Was NaSi passieren kann, ist als echte Gefahr für jeden Mitarbeitenden bei NDH zu erachten. Beinahe täglich sind Kolleginnen und Kollegen Phishing-Risiken ausgesetzt.

Phishing ist dabei der Begriff für eine Betrugsmethode, bei der Angreifende versuchen, unter anderem durch gefälschte E-Mails oder Webseiten sensible Daten zu stehlen oder Schadsoftware zu verbreiten. 

Typische Ziele sind: 

• Passwörter und Zugangsdaten 
• Persönliche Daten 
• Unternehmensinformationen 

Moderne Phishing-Angriffe werden heute häufig automatisiert und mithilfe von KI erstellt. Dadurch wirken Nachrichten oft täuschend echt und können gezielt auf einzelne Personen oder Unternehmen zugeschnitten werden. 

Warum Phishing funktioniert...

Cyberkriminelle setzen gezielt auf Emotionen, um Menschen zu schnellem Handeln zu bewegen. 

Typische Emotionen bei einer Manipulation: 

• Angst 
• Zeitdruck 
• Neugier 
• Folgsamkeit 
• Hilfsbereitschaft 

Seien Sie besonders vorsichtig, wenn E-Mails: 

• Links oder Anhänge enthalten 
• zu dringenden Handlungen auffordern 
• unpersönliche Anreden verwenden 
• sprachliche Fehler bzw. Rechtsschreibefehler enthalten 
• ungewöhnlich formatiert sind 
• widersprüchliche Inhalte enthalten 
• eine andere „Antwort an“-Adresse besitzen 
• einen „Gesendet über“-Zusatz im Header enthalten 
• Belohnungen oder außergewöhnlich attraktive Angebote versprechen 

Wenn Ihnen etwas ungewöhnlich vorkommt, sollten Sie die Echtheit der E-Mail über einen anderen offiziellen Kanal prüfen, beispielsweise telefonisch.  

Absenderadresse genau prüfen 

Viele Phishing-Angriffe lassen sich bereits am Absender erkennen, falls Absendername und Absenderadresse nicht übereinstimmt. 

Für Computer: 

Bewegen Sie den Mauszeiger über den angezeigten Absendernamen, ohne zu klicken. Die vollständige E-Mail-Adresse wird angezeigt. 

Für Mobilgeräte: 

Tippen Sie auf den Pfeil oder die Absenderinformationen, um die vollständigen Senderdetails einzublenden. 

Bereits kleine Schreibfehler können auf einen Betrugsversuch hinweisen. Aber auch scheinbar echte E-Mail-Adressen sind keine Garantie für Sicherheit. Cyberkriminelle können kompromittierte Konten missbrauchen oder Absenderinformationen manipulieren. 

Verlassen Sie sich deshalb nicht ausschließlich auf die Absenderadresse, sondern auf den Gesamteindruck der Nachricht. 

Links vor dem Klick prüfen 

Ein Link kann als Text, Bild oder Button dargestellt sein. Entscheidend ist jedoch immer die tatsächliche Zieladresse (URL). 

Für Computer: 

Bewegen Sie die Maus über den Link. Die Zieladresse wird häufig unten im Browser oder im E-Mail-Programm angezeigt. 

Für Mobilgeräte: 

Halten Sie den Link gedrückt, bis die Zieladresse angezeigt wird. 

Die 3-Schritte-Methode zur Link-Prüfung: 

Beispiel: „https://login.microsoft.com.link-protection.net/common/authorize“ 

Suchen Sie den ersten einzelnen Schrägstrich (/) in der URL (also nicht das // bei https://). Alles, was davorsteht, ist der relevante Teil für die Prüfung. 

https://login.microsoft.com.link-protection.net/common/authorize 

Ausgehend vom ersten Schrägstrich werden zwei Punkte (.) nach links gezählt. Direkt nach dem zweiten Punkt beginnt die eigentliche Adresse, die zeigt, zu welcher Webseite der Link gehört. 

https://login.microsoft.com.link-protection.net/common/authorize 

Der Abschnitt, der mit dem zweiten Punkt beginnt und bis zum Schrägstrich reicht, ist die vollständige Domain. Sie besteht aus dem Namen der Webseite und der Endung (z. B. .net, .com, .de). 

Die Domain lautet also link-protection.net und nicht microsoft.com. Der Link führt also nicht zur erwarteten Seite, sondern auf eine andere Webseite, die sich als Microsoft ausgibt. 

Achten Sie auf 

• Schreibfehler in Domains  
• ungewöhnliche Endungen (.xyz, .top usw.)  
• sehr lange Webadressen  
• kryptische und lange Subdomains  
• irreführende Begriffe innerhalb der URL 

Ein Schloss-Symbol oder „https://“ bedeutet zudem lediglich, dass die Verbindung verschlüsselt ist. 

HTTPS ist kein Beweis für die Echtheit einer Webseite.

Sie haben genau das entdeckt, was in unserem Arbeitsalltag nicht passieren sollte. Damit sind Sie unserem neuen Mitarbeitenden schon voraus, aber keine Sorge: NaSi gelobt Besserung...

Passwörter schützen unsere Daten, Systeme und letztlich auch unsere NDH. Doch selbst das stärkste Passwort verliert seinen Schutz, wenn es auf einem Zettel notiert und offen liegen gelassen wird. 

Mit wenigen einfachen Maßnahmen schützen wir unsere Informationen wirksam vor Cyberangriffen, die auf schwache oder unsicher verwendete Passwörter abzielen...

So sieht ein starkes Passwort aus: 

Ein sicheres Passwort sollte 

• Möglichst lang sein: Je länger, desto besser (idealerweise mindestens 16 Zeichen), 
• Groß- und Kleinbuchstaben, Zahlen sowie Sonderzeichen enthalten, 
• Keine einfachen Muster wie „123456“, „qwertz“ oder ähnliche Folgen verwenden, 
• Keine persönlichen Informationen enthalten, beispielsweise Namen von Familienmitgliedern, Haustieren, Orten oder Kfz-Kennzeichen, 
• Nicht aus einem einzelnen Wörterbuchwort bestehen. 

Ein starkes Passwort muss nicht schwer zu merken sein: 

Eine bewährte Methode ist die Bildung eines Passworts aus einem persönlichen ausgedachten Satz. 

Beispiel: 

„Seit 2024 fahre ich jeden Morgen mit dem Fahrrad zur Arbeit!“ 

Aus den Anfangsbuchstaben und den Zahlen entsteht: 

S2024fijMmdFzA! 

Das Ergebnis ist lang, komplex und gleichzeitig ein leicht zu merkendes Passwort. 

Diese Fehler sollten Sie vermeiden: 

Passwörter niemals auf Zetteln notieren: 

Das sicherste Passwort hilft nicht, wenn es  

• unter der Schreibtischunterlage liegt, 
• am Monitor klebt, 
• im Notizbuch steht oder 
• offen herumliegt. 

Passwörter niemals weitergeben: 

• Geben Sie Ihr Passwort niemals per E-Mail weiter. 
• Geben Sie Ihr Passwort niemals am Telefon heraus. 
• Die IT-Abteilung wird Sie niemals auffordern, Ihr Passwort mitzuteilen. 

Nicht mehrere Konten mit demselben Passwort schützen: 

Wird ein Passwort kompromittiert, können Angreifer versuchen, damit auch auf weitere Konten zuzugreifen. Verwenden Sie daher am besten für jeden Dienst ein eigenes Passwort. 

Passwortwechsel nur bei Bedarf: 

Früher wurde empfohlen, Passwörter regelmäßig zu ändern, jedoch wurde bewiesen: Häufige Passwortwechsel führen oft dazu, dass man schwächere oder vorhersehbare Passwörter auswählt. 

Ein Passwort sollte aber z.B. geändert werden, wenn 

• der Verdacht auf einen Datendiebstahl besteht oder 
• bekannt wird, dass Zugangsdaten kompromittiert wurden. 

Mögliche Anzeichen für ein gehacktes Passwort: 

Achten Sie auf folgende Warnsignale: 

• Sie können sich plötzlich nicht mehr anmelden. 
• Sie erhalten Hinweise auf Anmeldungen von unbekannten Geräten. 
• Kontoeinstellungen oder persönliche Daten wurden ohne Ihr Zutun geändert. 
• Sie bemerken andere ungewöhnliche Aktivitäten. 

Ändern Sie in solchen Fällen Ihr Passwort sofort und informieren Sie den IT-Support. 

Passwort-Manager: Der digitale Tresor 

Ein Passwort-Manager hilft dabei, viele unterschiedliche Passwörter sicher zu verwalten. Man kann sich es wie ein Notizbuch vorstellen, das in einen verschlossenen digitalen Tresor eingeschlossen wurde. 

Ihre Vorteile in Kürze:

• Generiert automatisch starke Passwörter, 
• Speichert Zugangsdaten sicher an einem zentralen Ort, 
• Füllt Anmeldedaten komfortabel aus, 
• Sie müssen sich nur ein einziges starkes Master-Passwort merken. 

Weitere Informationen zu dem bei der NDH eingesetzten Passwort-Manager erhalten Sie von uns in Kürze. Bei bestehendem Interesse fragen Sie gerne die IT-Abteilung über die Möglichkeit einer vorzeitigen Installation des Passkey-Managers über unser Unternehmensportal. 

Ausführliche Informationen finden Sie zudem in der Kennwortrichtlinie (Passwort-Richtlinie) im Intranet. 

Als NDH sagen wir "Nein" zum fahrlässigen Umgang mit sensiblen Informationen. 

Doch wie schaut eine angemessene und ausreichend sichere Handhabung mit Informationen aus? Wie schützen wir und wie schützt sich ein jeder von uns vor dem unbefugten Zugriff Dritter auf sensible Dateien? 

In den folgenden Wochen werden wir Ihnen auf dieser Seite zu besonders relevanten Themen aus dem Bereich Informationssicherheit Wissenswertes und praktische Tipps zukommen lassen. Unser Ziel ist dabei klar und realistisch zugleich: Eine reale Risikominimierung vor unbefugter Datenansicht, Datenklau oder auch Datenmanipulation.

Sollten zwischenzeitlich Fragen oder auch Anregungen Ihrerseits aufkommen, können Sie sich jederzeit bei unserem Informationssicherheitsbeauftragten (ISB), Herrn Patrick Feldmann-Schiffer, melden - vorzugsweise via Teams. Alternativ: