Erpressermail

Hinweis: Dieser Hilfeartikel gilt nur für Surf Mail, Mailhosting und Hosted Exchange. Wenn Sie nicht sicher sind, welchen Maildienst Sie verwenden, finden Sie weitere Informationen im folgenden Artikel.

https://www.green.ch/de/welchen-maildienst-verwende-ich

Was ist eine Erpressermail?

Eine Erpressermail ist eine E-Mail, in der versucht wird, Sie durch Drohungen zur Zahlung eines Geldbetrags zu bewegen. Häufig behaupten die Absender, sie hätten Zugriff auf Ihren Computer, Ihre Webcam, Ihr E-Mail-Konto oder persönliche Daten.

Typische Behauptungen in Erpressermails sind:

Der Computer oder das E-Mail-Konto sei gehackt worden.
Die Webcam habe kompromittierende Aufnahmen erstellt.
Passwörter oder persönliche Daten seien gestohlen worden.
Private Informationen würden veröffentlicht, falls keine Zahlung erfolgt.
Ein aktuelles oder früher verwendetes Passwort wird als angeblicher Beweis genannt.

In vielen Fällen handelt es sich um Betrugsversuche oder Massenversand-Nachrichten ohne tatsächlichen Zugriff auf Ihre Geräte oder Konten.

Woran erkennen Sie eine Erpressermail?

Erpressermails enthalten häufig folgende Merkmale:

Forderung einer Zahlung, oft in Kryptowährungen.
Drohungen mit der Veröffentlichung persönlicher Daten.
Behauptungen über einen angeblichen Hackerangriff.
Zeitdruck durch kurze Fristen oder Countdowns.
Verwendung eines alten oder bereits bekannten Passworts.
Unpersönliche oder allgemein formulierte Texte.
Allgemeine Behauptungen ohne konkrete technische Nachweise.

Warum erscheint Ihre eigene E-Mail-Adresse als Absender?

Viele Erpressermails verwenden gefälschte Absenderadressen. Teilweise erscheint sogar Ihre eigene E-Mail-Adresse als Absender.

Dieses Verfahren wird als Spoofing bezeichnet. Dabei wird die sichtbare Absenderadresse technisch gefälscht, ohne dass das betreffende E-Mail-Konto tatsächlich kompromittiert wurde.

Eine E-Mail mit Ihrer eigenen Adresse als Absender ist daher nicht automatisch ein Hinweis darauf, dass Ihr Postfach gehackt wurde.

Technologien wie SPF, DKIM und DMARC helfen dabei, die Echtheit von E-Mails nachzuweisen. Sie verhindern jedoch nicht, dass Angreifer versuchen, eine sichtbare Absenderadresse zu fälschen.

Weitere Informationen:

https://www.green.ch/de/mail-spoofing-erklaert

https://www.green.ch/de/was-tun-bei-so-viel-spam/was-ist-spam/spoofing

https://www.green.ch/de/spoofing-alles-darueber

https://www.green.ch/de/spoofing-erpresser

Wurde Ihr Konto wirklich gehackt?

Eine Erpressermail allein ist kein Beweis für einen erfolgreichen Angriff.

Besonders häufig handelt es sich um einen Betrugsversuch, wenn:

kein korrektes Passwort genannt wird
keine konkreten technischen Details genannt werden
keine tatsächlichen Nachweise vorgelegt werden
die Nachricht nur allgemeine Behauptungen enthält

Wird ein aktuelles oder früher verwendetes Passwort genannt, stammt dieses häufig aus älteren Datenlecks anderer Dienste und nicht zwingend aus Ihrem aktuellen E-Mail-Konto.

Wie sollten Sie reagieren?

Bleiben Sie ruhig und zahlen Sie kein Geld.
Antworten Sie nicht auf die Nachricht.
Klicken Sie keine Links oder Schaltflächen in der Nachricht an.
Öffnen Sie keine Anhänge.
Bewahren Sie die E-Mail als Nachweis auf oder verschieben Sie sie in den Spam-Ordner.
Prüfen Sie Ihre Geräte mit einer aktuellen Antiviren- oder Antimalware-Software.
Prüfen Sie, ob das genannte Passwort noch verwendet wird.
Ändern Sie betroffene Passwörter vorsorglich.
Verwenden Sie für jedes Konto ein eigenes Passwort.
Aktivieren Sie wenn möglich eine Mehrfaktor-Authentifizierung.

Was tun, wenn ein genanntes Passwort tatsächlich stimmt?

In vielen Erpressermails werden Passwörter verwendet, die aus älteren Datenlecks stammen. Das bedeutet nicht automatisch, dass Ihr aktuelles E-Mail-Konto kompromittiert wurde.

Falls das genannte Passwort noch verwendet wird:

Ändern Sie das Passwort sofort.
Verwenden Sie ein neues, einzigartiges Passwort.
Ändern Sie das Passwort auch bei anderen Diensten, falls dort dasselbe Passwort verwendet wurde.
Aktivieren Sie wenn möglich eine Mehrfaktor-Authentifizierung.

Weitere Informationen:

https://www.green.ch/de/sicheres-passwort

https://www.green.ch/de/mfa-fuer-webmailer

Wann besteht tatsächlich Handlungsbedarf?

Eine Erpressermail allein ist kein Beweis für einen erfolgreichen Angriff.

Prüfen Sie zusätzlich, ob folgende Anzeichen vorliegen:

Unbekannte Anmeldungen in Ihrem Konto.
Passwortänderungen, die Sie nicht selbst durchgeführt haben.
Versendete E-Mails, die nicht von Ihnen stammen.
Veränderte Kontoeinstellungen oder Weiterleitungen.
Ungewöhnliche Aktivitäten auf Ihren Geräten.

Prüfen Sie insbesondere, ob unerwartete Weiterleitungen eingerichtet wurden oder Nachrichten versendet wurden, die nicht von Ihnen stammen.

Hinweis: Falls Sie Anzeichen für einen tatsächlichen Kontozugriff feststellen oder weiterhin ungewöhnliche Aktivitäten auftreten, wenden Sie sich an den Support.

Zusätzliche Sicherheitsmassnahmen

Verwenden Sie starke und einzigartige Passwörter.
Aktualisieren Sie Betriebssysteme und Programme regelmässig.
Prüfen Sie Geräte regelmässig auf Schadsoftware.
Aktivieren Sie verfügbare Mehrfaktor-Authentifizierung.
Geben Sie niemals Zugangsdaten auf Webseiten ein, die Sie über verdächtige E-Mails erreicht haben.

Weitere Informationen zu Phishing und gefälschten E-Mails:

https://www.green.ch/de/achtung-phishing-gefaelschte-e-mails-im-umlauf

https://www.green.ch/de/phishing-kampagnen

Wie können Sie die Herkunft einer verdächtigen E-Mail prüfen?

Die tatsächliche Herkunft einer E-Mail lässt sich häufig über den vollständigen E-Mail-Header analysieren. Der Header enthält technische Informationen über den Versandweg einer Nachricht.

Weitere Informationen:

https://www.green.ch/de/mail-header-analysieren

Bin ich gehackt worden?!

Ich kann Sie schon mal beruhigen.

Es ist ein "Klassiker" mit Angstmacherei und zu behaupten, dass man die Mailadresse gehackt hat.

Ich Wirklichkeit tarnt er nur seine Mailadresse als eine andere Mailadresse.

Das nennt man Spoofing.
Solange er nicht Ihr Passwort erwähnt, das er erraten hat, hat er sich nicht reingehackt.

Der Letzte "Übeltäter” hat von einer Gmail-Adresse aus von Arabien diese Mail geschickt und hatte nichts gehackt oder sonst was gemacht.

Ich empfehle Ihnen diese Mail zu behalten und eine Anzeige wegen Erpressung bei der

NCSC (Nationales Zentrum für Cybersicherheit)

www.ncsc.admin.ch/ncsc/de/home/infos-fuer/infos-private.html

zu melden.
Mein letzter Kunde meldete mir, dass der Erpresser mit Hilfe der Informationen in dieser Mail geschnappt werden konnte, deswegen weichen diese Texte nun auch ab(der Geldwert erhöht sich zum Bsp), aber der Inhalt bleibt gleich.

Wir haben im Moment einige Fälle, die das gleiche Phänomen hatten wie Sie.

Hier handelt es sich um Mails, die "maskiert" werden, sogenannte Spoofing Mails.

Diese Mails kann man "nicht verhindern" weil das sogar auf jedem Regulären Mailprogramm möglich ist, die Absender Adresse einzugeben und somit zu "fälschen".

Mit dem DKIM/DMARC oder die Option für ein "Echtheitszertifikat" (zum Bsp. Swisssign)
wird nur dafür gesorgt, dass der Empfänger sicher sein kann, dass es von Ihnen persönlich versendet wurde.

Um rauszufinden, wer hier sich maskiert mit einer solche Mailadresse,

können Sie den Header/Quelltext der Mail extrahieren und in den Header Analyzer einfügen, um den untersuchen zu lassen.

mxtoolbox.com/EmailHeaders.aspx

Der Header enthält für die technische Zustellung einer E-Mail notwendigen Informationen.

Zur Sicherheit hier einmal eine Anleitung, wie ein Header aus einer Mail erhalten werden kann:

www.dogado.de/faq/webhosting/so-finden-sie-den-e-mail-header/

support.zixcorp.com/app/answers/detail/a_id/948/kw/header

Ich nenne es gerne den "Staubfilter" oder das "Tagebuch" der Mails, wo man sieht, welchen Weg es genommen hat und was für Filter darauf reagiert haben.

Wenn jemand sein Mail tarnt mit einer anderen Mailadresse, nennt man das Spoofing.