Telefon: 0171 6294618

E-Mail: [email protected]

Menu

E-Mail-Marketing-Missbrauch

Phishing-Mail – gefälschte E-Mails und ihre technischen Spuren

Eine Phishing-Mail ist eine E-Mail, die unter einem täuschenden Vorwand zu einer Handlung verleiten soll: etwa zur Eingabe von Zugangsdaten, zur Preisgabe von Zahlungsinformationen, zum Öffnen einer schädlichen Datei oder zur Freigabe einer nicht berechtigten Zahlung. Häufig erscheint die Nachricht im Namen einer Bank, einer Softwareplattform, eines Lieferanten oder des eigenen Arbeitgebers.

Eine professionell geschriebene E-Mail ist nicht automatisch vertrauenswürdig. Ebenso beweist eine ungewöhnliche Absenderadresse allein keinen tatsächlichen Betrug. Für die Einordnung werden die vollständige Nachricht, ihre technische Herkunft, das tatsächliche Linkziel und die verlangte Handlung benötigt.

Wie unterscheiden sich Phishing-Mails von normalem Spam?

Spam bezeichnet unerwünschte oder massenhaft verbreitete Nachrichten. Eine solche Nachricht kann Werbung enthalten, ohne eine fremde Identität vorzutäuschen. Phishing ist dagegen eine Täuschungsmethode, die Menschen zur Preisgabe sensibler Informationen oder zu anderen schädlichen Handlungen bewegen soll.

Beide Begriffe können zusammenfallen: Ein Angreifer verschickt dieselbe gefälschte Kontowarnung an viele Empfänger. Eine persönlich auf ein Projekt zugeschnittene einzelne Nachricht wird dagegen häufig unter Spear-Phishing eingeordnet.

Auch reguläre Rechnungen und Sicherheitshinweise können ohne vorherige individuelle Aufforderung eintreffen. Die bloße unerwartete Zustellung ist deshalb kein ausreichender Beweis für einen Täuschungsversuch.

Welche Phishing-Mail-Muster kommen vor?

Gefälschte Kontosperrung

Eine Nachricht behauptet, das Firmenkonto werde innerhalb kurzer Zeit gesperrt. Der enthaltene Link führt auf ein nachgeahmtes Portal, das Zugangsdaten oder einen Bestätigungscode anfordert. Der echte Anbieter kann ebenfalls Kontowarnungen versenden; die Überprüfung sollte aber über seine bestätigten Kontaktwege erfolgen.

Vorgetäuschte Lieferantenrechnung

Eine E-Mail mit vertrautem Firmennamen nennt eine offene Rechnung und eine neue Bankverbindung. Wird die Änderung ohne unabhängige Kontrolle akzeptiert, kann eine Zahlung an einen falschen Empfänger erfolgen. Die bloße Rechnungskopie beweist noch nicht, ob das Originalkonto des Lieferanten kompromittiert wurde.

Falsche Zustellnachricht

Eine E-Mail im Namen eines Paketdienstes verlangt eine angebliche Nachzahlung oder Adressbestätigung. Solche Inhalte können zu einer täuschenden Zahlungsseite führen. Ein echter Versandfehler oder eine tatsächlich fällige Gebühr ist gesondert zu prüfen.

Schädliche Dateianhänge

Ein Anhang kann unter dem Namen einer Bewerbung oder Rechnung verbreitet werden. Der Schaden hängt von Dateityp, Sicherheitskonfiguration und tatsächlicher Ausführung ab. Ein PDF- oder Office-Dokument ist nicht automatisch gefährlich, nur weil es unerwartet ankommt.

Nachricht aus einem übernommenen Geschäftskonto

Ein Angreifer kann nach einem Account Takeover aus einer echten Mailbox schreiben. Empfänger sehen dann die übliche Adresse und möglicherweise einen bekannten Nachrichtenverlauf. Eine solche E-Mail kann die technischen Absenderprüfungen bestehen, obwohl ihr Inhalt nicht autorisiert ist.

Gefälschte Werbe- oder Plattformmeldung

Bei angeblichen Sperrungen eines Social-Media-Profils oder Werbekontos wird häufig eine erneute Anmeldung über einen fremden Link gefordert. Die Nachricht kann ein Markenlogo kopieren, ohne dass das ursprüngliche Plattformkonto gehackt wurde.

Was zeigen Absenderadresse und E-Mail-Header?

Eine E-Mail besitzt einen sichtbaren Absendernamen und technische Übertragungsinformationen. Der Anzeigename kann frei gewählt werden und ist deshalb kein verlässlicher Identitätsnachweis. Auch die angezeigte Absenderadresse allein zeigt nicht alle beteiligten Systeme.

In den vollständigen Headern können Informationen über Versandwege und Authentisierung enthalten sein. SPF, DKIM und DMARC helfen, bestimmte Absenderdomains und Signaturen zu prüfen. Bei einer Untersuchung sollten die Originalnachricht und die technischen Ergebnisse möglichst unverändert erhalten bleiben.

SPF prüft unter bestimmten Voraussetzungen, ob ein versendender Server für die verwendete technische Domain autorisiert ist. DKIM verwendet digitale Signaturen, um die Integrität bestimmter Nachrichtenbestandteile und eine verantwortliche Signaturdomain prüfbar zu machen. DMARC verbindet Domainabgleich und veröffentlichte Richtlinien zum Umgang mit fehlgeschlagenen Prüfungen.

Eine bestandene DMARC-Prüfung beweist nicht, dass die Nachricht inhaltlich berechtigt ist. Ein Angreifer kann eine eigene ähnlich aussehende Domain verwenden oder ein tatsächlich autorisiertes Konto missbrauchen. Auch eine fehlgeschlagene Prüfung muss wegen möglicher Konfigurationsfehler sachlich beurteilt werden.

Fiktiver Vorfall einer falschen Zahlungsbestätigung

Die Buchhaltung eines Unternehmens erhält eine E-Mail, die angeblich von einem langjährigen Dienstleister stammt. Die Nachricht verwendet dieselbe Rechnungsnummer wie die bisherige Korrespondenz und fordert eine Zahlung an ein neues Konto. Die Mitarbeiterin überprüft die Anweisung über die bisher bekannte Telefonnummer.

Der Dienstleister bestätigt die Änderung nicht. Die IT sichert die Originalnachricht und untersucht die Header. Die Informationen können helfen, zwischen einer frei gefälschten Absenderangabe und einer möglichen Kompromittierung einer echten Mailbox zu unterscheiden.

Die genaue Herkunft der Rechnungsnummer bleibt zunächst ungeklärt. Sie könnte beispielsweise aus einer anderen betroffenen Mailbox oder einem weitergeleiteten Dokument stammen. Eine Täterzuordnung wäre allein aus der Mail nicht gerechtfertigt.

Woran lassen sich verdächtige E-Mails erkennen?

  • Handlungsdruck: Zugangsdaten oder Zahlungen werden ohne übliche Freigaben gefordert.
  • Linkziel: Die tatsächliche Zieladresse entspricht nicht dem bekannten Dienst.
  • Absender: Angezeigter Name und technische Adresse passen nicht zusammen.
  • Kontowechsel: Ein Lieferant nennt plötzlich eine neue Bankverbindung ohne bestätigten Prozess.
  • Anhang: Eine Datei soll ohne nachvollziehbare geschäftliche Grundlage ausgeführt werden.
  • Vorgeschichte: Frühere echte E-Mails oder Projektnamen werden zur Erzeugung von Glaubwürdigkeit verwendet.

Auch eine fehlerfreie, höfliche Nachricht kann täuschend sein. Eine schlechte Grammatik ist dagegen kein sicherer Hinweis auf eine Straftat.

Was sollte nach dem Öffnen einer Phishing-Mail geschehen?

Die bloße Anzeige einer E-Mail, ein Klick auf einen Link und die tatsächliche Eingabe von Zugangsdaten sind unterschiedliche Vorgänge. Auch das Speichern eines Anhangs ist nicht dasselbe wie seine Ausführung. Für eine sinnvolle Reaktion sollte der konkrete Ablauf dokumentiert werden.

  • Die Originalnachricht mit Headern und gegebenenfalls Anhängen sichern.
  • Verdächtige Links nicht erneut auf einem normalen Arbeitsgerät testen.
  • Bei eingegebenen Zugangsdaten das betroffene Konto über einen vertrauenswürdigen Weg absichern.
  • Aktive Sitzungen und privilegierte Zugriffe bei begründetem Verdacht prüfen.
  • Bei ausgeführten Dateien eine Endpunktuntersuchung veranlassen.
  • Bei Zahlungsforderungen die Bank oder den bekannten Geschäftspartner unabhängig kontaktieren.

Ein Passwortwechsel auf einem weiterhin kompromittierten Gerät kann unzureichend sein. Bei möglichem Sitzungstoken-Diebstahl sind gegebenenfalls auch bestehende Anmeldungen zu widerrufen.

Wie können Unternehmen ihre E-Mail-Kommunikation absichern?

Das BSI empfiehlt für E-Mail-Systeme SPF, DKIM und DMARC sowie die Auswertung entsprechender Berichte. Eine korrekte Einführung muss die tatsächlichen Versanddienstleister und deren Konfiguration berücksichtigen. Zu strenge Richtlinien ohne vorherige Prüfung können legitime Geschäftsmails blockieren.

Auch klare interne Regeln für geänderte Bankverbindungen und sensible Freigaben sind nötig. Technische Authentisierung verhindert nicht jede Täuschung, die über eine echte übernommene Mailbox oder eine fremde ähnliche Domain erfolgt.

Welche rechtlichen Fragen entstehen?

Wer durch bewusst falsche Angaben Zahlungen erschleicht, kann unter den Voraussetzungen von § 263 StGB handeln. Ein unberechtigter Zugriff auf besonders geschützte Daten kann unter weiteren Voraussetzungen § 202a StGB betreffen. Nicht jede versendete Phishing-Mail erfüllt automatisch sämtliche denkbaren Straftatbestände.

Werden personenbezogene Daten tatsächlich verletzt, ist die DSGVO-Risikobewertung erforderlich. Eine empfangene Phishing-Nachricht allein begründet keine allgemeine Meldepflicht.

Häufige Fragen zur Phishing-Mail

Kann eine Phishing-Mail von der echten Firmenadresse kommen?

Ja. Ein kompromittiertes Originalkonto kann missbraucht werden.

Beweist eine bestandene DKIM- oder DMARC-Prüfung die Echtheit?

Sie belegt bestimmte technische Eigenschaften der Nachricht, nicht die geschäftliche Berechtigung der verlangten Handlung.

Ist das Öffnen einer E-Mail automatisch ein Datenabfluss?

Nein. Welche Informationen übertragen oder welche Dateien ausgeführt wurden, muss im Einzelfall geprüft werden.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei Phishing-Mails im Namen eines Unternehmens sollten zunächst Originalnachrichten, verdächtige Domains und mögliche Kontofolgen gesichert werden. BRANDPROTECTIONNOW begleitet Unternehmen bei der Analyse solcher Identitätsnachahmungen, der Dokumentation missbräuchlicher Markenauftritte und der Abstimmung technischer Gegenmaßnahmen mit spezialisierten Security-Partnern. Informationen bietet BRANDPROTECTIONNOW zum Markenschutz.

Fachquellen

Spam – unerwünschte Nachrichten, Werbung und betrügerische Inhalte

Spam bezeichnet unerwünschte, häufig massenhaft verbreitete Nachrichten oder Inhalte, die Empfänger ohne nachvollziehbaren Anlass erreichen. Besonders bekannt ist E-Mail-Spam. Der Begriff wird aber auch für unerwünschte Direktnachrichten, wiederkehrende Werbekommentare und automatisiert veröffentlichte Beiträge verwendet. Spam kann eine lästige Werbebotschaft, eine betrügerische Zahlungsforderung oder ein Hinweis auf eine gefährliche Website sein.

Nicht jede unverlangt erhaltene geschäftliche Nachricht ist automatisch strafbar. Auch technische Benachrichtigungen, vertraglich erforderliche Informationen und rechtmäßige Kundenkommunikation können ohne vorherige individuelle Nachfrage versendet werden. Für die rechtliche Einordnung sind Inhalt, Kommunikationsweg und gegebenenfalls die Einwilligung des Empfängers zu prüfen.

Wie wird Spam verbreitet?

E-Mail-Adressen können über öffentliche Websites, Datenlecks oder andere Quellen bekannt werden. Auch vom Nutzer selbst veröffentlichte Kontaktdaten können später für unerwünschte Werbung missbraucht werden. Spammer können Nachrichten über eigene Versandserver, kompromittierte Konten oder fremde Dienstleister verbreiten.

Auf öffentlichen Webseiten können Bots oder menschliche Betreiber ähnliche Texte unter viele Beiträge setzen. Bei sozialen Netzwerken stehen häufig wiederholte Direktnachrichten und künstliche Konten im Vordergrund. Die konkrete technische Methode ist vom Inhalt der Nachricht zu unterscheiden.

Die Bundesnetzagentur bietet für bestimmte Formen unerwünschter Werbung und Rufnummernmissbrauch Beschwerdewege an. Ihre Eingriffsmöglichkeiten unterscheiden sich jedoch nach dem betroffenen Kommunikationsdienst und dem Inhalt, etwa bei einer Werbe-E-Mail mit beworbener Telefonnummer.

Welche Arten von Spam gibt es?

Werbe-Spam per E-Mail

Eine Nachricht wirbt für ein Produkt oder eine Dienstleistung, obwohl der Empfänger den Versand nicht gewünscht hat und keine ausreichende rechtliche Grundlage vorliegt. Darunter können scheinbar persönliche Akquise-E-Mails oder massenhaft verschickte Newsletter fallen. Eine bloß hinterlegte Firmen-E-Mail-Adresse ist nicht automatisch eine Einwilligung in beliebige Werbung.

Phishing-Nachrichten

Phishing verwendet Täuschung, um Zugangsdaten oder andere Informationen zu erlangen. Eine solche Nachricht kann massenhaft als Spam versendet werden, muss aber nicht. Gezielte Einzelangriffe werden beispielsweise als Spear-Phishing bezeichnet.

Kommentar-Spam

Unter Blogartikeln oder sozialen Beiträgen erscheinen unerbetene Links, Produktwerbung oder wiederholte Botschaften. Comment Spam kann den Austausch mit echten Kunden erschweren. Auch eine negative Kundenmeinung kann sich wiederholen, ohne deshalb bereits Spam oder rechtswidrig zu sein.

Spam über Messenger

Direktnachrichten können Werbelinks, täuschende Gewinnangebote oder gefälschte Supportmeldungen verbreiten. Solche Vorgänge werden häufig als DM Spam beschrieben. Ein echter geschäftlicher Kontakt ist davon anhand der tatsächlichen Berechtigung und Nachricht zu unterscheiden.

Suchmaschinen-Spam

Spam kann auch in Form künstlicher Seiten, manipulativer Links oder missbräuchlicher Inhalte in Suchergebnissen auftreten. Google Search Central unterscheidet hier zahlreiche konkrete Verfahren. Nicht jeder schlecht geschriebene Artikel und nicht jeder externe Link ist automatisch Suchmaschinen-Spam.

Automatisierte Registrierungen

Bei Account Creation Fraud können massenhaft Konten erzeugt werden, die anschließend Spam veröffentlichen. Die Kontoerstellung ist dabei eine technische Voraussetzung, während die unerwünschten Beiträge eine spätere Aktivität darstellen.

Spam, Werbung und Phishing unterscheiden

Eine sachlich korrekte Werbung kann unzulässig sein, wenn sie ohne die erforderliche Einwilligung per E-Mail versendet wird. Ein Phishing-Versuch verfolgt dagegen einen täuschenden Zweck, etwa die Preisgabe von Zugangsdaten. Eine betrügerische Nachricht kann auch Spam sein, wenn sie massenhaft verteilt wird.

Bei einer unerwünschten Rechnung ist wiederum zu unterscheiden, ob tatsächlich ein Vertrag besteht, ob nur eine reguläre Zahlungserinnerung versendet wurde oder ob ein Dritter eine Bestellung vortäuscht. Die technische E-Mail-Herkunft ist nur ein Teil der Prüfung.

Welche Folgen hat Spam für Unternehmen?

Spam kann Postfächer und Moderationsbereiche mit unnötigen Nachrichten belasten. Beschäftigte müssen echte Kundenanfragen von Massenwerbung und betrügerischen Forderungen trennen. Wird der Firmenname in falschen Absenderangaben verwendet, können Beschwerden bei der nachgeahmten Organisation entstehen.

Eine hohe Zahl unerwünschter E-Mails beweist jedoch keinen Einbruch in die eigenen Systeme. Die Nachrichten können an öffentlich bekannte Adressen gesendet werden. Auch gefälschte Absenderanzeigen setzen nicht zwangsläufig einen Zugriff auf das echte E-Mail-Konto voraus.

Wirtschaftliche Folgen sind getrennt zu dokumentieren: Bearbeitungsaufwand, tatsächlich ausgeführte Zahlungen und mögliche Kontoangriffe sind verschiedene Sachverhalte.

Ein fiktiver Fall einer gefälschten Servicekampagne

Ein Hostinganbieter erfährt von Kunden, dass sie regelmäßig eine E-Mail mit seiner Markenbezeichnung erhalten. Die Nachricht fordert eine sofortige Verlängerungszahlung und nennt ein neues Zahlungskonto. Ein Teil der Empfänger nimmt an, es handele sich um die offizielle Rechnungsabteilung.

Der Anbieter sichert die Originalnachrichten und prüft die technischen Absenderinformationen. Die Mails stammen nicht aus dem eigenen Rechnungsprozess. Aus dem sichtbaren Firmennamen allein ergibt sich allerdings noch keine Übernahme der offiziellen E-Mail-Infrastruktur.

Der Anbieter informiert Kunden über die bekannten Rechnungswege und kann den Missbrauch der Markenidentität und konkrete betrügerische Zielseiten über die passenden Stellen melden.

Wie lässt sich Spam zuverlässig erkennen?

Ein auffälliger Betreff oder eine ungewöhnliche Sprache ist kein ausreichender Beweis. Betrüger können professionelle Vorlagen verwenden; umgekehrt können legitime kleine Firmen Fehler in ihrer Kommunikation machen. Die Prüfung sollte auf die Herkunft und geforderte Handlung zielen.

  • Absender: Entspricht die technische Absenderadresse dem bestätigten Kommunikationsweg?
  • Werbebezug: Liegt für die konkrete E-Mail-Werbung eine erforderliche Einwilligung oder gesetzliche Ausnahme vor?
  • Zieladresse: Führen Links auf die erwartete offizielle Website?
  • Wiederholung: Werden in kurzer Folge identische Inhalte an viele Empfänger verteilt?
  • Zahlungsforderung: Werden Geld oder sensible Informationen unter einem ungewöhnlichen Vorwand verlangt?
  • Alternative Gründe: Handelt es sich möglicherweise um eine berechtigte Vertragsnachricht?

Welche technischen Maßnahmen helfen?

E-Mail-Filter, geeignete Reputationsprüfungen und kontrollierte Moderation können unerwünschte Inhalte begrenzen. Für Unternehmensdomains können SPF, DKIM und DMARC helfen, bestimmte Absenderfälschungen zu erkennen und zu behandeln. Sie verhindern nicht, dass Dritte ähnliche Domains registrieren oder echte Konten kompromittieren.

  • Spamfilter auf Grundlage der tatsächlich empfangenen Nachrichten konfigurieren.
  • SPF, DKIM und DMARC für die eigene Versanddomain korrekt einrichten und auswerten.
  • Bestehende E-Mail-Konten mit geeigneter Authentisierung und Rechteverwaltung schützen.
  • Kommentarbereiche gegen wiederkehrende Werbeserien absichern.
  • Betrügerische Links und nachgeahmte Markenaccounts dokumentieren.
  • Automatische Filter auf die fälschliche Ablehnung wichtiger echter Kundenanfragen prüfen.

Was sagt § 7 UWG zu unerwünschter Werbung?

Nach § 7 UWG kann Werbung eine unzumutbare Belästigung darstellen. Für Werbenachrichten unter Verwendung elektronischer Post verlangt § 7 Abs. 2 im Regelfall eine vorherige ausdrückliche Einwilligung. § 7 Abs. 3 enthält eine eng begrenzte Ausnahme für Direktwerbung an Bestandskunden unter vier kumulativen Voraussetzungen, unter anderem für eigene ähnliche Waren oder Dienstleistungen und mit einem Widerspruchshinweis.

Die bloße Eintragung einer Adresse in ein öffentliches Unternehmensverzeichnis schafft keine allgemeine Erlaubnis für werbliche Massenmails. Umgekehrt ist eine E-Mail mit notwendigen Informationen zu einem bestehenden Vertrag nicht allein deshalb unzulässig, weil sie ohne eine neue Newsletter-Einwilligung ankommt.

Bei täuschenden Zahlungsforderungen können weitere Vorschriften einschlägig sein. Ein wettbewerbsrechtlicher Werbeverstoß ist jedoch nicht automatisch ein strafbarer Betrug.

Wo können Betroffene Spam melden?

Für verdächtige E-Mails besitzen viele Anbieter eine integrierte Spam- oder Phishing-Meldung. Bei betrügerischen Nachrichten unter einer fremden Markenidentität können auch Provider oder Plattformen einbezogen werden. Die Bundesnetzagentur bietet bestimmte Beschwerdewege für unerlaubte Werbung und Rufnummernmissbrauch an; sie ist nicht automatisch die zuständige Behörde für jede gewöhnliche Spam-E-Mail.

Wer eine Strafanzeige wegen eines tatsächlichen Betrugsverdachts erwägt, sollte die Originalnachricht, konkrete Zahlungsbelege und die verwendeten Zieladressen sichern. Eine unerwünschte Nachricht allein belegt noch keinen eingetretenen Vermögensschaden.

Häufige Fragen zu Spam

Ist jede unverlangte E-Mail Spam im rechtlichen Sinn?

Nein. Werbung, Vertragsinformationen und betrügerische Nachrichten unterliegen unterschiedlichen Regeln.

Verhindert DMARC sämtliche betrügerischen E-Mails?

Nein. Die Technik betrifft bestimmte Prüfungen der Absenderdomain und schützt nicht automatisch vor ähnlich benannten Fremddomains oder übernommenen Konten.

Kann ein echter Kunde versehentlich im Spamfilter landen?

Ja. Filterentscheidungen können falsch sein und sollten bei geschäftlichen Postfächern kontrolliert werden.

Wo können betroffene Unternehmen Hilfe erhalten?

Bei wiederkehrendem Spam unter dem eigenen Firmennamen sollten Unternehmen zunächst Absenderdaten, betroffene Konten und mögliche Phishing-Ziele dokumentieren. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung solcher Kampagnen, der Dokumentation von Marken- und Identitätsmissbrauch und der Abstimmung technischer Maßnahmen mit spezialisierten Security-Partnern. Für gefälschte Unternehmensidentitäten führt der passende Leistungsbereich zu BRANDPROTECTIONNOW Markenschutz.

Fachquellen

Spoofing – gefälschte Absender, Domains und Identitäten erkennen

Spoofing bezeichnet das Vortäuschen einer anderen technischen oder geschäftlichen Herkunft. Ein Angreifer verändert beispielsweise die angezeigte E-Mail-Adresse, eine Rufnummer, bestimmte Netzwerkangaben oder die Darstellung einer Website, damit eine Kommunikation vertrauenswürdig erscheint. Das eigentliche Ziel kann von einer unerbetenen Werbenachricht bis zum Diebstahl von Zugangsdaten oder einer betrügerischen Zahlung reichen.

Eine abweichende technische Kennung ist nicht automatisch ein Angriff. Unternehmenssysteme dürfen im Auftrag anderer Dienste E-Mails versenden, Telefonnummern können rechtmäßig übermittelt werden und Testumgebungen verwenden simulierte Netzwerkinformationen. Für einen Spoofing-Vorwurf sind die tatsächliche Berechtigung und der mögliche Täuschungszweck zu untersuchen.

Was bedeutet Spoofing technisch?

Digitale Kommunikation besteht aus mehreren Informationen über Absender, Empfänger und Übertragungsweg. Manche Angaben werden vom sendenden System erstellt und nicht in jedem Kommunikationsprotokoll gleichermaßen überprüft. Ein Empfänger kann deshalb eine sichtbare Identität sehen, die nicht mit dem tatsächlichen Ursprung der Nachricht übereinstimmt.

Die Art der Täuschung hängt vom Medium ab. Eine gefälschte E-Mail-Absenderanzeige beruht auf anderen technischen Eigenschaften als eine manipulierte Rufnummer oder ein missbrauchter DNS-Eintrag. Ein einzelnes Schutzverfahren kann deshalb nicht sämtliche Spoofing-Varianten abdecken.

Beim geschäftlichen Identitätsmissbrauch werden häufig weitere Elemente wie Logos, Vorlagen und vertraut wirkende Texte eingesetzt. Technische Absenderfälschung und inhaltliche Täuschung können zusammen auftreten, müssen es aber nicht.

Welche Formen von Spoofing treten auf?

E-Mail-Spoofing

Eine E-Mail wird so dargestellt, als komme sie von einer anderen Person oder Domain. Absenderprüfungen durch SPF, DKIM und DMARC können bestimmte Fälschungen erkennen, schützen aber nicht gegen jede missbräuchliche Nachricht. Ein tatsächlich übernommenes Originalkonto kann technisch korrekt authentifizierte E-Mails versenden.

Caller-ID-Spoofing

Bei der Rufnummernmanipulation erscheint auf dem Display unter Umständen eine Nummer, die nicht zum tatsächlichen Anrufer gehört. Betrüger können damit eine Bank, eine Behörde oder ein Unternehmen nachahmen. Die Bundesnetzagentur stellt für Beschwerden zu manipulierten Rufnummern eigene Informationen und Meldeverfahren bereit.

Domain-Spoofing und ähnliche Adressen

Eine fremde Website oder E-Mail-Adresse kann wie der offizielle Unternehmensauftritt gestaltet werden. Bei Lookalike Domains oder Typosquatting entsteht die Verwechslung häufig durch eine ähnlich geschriebene Domain. Diese Variante benötigt keine Übernahme des echten Unternehmensservers.

DNS-Spoofing

Werden Informationen der Namensauflösung manipuliert, kann ein Nutzer trotz erwarteter Domain zu einem anderen technischen Ziel gelangen. DNS Hijacking ist ein verwandter Begriff, der den missbräuchlichen Eingriff in die Auflösung oder ihre Konfiguration beschreibt. Die technische Ursache muss im jeweiligen Netzwerk untersucht werden.

IP-Spoofing

Bei bestimmten Netzwerkpaketen kann eine andere Quell-IP-Adresse angegeben werden als die tatsächlich verwendete. Solche Verfahren können beispielsweise in bestimmten DDoS-Szenarien eine Rolle spielen. Die gefälschte Quelladresse ist jedoch nicht automatisch eine erfolgreiche Anmeldung oder eine bestätigte Täteridentität.

Website- und Profilimitation

Ein fremdes Konto oder eine Seite kann den Eindruck eines offiziellen Kundendienstes erzeugen. Bei Brand Impersonation geht es besonders um die nachgeahmte Marke. Eine solche Täuschung ist auch ohne technisch gefälschte E-Mail-Header möglich.

Wie hängen Spoofing und Phishing zusammen?

Phishing ist eine Täuschung, durch die eine Person beispielsweise Zugangsdaten preisgeben soll. Spoofing kann die dafür verwendete falsche Herkunft glaubwürdiger machen. Eine Phishing-Seite kann jedoch auch ohne technische Absenderfälschung über eine fremde Domain beworben werden.

Umgekehrt können gefälschte Absenderinformationen für andere Zwecke verwendet werden, etwa zur Verschleierung unerwünschter Werbung. Nicht jede Nachricht mit falscher Kennung enthält automatisch einen Link zum Datendiebstahl.

Welche Schäden können Marken und Unternehmen entstehen?

Kunden können eine falsche Rechnung begleichen oder Informationen an eine nachgeahmte Servicestelle übermitteln. Das echte Unternehmen erhält möglicherweise Beschwerden über Nachrichten, die es nie versendet hat. Solche Fälle können den Aufwand für den Kundendienst und die öffentliche Kommunikation vergrößern.

Ein gefälschter Absendername belegt keinen Zugriff auf die echte Mailbox. Auch eine SMS mit einer bekannten Firmennummer bedeutet nicht zwangsläufig, dass die Mobilfunktechnik des Unternehmens kompromittiert ist. Der Ursprung und die tatsächlichen Folgen müssen unabhängig voneinander untersucht werden.

Ein fiktiver Fall einer gefälschten Lieferantennummer

Ein mittelständischer Händler erhält einen Anruf, auf dessen Display die bekannte Nummer seines Logistikdienstleisters erscheint. Der Anrufer bittet um eine Änderung der Zahlungsdaten für eine angeblich offene Rechnung. Die Buchhaltung überprüft die Anweisung anschließend über die bekannte zentrale Kontaktstelle.

Dort bestätigt niemand die Zahlung. Die angezeigte Nummer war damit kein ausreichender Identitätsnachweis. Der Händler dokumentiert Uhrzeit, Inhalt und verfügbare Kommunikationsdaten. Für eine konkrete Täterfeststellung sind weitere Ermittlungen erforderlich; die sichtbare Rufnummer allein genügt nicht.

Wie untersucht man einen Spoofing-Verdacht?

Die benötigten Belege hängen vom Kommunikationsweg ab. Bei E-Mails sind Originalnachricht und Header hilfreich; bei Anrufen kommen Verbindungsinformationen und vorhandene Gesprächsnotizen in Betracht. Bei Domains werden tatsächliche URLs, Inhalte und gegebenenfalls Weiterleitungsketten dokumentiert.

  • Behauptete Identität: Welche Person oder Organisation wird als Absender dargestellt?
  • Technische Herkunft: Welche Kennungen und Übertragungsinformationen liegen tatsächlich vor?
  • Verlangte Handlung: Soll der Empfänger Daten, Geld oder eine besondere Freigabe übermitteln?
  • Gegenprüfung: Bestätigt die vermeintliche Organisation den Vorgang über etablierte Kontaktwege?
  • Weitere Schäden: Sind tatsächliche Kontoübernahmen oder Zahlungen erkennbar?
  • Erklärungsalternativen: Können legitime Dienstleister, Weiterleitungen oder Konfigurationsfehler die Abweichung erklären?

Welche Schutzmaßnahmen können helfen?

Für Unternehmens-E-Mails empfiehlt das BSI die geeignete Einrichtung von SPF, DKIM und DMARC. Diese Systeme prüfen bestimmte Eigenschaften von Versanddomains. Ein sauberer DMARC-Eintrag verhindert aber nicht, dass Täter eine neue ähnlich benannte Domain registrieren.

Für Zahlungs- und Kontovorgänge sollten Unternehmen unabhängige Bestätigungsschritte vorsehen. Eine im Display angezeigte Rufnummer oder die bekannte Unterschrift eines Vorgesetzten ist dafür kein ausreichender Ersatz.

  • SPF, DKIM und DMARC für eigene Versanddienste korrekt konfigurieren und auswerten.
  • Offizielle Domains und Kontaktnummern klar veröffentlichen.
  • Zahlungs- und Zugangsanweisungen über bereits bestätigte zweite Wege prüfen.
  • Nachgeahmte Markenprofile und verwechselbare Domains dokumentieren.
  • Bei einem bestätigten Kontoangriff Sitzungen und Berechtigungen gesondert sichern.
  • Technische Fehlalarme gegen tatsächliche Beweise abgleichen.

Welche rechtlichen Fragen können betroffen sein?

Spoofing ist keine einheitliche Straftatbezeichnung. Je nach Vorgehen können Betrug, das Ausspähen von Daten oder andere Tatbestände zu prüfen sein. Für bewusst erschlichene Zahlungen kann unter den gesetzlichen Voraussetzungen § 263 StGB einschlägig sein.

Die unberechtigte Verwendung geschützter Marken kann im konkreten geschäftlichen Zusammenhang § 14 MarkenG betreffen. Der technische Hinweis auf eine manipulierte Nummer oder Domain genügt jedoch nicht allein für eine sichere rechtliche Einordnung.

Häufige Fragen zu Spoofing

Beweist eine bekannte Telefonnummer, wer anruft?

Nein. Die angezeigte Nummer kann unter bestimmten Umständen gefälscht sein.

Kann eine Phishing-Mail eine echte Absenderdomain verwenden?

Ja. Wenn ein echtes Konto übernommen wurde, kann die Mail technisch authentifiziert sein.

Ist jede ähnlich geschriebene Domain illegal?

Nein. Maßgebend sind Rechte, berechtigte Interessen und die tatsächliche Verwendung.

Wo können betroffene Unternehmen Hilfe erhalten?

Wenn der Unternehmensname in falschen E-Mails, Anrufen oder Domains verwendet wird, sollten die konkreten Nachrichten, Kennungen und möglichen Kundenfolgen dokumentiert werden. BRANDPROTECTIONNOW begleitet Unternehmen bei der Untersuchung digitaler Identitätsnachahmungen und der Vorbereitung geeigneter Provider- und Plattformmeldungen. Technische Konten- und Netzwerksicherungen können mit spezialisierten Security-Partnern abgestimmt werden. Weitere Informationen bietet BRANDPROTECTIONNOW zum digitalen Markenschutz.

Fachquellen

Unsubscribe Abuse

Unsubscribe Abuse bezeichnet den Missbrauch von Abmeldefunktionen in E-Mails. Entweder führen gefälschte Abmeldelinks zu Phishing- oder Malware-Seiten, oder der Klick dient Spammern als Bestätigung, dass eine Adresse aktiv gelesen wird.

So funktioniert Unsubscribe Abuse

Seriöse Newsletter müssen eine einfache Abmeldung ermöglichen, und Empfänger haben gelernt, diesen Links zu vertrauen. Spammer nutzen das aus: Wer sich von einer unerwünschten Mail abmelden will, signalisiert, dass hinter der Adresse ein Mensch steht. Solche bestätigten Adressen sind für weitere Kampagnen wertvoller. In anderen Fällen ist die Abmeldeseite selbst eine Falle, die Zugangsdaten abfragt. Profiteure sind Spam- und Phishing-Akteure. Für Unternehmen leidet das Vertrauen in legitime Abmeldelinks und damit in ihre eigenen Newsletter.

Beispiel

Eine Mitarbeiterin klickt in einer dubiosen Werbemail auf „Abmelden“. Statt Ruhe erhält ihr Postfach in den Folgewochen deutlich mehr Spam, teils mit Bezug auf ihren Arbeitgeber.

Warnsignale und Schutz

  • Abmeldeseiten, die Passwörter oder persönliche Daten verlangen
  • Mehr Spam nach Abmeldeversuchen
  • Abmeldelinks zu fremden, unbekannten Domains

Markieren Sie unbekannte Massenmails als Spam, statt deren Abmeldelinks zu klicken. Mehr dazu im Schutzbereich Blackhat-Angriffe.