Schritt 1: Das eigene E-Mail-Konto zu einem Fort Knox machen
Der Nutzer „Cosi“ hat Ähnliches erlebt – und erwähnt nebenbei den ersten Schritt auf dem Weg zu einem sicheren E-Mail-Konto: „Es kommen auch von 1u1 oder Ionos solche Fake-Mails. Aber es steht ausdrücklich bei Versicherungen oder anderen, dass es keine Aufforderungen per E-Mail gibt. Meine Bank schreibt mir nur, wenn eine Nachricht oder Kontoabrechnungen zum Abruf bereit sind. Dazu muss ich mich aber auf mein Konto einloggen und bekomme einen Code. Da bin ich ganz altmodisch.“
Cosi spielt damit auf die Zweifaktorauthentifizierung (2FA) oder Mehrfaktorauthentifizierung (MFA) an. Sie macht es Kriminellen erheblich schwerer, ein Postfach zu hacken – selbst wenn sie das Passwort knacken. Im Fall der Münchnerin hatten die Täter unbemerkt Zugriff auf ein Postfach und konnten so die E-Mails des Maklers manipulieren. Eine 2FA oder MFA gab es laut Polizei München nicht.
Was Sie also tun sollten: Neben einem sicheren Passwort auch die 2FA oder MFA aktivieren. Bei der 2FA erhalten Sie dann zusätzlich beim Login einen Einmal-Code per SMS oder via App. Bei der MFA kann ein zusätzliches Sicherheitsmerkmal wie ein biometrisches Entsperrsignal, ein Authenticator-Code oder ein Passkey nötig sein. Banken bieten das längst an, aber auch viele E-Mail-Anbieter, Online-Shops und die großen Netzwerke.
Schritt 2: Digitale Signatur und Verschlüsselung nutzen – wenn möglich
„frankystone“ schlägt ergänzend vor: „Es gäbe ja einen sicheren Weg der E-Mail-Kommunikation: Digitale Signierung oder sogar Verschlüsselung per OpenPGP. Damit wäre eine E-Mail so sicher wie ein Brief.“
OpenPGP und S/MIME sind die zwei gängigen Verschlüsselungsarten. Beide funktionieren wie eine Geheimschrift: Nur der Empfänger kann den Text mit dem passenden Code entschlüsseln.
Die digitale Signatur dagegen ist bildlich gesprochen das Wachssiegel. Wie das Symbol auf dem Siegelring lässt sie sich eindeutig einem Absender zuordnen. Nur eine E-Mail mit unverändertem Siegel kommt sicher vom angegebenen Absender. Bloß: Dazu müssen Sie wissen, ob Ihr Kontakt überhaupt digital signierte E-Mails versendet. Wenn ja, erkennen Sie das an einem Symbol wie einer Schleife oder einem Schild, das je nach Programm und Abo unterschiedlich aussieht.
Der Haken: Bei den meisten Anbietern sind Verschlüsselung und Signatur nicht automatisch aktiviert – sofern es die denn überhaupt gibt. Die Verschlüsselung funktioniert zudem nur, wenn Sender und Empfänger die gleiche Verschlüsselungsart nutzen, also OpenPGP oder S/MIME.
Schritt 3: E-Mails von Kriminellen enttarnen
Die harte Wahrheit: Gefälschte E-Mails lassen sich zunehmend schwer enttarnen.
Mit Hilfe von KI können Cyberkriminelle massenweise individualisierte Spear-Phishing-E-Mails vergleichsweise einfach erstellen – oft mit den Daten, die Betrüger zuvor bei Hackerangriffen erbeutet haben. Dagegen ist ein Betrug im Ausmaß des Münchner Immobilien-Falls inklusive GmbH-Gründung zur Tarnung vergleichsweise aufwendig. Das Risiko, Opfer einer solchen Masche zu werden, dürfte also immerhin gering sein.
Skeptisch sollten Sie sein bei:
- E-Mails von Firmen, mit denen Sie noch nie etwas zu tun hatten
- Formulierungen, die Sie unter Zeitdruck setzen wie die Aufforderung, Daten zu aktualisieren – oft verbunden mit Drohungen wie der Aussage, Ihr Konto könnte ansonsten gelöscht werden.
- Buttons, Links oder unerwartete Anhängen. Banken verschicken zum Beispiel Links nur in Ausnahmen, nie zum Einloggen. Wer auf Nummer sicher gehen will, klickt keinerlei Links und Anhänge mehr an.
- Tippfehlern oder seltsam wirkendenden Formulierungen. Die Verbraucherzentrale warnt in ihrem Phishing-Radar (externer Link) vor aktuellen Kampagnen inklusive kursierender E-Mail-Betreffzeilen und Texte.
Nutzer „StefS“ erwähnt den E-Mail-Header, mit dem sich die Absender-E-Mail prüfen lässt: „Man kann natürlich den Header prüfen, woher die Mail kommt usw. Aber das ist für den ‚Normalbürger‘ nicht realisierbar.“
E-Mails beinhalten nicht nur den Text, den wir lesen. Dazu gehört auch ein technischer Teil mit Infos zu Absender und IP-Adresse. Den sogenannten Header blenden die meisten Programme aber aus. Mit einigen Klicks lassen sich diese Informationen einblenden. Wer wenig technikaffin ist, hat aber kaum Chancen, den Text zu verstehen.
Alltagstauglicher ist es, zumindest die Absenderadresse genau zu prüfen. Ein aus der Luft gegriffenes Beispiel zur Veranschaulichung: Kommt eine E-Mail wirklich von eine-bank.de – oder von einer täuschend ähnlichen wie eine-bamk.de?
Einige E-Mail-Programme zeigen die komplette E-Mail-Adresse in Klammern hinter dem Absendernamen an, bei anderen wird sie eingeblendet, sobald Sie mit der Maus darauf zeigen oder klicken.
Fazit: E-Mails absichern, wo immer es geht
E-Mail-Betrug ist längst kein Randphänomen mehr. Wer sich schützen will, muss vorsichtiger sein denn je – und etwas Zeit in die verfügbaren Sicherheitsoptionen investieren.
