Covid-19 Phishing Attacken

• Germany

• Privacy, data protection and cybersecurity

23-03-2020

Was passiert gerade?

Auch in Ausnahmezeiten wie der Bekämpfung des Corona-Virus dürfen Unternehmen ihre digitale Sicherheit nicht vernachlässigen. Laut der European Union Agency for Cybersecurity (ENISA) ist momentan eine starke Zunahme von sog. Phishing Attacken zu beobachten. Dabei nutzen Cyber-Kriminelle die aktuell verbreitete Verunsicherung in Bezug auf den Corona-Virus aus und versuchen, Zugang zu vertraulichen Informationen zu erhalten.

Was ist Phishing?

Bei Phishing Attacken handelt es sich um betrügerische Vorgehen, um Nutzer zur Preisgabe vertraulicher Informationen, z.B. Zugangsdaten oder Bank- und Kreditkartendaten, zu bewegen.

Dazu versenden Cyber-Kriminelle typischerweise E-Mails oder Messenger-Nachrichten, die scheinbar von einer legitimen Quelle wie einer Bank, bekannten E-Commerce-Anbietern oder einer staatliche Institution stammen. In diesen Nachrichten finden sich regelmäßig Links oder Anhänge, die der Nutzer öffnen soll. Die Links bzw. Anhänge leiten den Nutzer anschließend auf manipulierte Internetseiten weiter, welche zum Abgreifen der vertraulichen Informationen konzipiert wurden.

Anders als noch in Vergangenheit wirken diese Nachrichten inzwischen oft authentisch. Dies führt leider dazu, dass immer häufiger Nutzer auf diese Täuschung hereinfallen und vertrauliche Informationen preisgeben. Im Fall von Zugangsdaten können dadurch ganze Systeme kompromittiert werden.

Inwiefern können Unternehmen betroffen sein?

Auch Unternehmen wurden bereits mehrfach Opfer von Phishing Attacken. Es kommt momentan z.B. zum Versand von einer englischsprachigen, angeblich von der WHO stammenden E-Mail. Darin wird behauptet, dass die Weltgesundheitsorganisation ein kostenloses E-Book über wichtige Corona-Virus Schutzmaßnahmen zusammengestellt habe, das der E-Mail auch gleich als Zip-Archiv angehängt ist. Die WHO hat inzwischen klargestellt, dass es sich dabei um eine Phishing E-Mail handelt.

Wie erkenne ich Phishing Attacken?

• Stammt die E-Mail von einer gefälschten Absender - Adresse?
• Werden vertrauliche Daten abgefragt?
• Wird dringender Handlungsbedarf vorgetäuscht?
• Befindet sich ein Link zu gefälschten Webseiten in der E-Mail?

• Ist die E-Mail von sprachlichen Ungenauigkeiten (z.B. unpersönliche Anrede) und Rechtschreibfehlern geprägt?

Was kann ich jetzt tun und worauf muss ich achten?

Das Bundesamt für Sicherheit und Informationstechnik (BSI) empfiehlt folgendes Vorgehen:

• Sie sollten unter keinen Umständen auf Links in einer dubiosen E-Mail klicken. Wenn Sie sich unsicher sind, sollten sie versuchen die im E-Mail-Text genannte Seite über die Homepage der betreffenden Organisation zu erreichen – also ohne den angegebenen Link direkt anzuklicken und abzutippen.
• Halten Sie es für möglich, dass eine E-Mail berechtigter Weise nach vertraulichen Daten fragt, kontaktieren sie den genannten Anbieter via Telefon.
• Unter keinen Umständen sollten Sie persönliche Daten wie Passwörter, Kreditkarten- oder Transaktionsnummern via E-Mail preisgeben – dies gehört nicht zum Vorgehen von seriösen Absendern.
• Nutzen Sie keine in einer E-Mail enthaltenen Download-Links, wenn Sie nicht absolut sicher sind, dass von diesen keine Gefahr ausgeht. Besuchen Sie für einen Download unmittelbar die Homepage des Anbieters und starten Sie dort den Download.
• Gehen Sie sorgsam mit persönlichen Daten um. Kommt Ihnen irgendetwas dubios vor, so brechen Sie unmittelbar die Verbindung ab und kontaktieren den Website-Betreiber.
• Öffnen Sie unter keinen Umständen Anhänge einer verdächtigen E-Mail.
• Kontrollieren Sie regelmäßig die Umsätze sowie den Saldo Ihres Bankkontos. Kontaktieren Sie bei Auffälligkeiten umgehend Ihre Bank.
• Achten Sie darauf, dass Sie nicht Ihre persönliche Daten auf Webseiten mit unverschlüsselter Verbindung preisgeben. Ob eine Website verschlüsselt mit Ihrem Browser kommuniziert, erkennen Sie an der Abkürzung "https://" in der Adresszeile sowie an dem Vorhängeschloss- Symbol neben der Adresszeile des Browsers.

• Besonders wichtig ist, dass Ihre Antivirus-Software auf dem neuesten Stand und Ihre Firewall aktiviert ist.

Was muss ich aus (datenschutz-)rechtlicher Sicht wissen?

Sollten Sie oder Ihre Mitarbeiter Opfer einer erfolgreichen Phishing Attacke geworden sein, so müssen Sie umgehend Schutzmaßnahmen zu Wiederherstellung der Datensicherheit ergreifen. Darüber hinaus müssen Sie unverzüglich prüfen, ob eine meldepflichtige “Datenpanne” im Sinne von Art. 33 DS-GVO vorliegt und Sie innerhalb von 72 Stunden die zuständige Datenschutzaufsichtsbehörde informieren müssen.