QR-Code-Scamming ("Quishing")

QR-Code-Scamming (auch „Quishing“ genannt) ist eine Betrugsmasche, bei der manipulierte QR-Codes eingesetzt werden, um Nutzerinnen und Nutzer auf gefälschte Webseiten umzuleiten. Dort können beispielsweise Zugangsdaten, Passwörter oder Zahlungsinformationen abgegriffen oder Schadsoftware auf dem Endgerät installiert werden.

Die manipulierten QR-Codes können sowohl digital, etwa in E-Mails oder auf Webseiten, als auch in der analogen Welt auftreten, beispielsweise als überklebte Aufkleber auf Plakaten, Parkautomaten oder Informationsschildern.

Worauf sollten Sie also zukünftig achten?

QR-Codes lassen auf den ersten Blick nicht erkennen, welche Internetadresse sich dahinter verbirgt. Daher QR-Codes in der Öffentlichkeit nie ungeprüft scannen. Viele Smartphones bieten eine Vorschaufunktion an. Nutzen Sie diese Möglichkeit und prüfen Sie die angezeigte Zieladresse sorgfältig, bevor Sie den Link öffnen. Seien Sie jedoch besonders vorsichtig bei QR-Codes in E-Mails. Die dahinterliegenden Links sind nicht direkt sichtbar und können häufig nicht zuverlässig erkannt oder gefiltert werden.

Quishing stellt eine Form des Social Engineering dar.

Cyberkriminelle müssen nicht immer Sicherheitslücken in IT-Systemen ausnutzen. Oft ist der einfachste Weg der Angriff auf den Menschen.

Social Engineering bezeichnet eine Methode, bei denen Angreifende durch Manipulation versuchen, Menschen dazu zu bringen, vertrauliche Informationen preiszugeben oder bestimmte Handlungen auszuführen. Dabei werden gezielt menschliche Eigenschaften wie Vertrauen, Hilfsbereitschaft, Neugier oder Unachtsamkeit ausgenutzt.

Das Ziel ist immer dasselbe: Das Verhalten einer Person so zu beeinflussen, dass Sicherheitsrichtlinien unbewusst umgangen werden.

Social Media als Informationsquelle 

In sozialen Netzwerken können bereits scheinbar harmlose Informationen für Cyberkriminelle wertvoll sein. Fotos, private Informationen oder Projektinformationen können dazu genutzt werden, Angriffe gezielt vorzubereiten.

• Überlegen Sie daher immer, ob eine Information wirklich öffentlich geteilt werden sollte.
• Klären Sie vor der Veröffentlichung beruflicher Informationen oder Fotos ab, ob dies zulässig ist.
• Teilen Sie Informationen nur mit den Personen, für die sie bestimmt sind. Passen Sie die Privatsphäre-Einstellungen Ihrer Konten regelmäßig an.
• Melden Sie sich nur über sichere Geräte in sozialen Netzwerken an und denken Sie daran, sich immer abzumelden.

Vishing: Phishing per Telefon

Eine besonders gefährliche Form des Social Engineerings ist das sogenannte Voice Phishing (Vishing). Dabei versuchen Kriminelle am Telefon sensible Informationen (Sicherheits-PINs, TANs, Ablaufdatum der Kreditkarte, Namen, Anschrift oder Geburtsdatum) zu erhalten.

Häufig geben die Cyberkriminelle sich als Mitarbeitende von Banken, Behörden oder bekannten Unternehmen aus. Beim sogenannten Tech-Support-Scam geben sich Kriminelle sogar als Mitarbeitende eines IT-Dienstleisters oder Softwareanbieters aus. Typische Behauptungen sind hierbei, dass das Gerät mit Schadsoftware infiziert oder eine Softwarelizenz abgelaufen sei oder dass ein dringendes Sicherheitsproblem vorliege. Anschließend wird versucht, Fernzugriff auf den Computer zu erhalten.

Moderne Technologien ermöglichen inzwischen sogar das Fälschen von Telefonnummern (Caller-ID-Spoofing), sodass auf dem Display scheinbar eine vertrauenswürdiges Organisationen erscheint.

So schützen Sie sich vor Vishing:

• Geben Sie niemals vertrauliche Informationen am Telefon weiter.
• Lassen Sie sich nicht unter Druck setzen und beenden Sie zur Not den Anruf.
• Überprüfen Sie unerwartete Anrufe über einen offiziellen anderen Kontaktweg.
• Fragen Sie nach Namen und Kontaktdaten und kündigen Sie einen Rückruf an.
• Vergleichen Sie die Telefonnummer mit den Angaben auf der offiziellen Webseite.
• Informieren Sie bei Verdachtsfällen umgehend die IT-Abteilung.
• Rufen Sie keine unbekannten Support-Nummern an, sondern kontaktieren Sie im Fall von allgemeinen IT-Problemen immer die IT-Abteilung.
• Bei erfolgtem Zugriff trennen Sie bitte die Internetverbindung.

Schon wenige Sekunden einer Sprachaufnahme können heute ferner ausreichen, um mittels Künstlicher Intelligenz einen täuschend echten Stimmenklon zu erzeugen. Daher beachten Sie bitte: Auch eine vertraut klingende Stimme ist kein Beweis für die Echtheit eines Anrufs. Verifizieren Sie ungewöhnliche Anfragen immer über einen zweiten, bekannten Kommunikationsweg.

MFA-Bombing

Viele Konten sind heute durch eine Multi-Faktor-Authentifizierung (MFA) geschützt. Auch dieses Sicherheitsverfahren versuchen Angreifende zu umgehen.

Beim sogenannten MFA-Bombing senden Cyberkriminelle in kurzer Zeit zahlreiche Anmeldeanfragen an das Mobilgerät des Opfers. Die Anmeldedaten (Name und Passwort) haben sich die Cyberkriminelle bereits vorher verschafft.

Sie hoffen darauf, dass die betroffene Person

• versehentlich den Zugang bestätigt,
• aus Gewohnheit bestätigt oder
• durch die vielen Anfragen genervt wird und schließlich zustimmt.

Trauen Sie MFA-Anfragen nur, wenn Sie sich unmittelbar zuvor versucht haben anzumelden. Achten Sie sicherheitshalber auf den Zeitstempel und geben Sie keine unerwarteten Anfragen frei.

Was NaSi passieren kann, ist als echte Gefahr für jeden Mitarbeitenden bei NDH zu erachten. Beinahe täglich sind Kolleginnen und Kollegen Phishing-Risiken ausgesetzt.

Phishing ist dabei der Begriff für eine Betrugsmethode, bei der Angreifende versuchen, unter anderem durch gefälschte E-Mails oder Webseiten sensible Daten zu stehlen oder Schadsoftware zu verbreiten. 

Typische Ziele sind: 

• Passwörter und Zugangsdaten 
• Persönliche Daten 
• Unternehmensinformationen 

Moderne Phishing-Angriffe werden heute häufig automatisiert und mithilfe von KI erstellt. Dadurch wirken Nachrichten oft täuschend echt und können gezielt auf einzelne Personen oder Unternehmen zugeschnitten werden. 

Warum Phishing funktioniert...

Cyberkriminelle setzen gezielt auf Emotionen, um Menschen zu schnellem Handeln zu bewegen. 

Typische Emotionen bei einer Manipulation: 

• Angst 
• Zeitdruck 
• Neugier 
• Folgsamkeit 
• Hilfsbereitschaft 

Seien Sie besonders vorsichtig, wenn E-Mails: 

• Links oder Anhänge enthalten 
• zu dringenden Handlungen auffordern 
• unpersönliche Anreden verwenden 
• sprachliche Fehler bzw. Rechtsschreibefehler enthalten 
• ungewöhnlich formatiert sind 
• widersprüchliche Inhalte enthalten 
• eine andere „Antwort an“-Adresse besitzen 
• einen „Gesendet über“-Zusatz im Header enthalten 
• Belohnungen oder außergewöhnlich attraktive Angebote versprechen 

Wenn Ihnen etwas ungewöhnlich vorkommt, sollten Sie die Echtheit der E-Mail über einen anderen offiziellen Kanal prüfen, beispielsweise telefonisch.  

Absenderadresse genau prüfen 

Viele Phishing-Angriffe lassen sich bereits am Absender erkennen, falls Absendername und Absenderadresse nicht übereinstimmt. 

Für Computer: 

Bewegen Sie den Mauszeiger über den angezeigten Absendernamen, ohne zu klicken. Die vollständige E-Mail-Adresse wird angezeigt. 

Für Mobilgeräte: 

Tippen Sie auf den Pfeil oder die Absenderinformationen, um die vollständigen Senderdetails einzublenden. 

Bereits kleine Schreibfehler können auf einen Betrugsversuch hinweisen. Aber auch scheinbar echte E-Mail-Adressen sind keine Garantie für Sicherheit. Cyberkriminelle können kompromittierte Konten missbrauchen oder Absenderinformationen manipulieren. 

Verlassen Sie sich deshalb nicht ausschließlich auf die Absenderadresse, sondern auf den Gesamteindruck der Nachricht. 

Links vor dem Klick prüfen 

Ein Link kann als Text, Bild oder Button dargestellt sein. Entscheidend ist jedoch immer die tatsächliche Zieladresse (URL). 

Für Computer: 

Bewegen Sie die Maus über den Link. Die Zieladresse wird häufig unten im Browser oder im E-Mail-Programm angezeigt. 

Für Mobilgeräte: 

Halten Sie den Link gedrückt, bis die Zieladresse angezeigt wird. 

Die 3-Schritte-Methode zur Link-Prüfung: 

Beispiel: „https://login.microsoft.com.link-protection.net/common/authorize“ 

Suchen Sie den ersten einzelnen Schrägstrich (/) in der URL (also nicht das // bei https://). Alles, was davorsteht, ist der relevante Teil für die Prüfung. 

https://login.microsoft.com.link-protection.net/common/authorize 

Ausgehend vom ersten Schrägstrich werden zwei Punkte (.) nach links gezählt. Direkt nach dem zweiten Punkt beginnt die eigentliche Adresse, die zeigt, zu welcher Webseite der Link gehört. 

https://login.microsoft.com.link-protection.net/common/authorize 

Der Abschnitt, der mit dem zweiten Punkt beginnt und bis zum Schrägstrich reicht, ist die vollständige Domain. Sie besteht aus dem Namen der Webseite und der Endung (z. B. .net, .com, .de). 

Die Domain lautet also link-protection.net und nicht microsoft.com. Der Link führt also nicht zur erwarteten Seite, sondern auf eine andere Webseite, die sich als Microsoft ausgibt. 

Achten Sie auf 

• Schreibfehler in Domains  
• ungewöhnliche Endungen (.xyz, .top usw.)  
• sehr lange Webadressen  
• kryptische und lange Subdomains  
• irreführende Begriffe innerhalb der URL 

Ein Schloss-Symbol oder „https://“ bedeutet zudem lediglich, dass die Verbindung verschlüsselt ist. 

HTTPS ist kein Beweis für die Echtheit einer Webseite.

Sie haben genau das entdeckt, was in unserem Arbeitsalltag nicht passieren sollte. Damit sind Sie unserem neuen Mitarbeitenden schon voraus, aber keine Sorge: NaSi gelobt Besserung...

Passwörter schützen unsere Daten, Systeme und letztlich auch unsere NDH. Doch selbst das stärkste Passwort verliert seinen Schutz, wenn es auf einem Zettel notiert und offen liegen gelassen wird. 

Mit wenigen einfachen Maßnahmen schützen wir unsere Informationen wirksam vor Cyberangriffen, die auf schwache oder unsicher verwendete Passwörter abzielen...

So sieht ein starkes Passwort aus: 

Ein sicheres Passwort sollte 

• Möglichst lang sein: Je länger, desto besser (idealerweise mindestens 16 Zeichen), 
• Groß- und Kleinbuchstaben, Zahlen sowie Sonderzeichen enthalten, 
• Keine einfachen Muster wie „123456“, „qwertz“ oder ähnliche Folgen verwenden, 
• Keine persönlichen Informationen enthalten, beispielsweise Namen von Familienmitgliedern, Haustieren, Orten oder Kfz-Kennzeichen, 
• Nicht aus einem einzelnen Wörterbuchwort bestehen. 

Ein starkes Passwort muss nicht schwer zu merken sein: 

Eine bewährte Methode ist die Bildung eines Passworts aus einem persönlichen ausgedachten Satz. 

Beispiel: 

„Seit 2024 fahre ich jeden Morgen mit dem Fahrrad zur Arbeit!“ 

Aus den Anfangsbuchstaben und den Zahlen entsteht: 

S2024fijMmdFzA! 

Das Ergebnis ist lang, komplex und gleichzeitig ein leicht zu merkendes Passwort. 

Diese Fehler sollten Sie vermeiden: 

Passwörter niemals auf Zetteln notieren: 

Das sicherste Passwort hilft nicht, wenn es  

• unter der Schreibtischunterlage liegt, 
• am Monitor klebt, 
• im Notizbuch steht oder 
• offen herumliegt. 

Passwörter niemals weitergeben: 

• Geben Sie Ihr Passwort niemals per E-Mail weiter. 
• Geben Sie Ihr Passwort niemals am Telefon heraus. 
• Die IT-Abteilung wird Sie niemals auffordern, Ihr Passwort mitzuteilen. 

Nicht mehrere Konten mit demselben Passwort schützen: 

Wird ein Passwort kompromittiert, können Angreifer versuchen, damit auch auf weitere Konten zuzugreifen. Verwenden Sie daher am besten für jeden Dienst ein eigenes Passwort. 

Passwortwechsel nur bei Bedarf: 

Früher wurde empfohlen, Passwörter regelmäßig zu ändern, jedoch wurde bewiesen: Häufige Passwortwechsel führen oft dazu, dass man schwächere oder vorhersehbare Passwörter auswählt. 

Ein Passwort sollte aber z.B. geändert werden, wenn 

• der Verdacht auf einen Datendiebstahl besteht oder 
• bekannt wird, dass Zugangsdaten kompromittiert wurden. 

Mögliche Anzeichen für ein gehacktes Passwort: 

Achten Sie auf folgende Warnsignale: 

• Sie können sich plötzlich nicht mehr anmelden. 
• Sie erhalten Hinweise auf Anmeldungen von unbekannten Geräten. 
• Kontoeinstellungen oder persönliche Daten wurden ohne Ihr Zutun geändert. 
• Sie bemerken andere ungewöhnliche Aktivitäten. 

Ändern Sie in solchen Fällen Ihr Passwort sofort und informieren Sie den IT-Support. 

Passwort-Manager: Der digitale Tresor 

Ein Passwort-Manager hilft dabei, viele unterschiedliche Passwörter sicher zu verwalten. Man kann sich es wie ein Notizbuch vorstellen, das in einen verschlossenen digitalen Tresor eingeschlossen wurde. 

Ihre Vorteile in Kürze:

• Generiert automatisch starke Passwörter, 
• Speichert Zugangsdaten sicher an einem zentralen Ort, 
• Füllt Anmeldedaten komfortabel aus, 
• Sie müssen sich nur ein einziges starkes Master-Passwort merken. 

Weitere Informationen zu dem bei der NDH eingesetzten Passwort-Manager erhalten Sie von uns in Kürze. Bei bestehendem Interesse fragen Sie gerne die IT-Abteilung über die Möglichkeit einer vorzeitigen Installation des Passkey-Managers über unser Unternehmensportal. 

Ausführliche Informationen finden Sie zudem in der Kennwortrichtlinie (Passwort-Richtlinie) im Intranet. 

Als NDH sagen wir "Nein" zum fahrlässigen Umgang mit sensiblen Informationen. 

Doch wie schaut eine angemessene und ausreichend sichere Handhabung mit Informationen aus? Wie schützen wir und wie schützt sich ein jeder von uns vor dem unbefugten Zugriff Dritter auf sensible Dateien? 

In den folgenden Wochen werden wir Ihnen auf dieser Seite zu besonders relevanten Themen aus dem Bereich Informationssicherheit Wissenswertes und praktische Tipps zukommen lassen. Unser Ziel ist dabei klar und realistisch zugleich: Eine reale Risikominimierung vor unbefugter Datenansicht, Datenklau oder auch Datenmanipulation.

Sollten zwischenzeitlich Fragen oder auch Anregungen Ihrerseits aufkommen, können Sie sich jederzeit bei unserem Informationssicherheitsbeauftragten (ISB), Herrn Patrick Feldmann-Schiffer, melden - vorzugsweise via Teams. Alternativ: