Google berichtet von Erfolgen im Kampf gegen Phishing
Seit 2004 arbeiten Branchenverbände und Standardisierungsgremie an Standards zur E-Mail-Authentifizierung. Deren immer breitere Akzeptanz macht den Versand von Phishing-E-Mails immer schwerer, berichtet Google jetzt. Unter anderem schaffen sie es immer seltener, die Herkunft einer E-Mail erfolgreich einer Domain zuzuschreiben, der Nutzer vertrauen.
Empfänger könnten durch die vorgetäuschte Herkunft einer Mail eventuell dazu verleitet werden, Daten preiszugeben. Ein typischer Fall von E-Mail-Phishing ist etwa eine Nachricht, die angeblich von der Bank des Empfängers kommt und in der er aufgefordert wird, seine Kontendaten auf einer verlinkten Webseite einzugeben. Betrügern gelang und gelingt es es auf diese Weise immer noch, Identitäten zu stehlen und Konten zu plündern.
Wie Anti-Phishing-Spezialist Elie Bursztein von Google berichtet, kommen inzwischen 91,4 Prozent der an Gmail-Nutzer versandten Nicht-Spam-Mails von authentifizierten Absendern. Das wiederum erlaubt es dem E-Mail-Dienst, jährlich Milliarden von E-Mails auszufiltern, die einen falschen Absender vorgeben, und diese gar nicht erst in die Inbox der Nutzer gelangen zu lassen.
76,9 Prozent der empfangenen Mails sind nach dem DKIM-Standard (DomainKeys Identified Mail) signiert. Über eine halbe Million aktive Domains haben diesen Mechanismus übernommen. 89,1 Prozent kommen von SMTP-Servern, die ihre Identität über den Standard SPF (Sender Policy Framework) bestätigen. 74,7 Prozent der eingehenden E-Mails sind sogar nach beiden Standards geprüft. 80.000 Domains haben Richtlinien umgesetzt, durch die Gmail jede Woche hunderte Millionen nicht authentifizierter E-Mails nach der DMARC-Spezifikation abweisen kann. DMARC steht für “Domain-based Message Authentication, Reporting and Conformance”. Dem Konsortium gehören unter anderem Google, Facebook, Microsoft, Yahoo und PayPal an.
Bei der Nutzung von DKIM ist ein öffentlicher Schlüssel mit mindestens 1024 Bits zu wählen, um eine Entschlüsselung durch Angreifer zu verhindern – die dann doch vortäuschen könnten, dass eine Nachricht von der jeweiligen Domain verschickt wurde.
Bursztein fordert auch die Inhaber von Domains zur Mithilfe auf, die selbst keine E-Mails versenden. Sie sollten dafür eine DMARC-Richtlinie veröffentlichen, in der sie ihre Domain als Nicht-Versender definieren. Die Hinzufügung einer “Zurückweisen”-Vorgabe für diese Domains stelle sicher, “dass keine E-Mails, die sich als Sie ausgeben, in den Posteingang von Gmail-Nutzern gelangen”.
[mit Material von Bernd Kling, ZDNet.de]