Security to go - Newsletter

Jeder mit einer E-Mail-Adresse hat sie schonmal bekommen: Die Nachricht über einen unbekannten aber plötzlich verstorbenen Onkel, der einem Reichtümer hinterlassen hat, oder die Nachricht vom Prinzen im Ausland, der um Hilfe bittet sein Vermögen zu verstecken. Während diese Art der E-Mails von den meisten Menschen inzwischen als Spammail erkannt werden, gibt es auch dank KI immer mehr E-Mails, die so aussehen, als kämen sie von der eigenen Bank oder dem eigenen Arbeitgeber.

Phishingmails sind immer noch eine der häufigsten Arten von Cyberangriffen und selbst mit guten Filtern schafft es die ein oder andere noch in Ihren Posteingang und landet nicht automatisch im Spamordner. Laut BSI ist jede dritte unerwünschte E-Mail ein Phishingversuch.

Was ist Phishing eigentlich?

Phishing bezeichnet den betrügerischen Versuch, über gefälschte Kommunikation an sensible Daten wie Passwörter, Zugangsdaten oder Kreditkarteninformationen zu gelangen. Die Angreifer geben sich dabei als vertrauenswürdige Absender aus – etwa Banken, Vorgesetzte oder bekannte Dienste – um Sie zum Klicken auf Links, der Eingabe Ihrer Daten oder dem Öffnen von Anhängen zu bewegen.

Unterschiedliche Arten unerwünschter Mails

Nicht jede unerwünschte E-Mail ist gleich gefährlich, aber viele Spam/Phishing-Versuche folgen erkennbaren Mustern, die Sie erkennen können sollten.

Die folgenden Beispiele kommen an der Universität immer wieder vor:

Behauptung, dass der Account abläuft oder das Speichervolumen überschritten ist

m dies zu verhindern, sollen Sie sich einloggen, oft wird Zeitdruck erzeugt. Wenn Sie den Links folgen, landen Sie auf gefälschten Seiten, die der echten Anmeldeseite zum Verwechseln ähnlich sieht.

Sollten Sie eine solche Mail bekommen, melden Sie diese bitte hier: sicherheitsteam@uni-bonn.de.

Sie können sich merken: Die Universität verschickt keine E-Mails zur Aufforderung der Accountverlängerung. Ausschließlich wenn ihre UniID ausläuft (z.B. weil Ihr Arbeitsvertrag endet), bekommen Sie rechtzeitig vorher darüber Bescheid.  

"Are you in office?" / "Bitte melde dich, ich habe eine diskrete Anfrage"

Immer wieder erhalten Mitarbeitende E-Mails von ihren vermeintlichen Vorgesetzen oder wichtigen Personen der Universität, mit der konkreten Bitte, sich diskret bei ihnen zu melden.

Diese Mails werden oft von privaten E-Mail-Anbietern, wie z.b. Gmail versendet.

Geht man auf diese Mails ein, wird man in der Regel darum gebeten, Geldkarten zu kaufen und den Code per Mail an den 'Vorgesetzten' zu senden.

Oft geht diese Anfrage einher mit emotionaler Hintergrundgeschichte oder Manipulation, z.B. wird Druck aufgebaut das etwas schnell passieren muss oder mit Repressalien gedroht.

Gehen Sie auf diese Mail nicht ein und melden Sie die Mail an sicherheitsteam@uni-bonn.de.

Als Vorgesetzter/Vorgesetze klären sie bitte mir ihren Mitarbeitenden, welche Kommunikationswegen Sie für welche Aufgaben nutzen. Ermutigen Sie ihre Mitarbeitenden außerdem, dass Sie bei seltsamen Anfragen über einen weiteren Weg (z.B. Telefon) kontaktiert werden.

 CEO-Fraud

Ähnlich zu der oben beschrieben Masche wird versucht per E-Mail eine große Zahlung über einen anderen als den üblichen Weg zu veranlassen, meist im Namen der Universitätsleitung.

Schenkungen/zu Verkaufen von Mitarbeitenden 

In letzter Zeit beobachten wir verstärkt E-Mails, welche scheinbar von einem Angehörigen der Universität versendet werden und in denen ein normalerweise teures Produkt verschenkt wird (z.B. Schweißgeräte oder Musikinstrumente). Bitte überprüfen Sie zuerst, ob die Absender-E-Mail Adresse mit dem Namen übereinstimmt, und ob die E-Mail-Adresse auch zur Universität gehört. Kontaktieren Sie ggf. die Person telefonisch um sicherzugehen, dass das Angebot legitim ist. Um sicher zu gehen, wenden Sie sich bitte trotzdem an sicherheitsteam@uni-bonn.de.

Mails vom eigenen Account

Teilweise bekommen Personen eine E-Mail, die scheinbar von der eigenen E-Mail-Adresse abgesendet wurde. In der Regel handelt es sich hier um technische Tricks und die E-Mail ist in Wirklichkeit nicht von Ihrem eigenen Konto versendet worden. Um sicher zu gehen, wenden Sie sich bitte trotzdem an sicherheitsteam@uni-bonn.de.

Wissenschaftliche Journal-Einladungen

Viele Forschende bekommen regelmäßig die Einladung ihre Arbeiten bei (mehr oder weniger seriösen) Journals oder Konferenzen einzureichen. Sollten Sie die Mails nicht bekommen wollen, können Sie die Absender selbstständig in ihrem E-Mail-Programm blockieren.

Wichtige Hinweise

Phishing-Angriffe werden, auch dank KI, zunehmend personalisiert. Je mehr Informationen Angreifer über Sie haben (Social Media, öffentliche Profile), desto überzeugender wirken ihre Nachrichten.

Auch erfahrene Nutzer können hereinfallen. Wichtig ist nicht Perfektion, sondern:

• Schnelles Melden verdächtiger Nachrichten, selbst wenn Sie nicht darauf reagiert haben, um andere davor zu bewahren.
• Direktes Ändern ihres Passworts, sollten Sie ihre Daten eingegeben haben.
• Zweifel statt Vertrauen bei unerwarteten Anfragen.
• Und: Nicht nur über E-Mails versuchen Betrüger Ihr Geld oder Ihre Daten zu stehlen. Auch bei SMS, Anrufen oder QR-Codes sollten Sie wachsam sein.

Checkliste bei verdächtigen Mails

• Absenderadresse genau prüfen (oft leicht verfälscht oder private Anbieter wie Gmail)
• Insbesondere bei Zeitdruck oder starker Emotionalität der E-Mail sollten Sie kritisch den Hintergrund hinterfragen und im Zweifel die Person über einen anderen Weg kontaktieren.
• Keine Links anklicken – stattdessen Website manuell über die Ihnen bekannte Adresse aufrufen.
• Geben Sie niemals Passwörter, Bankdaten o.ä. per E-Mail preis.
• Leiten Sie verdächtige Mails an sicherheitsteam@uni-bonn.de weiter .

Übrigens: Wenn Sie sich schon immer mal gefragt haben, was eigentlich passiert, wenn Sie auf offensichtliche Spammails antworten, empfehlen wir Ihnen diesen TED-Talk (Youtube, Englisch). Nachmachen (zumindest mit Ihrer aktiv genutzten E-Mail-Adresse) nicht empfohlen!

Als das digital am häufigsten angegriffene Land der EU ist Deutschland durchgehend Gefahren von innen und außen ausgesetzt. Gerade Universitäten, mit ihren umfangreichen Daten über Studierende, interessanten Forschungsgebieten und ihren Verbindungen in die Wirtschaft sind ein lohnendes Ziel solcher Angriffe. Gern genutzte Angriffspunkte sind hier die Accounts von Mitarbeitenden und Studierenden, um Daten abzugreifen oder weitere Attacken auszuführen.

Denn fast alles, was wir digital tun – von E-Mails schreiben bis zur Arbeit an Systemen – beginnt heute mit einem Login in einen Account, meist mit einem Nutzernamen und einem Passwort. Das Problem? Sobald jemand anderes diese Kombination kennt (z.B. durch Phishing, Datenlecks oder durch Ausprobieren), kann diese andere Person sich genauso wie Sie selbst in die Accounts einloggen und erhält damit Zugriff auf alle dort gespeicherten Daten und kann diese in Ihrem Namen einsehen, verändern, oder löschen. Dies entspricht der Übernahme Ihrer digitalen Identität.

Was können wir also machen, um unsere Accounts besser zu schützen? 
Die sogenannte Multi-Faktor-Authentifizierung (je nach Webseite auch als "MFA", "2FA", "Strong Authentication", oder "mehrstufige Anmeldung" bekannt), sichert Ihren Account mit einem weiteren Faktor ab - meist entsteht hieraus beim Einloggen eine Kombination aus 

• etwas, das man „weiß“ (ein geistiger Faktor, z. B. ein Passwort, eine PIN)
• etwas, das man „besitzt“ (ein physischer Faktor; z. B. Smartphone, USB-Stick, EC-Karte)
• etwas, das man „ist“ (biometrischer Faktor z. B. Fingerabdruck, Gesichtsform).

Sie benötigen beim Einloggen dann zwar mehr als Ihren Nutzernamen und Ihr Passwort - aber auch ein Angreifer müsste zum Einloggen Zugriff auf den zweiten Faktor haben, was in der Regel nicht der Fall ist.

Das Konzept ist Ihnen bereits von Geldautomaten bekannt. Dort nutzen Sie, wie selbstverständlich, Ihre Karte (Besitz) zusammen mit Ihrer PIN (Wissen) um Geld abheben zu können.

Eine bildliche Erklärung, warum ein zweiter Faktor schützt, liefert dieser Vogel (externer Link).

Umsetzung an der Uni

Auch die Universität Bonn setzt auf MFA. In einem Einführungsprojekt wurden alle Mitarbeitenden mit einem physischen Faktor (Yubikey), also etwas, das Sie "besitzen", ausgestattet. Diese Lösung kann Angriffe von Dritten in vielen Fälle abwehren und erschwert einen Angriff auf Ihr Benutzerkonto erheblich.

Die Sicherung über einen zweiten Faktor stellt einen kaum merklichen Mehraufwand dar und bietet im Gegenzug eine stark erhöhte Sicherheit für Ihre Zugänge sowie die IT- und Datensicherheit an der gesamten Universität.

Tipps für Fortgeschrittene: 

Insbesondere Ihr E-Mail-Account sollte besonders gut abgesichert sein, da man über die E-Mail oft seine Passwörter (und manchmal sogar seinen zweiten Faktor) zurücksetzen kann.
Überlegen Sie sich, welche Ihrer Accounts besonders wichtige Daten enthalten oder welche Accounts für Sie von Bedeutung sind. Nehmen Sie sich nun jeden Tag einen dieser Accounts vor und sichern ihn zusätzlich ab.
Viele Webseiten versuchen sicherzustellen, dass Sie auch weiterhin Zugriff auf Ihren Account bekommen, selbst wenn Sie Ihren zweiten Faktor verlieren sollten, beispielsweise durch Backupcodes. Werden Ihnen diese angeboten, sollten Sie sie an einem sicheren Ort hinterlegen, z.B. digital in Passwortmanagern (z.B. KeePassXC) oder physisch in einem abgeschlossenen Schrank oder Bankschließfach.

Mehr Informationen zu MFA:

HRZ-Infos zu MFA
Informationen des BSI zu MFA
Microsoft Defense Report 2025