Aufgaben: Betrug und Angriffe auf Menschen

Erkläre, was Phishing ist und was eine Phishing-Nachricht am Ende fast immer verlangt, egal welche Geschichte sie erzählt.

Du erhältst diese SMS: „Ihr Paket konnte nicht zugestellt werden. Zahlen Sie $0,99\ \text{€}$ Zollgebühren hier: envios-aduana.info“. Nenne mindestens zwei Details der Nachricht, die dich misstrauisch machen sollten, und erkläre, was beim Bezahlen wahrscheinlich passieren würde.

Die Abbildung zeigt eine E-Mail, die eine Bank vortäuscht, mit drei bereits markierten Betrugsanzeichen und einem weiteren Element, das mit einem Fragezeichen gekennzeichnet ist.

Erkläre, warum jedes der drei markierten Anzeichen den Betrug verrät und was du bei dem mit ? gekennzeichneten Element prüfen solltest, bevor du irgendetwas anklickst.

Warum ahmen Phishing-Nachrichten fast immer sehr bekannte Marken nach (Banken, Paketdienste, Videoplattformen)? Erkläre, was der Angreifer erreicht, indem er sich als Marke tarnt, der die Leute bereits vertrauen.

Erkläre den Unterschied zwischen unerwünschter E-Mail (Werbe-Spam) und Phishing, nenne von jedem ein erfundenes Beispiel und beschreibe, was man mit jeder Art von Nachricht am besten tut.

Schreibe ein erfundenes Beispiel für eine Phishing-Nachricht an Jugendliche (Thema nach Wahl: Konzerte, Spiele, Stipendien) und markiere in deinem eigenen Text die drei Fallen, die du ausgelegt hast, um die Leserin oder den Leser zu täuschen.

In einem Chat des technischen Supports bittet dich ein „Mitarbeiter“ um dein Passwort, „um deine Identität zu überprüfen“. Erkläre, warum kein seriöser Dienst jemals nach dem Passwort per Chat, E-Mail oder Telefon fragt, und formuliere die Antwort, die du geben würdest.

Erkläre, was ein geklontes Konto in einem sozialen Netzwerk ist, wie man eines herstellt (gleiches Foto, Name mit einem zusätzlichen Punkt oder Bindestrich) und welche zwei Anzeichen verraten, dass es nicht das Originalkonto deines Freundes ist.

Ein Konto mit dem Namen und dem Foto deiner Cousine schreibt dir und bittet wegen eines Problems dringend um Geld. Erkläre, welche Überprüfungen du vor einer Antwort durchführen würdest und warum Name und Foto eines Kontos nicht garantieren, wer dahintersteckt.

Definiere, was Social Engineering ist, und wende es auf diesen Fall an: Eine Person ruft zu Hause an und gibt sich als Techniker des Internetanbieters aus und bittet darum, ein Programm „zur Reparatur der Verbindung“ zu installieren. Nenne, welche Überredungstechniken sie anwendet und wie deine Familie reagieren sollte.

Eine E-Mail teilt mit, dass du bei einer Verlosung, an die du dich nicht erinnern kannst, ein Handy gewonnen hast; um es dir „zu schicken“, werden dein vollständiger Name, deine Adresse und ein Foto deines Personalausweises verlangt. Analysiere, welche Daten sie zu bekommen versuchen, wofür sie später verwendet werden könnten und was du mit dieser E-Mail tun solltest.

Auf dem gebührenpflichtigen Parkplatz in deiner Stadt hat das offizielle Schild einen QR-Code zum Bezahlen, aber jemand hat darüber einen Aufkleber mit einem anderen Code geklebt, wie die Abbildung zeigt.

Erkläre, welches Risiko es hat, durch Scannen des mit ? markierten Codes zu bezahlen, wie du prüfen würdest, welches das offizielle Zahlungssystem ist, und welche sichere Alternative es gibt, um zu bezahlen, ohne diesen Code zu benutzen.

Du erhältst eine E-Mail, die scheinbar von deiner eigenen Adresse gesendet wurde: Sie behauptet, dich mit der Kamera aufgenommen zu haben, und verlangt Geld, damit die Bilder nicht verbreitet werden. Erkläre, wie es möglich ist, den Absender einer E-Mail zu fälschen, warum dieser Betrug auf Angst und Scham beruht und was du beim Erhalt tun musst – und was nicht.

Ein Influencer kündigt die „Verlosung“ von Kopfhörern an: Um teilzunehmen, muss man mehreren Konten folgen, ein Formular mit seinen Daten ausfüllen und die „Versandkosten“ bezahlen. Analysiere, welche drei verschiedenen Ziele der Veranstalter mit jeder Anforderung erreicht und warum der Preis wahrscheinlich nicht existiert.

Deine Mutter erhält eine Nachricht: „Mama, ich habe mein Handy verloren, das ist meine neue Nummer. Du musst mir dringend Geld überweisen.“ Erkläre die Taktik des „Kindes in Not“, welche Überprüfung den Betrug sofort aufdecken würde und welche Familienregel (zum Beispiel ein vereinbartes Codewort) du vorschlagen würdest.

Vergleiche das Endziel von drei Betrugsmaschen: einem Phishing gegen eine Bank, einer gefälschten Verlosung, die ein Foto des Personalausweises verlangt, und einem geklonten Konto, das deine Verwandten um Geld bittet. Was will jede erreichen und was haben alle drei in ihrer ersten Kontaktphase gemeinsam?

In einem Unternehmen erhält die Finanzabteilung diese E-Mail: „Hallo Karl. Ich bin in einem Kundentermin, und es ist eine unerwartete Zahlung an einen wichtigen Lieferanten über 4.850,00 € angefallen. Überweise sie vor 14:00 Uhr auf diese IBAN; die Rechnung reiche ich später nach. Ruf mich nicht an, ich kann nicht ans Telefon gehen. Viele Grüße, Marta (Geschäftsführerin)“. Die E-Mail stammt von 'marta.directora@empresa-pagos.es' statt von 'marta@empresa.es'. Obwohl auf dem Gerät ein aktuelles Antivirenprogramm installiert ist, führt Karl die Zahlung durch.

1. a) Begründe technisch, warum kein Client-Antivirenprogramm diesen Angriff blockieren konnte.
2. b) Entwirf ein administratives und technisches Protokoll zur Zahlungsfreigabe (mit Verifizierung über einen separaten Kanal oder Zwei-Faktor-Authentifizierung), das diesen Betrug unmöglich macht und sicherstellt, dass Karl sich nicht allein auf sein Bauchgefühl verlassen muss.

Analysiere die folgende Tabelle mit drei Angriffen auf das Personal einer Bildungseinrichtung:

1. SMS vom Absender 'CORREOS', die auf ein zurückgehaltenes Paket mit dem Link 'bit.ly/paq-34' hinweist.

2. Anruf eines angeblichen Technikers der Schulbehörde, der per Stimme den SMS-Code verlangt, der gerade auf dem Handy des Schulleiters angekommen ist, um „die Firewall der Schule zu aktualisieren“.

3. E-Mail von 'soporte@educa-madrid.org' (die offizielle Domain ist 'educa.madrid.org') mit einem Anhang 'actualizacion.pdf.exe'.

1. a) Erkläre, welche technische Einschränkung der klassischen Telefonie es so leicht macht, die Anruferkennung (CLI) oder den alphanumerischen Absender beim Smishing und Vishing zu fälschen, im Vergleich zur E-Mail.
2. b) Sage voraus, was passiert, wenn der Schulleiter im Fall 2 den Code herausgibt, und begründe, warum der zweite Faktor der Authentifizierung (2FA) per SMS bei diesem Social-Engineering-Angriff wirkungslos wird.

Betrachte diese vier Links, die in einer Nachricht eines Messengers empfangen wurden:

1. https://banco-santander.seguridad-acceso.com/login

2. https://www.bancosantander.es/es/particulares

3. https://www.banc0santander.es/acceso

4. https://bit.ly/3xK9LqP (verkürzter Link, dessen verborgenes tatsächliches Ziel http://santander.login.ru ist)

1. a) Zerlege die Struktur von Link 1 (Protokoll, Subdomain, Hauptdomain und Pfad) und zeige, mit welchem echten Server das Opfer verbunden würde, wenn es klickt.
2. b) Erkläre das genaue technische Vorgehen, um das tatsächliche Ziel von Link 4 zu überprüfen, ohne ihn zu öffnen, sowohl in einem Computerbrowser als auch auf einem Mobiltelefon.
3. c) Begründe, warum Link 3 ein Beispiel für „Typosquatting“ ist und welches zusätzliche Risiko er auf Handybildschirmen mit schmalen Schriftarten birgt.

In einer Schul-Messenger-Gruppe verbreitet sich viral die folgende Nachricht eines Mitschülers: „Markenschuhe werden zum Jubiläum verschenkt! Geh auf www.marca-promocion.com/regalo, beantworte 3 Fragen und leite das an 5 Gruppen weiter, um deinen Gutschein zu erhalten.“ Die Webseite fordert, Benachrichtigungen des Browsers zu erlauben und ein Konfigurationsprofil auf dem Handy zu installieren, um „den Gutschein zu validieren“.

1. a) Erkläre den Mechanismus des Social Engineering, den der Angreifer ausnutzt, damit die Opfer selbst den Betrug auf natürliche Weise verbreiten, ohne dass ihre Konten gehackt wurden.
2. b) Sage technisch voraus, welche Risiken ein Nutzer eingeht, wenn er die Installation eines unbekannten Konfigurationsprofils auf seinem Mobiltelefon akzeptiert.
3. c) Entwirf eine Liste von 3 technischen Filterregeln, die jeder Nutzer anwenden sollte, bevor er einen in einer Gruppe empfangenen Link weiterleitet, und bewerte dabei die URL, die Anreize und die angeforderten Berechtigungen.

Analysiere die folgende Zeitleiste eines Sicherheitsvorfalls:

• 10:15 Uhr: Das Opfer erhält eine SMS seiner Bank („ALARM: Nicht autorisierte Abbuchung von 250,00 €. Falls Sie diese nicht erkennen, stornieren Sie sie dringend unter https://banco.atencion-fraude.com“).

• 10:17 Uhr: Es öffnet den Link (mit HTTPS-Schloss und einem Design, das dem echten gleicht) und gibt seine Ausweisnummer und sein Zugangspasswort ein.

• 10:19 Uhr: Die Webseite fordert es auf, einen Einmalcode einzugeben, den es gerade per SMS erhalten hat, um „die betrügerische Transaktion zu stornieren“.

1. a) Deute technisch, was der Angreifer zwischen 10:17 Uhr und 10:19 Uhr in den Systemen der echten Bank mit den Daten macht, die das Opfer auf der gefälschten Webseite eingibt.
2. b) Begründe, warum das HTTPS-Schloss keineswegs garantiert, dass die Webseite zur echten Bank gehört.
3. c) Entwirf den sofortigen Notfallplan (3 Maßnahmen nach Priorität geordnet), den das Opfer ausführen muss, wenn es den Betrug genau um 10:20 Uhr bemerkt.

Nach einem Datenleck in einem Computergeschäft erhält ein Kunde eine E-Mail von 'pedidos@tienda-informatica.com', in der steht: „Sehr geehrter Jan, zu Ihrem Kauf des Laptops Gamer-X vom 12. März: Bei der Berechnung der Mehrwertsteuer (42,00 €) ist ein Fehler aufgetreten. Laden Sie die beigefügte Korrekturrechnung 'Factura_IVA.zip' herunter, sonst wird die Bestellung storniert.“

1. a) Begründe, warum Spamfilter, die auf heuristischer Textanalyse beruhen, diese Nachricht nicht erkennen, obwohl der Absender gefälscht ist.
2. b) Erkläre die Rolle kryptografischer E-Mail-Einträge (wie SPF, DKIM oder DMARC), damit der Zielserver erkennt, ob die E-Mail tatsächlich vom autorisierten Server des Geschäfts stammt.
3. c) Wenn Jan die Datei 'Factura_IVA.zip' öffnet und eine Datei namens 'Factura_IVA.pdf.exe' findet, erkläre die angewandte Verschleierungstechnik und sage voraus, was passieren würde, wenn im Betriebssystem standardmäßig die Option „Erweiterungen bei bekannten Dateitypen ausblenden“ aktiviert ist.

Bei einer IT-Sicherheitsübung in einem Softwareunternehmen mit 200 Beschäftigten verschickt die technische Abteilung zwei simulierte Phishing-Kampagnen:

• E-Mail A (allgemein): „Du hast einen Geschenkgutschein über 100,00 € gewonnen. Klicke hier, um ihn einzulösen." Versendet an einem Dienstag um 10:00 Uhr.

• E-Mail B (kontextbezogen): „Dringend: Synchronisierungsfehler im Code-Repository vor dem Deployment. Bestätige deine Zugangsdaten vor 18:00 Uhr, um deine Änderungen nicht zu verlieren." Versendet an einem Freitag um 17:45 Uhr.

Ergebnisse: Auf E-Mail A fielen 2,5 % der Belegschaft herein; auf E-Mail B fielen 38,0 % herein, darunter auch Senior-Ingenieure.

1. a) Interpretiere die erhobenen Daten: Welche kognitiven, zeitlichen und kontextbezogenen Faktoren erklären den enormen Unterschied im Erfolg der beiden E-Mails?
2. b) Widerlege fachlich die Aussage einer Führungskraft: „Es reicht, die Beschäftigten besser zu schulen; schuld ist der Nutzer, der sich den Link nicht genau ansieht."
3. c) Schlage zwei technische Maßnahmen auf Systemebene (z. B. FIDO2-Sicherheitsschlüssel oder unternehmensweite Passwortmanager) vor, die den Diebstahl des Kontos verhindern, selbst wenn der Nutzer auf E-Mail B hereinfällt.

Ein Nutzer gibt in eine Suchmaschine „Zugang Kunden Nationalbank" ein. Das erste gesponserte Ergebnis (Anzeige) zeigt den Titel „Nationalbank - Kundenzugang", doch nach dem Klick zeigt die Adressleiste des Browsers: 'https://banc0naci0nal.es-web.net/login'.

1. a) Erkläre, worin sich dieser Angriffsvektor (Malvertising und Search-Engine-Poisoning) vom klassischen Phishing per E-Mail unterscheidet und warum er eine deutlich höhere Täuschungsrate erzielt.
2. b) Die betrügerische Website besitzt ein gültiges SSL/TLS-Zertifikat (das Schloss wird geschlossen in Grün/Grau angezeigt). Begründe den Unterschied zwischen der Verschlüsselung der Verbindung und der Authentifizierung der Identität des Website-Betreibers.
3. c) Entwirf zwei technische Gewohnheiten beim Surfen für kritische Dienste (Online-Banking, Behörden-E-Mail), die diesen Angriffsvektor vollständig unwirksam machen, ohne von den Ergebnissen der Suchmaschine abhängig zu sein.