Dies war eine autorisierte Simulation einer Phishing-Nachricht durch die IT-Abteilung (SGE-IT) der Stadt Esslingen am Neckar.

Liebe Kolleginnen und Kollegen, trotz Phishing- und Spam-Filter kann es vorkommen, dass Phishing- und Spam-E-Mails unsere Sicherheitssysteme überwinden und in Ihrem Mailpostfach eingehen. Wir bitten Sie daher, jede E-Mail genau zu überprüfen und niemals Links und Anhänge in verdächtigen E-Mails zu öffnen. Sollten Sie eine Phishing-E-Mail nicht erkennen, kann das schwerwiegende Folgen für uns alle haben.

Sollten Sie eine Phishing-/Spam-E-Mail erkennen oder sich nicht sicher sein, ob es sich bei einer E-Mail um Phishing oder Spam handelt, haben Sie nun die Möglichkeit dies über den Button "Spammelden" überprüfen zu lassen. Die E-Mail wird anschließend aus dem Eingang gelöscht und in den Order "Spam" verschoben. Diesen Button finden Sie sowohl in Ihrem persönlichen IBM/HCL Notes Maileingang als auch in den Amtspostfächern.

Die Kolleginnen und Kollegen, die ausschließlich iNotes (esdom1.esslingen.de) oder Verse (esdom1.esslingen.de/verse) in ihrem Internet-Browser nutzen, sowie Personen, die mit Smartphones oder iPads arbeiten, können E-Mails ebenfalls überprüfen lassen, indem Sie die E-Mail an Spam-Melden@esslingen.de weiterleiten.

Zum Training werden wir in nächster Zeit eine Phishing-Simulation durchführen. Das bedeutet, dass Sie Phishing-E-Mails bekommen, die wir zu Trainingszwecken an Sie senden. Wenn Sie eine Phishing- oder Spam-E-Mail erkennen, bitte wie oben beschrieben einfach melden.

Wenn Sie die Phishing-Simulation nicht erkennen und aus Versehen einen Link in der E-Mail anklicken, öffnet sich eine Webseite mit Informationen. Bitte lesen Sie diese Webseite unbedingt, da Ihnen dort erklärt wird, woran sie diese Phishing-E-Mail erkennen können. 

Bitte nehmen Sie sich einen Augenblick Zeit, um zu erfahren, wie Sie zukünftigen Angriffen vorbeugen können. Sollten Sie einmal den Verdacht haben, dass sich hinter einer E-Mail-Nachricht ein Phishing-Angriff verbirgt, oder Fragen oder Anmerkungen zu dieser Übung haben, senden Sie bitte eine E-Mail an 3344@esslingen.de

Besten Dank & viele Grüße

Ihr IT-Leiter Tim Meier

So schützen Sie die Stadt Esslingen am Neckar vor Credential-Phishing

Credential Phishing ist eine häufig angewandte Methode von Angreifern, um an die Zugangsdaten von Mitarbeitern zu gelangen, mit dem Ziel, auf Kundendaten, Mitarbeiterdaten und Finanzen zuzugreifen. Diese Schulung vermittelt Ihnen das notwendige Wissen und die Fähigkeiten, um solche Angriffe zu erkennen und sich dagegen zu schützen.

1. Erkennung von Phishing-Versuchen:
   • Falsche Vertrautheit: Phishing-E-Mails sind oft so gestaltet, dass sie Vertrauen erwecken. Sie enthalten Links zu bösartigen Websites, die echten Anmeldeseiten nachempfunden sind, um Ihre Informationen zu stehlen.
   • Emotionale Ansprache: Häufig wird mit Mitteilungen wie "Kontozugang gesperrt", "Zahlungstransfer abgeschlossen" oder "ausstehende Zahlung" auf Ihre Emotionen abgezielt.
   • Täuschend echte Nachbildungen: Phisher imitieren oft Unternehmens-E-Mail-Adressen, Signaturen und Logos. Selbst wenn eine E-Mail aussieht, als ob sie von einem legitimen Unternehmen stammt, ist Vorsicht geboten.
2. Sicherheitsmaßnahmen:
   • Verifizierung von Websites: Geben Sie niemals Anmeldedaten oder andere sensible Informationen auf einer nicht verifizierten Website ein. Auch wenn die Seite legitim aussieht, könnte es sich um eine gefälschte Kopie handeln. Achten Sie auf alte Logos, defekte Bilder und unscharfe oder verzerrte Bilder.
   • HTTPS und grünes Schloss: Ein grünes Schloss oder HTTPS garantiert nicht die Sicherheit einer Website. Angreifer können leicht kostenlose SSL-Zertifikate erhalten, die ihren Phishing-Websites einen Anschein von Legitimität verleihen.
   • Datenschutz: Halten Sie Ihre Benutzernamen, Passwörter und Sicherheitsfragen und -antworten privat. Verifizieren Sie immer, dass Sie sich auf der offiziellen Website befinden, bevor Sie Ihre Anmeldedaten angeben.
3. Umgang mit URLs:
   • Vorsicht vor verkürzten URLs: Seien Sie misstrauisch, wenn Hyperlinks verkürzte URLs enthalten, da sie die wahre Ziel-URL maskieren.
   • Überprüfen Sie Links, ohne zu klicken: Jeder Hyperlink besteht aus zwei Teilen: dem Anker und dem Ziel. Der Anker ist der sichtbare Teil des Hyperlinks, auf den Sie klicken. Der Anker kann irreführend sein, da er nicht angibt, wohin ein Link tatsächlich führt.
4. Schnelle Tipps:
   • Verifizierung: Lernen Sie, wie Sie Websites und E-Mails verifizieren können.
   • Lesezeichen verwenden: Verwenden Sie Lesezeichen für wichtige Websites, um sicherzustellen, dass Sie die richtige Adresse aufrufen.
   • Domain-Namen überprüfen: Achten Sie auf den Domain-Namen in der URL, um sicherzustellen, dass Sie sich auf der richtigen Website befinden.
   • Passwortschutz: Halten Sie Ihr Passwort privat und teilen Sie es niemals mit anderen.
5. Praktische Übung:
   • Identifizierung von Phishing-E-Mails: Überprüfen Sie die angegebenen Beispiele auf Phishing-Indikatoren und diskutieren Sie die Ergebnisse mit Ihren Kollegen.
   • Quiz: Testen Sie Ihr Wissen über Credential Phishing und die erlernten Sicherheitsmaßnahmen mit einem schnellen Quiz.

Fazit

Durch das Verständnis der Methoden, die von Phishern verwendet werden, und die Anwendung der empfohlenen Sicherheitsmaßnahmen können Sie sich und Ihre Organisation effektiv vor Credential Phishing schützen. Bei verdächtigen Nachrichten oder Websites ist es wichtig, vorsichtig zu sein und diese an die zuständige Abteilung in Ihrer Organisation zu melden.