Phishing-Trend Schweizerdeutsch

Spam und Phishingversuche auf Schweizerdeutsch scheinen beliebter zu werden. Wieso nutzen Spammer denn diese Nischensprache? Schauen wir in dieser kleinen Weiterbildung in Sachen Spam und Phishing zuerst hinter die Kulissen der Betrüger, um ihre Methoden kennenzulernen. Und danach – viel wichtiger – was wir tun können, um uns zu schützen.

Dieser Artikel erschien ursprünglich bei DNIP unter dem Titel «Schweizerdeutsch liegt im Trend – auch bei Phishing».

Mehrere Personen in meinem Umfeld haben vor einigen Wochen scheinbare Mahnungen von Hostpoint erhalten, des laut eigenen Angaben «grössten Webhosting-Anbieters der Schweiz».

Auffallend daran: Der Text war auf Schweizerdeutsch, zumindest auf den ersten Blick. Und er kam von einer hostpoint.ch-Mailadresse. Gehen wir beiden doch einmal auf den Grund.

Schutz gegen Spam und Phishing: Wie?

Wir alle haben wahrscheinlich schon von Spam und Phishing im Namen fast aller in der Schweiz verbreiteten Firmen gehört, vielleicht sogar selbst bekommen. Dagegen tun kann die imitierte Firma kaum etwas. Auch das öffentliche Warnen vor einer gerade laufenden Spam-Kampagne ist nur beschränkt hilfreich. Denn das Muster ist immer wieder dasselbe, genau wie die Massnahmen dagegen.

Und unabhängig von der jeweils missbrauchten Firma. Das Verfassen einer Medienmitteilung bringt meiner Meinung nach auch nichts, das Aushängeschild der jeweiligen «Kampagne» zu nennen.

Spam, Phishing und sonstige bösartige bzw. Betrugsmails müssen unabhängig von der aktuell betroffenen Firma bekämpft werden.
Auch wenn hier der Name von Hostpoint erwähnt wird: Ihr Umgang mit der Phishing-Aktion erschien mir sehr professionell und die Entscheide gut begründet.

Und trotzdem gibt es in diesem Fall einige Unterschiede, die eine Erklärung rechtfertigen.

In diesem Fall müsste aber Hostpoint alle Empfänger kennen, denn die Mails liefen alle durch ihre Mailserver. Und Hostpoint könnte alle Empfänger informieren. Dies ist aber nicht erfolgt. Doch dazu später mehr.

Schweizerdeutscher Spam

Wieso?

Vermehrt habe ich in letzter Zeit Spammails in unserem heimischen Dialekt gesehen, an mich oder an Freunde und Familie gerichtet. Beim genaueren Hinschauen sieht man aber, dass zwischen vielen Wörtern, die als Dialekt durchgehen, auch einige sind, die wir nur in Hochdeutsch nutzen.

In diesem Falle klingt beispielsweise die weibliche Anrede («Sehr geehrti Kundin») halbwegs plausibel, ihr männliches Gegenstück jedoch überzeugt nicht («sehr geehrte Kunde»). Auch «Letzti» im Titel klingt falsch eingeschweizert; «aufgrund» im Text rein hochdeutsch.

Schweizerdeutsch = Sammlung von Tippfehlern

Aber wieso kommt überhaupt jemand auf die Idee, in einer so obskuren Sprache unerwünschte Mails zu verschicken? Genau weiss ich es nicht, weil ich die Bösewichte dahinter nicht befragen konnte. Obviously. Aber wir sehen ein Muster. Hier ein paar Spams der letzten Woche an mich für «Herrenmedikamente». Auffällig ist die – sagen wir mal – kreative Verunstaltung des Wortes «rezeptfrei».

Schauen wir doch einmal eine dieser Mails an:

Beim Lesen fällt irgendwann auf, dass es um eine angebliche Lieferung von Viagra geht. Doch das Wort selbst wird nie erwähnt. «Die blauen Originale» und der Kontext müssen reichen. (Übrigens ist der Text und die Umschreibung der Pille in jeder der «rezeptfrei»-Mail anders, folgt aber demselben Aufbau.)

Das Ziel der Falschschreibungen (Bindestriche mitten im Wort), Fremdschreibungen (Dialekt) und Umschreibungen ist dasselbe: Spamfilter sollen diese Worte nicht erkennen. Denn in fast jedem Mailverkehr (ausser vielleicht bei Ärzten) ist «Viagra» ein Wort, das mit hoher Wahrscheinlichkeit auf Spam hindeutet.

Ob die Vermeidung der Umlaute zur Verschleierung oder aus Unfähigkeit geschieht, kann ich nicht sagen. Die Verwendung von ähnlich aussehenden Zeichen aus anderen Schriftsystemen zur Täuschung (Kyrillisch, Griechisch, Türkisch, …) scheint hingegen bei Mails aus der Mode gekommen zu sein, wahrscheinlich weil die Anti-Spam-Software diese Ausreisser inzwischen sehr einfach erkennen kann.

Dass das mit den Umlauten auch andersherum schiefgehen kann, zeigt folgender angebliche digitale Bussenzettel: Da wird Schweizerdeutsch «Buess» zu «Büss» und es gibt dafür die eindeutig nicht schweizerischen Worte «Bußgeld» und «Geschwindigkeitsverstoß».

Schweizerdeutscher Spam: Wie?

Das muss doch sicher teuer sein, wenn Spammer den Text in jede mögliche oder unmögliche Sprache übersetzen. Ja, echte menschliche Übersetzer wären ein Kostenpunkt. Aber wahrscheinlich noch mehr auch ein Risiko, weil sie könnten die Scammer ja verpetzen.

Deshalb sind die heutigen «Übersetzer» bei solchen Betrügereien meist Chatbots wie ChatGPT & Co. Und denen kann man auch Schweizerdeutsch als Zielsprache angeben. Das Resultat ist aber – vor allem bedingt durch die wenigen Webseiten in Schweizerdeutsch, die als Trainingsmaterial dienen könnten – noch eher bescheiden. Aber scheinbar reicht das.

Der LLM-Chatbot als williger Gehilfe ohne überflüssige Ethik. Leider nicht nur hier.

Von eigener Maildomain

Hostpoint bietet – wie viele andere Webhoster – Kombipakete an. Hier interessiert uns das Zusatzangebot mit Email-Konten. Die Scammer wollten eine gezielte Phishing-Attacke starten. Dazu verwendeten sie mutmasslich eine Liste mit Abermillionen von Emailadressen, wie sie unter Spammern gehandelt werden. Unsere Bösewichte nutzten nun nicht einfach wahllos Mailadressen, sondern nur solche, deren Domain auch bei Hostpoint gehostet war. (Dies kann man beispielsweise daran erkennen, dass als Web- oder Mailserver der Domain einer der Hostpoint-Server eingetragen ist.)

Wir sind uns gewohnt, dass die Nutzung einer Fremddomain ein gutes Spam- bzw. Phishing-Indiz ist: In fast allen Fällen stammen Betrugsmails, die vorgeben, von Firma X zu kommen, nicht von einer (Mail-)Domain der Firma X. Dies, weil heute Mails, die vorgeben, von user@beispiel.ch zu kommen, auch von einem Mailserver versendet werden müssen, der vom Domaininhaber von beispiel.ch autorisiert wurde. Vor 10-20 Jahren war das allerdings noch ganz anders.

In diesem Fall konnte allerdings der Spammer Zugriff zu einem Kundenkonto bei Hostpoint erlangen und deshalb von dort Mail verschicken, wie mir Hostpoint auf Anfrage mitteilte. Bei Hostpoint geht man davon aus, dass der Kunde auf eine Phishingmail hereingefallen sei.

Bei Hostpoint hat – im Gegensatz zu anderen Providern – jedes Kundenkonto neben der normalen Mailadresse eine historisch bedingte Mailadresse der Form <ZUFALLSNAME>@webuser.mail.hostpoint.ch. Über diese kann aber nur eine beschränkte Anzahl Mails pro Stunde verschickt werden, was das Ausmass des Missbrauchs einschränkt. (Hostpoint plant weitere Massnahmen.)

Wenn die Mail aber – wie in diesem Fall – über die Mailinfrastruktur des Providers läuft, liessen sich auch die Empfängeradressen der Mails identifizieren. Denn die meisten Mailserver führen ein Logbuch über die über sie versendeten Mails. Anhand der Absenderadresse hätten im Logbuch die Empfänger identifiziert werden können.

Fassen wir zusammen: Ein Konto eines Hostpoint-Kunden wurde gehackt. Dieses Kundenkonto wurden dann benutzt, um Mails an andere bei Hostpoint gehosteten Mailkonten zu senden. Diese Zieladressen wurden wahrscheinlich aus einer Liste ausgewählt, die die Spammer sich im Darknet beschafft hatten.

(Allerdings war dann aufgrund der von Hostpoint eingestellten Limiten nach «einer tiefen einstelligen Prozentzahl» der Kunden Schluss mit Mailversand.)

Auf die Frage, weshalb die von den Betrügern angeschriebenen Kund:innen nicht proaktiv informiert worden seien, antwortete Hostpoint wie folgt:

Wir haben in der Vergangenheit auch schon die Kund:innen per E-Mail proaktiv über Phishing informiert und zum Thema sensibilisiert. Allerdings tun wir dies aus verschiedenen Gründen nicht in jedem Fall, sondern meist dann, wenn die Phishing-Wellen sehr gross sind. Wir betreiben jedoch über diverse Channels wie Social Media oder unseren Blog regelmässig Anti-Phishing-Awareness. Über aktuelle Phishing-Fälle informieren wir jeweils auf unserer Website unter https://www.hostpoint.ch/phishing/, auf unserer Status-Seite https://www.hostpoint-status.com/ oder auch über gesprochene Botschaften, die wir bei unserer Hotline zu Beginn eines Anrufs abspielen. Dieses Zusammenspiel verschiedener Kommunikationsmassnahmen hat sich für uns seit Jahren bewährt.

Mediensprecher Hostpoint

Diese Erklärung erscheint durchaus nachvollziehbar. Insbesondere, wenn man bedenkt, dass viele der Empfänger:innen der Mails gar keine Verantwortung für die Domain besitzen, sondern «normale» Nutzer:innen sind, die durch die Nachrichten evt. noch mehr verwirrt worden wären.

Wie erkenne ich Spam und Phishing?

Einige typische Erkennungsmerkmale für Spam und Phishing sind. (Eine 12-Punkte-Liste für Betrugserkennung hatten wir letztes Jahr präsentiert.)

Stimmen die Domains?

Die wichtigsten ersten Schritte sollten

1. Sieht die Absenderdomain legitim aus? Auch kein Tippfehler?
2. Wird eine unübliche Top-Level-Domain verwendet? Also ist der letzte Teil hinter dem letzten Punkt nicht .ch, .li oder .com?
3. Wird in der Mail eine andere Maildomain erwähnt, als die, von der die Mail angeblich stammt?
4. Gehen die Links in der Mail auf nochmals andere Domains?

Viele Mailprogramme auf einem Desktoprecher oder Laptop zeigen die Ziel-URL eines Links an, wenn der Mauszeiger über dem Link schwebt. Im Bild unten ist das kleine schwarze Händchen im blauen Feld der Mauszeiger und das schwarze Rechteck darunter mit weisser Schrift erscheint, um die URL anzuzeigen.

Auf Mobilgeräten erhält man diese Information oft, wenn man lange mit dem Finger auf den Link drückt.

Leider ist das auch eine Unsitte von gewissen Newsletters, dass die URLs nicht auf das Ziel zeigen, sondern auf einen Server, der die Zugriffe trackt. Es wäre gut, wenn diese Newsletters das über ihre eigene Domain erledigen würden.

Kommt die Mail unerwartet?

5. Kommt die Mail unerwartet?
6. Wird darauf verwiesen, dass die Mail an eine verantwortliche Person weitergeleitet werden soll?

Wird Druck aufgebaut?

7. Ist die Mail dringend? («So schnell wie möglich», «Ihr Konto wurde bereits deaktiviert», …)
8. Wird emotionaler Druck aufgebaut? Für etwas, was zumindest peinlich ist und man deshalb niemanden fragt, ob die Mail jetzt echt ist? («Wir haben Sie ertappt bei …»)
9. Scheint es zu gut um wahr zu sein?

Wenn einer oder mehrere der obigen 9 Punkte zutreffen, sollten Sie unbedingt eine zweite Person ins Vertrauen ziehen, bevor Sie handeln («4-Augen-Prinzip»).

Phishingerkennung mittels KI-Sprachmodellen

Viele dieser Chatbots auf Basis Grosser Sprachmodelle (Large Language Model, LLM) können bei der Analyse von Phishing unterstützen. Sie sind kein Ersatz für eine seriöse Abklärung, können aber helfen, einige Argumente aufzuzählen.

So hat des KI-Modell Perplexity sowohl bei der Viagra-Mail als auch bei der Hostpoint-Phishingmail relativ viele Punkte erkannt. Der Prompt begann immer mit «Was sind Anzeichen für/gegen Phishing in folgender Mail:» gefolgt entweder

1. vom Text der Viagra-Mail (ohne Kopfzeilen, also nur der Text der Mail) oder
2. von der gesamten angeblichen Hostpoint-Mail (mit Absender- und Empfängeradressen, Betreff und Datum).

Auch andere Sprachmodelle scheinen Phishing gut erkennen zu können; so fand mein erstes Experiment (mit einer angeblichen Geschäftsmail) unter ChatGPT statt.

Allerdings teile ich die Ansicht nicht überall:

• Das angebliche Schweizerdeutsch wird als Ansammlung von Tippfehler bezeichnet.
• Das Fehlen eines vollständigen Impressums ist in der Schweiz nicht unbedingt ein schlechtes Zeichen.
• Das Fehlen von Kontaktdaten oder einer Signatur (also der «Text-Visitenkarte» am Ende der Mail) ist bei einer angeblich automatisierten Mail auch kein Anzeichen.
• Ein erfundener Name kann zwar ein Anzeichen sein; der Name einer bekannten Person ist aber mindestens ein ebenso starkes Anzeichen für eine Betrugsmail.

Trotzdem kann ein Chatbot eine gute erste Einschätzung abgeben, insbesondere, wenn gerade kein vertrauenswürdiger Mitmensch vorhanden ist oder die Bösewichte auf Sextortion setzen, also der Drohung, explizite Bilder oder Videos des Angeschriebenen zu veröffentlichen.

Wie kann ich mich gegen Phishing schützen?

Vorbeugen

• Nutzen Sie eindeutige Passwörter für jeden Dienst.
• Ja, das bedeutet, einen Passwortmanager zu nutzen, ausser Sie sind ein Merkgenie.
• Aktivieren Sie Zwei-Faktor-Authentifizierung («2FA»), am besten PassKeys, wenn dies von ihrem Provider und ihrem Gerät angeboten werden. (Da gibt es leider beiderseits noch Aufholbedarf; das dürfte sich aber hoffentlich im Laufe dieses Jahres noch bessern.)
• Falls Ihre Applikation (z.B. Mailprogramm) kein 2FA unterstützt, vergeben Sie diesem Programm ein separates Passwort, unabhängig von ihrem Loginpasswort. Dies wird meist als «Anwendungspasswort» oder «Applikationspasswort» bezeichnet.

Schützen Sie als Erstes ihr Haupt-Mailkonto! Denn wenn ein Angreifer die Kontrolle über dieses übernommen hat, kann dieser auch viele Passwörter anderer Dienste zurücksetzen. Und damit noch mehr Kontrolle über Ihr Leben übernehmen.

Nach Erhalt einer Mail

• Die obigen 9 Punkte überprüfen und im Zweifelsfall eine Person ins Vertrauen ziehen.
• Vermeiden, auf Links in Mails zu klicken. Sondern wenn immer möglich über ein Lesezeichen im Browser zu ihren wichtigsten Diensten zugreifen.
• Keine Passwörter auf «falsche Domains» eingeben. Viele Passwortmanager unterstützen Sie dabei, indem das Passwort nur auf der richtigen Domain automatisch eingesetzt werden kann.
• Falls doch etwas schief gelaufen ist: Sofort das verratene Passwort ändern.

Vielen Dank, Sie haben gerade das Internet für sich und uns alle gerade ein bisschen sicherer gemacht!

---

Aktuell dürfte der Erhalt einer schweizerdeutschen angeblichen Geschäftsmail das beste Indiz für Spam sein. Das scheinen aber die ausländischen Scammer nicht zu wissen, die sich hinter angeblichen schweizerdeutschen Geschäftsmails verstecken. Auch wenn Sofortnachrichten (und Radio-/Fernsehbeiträge) oft auf Mundart versendet werden, hat sich dies noch kaum in der Geschäftskommunikation festgesetzt.
In diesem Fall ist es gut, wenn man Teil eines seltsamen, etwas isolierten Volks ist.

---

Tipps für Mailversender

Angeregt durch eine Diskussion gestern hier noch ein paar Tipps, wie man als Firma seine versendeten echten Mail nicht wie Spam aussehen lässt. Sie orientieren sich grob am Gegenteil der Erkennungstipps oben; ich wurde aber gebeten, sie doch noch explizit aufzuschreiben.

• Eigene, bekannte Domain: Verschicke die Mails von einer deiner eigenen, allgemein bekannten Domains. Die Beispiel AG sollte also von sowas wie buchhaltung@beispiel.ch oder news@newsletter.beispiel.ch verschicken.
• Keine Überraschungen: Versuche die Überraschungsmomente zu vermeiden. Nicht plötzlich von neuen Adressen Mails verschicken; nicht plötzlich zu neuen Themen verschicken etc.
• Änderungen ankündigen: Wenn die Änderung planbar ist, diese mehrfach(!) im Vorfeld über die bekannten Kanäle ankündigen. (Auch wenn du als Absenderin findest, dass deine Mail unbedingt lesenswert sei: Der Empfänger hat vielleicht gerade keine Zeit oder Lust oder teilt diese Meinung einfach überhaupt nicht.)
• Klare Aussagen: Sei konkret in der Aussage, erwähne alle relevanten Details schon in der Mail.
• Nur eigene Links: Sorge dafür, dass alle Links in der Mail ebenfalls auf deine Domain zeigen; am besten direkt, also https://blog.beispiel.ch/Beitrag99. Wenn es sein muss, dann auch auf sowas wie https://tracking.beispiel.ch/newsletter/Kunde1984/EindeutigeID12345678. (Ausnahme: Wenn das Ziel der Mail ist, beispielsweise eine Liste von Links auf relevante Online-Artikel von Dritten zu verschicken, dann macht das natürlich Sinn.)
• Auch QR-Codes: Auch wenn du QR-Codes verschickst, sollten diese auf deine Domain oder eine Subdomain davon zeigen. (In den Mails solltest du QR-Codes eigentlich vermeiden. Mir ist nicht klar, was der Vorteil davon ist. QR-Codes werden aber als Trick genutzt, mit dem Betrüger ihre Links dem Spamfilter gegenüber verschleiern.)
• Noch besser: Keine Links!
  • Regelmässiges: Wenn diese Mail Teil eines regelmässigen Prozesses ist (z.B. Ankündigung einer Krankenkassenabrechnung), vermeide die Links ganz. Der Empfänger weiss, wo die Dokumente abzuholen sind.
  • Notfallmässiges: Wenn du damit einen Notfall ankündigen willst (wie z.B. Information über einen Sicherheitsvorfall), dann schreibe das auf die Homepage. Und verweise einfach auf die Homepage. Dort willst du sowieso die Kundinnen abholen, die sich informieren wollen, weil sie z.B. festgestellt haben, dass dein Dienst nicht mehr funktioniert.
• Bilder: Bilder, insbesondere solche, die vorwiegend aus Text bestehen, werden von einigen Spamfiltern als Versuch identifiziert, den Spamfilter zu umgehen. Sie erschweren auch die Lesbarkeit für Blinde und Sehbehinderte, die auf einen Screenreader oder eine Braille-Zeile angewiesen sind.
• Attachments: Auch Attachments – insbesondere verschlüsselte – werden von einigen Spamfiltern (und Empfänger:innen) als mögliches Transportvehikel für bösartige Software (Malware) angesehen. Ungewöhnliche oder verschlüsselte Attachmentformate sollten vermieden werden. (Auf der anderen Seite ist es für viele Empfängerinnen praktisch, die gesamte Information bereits in der Mail zu haben. Insbesondere, wenn die Mail offline gelesen wird oder sie archiviert werden soll.)