DMARC: Neue Initiative gegen Phishing-Gefahr
Auch wenn sie täuschend echt aussehen: Internetnutzer sollten Mails ignorieren, in denen Kreditkartennummern, Passwörter, PINs oder TANs abgefragt werden. Denn dahinter stecken Betrüger. Seriöse Banken oder Unternehmen fordern ihre Kunden niemals per Mail oder Telefon zur Eingabe sensibler Daten auf, warnt das Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Betrüger arbeiteten kreativ mit Sperrandrohungen, vermeintlichen Aktualisierungen oder Bestätigungen aus Sicherheitsgründen, angeblich ablaufenden oder verlorenen Passwörtern oder Kreditkartennummern. Wer unsicher ist, kontaktiert am besten die betreffende Bank oder Firma.
DMARC soll Abhilfe schaffen
Das Validierungsverfahren, wie es von DMARC genutzt wird um die Echtheit einer E-Mail zu überprüfen.
Bild: dmarc.org
Führende Internet-Konzerne verstärken nun den Kampf
gegen solche Phishing-Angriffe. In der heute vorgestellten Allianz mit dem Namen DMARC haben sich unter
anderem Google, Facebook, Microsoft, der Bezahldienst PayPal und Yahoo
zusammengeschlossen. Die Idee ist, hinter den Kulissen kriminelle
E-Mails herauszufiltern, damit sie die Nutzer gar nicht erst erreichen. Dies wird erreicht, in dem der Server des Empfängers sich vom Sender die Echtheit der Nachricht bestätigen lässt.
Das Validierungsverfahren, wie es von DMARC genutzt wird um die Echtheit einer E-Mail zu überprüfen.
Bild: dmarc.org
Das DMARC-System sei aber schon in Betrieb, sagte ein beteiligter
Facebook-Spezialist dem US-Magazin Wired: "Sie werden bereits seit
einiger Zeit durch DMARC geschützt." Die Ursprünge von DMARC liegen in einer Kooperation zwischen Google, Yahoo und PayPal. Seit 2007 werden PayPal-Mails an Kunden von Google und Yahoo speziell geprüft und gekennzeichnet, falls sie tatsächlich echt sind. Dieses System hat offenbar gute Resultate geliefert und wird jetzt in verbesserter und allgemeinerer Form als DMARC bezeichnet. DMARC steht für Domain-based Massage Authentication, Reporting and Conformance (etwa:
domainbasierte Authentifizierung, Melden und Konformität von Nachrichten).
Ohne Vorsicht geht es trotzdem nicht
Solche Maßnahmen können aber keinen hundertprozentigen Schutz bieten. Deshalb sollten Nutzer grundsätzlich nicht auf Links in E-Mails klicken und Internetadressen am besten von Hand in die Adresszeile eingeben. In den Browsereinstellungen sollte die Funktion "Aktive Inhalte ausführen" deaktiviert oder so eingestellt werden, dass der Browser jedes Mal nachfragt, rät das BSI. Zudem öffnet man E-Mails und vor allem Anhänge besser nur dann, wenn sie aus vertrauenswürdiger Quelle stammen. Damit Phishing-Betrüger keine Sicherheitslücken ausnutzen können, sollten Nutzer eine Firewall und Virenschutzsoftware einsetzen und diese, wie das Betriebssystem und andere Programme auch, immer auf dem neuesten Stand halten.