rn statt m: die Falle in der Absenderadresse
Zwei Buchstaben, die aussehen wie einer. Und vier weitere Tricks, die genauso gut funktionieren.
KI-generiert
Lesen Sie das hier bitte einmal genau:
rnicrosoft.com
Wenn Sie beim ersten Hinsehen „microsoft.com" gelesen haben, ist alles in Ordnung mit Ihnen — das tun fast alle. Am Anfang steht kein m, sondern ein r und ein n. Nebeneinander, in einer serifenlosen Schrift, ergeben die beiden Buchstaben ein Bild, das unser Auge als m verbucht.
Das ist keine Spielerei, sondern eine der zuverlässigsten Methoden, um eine gefälschte Absenderadresse durchzubringen. Sie funktioniert, weil wir Wörter nicht Buchstabe für Buchstabe lesen, sondern als Form. Auf einem Handybildschirm, in acht Punkt Schriftgröße, zwischen zwanzig anderen Mails: keine Chance.
Wie funktioniert der rn/m-Trick?
Er nutzt aus, dass Lesen ein Abgleich mit gespeicherten Wortbildern ist. „Microsoft" kennen Sie. Ihr Gehirn erkennt die Form, bestätigt sie und geht weiter — Buchstaben werden dabei gar nicht einzeln geprüft.
Dasselbe Prinzip, andere Zeichen:
- l und I und 1 — großes i, kleines L und Eins sehen in vielen Schriften identisch aus. paypaI.com ist nicht PayPal.
- 0 und O — Null statt O, besonders unauffällig in Domains mit vielen Buchstaben.
- vv statt w — seltener, aber es kommt vor.
- Buchstaben aus anderen Alphabeten, die genauso aussehen. Ein kyrillisches „а" ist optisch nicht von einem lateinischen „a" zu unterscheiden, für den Computer sind es zwei völlig verschiedene Zeichen — und damit zwei verschiedene Domains.
Die vier Varianten, die noch häufiger sind
Ehrlicherweise: Den reinen rn/m-Trick sehen wir seltener als die folgenden vier. Sie sind billiger zu haben und funktionieren mindestens so gut.
Der Anzeigename. Der häufigste Fall überhaupt und der, der am wenigsten Aufwand macht. Im Postfach steht „Joachim Homm" — dahinter liegt irgendeine Adresse bei einem Freemail-Anbieter. Den Anzeigenamen kann jeder frei setzen, er ist keinerlei Nachweis. Auf dem Handy sehen Sie standardmäßig nur ihn.
Die Zusatzdomain. Statt mustermann.de kommt die Mail von mustermann-gmbh.de. Vollkommen echte, frisch registrierte Domain, technisch einwandfrei, alle Prüfungen bestanden. Es ist bloß nicht die des Absenders, für den er sich ausgibt.
Die falsche Endung. .co statt .com, .de.com statt .de. Ein Zeichen weniger, und niemand bemerkt es.
Die Subdomain. microsoft.com.anmeldung-sicherheit.ru — hier steht der bekannte Name sogar korrekt drin, nur eben als Vorsilbe. Die eigentliche Domain ist immer der Teil unmittelbar vor der Endung, in diesem Fall anmeldung-sicherheit.ru.
Wie prüfe ich eine Absenderadresse richtig?
Drei Handgriffe, zusammen keine zehn Sekunden:
- Die echte Adresse sichtbar machen. Anzeigename antippen oder aufklappen, bis die vollständige Adresse dasteht. Am Handy ist das ein Extraschritt — und deshalb passiert es dort selten.
- Von hinten lesen. Nicht bei „microsoft" anfangen, sondern bei der Endung und rückwärts: .ru → anmeldung-sicherheit → das ist der Absender. Alles davor ist Dekoration.
- Bei Zweifel den Text markieren. Eine markierte oder in ein Notizfeld kopierte Adresse wird in einer anderen Schrift dargestellt — und dort fällt das rn plötzlich auf.
Für Links gilt dasselbe von hinten nach vorn. Und wenn eine Mail zu einer Anmeldung auffordert: nicht dem Link folgen, sondern die Seite selbst aufrufen, wie immer.
Warum der Filter das nicht immer wegnimmt
Bei bekannten Fälschungsdomains greifen die Filter. Bei einer erst gestern registrierten Domain, die technisch sauber eingerichtet ist und noch keinen schlechten Ruf hat, ist wenig zu beanstanden — die Mail ist unauffällig, sie behauptet nur etwas Falsches.
Was hilft, sind Kennzeichnungen: eine sichtbare Markierung an jeder Mail von außerhalb des Unternehmens, ein Hinweis bei Absendern, von denen noch nie eine Nachricht kam. Beides ist eingerichtet, nicht gekauft — und es verändert im Alltag mehr als jede zusätzliche Filterstufe, weil es genau in dem Moment auftaucht, in dem jemand zu schnell liest.
Aus der Praxis
Bei einem Kunden ging es um eine Zahlungsaufforderung, angeblich von der Geschäftsführung, adressiert an die Buchhaltung. Der Anzeigename stimmte. Die Signatur war aus einer echten Mail kopiert, inklusive Durchwahl.
Aufgefallen ist es an der Uhrzeit: 22:40 Uhr. Nicht an der Adresse — die hatte niemand aufgeklappt, und auf dem Handy wäre ohnehin nur der Name zu sehen gewesen.
Deshalb halten wir wenig von der Empfehlung, Mitarbeiter sollten „auf die Absenderadresse achten". Das tun sie, und trotzdem kommt so etwas durch, weil das Auge dabei zuverlässig verliert. Was trägt, sind Regeln, die unabhängig vom Erkennen funktionieren: Zahlungsdaten werden telefonisch bestätigt, ungewöhnliche Anweisungen ebenso — warum das die wirksamste Einzelmaßnahme ist, steht hier.
Kurz zusammengefasst
Der rn/m-Trick ist der anschaulichste, aber nicht der gefährlichste. Gefährlich ist die Kombination: ein vertrauter Anzeigename, eine Adresse, die niemand aufklappt, und ein Anliegen, das eilt.
Wenn Sie im Betrieb genau eine Sache ändern wollen, dann die Kennzeichnung externer Mails — sie kostet nichts und wirkt bei jedem einzelnen Mitarbeiter, ohne dass jemand etwas lernen muss. Wie das ins Gesamtbild passt, steht auf unserer Übersicht zur IT-Sicherheit im Mittelstand.
Was heißt das für Ihre Umgebung?
Wir rechnen Ihnen vor, was ein Verbleib bei VMware kostet und was ein Wechsel spart — kostenfrei und unverbindlich.