www1.polizei-nrw.de/koeln/start/Online-Anzeige/article/online_anzeige.html
(12) https://www.a-i3.org/content/view/931/28/
(13) http://www.heise.de/security/news/meldung/80494
(14) http://www.bsi-fuer-buerger.de/abzocker/bot_netze.htm
(15) http://gallery.besuch-von-nebenan.de/displayimage.php?album=4&pos=62
(16) https://www.a-i3.org/content/view/927/28/
(17) https://www.a-i3.org/images/stories/recht/faz_stellenangebot.pdf
(18) https://www.a-i3.org/content/view/573/158/
(19) http://www.westernunion.com
(20) http://www.moneygram.de
(21) http://www.porex.de/Distanzierung.htm
(22) http://www.heise.de/tp/r4/artikel/17/17372/1.html
(23) http://www.heise.de/tp/r4/artikel/20/20310/1.html
(24) http://www.bka.de/pressemitteilungen/hintergrund/hintergrund7.html
(25) http://www.heise.de/newsticker/meldung/77966
(26) http://www.heise.de/security/news/meldung/72109
(27) http://www.heise.de/security/news/meldung/75899
(28) http://www.gesetze-im-internet.de/stgb/__261.html
(29) http://www.heise.de/newsticker/meldung/78717
(30) http://www.heise.de/newsticker/meldung/70836
(31) http://www.heise.de/tp/r4/artikel/16/16665/1.html
(32) https://www.a-i3.org/content/view/141/108/
(33) https://www.a-i3.org/content/view/879/28/
(34) http://www.heise.de/security/news/meldung/79803
(35) http://www.heise.de/newsticker/meldung/79092
(36) http://www.heise.de/tp/r4/artikel/17/17723/1.html
(37) http://www.heise.de/tp/r4/artikel/23/23914/1.html
(38) http://www.heise.de/tp/r4/artikel/19/19225/1.html
(39) http://www.heise.de/newsticker/meldung/80204
(40) https://www.a-i3.org/content/view/22/62/

Telepolis Artikel-URL: http://www.heise.de/tp/r4/artikel/23/23964/1.html

SPIEGEL ONLINE - 24. Januar 2007, 12:18
URL: http://www.spiegel.de/netzwelt/tech/0,1518,461827,00.html

TROJANER-WELLE

Lauter schicke Rechnungen

Vielleicht sollte man einen Design-Preis für die professionellsten Spam- und Virenmails ausloben: Was da in letzter Zeit ins Postfach flutet, sieht wirklich überzeugend aus. Zurzeit sind das vor allem angebliche Rechnungen des Internetproviders 1&1. Wer die öffnet, zahlt womöglich dafür.

Die Masche ist alt, der Verbreitungsweg überholt, und doch erleben Spam-Mails als Trägermedium für Viren und vor allem Trojaner gerade ein regelrechtes Comeback. Grund dafür ist vor allem die Professionalität, mit der die Dinger inzwischen produziert werden. Was da zurzeit ins Haus schneit, sieht schon ziemlich echt aus.

Überzeugend gestaltet und ohne grobe sprachliche Schnitzer: Die angehängte "Rechnungsdatei" transportiert den Trojaner

Jetzt haben die Profi-Abzocker eine etwas andere Masche entdeckt: Rechnungen. Die wirken (vor allem dann, wenn sie unverschämt überhöht daherkommen) bei vielen Empfängern direkt Adrenalin-ausschüttend und - das hoffen zumindest die Spammer - darum Hirn-deaktivierend: Der "Was? Wieviel Geld wollen die von mir?"-Effekt soll zum Klick im Affekt führen - und schon hat man sich was gefangen.

Im aktuellen Fall ist das ein Trojaner, den aktuelle Virenscanner als Trojan.Downloader oder Trojan.Schoeberl erkennen. Nicht aktuelle erkennen das Ding dagegen womöglich gar nicht - und spätestens nach der Infektion auch nichts anderes mehr: Die einzigen Schadfunktionen des Trojaners sind die Deaktivierung von Virenscannern und das Öffnen einer Hintertür ins System. Durch die lädt der Trojaner direkt ein Schnüffelprogramm nach, das darauf abzielt, Bankdaten auszuspionieren.

Das schafft das Programm zum Glück mit nur sehr geringem Erfolg, ein Gefährdungspotential ist aber dennoch gegeben. Prinzipiell erlaubt die virtuelle Hintertür das Nachladen diverser anderer Schadprogramme, und die Deaktivierung des Virenscanners sorgt ohnehin binnen kurzer Zeit für Probleme.

Hauptträger des Trojaners ist derzeit eine angebliche Rechnung des Internetproviders 1&1 (siehe Großversion des Bildes), er kursiert aber auch in anderen Mails. Gemeinsam ist ihnen ein Dateianhang, den der Nutzer öffnen muss, um ihn zu aktivieren. Genau das sollte man grundsätzlich nie: Dateianhänge aus ungeklärter Quelle sollte man meiden.

Der Trojaner maskiert sich als pdf-exe-Datei, was in sich schon fast ein Ausdruck schwarzen Humors ist: Wer ausführbare Dateien aus Mails öffnet, sollte umgehend zur Absolvierung des Europäischen Computerführerscheins verdonnert werden. Denn dass das ein absolutes No-No ist, lernt man schon im PC-Grundkurs.

Wie auch immer: Die Fake-Rechnung verbreitet sich seit Dienstag mit neuer Intensität. Die Virenschutz-Entwickler sind darauf vorbereitet, ihre aktuellen Virenschutz-Definitionen erkennen das Ding zuverlässig - Zeit für ein Update. Wer sich nicht sicher ist, ob er sich den Trojaner nicht schon gefangen hat (er kursiert seit Anfang des Monats, vereinzelt auch als Bank-Mail), dem stellt beispielsweise das IT-Sicherheitsunternehmen Symantec ein sogenanntes Removal-Tool zur Verfügung. Das kleine Programm gibt es kostenlos zum Download.

Botnet-Trojaner

Weiterhin äußerst aktiv ist auch der vor einigen Tagen als "Sturm-Wurm" thematisierte Trojaner TROJ_SMALL.EDW beziehungsweise Downloader-BAI!M711 oder Trojan.Peacomm. In den englischsprachigen Ländern scheint sich der recht rege zu verbreiten, weil er mit ständig wechselnden, entweder auf aktuelle Nachrichten abhebenden oder unter die Gürtellinie zielenden Lockzeilen arbeitet. Die Verbreitung gilt inzwischen als außergewöhnlich hoch, das Schadpotential ebenfalls. Der Trojaner wird zurzeit dafür benutzt, fünf weitere Schadprogramme auf den Rechner zu lasen.

Bemerkenswert ist der Sturm-Wurm aber vor allem, weil er als erster Trojaner versucht, die befallenen Rechner direkt zu einem Bot-Net zu verbinden. In Bot-Netzen werden befallene Rechner zu virtuellen Netzwerken zusammen geschlossen, um - ohne Wissen der eigentlichen Besitzer der Rechner - ferngesteuert verschiedene Aufgaben zu erfüllen. Die Möglichkeiten gehen hier von der massenhaften Verteilung von Werbe- oder Viren-Spam über konzertierte Attacken auf andere Rechner oder Netzwerke, den Vertrieb illegaler Inhalte bis hin zu Industriespionage.

Auch hier geschieht der Befall über eine angehängte exe-Datei, auch hier stehen bereits aktualisierte Virenfilter bereit.

An diesen Betreffzeilen erkennt man den Sturm-Wurm:

• 230 dead as storm batters Europe
• A killer at 11, he's free at 21 and kill again!
• British Muslims Genocide
• Dinner Coupon
• Fidel Castro dead
• Hugo Chavez dead
• I Love You Soo Much
• I Still Love You
• Kisses, Hugs & Roses
• Love for Granted
• Magic of Flowers
• Most Beautiful Girl
• Naked teens attack home director
• Passionate Kiss
• Puppy Love
• Radical Muslim drinking enemies' blood
• Russian missle shot down Chinese aircraft
• Russian missle shot down USA aircraft
• Russian missle shot down USA satellite
• Sadam Hussein alive!
• Sadam Hussein safe and sound!
• Search for One
• The commander of a U.S. nuclear submarine lunch the rocket by mistake
• The Supreme Court has been attacked by terrorists. Sen. Mark Dayton dead!
• U.S. Secretary of State Condoleezza Rice has kicked German Chancellor Angela Merkel
• U.S. Southwest braces for another winter blast. More then 1000 people are dead
• Venezuelan leader: "Let's the War Begin"
• We Are Different
• You + Me

Auch die Dateianhänge tragen eine Vielzahl verschiedener Namen. Gemeinsam ist allen, dass es sich um exe-Dateien handelt.

Trotz dieses augenscheinlichen Revivals von Viren-Spammails gilt dieser Verbreitungsweg für Schadprogramme nicht als sehr zukunftsträchtig. Die digitalen Bedrohungen von heute und morgen verbreiten sich, ohne auf das Zutun der PC-Nutzer zu setzen.

Im Trend liegen zurzeit vor allem Infektionen verbreitende Webseiten, die auf die diversen, immer wieder auftretenden Sicherheitslücken in Browsern und Betriebssystemen bauen. Ob Microsofts neues Betriebssystem Vista, das vor allem in Hinsicht auf die System-Sicherheit optimiert sein soll, daran etwas ändert, muss sich erst noch erweisen. Bis dahin gilt weiterhin, dass weit über 90 Prozent aller IT-Sicherheitsprobleme nur Windows-Rechner betreffen. Apple- und Linux-Systeme sind auch in den aktuellen Fällen vor Infektionen gefeit.

pat

Zum Thema in SPIEGEL ONLINE:

Stündlich frisch: Die Top 10 der weltweit verbreiteten Viren
http://www.spiegel.de/netzwelt/tech/0,1518,158384,00.html

Zum Thema im Internet:

Symantec:Trojaner- Entfernungswerkzeug gegen Schoeberl und Backdoor.Haxdoor
http://www.symantec.com/enterprise/security_response/writeup.jsp?docid=2007- 011109- 2557- 99

Europäischer Computerführerschein
http://www.ecdl.de

SPIEGEL ONLINE - 22. Juni 2007, 17:47
URL: http://www.spiegel.de/wirtschaft/0,1518,490184,00.html

AKTIEN-MAILS

Spammer bringen dumme Anleger auf Kurs

Von Hasnain Kazim

Es ist eine gigantische Spam-Aktion: Rund fünf Milliarden E-Mails mit einer Aktien-Kaufempfehlung sollen in den vergangenen zwei Tagen die Postfächer überflutet haben. Tatsächlich ist der Wert des Unternehmens kurzzeitig explodiert - verdient hat daran der Spam-Versender.

Hamburg - Irgendeinen Dummen gibt es immer. Einen, der einen Datenanhang öffnet, obwohl die E-Mail mit den Worten beginnt: "Er hat nie einen Stern angeschaut. Auch mit Kamala, und mit den Freuden der Liebe." Oder: "Lass uns ruhigen Herzens warten. Wandelt in Heiligkeit, allem Leid ein Ende zu bereiten." Es gibt noch mehrere Anfänge, denn es sind mehrere E-Mails mit immer demselben Datenanhang, aber immer verschiedenen Absendern im Postfach. 10 Stück, bei manchen sogar 20 oder 30.

Unter diesen Leuten gibt es dann sogar welche, die sich nicht wundern, dass die PDF-Datei aussieht wie ein Börsenbrief, wie eine professionelle Aktien-Kaufempfehlung, die überhaupt nicht zum Text der E-Mail passt. Denen egal ist, dass der Börsenbrief keinerlei Kontaktdaten oder Herausgeber nennt, sondern schlicht in englischer Sprache für die Aktie der Firma Talktech Telemedia wirbt, deren Wert in den fünf kommenden Handelstagen garantiert um 300 Prozent zulegen werde. "Lassen Sie sich diese Chance nicht entgehen!", endet das Pamphlet.

Darunter wiederum finden sich Leute, deren Gier über den Verstand hinauswächst: Sie kaufen das Papier.

So wenige dürften das in den vergangenen zwei Tagen nicht gewesen sein, denn der Aktienkurs des Unternehmens ist explodiert: von 0,25 auf 0,35 Euro innerhalb dieses Zeitraums, ein Plus von 40 Prozent - wenn auch weit entfernt von den in der E-Mail prognostizierten 300-Prozent-Steigerung.

Fünf Milliarden Mails in zwei Tagen

"Aktien-Spam" nennen Experten das und sprechen von einer "Pump-and-Dump-Kampagne". "Die anonymen Versender kaufen das Papier zu einem günstigen Kurs. Dann verschicken sie ihre E-Mails, die aussehen wie professionelle Investment-Newsletter. Anschließend, wenn Umsatz und Kurs aufgrund der künstlich erzeugten Nachfrage gestiegen sind, verkaufen sie ihre Aktienpakete mit großem Gewinn", erklärt ein Sprecher der Deutschen Bank die Masche. "So etwas gibt es schon seit längerem."

Allerdings nicht in solchem Umfang: Rund fünf Milliarden E-Mails seien in den vergangenen zwei Tagen verschickt worden, teilt das IT-Sicherheitsunternehmen Ironport Systems mit - Schätzungen zufolge sind das neun Prozent des weltweiten Spam-Aufkommens in dieser Zeit.

"Neu ist, dass der Inhalt nicht mehr als Bild im jpg-Format verschickt wird, sondern als PDF-Anhang", sagt Angelika Felsch von der Münchner Filiale der US-Firma. Der deutsche Anbieter von Sicherheitssoftware Avira erklärt, mit dem PDF-Format würden die Absender versuchen, Spam-Filter zu umgehen. Insgesamt habe das Verschicken von Aktien-Spams seit Jahresanfang um 120 Prozent zugenommen - eine Entwicklung, von der neben den Versendern auch die Produzenten von Sicherheitssoftware profitieren.

Unklar ist auch die Rolle, die das beworbene Unternehmen spielt: Selbst die Wertpapierhandelsbank Peter Koch, die die Aktie an die Frankfurter Börse gebracht hat, besitzt nur wenig Informationen über Talktech Telemedia. "Das Unternehmen hat seinen Sitz in den USA", sagt Peter Koch. Und: "Am 21. Mai wurde das Papier erstmals in Frankfurt notiert."

Womit die Firma Geld verdient, wer der Ansprechpartner in Deutschland ist - keine Angaben. Trotzdem stieg der Kurs nach Erstnotiz von 0,55 auf 0,81 Euro, sank dann allerdings auf 0,25 Euro. "Jetzt versucht jemand, den Wert wieder in die Höhe zu treiben und eine Menge Geld zu verdienen", sagt Koch. Wer das sein könnte? "Keine Ahnung."

Identität der Absender kaum zu ermitteln

Einen ähnlichen Fall habe er aber schon im März erlebt. Da habe die Aktie der Kronos AG bei 0,07 Euro notiert. "Dann ging eine Spam-Aktion los, der Kurs stieg um über 100 Prozent auf 0,16 Euro", erinnert sich Koch. "Innerhalb von acht Tagen wurden vier Millionen Aktien umgesetzt." Heute notiert das Papier wieder bei 0,07 Euro.

Der Verbraucherzentrale Bundesverband rät ausdrücklich dazu, Aktientipps, die per E-Mail eintrudeln, auf keinen Fall zu befolgen. Referentin Carola Elbrecht empfiehlt: "Wer wirklich Informationen über Aktien und Wertpapierhandel benötigt, der fragt am besten ausgewiesene Fachleute."

Ähnliches rät die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin). Es sei nicht auszuschließen, dass die Verbreitung der Spams nur dazu dient, die Kurse der betroffenen Wertpapiere "ohne realistischen Hintergrund in manipulativer Weise nach oben zu treiben", teilte die Bafin nach dem Kronos-Fall mit.

Die Behörden ermitteln nun, ob gegen das Wertpapierhandelsgesetz oder gegen das Gesetz gegen den unlauteren Wettbewerb verstoßen wurde. Ob man aber überhaupt die Identität des Absenders feststellen könne, sagt Bafin-Sprecherin Anja Neukötter, daran habe sie ihre Zweifel.

SPIEGEL ONLINE - 27. Juni 2007, 16:04
URL: http://www.spiegel.de/netzwelt/web/0,1518,490827,00.html

INTERNET-SICHERHEIT

Wie Unternehmen Sie ausspähen

Von Matthias Kremp

Das Web ist längst verwanzt. Mit teilweise erschreckend einfachen Mitteln beobachten und verfolgen Firmen jeden Klick im Netz - und sammeln dabei wertvolle Daten, um ihre Produkte noch besser verkaufen zu können.

Nicht nur der Staat wird immer neugieriger, auch Unternehmen versuchen, immer mehr über ihre Kunden und solche, die es werden sollen, zu erfahren. Gesetzesänderungen oder Abstimmungen müssen die professionellen Datenschnüffler freilich nicht abwarten. Sie sammeln einfach eifrig Material darüber, wann man sich welche Webseiten mit welchem Computer angesehen hat, woher man kam und woran man besonderes Interesse hatte.

1. Überwiegend harmlos: Session-IDs

Mit Session-IDs können Webseiten-Betreiber einzelne Kunden während einer Online-Session markieren. Dazu wird beim ersten Aufruf der Seite eine Zufallszahl vom Server erzeugt und an den Browser des Anwenders geschickt. Der wiederum sendet nun mit jedem weiteren Seitenaufruf seine Session-ID zurück an den Server, so dass dieser den Besucher während seines gesamten Aufenthalts eindeutig identifizieren kann.

Die Begründung für dieses Vorgehen lautet in der Regel, dass man dem Kunden mehr Komfort bieten möchte. Beispielsweise, um noch während eines Online-Einkaufsbummels Einkaufstipps, die sich auf zuvor in den Warenkorb gelegte Produkte beziehen, geben zu können. Etwa: "Wer in der Camping-Abteilung Zelte betrachtet, interessiert sich auch für Mückenspray".

Vor allem aber dienen Session-IDs dazu, das Surfverhalten der Website-Besucher zu protokollieren und zu analysieren. Auf Basis dieser Daten optimieren geschickte Webmaster den Aufbau ihrer Seite und ihr Angebot. Abgesehen davon, dass diese Vorgehensweise dazu dient, den Absatz anzukurbeln, ist daran nichts Gefährliches zu finden. Und das Beste: sobald man das Browserfenster schließt, ist auch die Session-ID gelöscht. Nur selten werden Session-IDs dauerhaft in sogenannten Cookies (siehe unten) gespeichert.

2. Cookies sind keine Kekse

Vielen kommerziellen Anbietern genügt es nicht, ihre Besucher mit Session-ID temporär zu markieren, sie wollen sie bei jedem neuen Besuch sofort wiedererkennen und verwenden dazu die sogenannten Cookies. Die sind nicht etwa, wie man ob des englischen Begriffs denken könnte, leckeres Kleingebäck, sondern schlichte Textdateien.

Auch bei Cookies wird wieder der Komfortgewinn für den Kunden als Argument genannt. Schließlich ermöglichen sie personalisierte Webseiten, die sofort beim Aufruf ein auf den jeweiligen Nutzer zugeschnittenes Angebot präsentieren. Auch Grundfunktionen wie Warenkörbe, die es dem Kunden ersparen, jeden Artikel einzeln kaufen zu müssen und seine Einkäufe stattdessen sammeln zu können, kommen ohne solche Erfassungen nicht aus.

Aber natürlich dienen auch Cookies der Analyse des Surfverhaltens. Neben einer eindeutigen Benutzernummer enthalten sie oft Informationen darüber, wann man eine Webseite zuletzt aufgerufen hat und welche Inhalte man dabei abrief. Würde nur der Betreiber einer Webseite diese Informationen verwenden, wäre das gar nicht einmal verwerflich. Firmen wie Amazon nutzen solche Cookies beispielsweise, um dem potenziellen Einkäufer ein maßgeschneidertes Angebot auf Basis seiner letzten Einkäufe präsentieren zu können.

Allerdings werden Cookies auch genutzt, um Websurfer mit maßgeschneiderter Werbung zu bombardieren. Die Banner von Werbekunden beispielsweise können Internet-Nutzer mithilfe dieser Informationen sogar über mehrere unterschiedliche Web-Angebote hinweg eindeutig identifizieren. Da wundert man sich dann kaum noch, dass man stets Werbung für Segelzubehör zu sehen bekommt, ganz gleich auf welchen Websites man gerade unterwegs ist.

Vermeiden lässt sich das beispielsweise durch die Sicherheitseinstellungen des Browsers: Jede gute Surf-Software bietet die Möglichkeit, alle sensiblen Daten und Cookies bei jedem Schließen der Software zu löschen. Eine detaillierte Anleitung, wie man verschiedene Browser gegen eine Weiterleitung sensibler Daten abdichtet, lesen Sie morgen im dritten Teil unserer kleinen Internet-Sicherheits-Serie.

Auch bei den Cookies gilt, das es wohlschmeckende gibt, die dem User Möglichkeiten eröffnen, und verdorbene Kekse, die nichts Gutes für ihn tun. Ganz ohne Cookie-Einsatz kommt aber kein professionelles Internet-Angebot aus.

3. Der Browser wird verwanzt: Web-Bugs

Missbrauchsgefährdet ist auch eine andere Technologie, die - je nachdem, wofür sie eingesetzt wird - mal als Zählpixel bezeichnet wird, mal als Web-Bug. Auch Ihnen wurde vor wenigen Minuten ein solches Zählpixel überspielt, denn die Leserzählung durch die Auflagenkontrolle ivw funktioniert genau so - bei allen erfassten Publikationen deutscher Sprache. Auf der so erfassten Reichweite der Medien fußt deren Vermarktung - ohne Zählpixel könnten Webseiten von TV-Sender-Seiten über Fachpublikationen bis zu populären Angeboten wie Heise oder SPIEGEL ONLINE den Betrieb einstellen.

Das ist nicht weiter schlimm, denn Zählpixel sind soweit harmlos: Sie sind meist nur 1 x 1 Pixel groß und transparent, damit man sie nicht sieht. Tatsächlich handelt es sich dabei um winzige Grafiken, die in Webseiten eingebaut werden - allerdings nicht als Bits-und-Bytes-Objekt, sondern als "embedded" Link. Das ist ein Verweis auf eine Internetadresse, von der die eigentliche Grafik dann abgerufen wird. Jeder so entstandene Abruf wird beispielsweise bei der Reichweitenerfassung der ivw dann der "fordernden" Adresse zugeschrieben. Dabei werden also Daten über die Webseite erfasst, nicht aber über den Nutzer.

Doch die gleiche Technik lässt sich auch missbrauchen. In Html-E-Mails eingebunden nennt man solche Pixelverweise Web-Bugs, weil sie dort nichts anderes sind als Wanzen. Eingesetzt wird diese Technik vor allem von Spam-Versendern, um ihren Werbebriefchenversand zu optimieren.

Sie erfahren durch die Mini-Bildchen, ob und wann ihre elektronische Wurfpost gelesen wurde und ob die angeschriebene Mail-Adresse überhaupt existent und genutzt ist. Das ermöglicht es, E-Mail-Adressen nach Zufallskriterien automatisch zu kreieren, in Massen auszusenden und durch den Informations-Rückfluss durch Web-Bugs Spreu von Weizen zu trennen. Am Ende des Prozesses steht dann ein frischer Verteiler verifizierter E-Mail-Adressen - und schon der allein ist Geld wert und wird meist fleißig weiter verkauft, auf dass die Spam-Lawine rolle...

Darüber hinaus lässt sich per Web-Bug in Erfahrung bringen, mit welchem Mail-Programm und Browser jemand unterwegs ist, welches Betriebssystem er verwendet, mit welcher IP-Adresse sein PC aktuell online ist und über welchen Provider der Internet-Zugang erfolgt.

Diese Daten lassen sich von Spammern hervorragend ausnutzen, um ihren E-Mail-Versand auf bestimmte Zielgruppen zu optimieren oder gar, um ihnen mit Schadsoftware versehene Mails zuzusenden, die bekannte Sicherheitslücken auf ihrem System ausnutzen sollen.

4. Sie wissen, woher Du kommst: Referrer

In der Standardeinstellung sind Webbrowser außerordentlich geschwätzig. Beim Anklicken eines Links teilen sie dem angesurften Web-Server freimütig mit, von welcher Webseite aus man den Link angeklickt hat. Referrer, vom englischen "to refer", also "verweisen" nennt man diese Informationen. Normalerweise ist auch das keine schlimme Sache.

So dienen die Referrer beispielsweise Suchmaschinen dazu, die Relevanz einer Webseite einzuschätzen. Die Grundregel: Je häufiger von anderen Webseiten auf eine bestimmte Webseite verlinkt, also "referred" wird, desto wichtiger ist sie. Bestünde die Möglichkeit, so etwas zu erfassen, nicht, hätte das negative Rückwirkungen auf die Qualität der Suchergebnisse, die Suchmaschinen wie Google zu liefern imstande sind.

Doch auch diese Technik lässt sich missbrauchen. Spammer nutzen diese Eigenschaft, um die Suchmaschinen auszutricksen. Sie rufen automatisiert bestimmte Webseiten in kurzen Abständen auf, um ein und dieselbe Internet-Adresse zuhauf in den sogenannten Log-Dateien auftauchen zu lassen. Den Roboterprogrammen der Suchmaschinen sollen auf diese Weise zahllose Links vorgegaukelt werden, was zu einer ungerechtfertigt hohen Platzierung der so beworbenen Internet-Adresse in den Suchergebnissen führt.

Lesen Sie morgen in Teil 3: Wie sie sich gegen die Ausspähversuche der Unternehmen schützen können.

Zum Thema in SPIEGEL ONLINE:

Web- Überwachung: Der Weg zum Spanner- Staat (26.06.2007)
http://www.spiegel.de/netzwelt/web/0,1518,490706,00.html

SPIEGEL ONLINE - 02. Juli 2007, 16:56
URL: http://www.spiegel.de/netzwelt/web/0,1518,491296,00.html

DATENSCHUTZ

So schützen Sie sich gegen Schnüffler

Von Matthias Kremp

An Cookies wird im Web nicht gespart. Während einige davon dem Komfort der Anwender dienen, werden die digitalen Schnüffelkekse von manchen Werbetreibenden und einigen Gaunern genutzt, um Persönlichkeitsprofile zu erstellen. SPIEGEL ONLINE erklärt, wie man sich gegen das Ausspähen schützen kann.

Wie SPIEGEL ONLINE im zweiten Teil dieser Serie aufgezeigt hat, missbrauchen Datensammler im Internet allgemein gebräuchliche Standards, um die Web-User auszuspähen. Das sie mit dieser Vorgehensweise überhaupt Erfolg haben, ist zu einem großen Teil den Browser-Herstellern zuzuschreiben. Die liefern ihre Software im Grundzustand so aus, dass sich damit vortrefflich das Internet durchforsten lässt. Derselbe Grundzustand definiert aber in der Regel auch derart lasche Einstellungen für die Privatsphäre, dass den Schnüfflern Tür und Tor offenstehen.

Lässt man beispielsweise automatisch alle Cookies blockieren, bleibt vom Surfspaß nicht viel übrig. Manche Webshops quittieren eine Cookie-Blockade mit einer Kauf-Blockade. So kann es passieren, dass man nach einem ausführlichen Online-Einkaufsbummel feststellt, dass der scheinbar prall gefüllte Warenkorb sich wie von Geisterhand wieder geleert hat. Andere Websites hingegen quäken herum, sie könnten ihre Inhalte nicht anzeigen, wenn man ihnen keine Cookies erlaube.

Um solchen Problemen vorzubeugen, gilt es, einen brauchbaren Kompromiss zu finden. Der besteht in der Regel darin, die Voreinstellungen des Browsers manuell anzupassen und dabei einen gangbaren Kompromiss zwischen Komfort und Sicherheit zu finden: die Teilzeitblockade für Cookies.

Statt einer der vom Internet Explorer, Firefox oder anderen Browsern vorgeschlagenen Standardeinstellungen zu vertrauen, legt man die Einstellungen selber fest.

Internet Explorer

Im Internet Explorer sind die für Cookies zuständigen Datenschutz-Parameter im Menü "Extras" und dort in den "Internetoptionen" auf dem Reiter "Datenschutz" zu finden. Klicken Sie dort auf die Schaltfläche "Erweitert" und setzen neben "Automatische Cookiebehandlung aufheben" ein Häkchen.

Das Häkchen neben "Sitzungscookies immer zulassen" kann man getrost aktivieren. Sitzungscookies werden nämlich - Nomen est Omen - nach dem Schließen des Browser-Programms automatisch gelöscht, taugen also nicht für eine Langzeitüberwachung.

Nun steht man vor der schweren Qual der Wahl. Wer sich nicht scheut, jedem Cookie persönlich Guten Tag zu sagen und ihm die Betriebserlaubnis zu geben oder eben zu verweigern, kann für Cookies von Erst- und Drittanbietern die "Eingabeaufforderung" aktivieren. Das wird aber erfahrungsgemäß schnell zur Tortur. Beim Versuch, die Webseite einer großen amerikanischen Tageszeitung auf diese Weise zu erreichen, ploppten auf dem Bildschirm nicht weniger als 28 solcher Eingabeaufforderungen auf.

Totalblockade mit Durchlassventil

Wer - von einem solchen Versuch genervt - lieber eine andere Methode ausprobieren will, wählt statt der Eingabeaufforderung "Sperren". Dann wird kein Cookie mehr durchgelassen.

Aus obengenannten Gründen verhagelt aber auch diese Methode das Surfvergnügen. Deswegen sollte man Webseiten, die man regelmäßig aufruft und die Cookies verwenden, auf dem Datenschutz-Reiter in den Internetoptionen freischalten.

Dazu klickt man auf "Sites", gibt im folgenden Fenster die Internet-Adresse der jeweiligen Webseite ein und klickt dann auf "Zulassen". Auf diese Weise füllt sich nach und nach eine Liste mit Adressen von Websites, denen das Anlegen von Cookies gestattet wird. Wichtig: Es genügt, die Hauptadresse der Webseite anzugeben, Unterseiten müssen nicht eingetragen werden (also etwa www.spiegel.de, nicht aber www.spiegel.de/netzwelt).

Firefox, Opera, Netscape

Bei Firefox ist das Vorgehen ganz ähnlich. Auch bei diesem Browser lassen sich die Cookies unter Extras/Einstellungen/Datenschutz abschalten. Unter dem Button "Ausnahmen" lassen sich wie beim Internet Explorer Webseiten eintragen, denen der Gebrauch von Cookies gestattet wird. Bei anderen Webbrowsern wie Opera und Netscape ist das Vorgehen ganz ähnlich.

Wer bereits längere Zeit ohne dedizierte Einstellungen für die Behandlung von Cookies im Web unterwegs war oder seinem Webbrowser die Annahme von Cookies generell nicht verbieten will, kann der Datensammlerei auch selbst ein Ende setzen. Dazu kann man Cookies und andere Daten, die im Verlauf einer Web-Session angesammelt werden, manuell oder automatisch löschen.

Wie das geht, ist von Browser zu Browser verschieden. So bietet der Internet Explorer 6 unter Internetoptionen/Allgemein/Temporäre Dateien die Möglichkeit, Cookies zu entfernen. Die Nachfolgeversion, der Internet Explorer 7, verfügt in diesem Bereich über weit ausgefeiltere Optionen. Bei ihm findet man unter Internetoptionen/Allgemein/Browserverlauf einen Lösch-Knopf, der zu einem weiteren Fenster führt, in dem man gezielt auswählen kann, welche Browserdaten gelöscht werden sollen.

Die beste Möglichkeit: Automatische Löschung

Eine ganz ähnliche Option ist auch in Firefox zu finden. Dort lassen sich im Menü Extras "Private Daten löschen". Allerdings gehören ausgerechnet die Cookies nicht automatisch zu jenen Daten, die bei Aufruf dieser Option gelöscht werden: Das muss man vorher so definieren.

Welche Daten gelöscht werden sollen (dann gegebenenfall inklusive der Cookies), lässt sich in Firefox unter Einstellungen/Private Daten/Einstellungen festlegen. Vor allem aber kann man unter Einstellungen/Private Daten auch festlegen, dass die zuvor definierten privaten Daten jedes Mal beim Beenden von Firefox automatisch gelöscht werden sollen. Und genau das ist vielleicht der sicherste Weg, die neugierigen Kekse loszuwerden.

Zum Thema in SPIEGEL ONLINE:

Internet- Sicherheit: Wie Unternehmen Sie ausspähen (27.06.2007)
http://www.spiegel.de/netzwelt/web/0,1518,490827,00.html

Web- Überwachung: Der Weg zum Spanner- Staat (26.06.2007)
http://www.spiegel.de/netzwelt/web/0,1518,490706,00.html

SPIEGEL ONLINE - 12. November 2007, 16:15
URL: http://www.spiegel.de/netzwelt/web/0,1518,516838,00.html

FIESE SCHADSOFTWARE

Gauner kapern MySpace-Profile und Weihnachtsmann-Seiten

Von Konrad Lischka

Neue Tricks: Computerkriminelle jubeln Surfern mit gerissenen Methoden Schnüffelprogramme unter. Sie bauen ihre Fallen auf beliebten harmlosen Seiten ein, tarnen und timen ihre Angriffe perfekt. Jüngstes Opfer: Die Soul-Sängerin Alicia Keys.

Der perfekte Zeitpunkt für einen Angriff: Das neue Album "As I am" der Soul-Sängerin Alicia Keys erscheint morgen in den Vereinigten Staaten, ist in Deutschland schon seit Freitag erhältlich. Während des Veröffentlichungsrummels haben Kriminelle das MySpace-Profil der Sängerin manipuliert. Bis zum Wochenende konnten Websurfer auf der extrem populären Seite (mehr als 12 Millionen Abrufe seit dem Start 2005) nicht nur kostenlos Stücke aus dem neuen Keys-Album hören, sondern sich auch Viren einfangen.

Die Angreifer gingen raffiniert vor: Sie hatten auf bisher noch nicht geklärtem Weg ein Hintergrundbild auf der MySpace-Seite von Keys eingebaut, das den größten Teil der Seite abdeckte. Die Homepage sah aus wie zuvor, funktionierte tadellos. Einziger Unterschied: Die Grafikdatei enthielt einen Verweis auf eine zwielichtige Web-Seite, die angeblich in China beheimatet ist. Perfide: Wer auf der Profilseite die Links anklickte, blieb unbeschadet. Wer aber irgendwo versehentlich auch nur ein paar Millimeter neben einem richtigen Link in das Hintergrundbild klickte, löste einen Angriff auf seinen Rechner aus.

Die Attacken haben mehrere Sicherheitsexperten unabhängig voneinander untersucht. Ergebnisse: Nach dem Klick auf den trickreich untergejubelten Link testet eine Programmroutine den Computer zuerst auf Sicherheitslücken, durch die unbemerkt Schadsoftware eingeschleust werden kann. Sind die Schotten offen, wird ein Schädling per Drive-By, also das simple Aufrufen der Seite, installiert.

Bei so nicht angreifbaren Rechnern öffnete sich ein Fenster mit dem Hinweis, doch bitte einen Video-Codec zu installieren, um Online-Filmchen betrachten zu können. Diese Aufforderung dürfte die Nutzer der mit Videos und Sound-Dateien überladenen MySpace-Seiten wenig überraschen.

Mehrere MySpace-Profile betroffen

Inzwischen hat MySpace die Linkfalle zumindest auf der Profilseite von Alicia Keys wieder entfernt. SPIEGEL ONLINE hat diese Hacks allerdings noch am Montagnachmittag auf drei anderen MySpace-Profilseiten beobachtet.

Der IT-Sicherheitsexperte Christopher Boyd, Schadsoftwareforscher beim Dienstleister Facetime Security, verfolgt die MySpace-Manipulationen schon seit Ende Oktober. Er berichtete SPIEGEL ONLINE von anderen Fällen: "Ich habe mehr als 20 gehackte Seiten entdeckt. Viele der Bands säubern ihre Profile ständig, stellen nach einiger Zeit fest, dass sie wieder gehackt wurden." Boyd sprach am Montagnachmittag von "mehreren noch aktiven gehackten Seiten."

Zum Umfang der Angriffe konnte MySpace wegen der laufenden Ermittlungen keine Angaben machen. Joel Berger, Geschäftsführer MySpace Deutschland sagte zu SPIEGEL ONLINE: "MySpace arbeitet zur Zeit mit allen Kräften daran, das Problem zu lösen und hat auch die Behörden dazu eingeschaltet."

MySpace geht davon aus, dass die Login-Daten der betroffenen Konten nicht über eine MySpace-Sicherheitslücke nach außen gedrungen sind. Geschäftsführer Berger: "Es handelt sich hierbei eindeutig um Phishing-Angriffe, eine Gruppe von Hackern hat sich illegal Zugriff auf verschiedene Profile verschafft."

MySpace-Hack oder Phishing?

Phishing bedeutet, dass Kriminelle die MySpace-Passwörter nicht aus der Datenbank des Portals, sondern bei den Besitzern selbst mittels Trojanern oder gefälschter Web-Seiten abgegriffen haben. Sicherheitsexperten zweifeln diese Theorie allerdings an.

Christopher Boyd kommentiert im Vitalsecurity- Blog, MySpace können angesichts der Menge Betroffener nicht behaupten, dass all diese Bands Opfer eines Phishing-Angriffs geworden sind, ihre Login-Daten also beispielsweise auf einer gefälschten MySpace-Seite eingegeben haben. Boyd: "Wie soll das gehen - unzählige Bands, Plattenfirmen, Musikmagazine und Produzenten wachen gestern auf und haben vergessen, wie die echte MySpace-Seite aussieht?"

Gerissene Gauner

Bemerkenswert an diesem Angriff ist, abgesehen von der MySpace-Manipulation, die intelligente Auswahl von Umfeld und Zeitpunkt: Die Gauner haben eine vertrauenswürdige Seite gekapert, statt mit der längst bekannten Masche eigener Porno- und Raubkopieportale zu arbeiten. Außerdem haben sie mit MySpace ein Umfeld gewählt, in dem Websurfer gerne bereit sind, Software nachzuinstallieren.

Der Fall entspricht einem Trend, den die Initiative StopBadware in ihrem im Oktober erschienen Jahresbericht 2007 beschreibt. Die US-Organisation wird von Google, Paypal, dem "Berkman Center for Internet & Society" an der Universität Harvard und vom "Oxford Internet Institute" getragen. Ihr Fazit aus der Analyse von Internet-Angriffen des ersten Halbjahrs: "Schadsoftware-Hersteller haben begonnen, einen subtileren Ansatz zu wählen, weil immer mehr Web-Nutzer wissen, wie sie sich schützen können."

StopBadware-Direktor Jonathan Zittrain sagte bei der Veröffentlichung des Berichts "Trends in Badware" Anfang Oktober: "Die Entwicklung ist besorgniserregend: Es wird alltäglich, dass bekannte Web-Seiten gehackt und dazu benutzt werden, die Rechner ihrer Besucher zu infizieren."

Legitime Web-Seiten sind leichte Beute

Das geht erstaunlich einfach. Einem Bericht der IT-Sicherheitsfirma WhiteHat Security vom Oktober zufolge weisen 90 Prozent der untersuchten Seiten Sicherheitslücken auf, die sich zum Einschleusen von Schadcode ausnutzen lassen ( PDF- Dokument des Berichts). Solche Angriffe funktionieren schlimmstenfalls nach der Alicia-Keys-Methode: Wer die Seite mit einem System ohne die neusten Sicherheitsupdates aufruft, hat womöglich sofort einen infizierten Rechner, wer ein aktuelles Betriebssystem nutzt, wird raffiniert zum Laden von Schadsoftware gedrängt.

Beim Timing solcher Angriffe waren die Gauner in diesem Jahr schon erstaunlich findig: Im Januar, während der Kartenverkaufs für das wichtigste Football-Spiel des Jahres, hackten sie die Web-Seite des Teams der "Miami Dolphins". In der Zeit als die Seite den größten Besucherandrang des Jahres verzeichnete, versorgte sie ungeschützte Rechner von Besuchern mit einem Trojaner, der die Nutzer aushorchte und die Daten an Kriminelle schickte.

Die Weihnachtszeit dürfte für Angreifer interessant werden: Im vorigen Jahr hatten Unbekannte die Seite des "wahren Weihnachtsmanns" manipuliert. Betrieben wird Santaslink.net von einem weißbärtigen US-Bürger, der sich in Santa Claus hat umbenennen lassen, auf Spendentouren durchs Land reist und Geld für Kinderhilfsprojekte einwirbt. Im vorigen Advent hatten Kriminelle einen Trojaner über seine Seite verbreitet. Wenn nicht einmal der Weihnachtmann sicher ist - wer dann?

Zum Thema in SPIEGEL ONLINE:

Fotostrecke: Diese MySpace- Profile wurden gehackt
http://www.spiegel.de/fotostrecke/0,5538,26395,00.html

Zum Thema im Internet:

Initative Stopbadware
http://www.stopbadware.org/home/consumerreport

-Sicherheits- Experte Christopher Boyd über manipulierte MySpace- Profile
http://www.vitalsecurity.org/2007/11/more- hacked- band- music- profiles- why.html

Bericht von WhiteHat Security über anfällige Webseiten
http://www.whitehatsec.com/home/assets/WPStatsreport_100107.pdf