Das Sicherheitsunternehmen Gdata warnt aktuell vor Trittbrettfahrern, die versuchen, durch gefälschte BSI – Benachrichtigungen Anwender auf infizierte Webseiten zu locken. Anlass ist der vom Bundesamt für Sicherheit in der Informationstechnologie (BSI) aufgedeckte Datendiebstahl von 16 Millionen E-Mail-Passwörtern.
Millionen von Anwendern haben ihre E-Mail-Adresse zur Prüfung auf der BSI-Testseite https://www.sicherheitstest.bsi.de eingegeben. Das System ist so aufgebaut, dass ein Datenabgleich erfolgt und betroffene Anwender per Mail informiert werden. Diesen Ablauf könnten sich Hacker nach Ansicht von Gdata zunutze machen und ihrerseits an Anwender gefälschte BSI-Mails versenden. Wer eine vermeintliche Benachrichtigungs-Mail mit eingebunden Links erhält, sollte diese daher nicht anklicken. Zum Versand müssen Online-Kriminelle zwar die Absender-Adresse fälschen, doch hierfür gibt es einsatzbereite Tools, mit denen man die eigentliche Absenderadresse verschleiern kann. Schutz vor vermeintlichen BSI-Mails bietet der Sicherheits-Code, der auf der BSI-Prüfseite automatisch generiert wird. Er wird im Falle einer vom Bundesamt für Sicherheit verschickten Mail in der Betreffzeile angezeigt und muss mit dem auf der Website angezeigten Code übereinstimmen. E-Mails ohne diesen Code oder mit falschem Code sollten Empfänger umgehend löschen.
