Spoofing

Spoofing ist das Vortäuschen einer falschen Identität, häufig im Rahmen krimineller Tätigkeiten. In der IT kann dies z. B. durch E-Mails geschehen, die angeblich von vertrauenswürdigen Absendern stammen. Der Begriff leitet sich ab vom englischen Verb „spoof“, zu Deutsch täuschen, beschwindeln.

Was bedeutet Spoofing im Detail?

Spoofing ist ein Vorgehen, das für unterschiedliche kriminelle Aktivitäten genutzt wird. Zu den möglicherweise vorgetäuschten vertrauenswürdigen Identitäten gehören:

• Ihre Bank
• Ein bekanntes Unternehmen wie Amazon, Ebay oder Paypal
• Die Polizei oder eine andere Behörde
• Einer Ihrer Dienstleister, Kunden oder sogar Ihr Geschäftsführer
• Freunde, Bekannte oder Familienangehörige

Durch das Vortäuschen einer solchen vertrauenswürdigen Identität können Nutzer u. a. dazu gebracht werden:

• Kompromittierte Websites zu besuchen, von denen aus Schadprogramme (Malware) auf ihren Computer geladen werden
• Benutzernamen, Passwörter oder sogar Ihre Bankdaten preiszugeben, indem sie diese auf einer gefälschten Webseite eingeben
• Sensible Unternehmensinformationen zu verraten oder große Geldsummen an ein Konto zu überweisen, z. B. wenn sich die Betrüger als Vorgesetzte ausgeben (CEO Fraud)
• E-Mail-Anhänge zu öffnen, in denen sich Malware wie z. B. Keylogger oder Ransomware verbirgt.
• Auch Erpressungsversuche werden über Spoofing unternommen, z. B. unter der Identität eines angeblichen IT-Experten. Dieser behauptet, bestimmte Aktivitäten seines Opfers beobachtet und dokumentiert zu haben. Häufig sind diese Aktivitäten peinlicher Natur. Um eine Veröffentlichung zu vermeiden, soll das Opfer Lösegeld zahlen.

Wo begegnet mir das Thema „Spoofing“ im Arbeitsalltag?

Potentiell begegnet es Ihnen bei jeder E-Mail und in jedem Link, der für Sie nicht klar lesbar ist. Auch am Telefon kann Spoofing betrieben werden, z. B. indem sich ein Anrufer als Ihr Administrator ausgibt und Sie nach Ihrem Passwort fragt.

Was kann ich tun, um meine Sicherheit zu verbessern?

Ganz allgemein: Verringern Sie Ihre Cyberrisiken. Dadurch verringern Sie auch die Erfolgsaussichten eines Spoofings. Konkret:

• Gehen Sie kritisch mit E-Mails um. Überprüfen Sie beim geringsten Zweifel die Identität des Absenders außerhalb Ihres E-Mails Programms. Also z. B. durch einen kurzen Anruf oder durch den Besuch der  Webseite. Nutzen Sie hierfür nicht die Kontaktdaten aus der verdächtigen E-Mail, sondern Informationen aus Ihrem Adressbuch oder offiziellen Kanäle.
• Sensibilisieren Sie alle Mitarbeitenden Ihres Unternehmens für dieses Vorgehen, auch Ihre Administratoren, Geschäftsführer und Vorstände. Die o. g. kurzen Anrufe können Ihr Unternehmen vor großem Schaden bewahren.
• Klicken Sie niemals auf Links in E-Mails, um zu Ihrem Kundenkonto zu gelangen. Rufen Sie die betreffenden Webseiten manuell auf und loggen Sie sich wie üblich in Ihr Kundenkonto ein. Häufig erweisen sich dann überraschende Rechnungen oder angebliche Sicherheitsüberprüfungen als nicht existent.
• Überprüfen Sie bei Links die tatsächliche Adresse, zu welcher dieser Link führt. Beim geringsten Zweifel klicken Sie ihn nicht an. Rufen Sie die gewünschte Seite manuell auf.
• Bringen Sie Erpressungsversuche immer zur Anzeige. So absurd und unpassend sie oft sind, es handelt sich um Straftaten.