Informationssicherheit an der Uni Bonn
IT-Sicherheit ist ein Thema, welches die gesamte Hochschule betrifft. Wir wollen Sie dabei unterstützen, wie Sie in Ihrem Arbeitsalltag mögliche Gefahren erkennen können.
Phishing
Phishing ist eine Art von Cyber-Angriff, bei dem Betrüger*innen gefälschte E-Mails, Websites oder Nachrichten erstellen, um sensible Informationen abzugreifen. Dabei werden Nutzer*innen dazu verleitet, auf Links zu klicken oder Daten preiszugeben, wie Passwörter, oder Schadensoftware auf Systeme zu verbreiten z.B. über Anhänge oder Verlinkungen. Ziel ist es, Zugangsdaten, Passwörter oder Finanzinformationen zu erhalten und diese für betrügerische Zwecke zu nutzen.
Wie kann ich eine Phishing E-Mail erkennen?
Im ersten Teil der Videoreihe erfahren Sie, wie Sie eine Phishing-E-Mail erkennen können und was zu beachten ist.
Teil 1: Absender Prüfen
Phishing Email erkennen - Teil 1: Absender Prüfen
Bild © Denis Nasser/Uni Bonn
Auf was ist zu achten
Prüfen Sie folgende Fehler:
- Rechtschreibfehler in dem Domänenname (der Teil nach dem @)
- Rechtschreibfehler im Namen (der Teil vor dem @)
- Verwechselungsgefahr bei bestimmten Buchstaben in der E-mail-Adresse:
- I l 1(großes i, kleines L, eins)
- O 0 (großes O und Null)
- Bei Absendern innerhalb der Universität:
- Ist der Absender tatsächlich ein Absender aus der Universität?
- Grundsätzlich lautet die Domain @uni-bonn.de.
- Es gibt einige Ausnahmen, bei denen es noch eine Sub-Domain gibt, also einen durch Punkt abgetrennten Zusatz zwischen dem „@“ und „uni-bonn.de“. Gültige Absende-Adressen sind z.B.:
- @uni-bonn.de
- @verwaltung.uni-bonn.de
- @zgb.uni-bonn.de
- @ulb.uni-bonn.de
- Beispiele für ungültige Absenderadressen
- @universitaet-bonn.de (falsche Domain)
- @universiteat-bonn.de (falsche Domain, e und a vertauscht)
- @UNI-B0NN.de (Null statt O)
- @uni-bon.de (fehlendes n)
- Passt die Mailadresse zum angezeigten Namen?
- Beispiele:
- Mail des Rektors mit einer Adresse <irgendwas>@gmail.com
- Mail mit Rechnung eines Lieferanten mit einer Absende-Adresse, die nicht zum Lieferanten passt
- Mail von einem dienstlichen Kontakt (z.B. Ansprechpartner einer anderen Uni oder Organisation) mit einer Adresse von einem sogenannten Freemailer (z.B. GMX, Googlemail, Web.de oder einer anderen, nicht passenden Domain)
Teil 2: Links überprüfen
Phishing Email erkennen - Teil 2: Links prüfen
Auf was ist zu achten:
In Phishing Mails werden Links genutzt, die auf ein anderes Ziel führen, als sie vorgeben.
- Blau markierte Links im Text zunächst mit dem Mouse-over (also ohne zu klicken!) prüfen und schauen, ob das angezeigte Ziel erwartet / plausibel ist.
- Auch ausgeschriebene Links mit dem Mouse-over/Pop-up überprüfen
- Slash und Punkt: https://www.gleichstellung.uni-bonn.de/ ist ok, https://www.gleichstellung.de/uni-bonn.de/ oder https://gemeine-taeuschung.de/uni-bonn.de/ wären externe Adressen
- Rechtschreibfehler wie „universitat-bonn“
- Verwechselungsgefahr bei bestimmten Buchstaben in der Adresse / im Link:
- I l 1(großes i, kleines L, eins)
- O 0 (großes O und Null)
- Auf mobilen Endgeräten funktioniert der Mouse-over nicht! Wenn es Zweifel gibt, lieber warten, bis man am Desktop ist.
Teil 3: Inhalte prüfen
Phishing E-Mail erkennen Teil 3: Inhalte Prüfen
Auf was ist zu achten
Prüfen Sie folgende Inhalte:
- Duktus, Form, Wortwahl, viele unübliche Rechtschreibfehler
- Unpersönliche Ansprache („Damen und Herren“, „Kunde“ statt des tatsächlichen Namens)
- Unpassende/unübliche Ansprache („Sie“, obwohl man sich sonst duzt – oder andersherum)
- Andere Sprache (englisch statt deutsch)
- Sprachwahl
- Es wird Neugierde geweckt (z.B. "Sie haben etwas gewonnen", "Paket ist da" oder eine super spannende Bewerbung einer Person mit seltenen Qualifikationen)
- Aufforderung, persönliche Daten, wie z. B. PIN für Ihren Bankzugang oder Passwörter einzugeben
- Druck ausgeübt (zeitlicher Druck und drohende Konsequenz (Ihr Account ist /wird gesperrt)
- ... um Benutzer*innen zum Klicken auf Links zu verleiten oder die angehängte(n) Datei(en) zu öffnen (ohne diese vorher nochmal zu prüfen)
Weitere Tipps
Downloads
Nie selbstständig Software auf dienstlichen Rechnern herunterladen – hier die IT-Verantwortlichen um Unterstützung bitten.
Updates und Neustart
Updates und/oder notwendige Neustarts zum nächstmöglichen Zeitpunkt durchführen.
Der Rechner sollte bei Dienstschluss immer heruntergefahren werden, sodass Updates/Neustarts spätestens dann automatisch durchgeführt werden können.
Datenautausch
Nutzen Sie einer der offiziellen Datenaustauschplattformen der Uni, beispielsweise Sciebo.
Passwörter
- Nicht wiederverwenden
- Keine Fortschreibungen (z.B. Zahl am Anfang oder Ende, die einfach hochgezählt wird)
- Keine Worte, die im Wörterbuch vorkommen
- Mindestens 12 Zeichen, bestehend aus mindestens jeweils einem Großbuchstaben, Kleinbuchstaben, Ziffer und Sonderzeichen
- Passwort aus einfach zu merkendem Satz bilden. Aus diesem jeweils die Anfangsbuchstaben nehmen. Beispiel: „Ich freue mich auf meinen Sommerurlaub 2023 auf Norderney!“ -> Passwort „IfamS2023aN!“
Anschluss von mobilen Geräten z. B. zum Laden
- Keine privaten externe Festplatten/USB Sticks an dienstliche Rechner anschließen
- Keine dienstliche externe Festplatten/USB Sticks an private Rechner
- Keine privaten Handys, Tablets oder Kameras an dienstlichen Rechner oder Docking-Station anschließen (dieser Punkt gilt nur für die Verwaltung).
- Laden immer über Ladegerät direkt an der Steckdose
Weiterführende Informationen und Schulungsangebote
- Das Behörden IT-Sicherheitstraining (BITS) ist ein selbständiges Trainingsprogramm zur Sensibilisierung im sicheren Umgang mit dem Computer und dem Internet.
- Hochschulübergreifende Fortbildungen NRW (HÜF) bietet Fortbildungen zur Förderung der beruflichen Qualifikation der Beschäftigten in Technik und Verwaltung der 37 kooperierenden NRW-Hochschulen an, auch zum Thema IT-Sicherheit
- Weiterführende Informationen zu dem Thema bietet das Bundesamt für Sicherheit in der Informationstechnik
Hilfe und Kontakt
Wenn Sie Fragen haben zu dem Thema, oder etwas verdächtiges melden möchten, steht Ihnen der IT-Sicherheitsbeauftragter zur Verfügung.
Zudem können Sie sich an Dezernat 2, das Hochschulrechenzentrum und Ihre lokale IT-Administration wenden.
Dezernat 2 - Datenverarbeitung
Kontakt für die Universitätsverwaltung