Deutsche Banken mit Nachholbedarf? Neue Nameshield Studie zum Thema E-Mail Sicherheit bei Banken

Nameshield führt als Experte der Themen Domainsicherheit und Online Brand Protection regelmäßig Studien zur aktuellen Lage in diesen Bereichen durch, so auch bei unserer aktuellen DMARC-Studie.

Da Finanzinstitute und deren Kunden ein attraktives Ziel für Angreifer sind und mit dem DMARC-Standard ein zuverlässiger Schutz vor Phishing E-Mails möglich ist, haben wir uns in der aktuellen Studie gefragt, wie weit deutsche Banken bei der Umsetzung bereits fortgeschritten sind. Um eine Vergleichsbasis zu haben, wurde das europäische Bankenumfeld in die Analyse miteinbezogen.

Basierend auf unserer über 30-jährigen Erfahrung auf dem Gebiet der Domain- und E-Mail-Sicherheit kann Nameshield in dem Report auch erste Handlungsempfehlungen geben. Der vollständige Report steht hier für Sie zum Download bereit. Fragen Sie auch gerne eine personalisierte Auswertung und Beratung bei uns an.

ChatGPT, kannst du mir eine Phishing E-Mail schreiben?

ChatGPT - Phishing

„Können Maschinen denken?“, diese doch recht einfache Frage des Mathematikers Alan Turing aus dem Jahr 1950 löste den Beginn der Forschung und langwieriger Experimente rund um die künstliche Intelligenz aus. Heute haben die zahlreichen Forschungen und technologischen Fortschritte Früchte getragen und viele Erfindungen, bei denen künstliche Intelligenz zum Einsatz kommt, sind entstanden. 72 Jahre später, am 30. November 2022, kommt chatGPT auf den Markt. chatGPT wurde von OpenAI, einem Forschungsunternehmen für künstliche Intelligenz, entwickelt und hat sich schnell in der breiten Öffentlichkeit etabliert. Heute gibt es 186 Millionen Konten und 1,6 Milliarden Zugriffe allein im März 2023.

Was ist chatGPT und wie funktioniert es ?

ChatGPT ist ein Chatbot mit künstlicher Intelligenz und einem selbstgenerierenden System. Das bedeutet, dass die Maschine „konversationell interagiert“, indem sie eine natürliche Sprache verwendet (NLP „Natural Language Processing“ genannt). Die künstliche Intelligenz greift dabei auf Deep-Learning-Algorithmen zurück; sie ist in der Lage, die Fragen der Nutzer zu analysieren und passende Antworten zu generieren. Mit der Zeit lernt chatGPT nicht nur von den Fragen, sondern auch von den Antworten seiner Nutzer. Dadurch kann der Chatbot auf eine sehr breite Palette von Anfragen antworten, wie z. B. das Schreiben von Bewerbungen, Hausarbeiten oder auch  Codezeilen. Und wenn die Antwort nicht passt, kann man einfach einen Dialog mit ihm führen und eine überzeugendere Antwort wird vorgeschlagen. Aus diesem Grund hat diese Erfindung so schnell so viele Menschen begeistert.

ChatGPT bringt jedoch auch Risiken mit sich, unter anderem in Bezug auf die Cybersicherheit und, genauer gesagt, Phishing.

Große Macht – große Verantwortung: Der Umgang mit den Cyber-Risiken, die mit chatGPT verbunden sind, wird zu einer herausfordernden Aufgabe. Gemeinhin gehen Cyberkriminelle nicht zimperlich vor. In den letzten Jahren haben die weltweiten Straftaten und Cyberangriffe stark zugenommen (plus 38% im Jahr 2022.)

Was angesichts von chatGPT Sorgen bereitet, ist dessen Einsatz zur Vorbereitung von Phishing-Angriffen. Seine Fähigkeit, Texte aller Art fehlerfrei zu schreiben und dabei menschenähnliche Antworten zu generieren, ist ein großer Trumpf für Cyberkriminelle. Dies verschärft eine bereits vorhandene und weit verbreitete Bedrohung. Der IC3-Bericht des FBI für das Jahr 2022 zeigt, dass Phishing das Delikt ist, das am häufigsten gemeldet wurde. Mit 300.497 Anzeigen allein in den USA im Jahr 2022 wird Phishing nicht nur in den Vereinigten Staaten, sondern auch weltweit zur am weitesten verbreiteten Art von Cyberangriffen. Damit ist die Thematik nicht nur ein regional weit verbreitetes Problem, sondern sie betrifft auch alle Branchen.

Phishing wird von Cyberkriminellen eingesetzt, um an persönliche und sensible Informationen über ihre Opfer zu gelangen. Dazu geben sich die Kriminellen mithilfe von Nachrichten, die sie per SMS, Telefonanruf oder E-Mail versenden, als vertrauenswürdige Organisationen aus. In diesen Nachrichten fordern sie ihre Opfer auf, auf einen Link zu klicken, um ihre persönlichen Daten einzugeben. 

OpenAI verbietet ausdrücklich jede böswillige Nutzung von chatGPT. Wenn der Bot direkt aufgefordert wird, einen bösartigen Code zu schreiben oder eine Phishing-E-Mail zu verfassen, weigert er sich. Mit anhaltendem Nachdruck und einer geschickten Wendung kann die künstliche Intelligenz jedoch genügend Informationen liefern, um einem Cyberkriminellen die Arbeit zu erleichtern. Diese Manipulation kann mit der Standardversion von chatGPT durchgeführt werden, ohne dass ein „JailBreaking“ erforderlich ist.

Interview mit chatGPT

Was sagt der Hauptbetroffene dazu? Um der Sache auf den Grund zu gehen, haben wir uns daran gemacht, chatGPT einige Fragen zu stellen, um seine „Meinung“ zur Situation zu erfahren, aber auch um die Erstellung betrügerischer E-Mails zu testen.

Erstens, aus rechtlicher Sicht: Folgt chatGPT einem Verhaltenskodex und gibt es Vorgaben, die das ‚Verhalten‘ von künstlichen Intelligenzen regeln ?

Bisher gibt es in Europa noch keine wirklichen Gesetze, die den Einsatz von künstlichen Intelligenzen wie chatGPT regeln. Die Europäische Kommission hat jedoch bereits ein Projekt gestartet, um einen Rechtsrahmen zu schaffen, und es wurden bereits Vorschläge für Richtlinien erstellt. Daher gibt es in Europa noch keine offiziellen Regeln oder Verbote. Dennoch wird erwartet, dass sich die Situation in den nächsten Monaten oder Jahren ändern wird. ChatGPT unterliegt also keinen gesetzlichen Vorgaben, allerdings scheint das Tool einem moralischen Verhaltenskodex zu folgen.

ChatGPT - Phishing

Laut Eigenauskunft darf chatGPT folgendes nicht tun: sich an illegalen Aktivitäten beteiligen, geistige Eigentumsrechte verletzen, persönliche oder vertrauliche Informationen bereitstellen und schließlich die Identität einer Person oder einer Organisation vortäuschen.

Wir haben ihn auch um seine Meinung gebeten, ob er einer Person helfen würde, einen Phishing-Angriff zu starten. Er bestätigt uns, dass er dazu moralisch nicht berechtigt ist

ChatGPT - Phishing

Im Anschluss prüften wir, ob es möglich sei, frei verfügbare Informationen über das Vorhandensein eines DMARC-Eintrags in der Zonendatei eines Unternehmens zu erhalten. Domain-Based Message Authentification Reporting and Conformance (DMARC) ist eine Methode zur E-Mail-Authentifizierung, die es dem Domaininhaber ermöglicht, Anweisungen für die Verarbeitung von Nachrichten in seinem E-Mail-System zu definieren – ein wirksames vorbeugendes Mittel gegen Phishing. Cyberkriminelle können diese Informationsabfrage nutzen, um Unternehmen als Angriffsziel auszuwählen, welche DMARC noch nicht implementiert haben, da die Erfolgswahrscheinlichkeit eines Phishing-Angriffes hier höher ist.

ChatGPT - Phishing

ChatGPT war nicht in der Lage, direkt etwas über den DMARC-Eintrag des Unternehmens zu sagen, erklärte uns aber, wie man ihn mithilfe der Windows-Befehlszeile erhalten kann.

Anschließend baten wir chatGTP, eine Phishing-E-Mail für uns zu formulieren. Nach anfänglicher Skepsis konnten wir ihm schnell die richtigen Fragen stellen. Schließlich war er in der Lage, uns eine überzeugende E-Mail zu schreiben, die von einer Bank stammen könnte.

ChatGPT - Phishing

Eine nahezu perfekte Phishing-Falle, denn sie enthält alle Codes einer klassischen E-Mail einer Bank, in der der Empfänger aufgefordert wird, seine persönlichen Daten preiszugeben. Die Nachricht ist in gutem Deutsch und ohne Rechtschreibfehler verfasst und fordert den Empfänger auf, schnell  und ohne weiteres nachzudenken zu handeln. ChatGTP scheint eine willkommene Arbeitserleichterung für Cyberkriminelle zu sein, da sie die Hürde der weltweit weniger verbreiteten und relativ schwer perfekt zu erlernenden deutschen Sprache meistert – eine bedrohliche Entwicklung.

Was können wir von der Zukunft erwarten?

Wird es möglich sein, die Entwicklung der KI zu blockieren oder zu verlangsamen? Nach der Veröffentlichung von chatGPT haben einige einflussreiche Persönlichkeiten aus der Technologiebranche, wie Elon Musk oder Steve Wozniak, Mitbegründer von Apple, ihre Bedenken geäußert, indem sie Petitionen unterzeichnet und einen offenen Brief veröffentlicht haben, die darauf abzielen, die Forschung und die Veröffentlichung einer KI, die über chatGPT hinausgeht, auszusetzen. Dies spiegelt die Besorgnis der Europäischen Kommission und der Bürger über den technologischen Fortschritt wider.

Es ist jedoch schwer vorstellbar, dass künstliche Intelligenzen wie chatGPT in Zukunft völlig verboten werden – trotz der Risiken, die sie beispielsweise in Bezug auf die Cybersicherheit darstellen. Wie im Entwurf der Europäischen Kommission vorgeschlagen, wird die Nutzung von künstlichen Intelligenzen wie chatGPT reguliert werden. Es ist jedoch unwahrscheinlich, dass dies ausreicht, um Cyberkriminelle, die chatGPT als Phishing-Werkzeug einsetzen wollen, zu bremsen.

Besser scheint es, sich auf die Risiken, die mit künstlicher Intelligenz verbunden sind,  vorzubereiten und sein Unternehmen zu schützen.

DMARC-Richtlinie von Nameshield

Ein erster wichtiger Schritt sind Schutzmaßnahmen im Bereich E-Mail. Cyberkriminelle versuchen oft, über diesen Weg an Ihre Informationen und die Ihres Unternehmens zu gelangen.

Eine effektive Möglichkeit zum Gegenangriff besteht darin, eine DMARC-Richtlinie einzusetzen.

Die Einführung einer DMARC-Richtlinie in Ihrem Unternehmen hat viele Vorteile. Sie ermöglicht es Ihnen, Spoofing-Versuche und betrügerische E-Mails zu blockieren. Darüber hinaus wird die Authentifizierung Ihres Datenverkehrs verbessert und die Zustellbarkeit Ihrer E-Mails erhöht.

Nameshield unterstützt Sie bei der Einführung einer DMARC-Richtlinie. Mit unserem Fachwissen können wir dafür sorgen, dass die Implementierung unter den bestmöglichen Bedingungen erfolgt. 
Zögern Sie nicht, sich mit Ihrem Nameshield-Berater in Verbindung zu setzen und halten Sie sich über technologische Fortschritte wie chatGPT und deren sicherheitsbezogene Folgen auf dem Laufenden, indem Sie unseren Newsletter abonnieren.

Bildquelle : Unsplash

Nameshield ist Aussteller auf der Rethink! IT Security am 22.-24. März 2023 in Berlin!

Nameshield ist Aussteller auf der Rethink! IT Security am 22.-24. März 2023 in Berlin!

Phishing-Attacken werden immer zahlreicher und aggressiver – erfahren Sie bei uns wie Sie verhindern können, dass E-Mail-Adressen Ihrer Firma Ausgangspunkt solcher Attacken werden.

Am 22.03. beim ICEBREAKER werden wir über das folgende Thema diskutieren: Domains und DMARC – Aktuelle Trends und Herausforderungen im Bereich der IT-Security 

Die Rethink! IT Security ist der führende IT Security Summit für CISOs und IT Security Entscheider aus dem deutschsprachigen Raum. Lernen Sie aktuelle Herausforderungen, Technologien, Trends und Best Practice im Bereich der IT und Cybersecurity kennen!

https://www.rethink-it-security.de/

Für unsere Kunden haben wir eine begrenzte Anzahl kostenfreier Tickets. Sprechen Sie uns unter salesgermany@nameshield.net an.

Wir freuen uns, Sie auf unserem Stand zu begrüßen und haben dort eine kleine Überraschung für Sie vorbereitet, um ihre Nerven im Falle eines Vorfalls beruhigen zu können.

BIMI und VMC: Logoanzeige in E-Mails

BIMI (Brand Indicators for Message Identification) ermöglicht es Ihnen, eigene E-Mails zu authentifizieren und das Vertrauen Ihrer Kunden zu stärken, indem Sie Ihr Logo in deren Posteingang anzeigen. VMC (Verified Mark Certificate) ist ein mit BIMI verbundenes Zertifikat, das die Echtheit des angezeigten Markenlogos gewährleistet.

Was ist BIMI?

BIMI ist eine Brancheninitiative mit dem Ziel, die Verwendung und Anzeige von Markenlogos in E-Mail-Clients zu standardisieren. Ein Marken- oder Firmenlogo – direkt im Posteingang neben dem E-Mail Kopf – schafft ein Gefühl der Legitimität und des Vertrauens. Die Implementierung wirkt sich deutlich auf die Öffnungsraten aus und erhöht den Schutz der Verbraucher vor betrügerischen E-Mails.

Technisch gesehen ist BIMI eine neue Sicherheitstechnologie, die zusammen mit den Protokollen DKIM, SPF und DMARC arbeitet, um Ihren Domainnamen davor zu schützen, von böswilligen Akteuren für den Versand betrügerischer E-Mails verwendet zu werden.

Vor BIMI waren der Prozess zur Anzeige eines Markenlogos neben einer E-Mail für jeden E-Mail-Dienst unterschiedlich; der Implementierungsprozess war teilweise vollständig manuell oder hing von anderen Anwendungen ab.

Die AuthIndicators-Gruppe, der E-Mail-Dienstleister wie Google, Verizon Media, IONOS by 1&1 und Fastmail angehören, arbeitet an der Implementierung von BIMI in die gängigsten E-Mail-Clients. Viele Anbieter haben BIMI bereits übernommen, andere sind dabei, und es wird erwartet, dass die Positionen von Microsoft und Apple die endgültige Übernahme des Standards vorantreiben werden.

Warum ist BIMI wichtig?

  • Vervollständigung des Schutzes einer Marke im Internet, insbesondere gegen Hijacking-Versuche durch betrügerische Spoofing-E-Mails, deren Ziel es ist, den Benutzer zu täuschen und ihn auf Phishing-Seiten zu führen.
  • Erhöhung der Attraktivität von E-Mails, insbesondere bei Marketingkampagnen. Die Einführung von BIMI und in größerem Umfang von Sicherheitsprotokollen und -zertifikaten für den mit einer Marke verbundenen Domainnamen ist heute unerlässlich und hat einen großen Einfluss auf den Online-Ruf.
  • Weil es sich zu einem Marktstandard entwickelt, der leicht zu implementieren ist, im Gegensatz zu den zahlreichen bereits existenten E-Mail-Betrugsbekämpfungslösungen, die oft schwer zu testen und zu implementieren sind.

Wie funktioniert BIMI?

BIMI validiert E-Mails in mehreren Schritten, um sicherzustellen, dass sie tatsächlich mit der Domain des Absenders verbunden sind. Die Absender müssen einen für BIMI bestimmten TXT-DNS-Eintrag hinzufügen.

Damit BIMI funktionieren kann, müssen die Domainnamen auch mehrere andere Schutzmechanismen gegen Betrug aufweisen, z. B:

  • SPF (Sender Policy Framework): Authentifizierung von E-Mails durch Identifizierung von Mailservern, die zum Versand vom jeweiligen Domainnamen aus berechtigt sind
  • DKIM (DomainKeys Identified Mail): Fügt jeder E-Mail eine digitale Signatur hinzu, um zu überprüfen, ob sie von einem autorisierten Domainnamen gesendet wurde
  • DMARC (Domain-Based Message Authentication, Reporting and Conformance): bestätigt SPF- und DKIM-Einträge und legt fest, wie nicht konforme E-Mails behandelt werden sollen

Wenn E-Mails mit BIMI versendet werden, führt der empfangende E-Mail-Server zunächst die standardmäßige DMARC/DKIM-Authentifizierung und SPF-Validierung durch. Wenn die E-Mail diese Prüfungen besteht, überprüft der Mailserver, ob sie einen gültigen BIMI-Eintrag hat, und zeigt das Markenlogo an.

Wie interagiert BIMI mit DMARC, DKIM und SPF?

Der erste Schritt zur Verwendung von BIMI zur Anzeige eines Logos ist die Implementierung von DMARC. Dies wird als DNS-Eintrag vom Typ TXT auf dem Domainnamen gespeichert. Damit DMARC mit BIMI funktioniert, muss die Ablehnungsrichtlinie in diesem Eintrag für alle von Ihrer Domain gesendeten E-Mails p=quarantine oder p=reject lauten.

BIMI erfordert DMARC… und DMARC erfordert, dass Ihr Domainname DKIM-Einträge hat, um zu funktionieren. Während DMARC nur SPF- oder DKIM-Einträge erfordert, um zu funktionieren, ist es trotzdem besser, SPF-Einträge für mehr Sicherheit bei der Verwendung von BIMI einzuschließen. Diese beiden Sicherheitstools werden auch als TXT-DNS-Einträge in der Domainnamenzone gespeichert.

VMC, das letzte Glied in der Kette

Ein Prüfzeichen-Zertifikat ist ein digitales Zertifikat, das den Besitz eines Logos bestätigt und die Verwendung von BIMI in E-Mail-Clients wie Gmail vervollständigt.

Das VMC-Zertifikat garantiert die Echtheit des angezeigten Logos, das notwendigerweise dem Inhaber des Domainnamens gehört, der die E-Mail versendet. Es ist das letzte Glied in der Kette, um die Authentizität der empfangenen E-Mail zu garantieren.

Wenn Sie eine E-Mail an einen Kontakt senden, übernimmt der empfangende Mailserver, der den Posteingang verwaltet, die URL des Tags, der angibt, wo das Logo angezeigt werden soll. Er überprüft dann das VMC-Zertifikat, um sicherzustellen, dass das richtige Logo verwendet wird. Sobald das Logo vom VMC verifiziert wurde, wird BIMI es neben der E-Mail im Posteingang anzeigen.

Um ein VMC-Zertifikat zu erhalten, ist die Implementierung von DMARC auf dem Domainnamen Voraussetzung. Es folgt ein Authentifizierungsprozess mit einer Zertifizierungsstelle, die die Identität der Organisation validiert, die Registrierung des Logos bei einer zertifizierten Stelle und die Ausstellung des Zertifikats nach einem persönlichen Treffen mit einem Notar.

Je nach Land können die Ämter für geistiges Eigentum für die Eintragung von Logos unterschiedlich sein, ebenso wie die Regeln für die Zulassung zur Ausstellung des Zertifikats.

Zugelassene Marken können sein:

  • Bild-Marken: bestehen ausschließlich aus einem Logo
  • Verbale Marken: Sie bestehen aus Wörtern, Buchstaben und/oder Zahlen, ohne besondere Schriftart, Größe, Farbe oder Stil
  • Kombinationsmarken: beinhalten eine Kombination von Wörtern mit einem Muster, stilisierten Buchstaben oder Zahlen

Obwohl dies derzeit keine Voraussetzung für die Implementierung von BIMI in Ihrem Domainnamen ist, sollte VMC in Zukunft Teil des Standards sein.

Entrust Datacard und DigiCert sind die ersten beiden Unternehmen, die VMC-Zertifikate für den BIMI-Standard ausstellen. Nameshield ist Partner beider Unternehmen und unterstützt Sie bei der Beschaffung von VMC-Zertifikaten. Sie können sich bei allen Fragen zu diesem Thema direkt an unsere Zertifikatsabteilung wenden.

BIMI + VMC = Garantie der Authentizität

BIMI, VMC… und Nameshield

Nameshield unterstützt seine Kunden bei der Implementierung von DMARC, SPF, DKIM sowie von BIMI-Protokollen und der Erlangung der zugehörigen VMC-Zertifikate. Der Domain-Name ist der Kern der Implementierung dieser verschiedenen Protokolle. Unser  Geschäft als Registrar und Verwalter von DNS-Zonen erlaubt es uns heute, unsere Kunden bei diesen wichtigen Themen des Kampfes gegen Online-Betrug und der Steigerung der Erwünschtheit von E-Mails zu unterstützen.