Forschungsgruppe Security • Usability • Society (SECUSO)

NoPhish Konzept: Awareness-/Schulungs-/Trainingskonzept zum Thema Phishing und andere betrügerische Nachrichten

Internetbetrüger nutzen verschiedene Strategien, um Ihnen und/oder Ihrem Unternehmen zu schaden. Eine beliebte und weit verbreitete Methode ist es, Ihnen Nachrichten mit betrügerischen Inhalten zu schicken. Dabei können die Nachrichten auf unterschiedliche Art und Weise gefährlich sein. Die Nachricht kann Sie auffordern Überweisungen zu tätigen, (kostenpflichtige) Anrufe zu tätigen oder die Nachricht enthält gefährliche Links und/oder gefährliche Anhänge. Dabei können die Nachrichten in Form von E-Mails oder aber auch über jegliche andere Nachrichtenform verschickt werden. Im Fall von gefährlichen Links in E-Mails spricht man oft von Phishing-E-Mails.

Worum geht es in unserem Konzept?

Um die Angriffsform 'betrügerische Nachrichten' besser zu verstehen und zu lernen, wie man sich schützen kann, haben wir Awareness-, Schulungs- und Trainingsmaßnahmen entwickelt. Das Konzept umfasst vier Themenbereiche:

  1. Einführung in das Thema
  2. Erkennung von unplausiblen, betrügerischen Nachrichten
  3. Erkennung von Nachrichten mit gefährlichen Links (inkl. Finden der URL hinter dem Link, Aufbau der URL und Tricks der Angreifer)
  4. Erkennung von Nachrichten mit gefährlichen Anhängen (inkl. Finden des Formats der Datei, Liste von besonders gefährlichen Dateiformaten und Tricks der Angreifer)

Mit der Entwicklung des NoPhish Konzept wurde an der TU Darmstadt begonnen. Dies geschah u.a. innerhalb des vom Bundesministerium für Wirtschaft und Energie im Rahmen der Initiative IT-Sicherheit in der Wirtschaft geförderten Projekts KMU Aware und im Rahmen des vom Bundesministerium für Bildung und Forschung geförderten CRISP Projekts. Das Konzept wiederum hat auf Forschungsarbeiten rund um die NoPhish App aufgebaut. Die verschiedenen Maßnahmen sowie das Konzept werden nach wie vor evaluiert und auf Basis der Ergebnisse weiter entwickelt. Außerdem werden neue Maßnahmen erarbeitet. Derzeit wird die Forschung rund um das NoPhish Konzept vom BMBF im Rahmen von KASTEL finanziert.

Wie wurde das Konzept umgesetzt?

Das NoPhish Konzept wurde in unterschiedliche Maßnahmen implementiert. Diese sind unterschiedliche detailliert. Weitere Informationen zur Anwendung finden Sie hier. 

Hinweise:

  • Hinweise zu verschiedenen Nutzungsszenarien und -rechten finden Sie hier.
     
  • Die meisten Empfehlungen sind nicht absolut, da das Internet sehr komplex ist. Daher werden Sie in dieser Einheit häufig Begriffe wie ‘wahrscheinlich’, ‘sehr wahrscheinlich’, ‘potentiell möglich’ lesen. Die Empfehlungen sollen als solide Entscheidungshilfe dienen, betrügerische Nachrichten zu erkennen. 
     
  • Die verwendeten (potentiell) betrügerischen Nachrichten sind entweder direkt aus betrügerischen Nachrichten, die im Umlauf waren, entnommen oder an diese Nachrichten angelehnt.
     
  • Die verwendeten gefährlichen Webadressen sollen lediglich als Beispiele dienen. Im Einzelfall kann es jedoch sein, dass die verwendeten Wer-Bereiche direkt von dem imitierten Unternehmen selbst registriert worden sind, um Betrugsversuche zu unterbinden, oder aber von Einzelpersonen oder Unternehmen registriert worden sind, die damit jedoch keinerlei Betrug beabsichtigen.

Veröffentlichung

 

Pressespiegel

<kes>, Android-News, ZwischenSeiten, lex-blog, Funkkolleg-Sicherheit, TURN ON, Polizei Hessen, <kes>, Deutschlandfunk, TÜV Rheinlandpfalz, Lehrerrundmail, mimikama.at (Österreich), App der Woche, Facebook Links des BSI, Facebook Links des Fraunhofer SIT, Online PC (Schweiz), Darmstädter Echo, Learnabit, BSI für Bürger, Sparkasse Darmstadt, Netzwerke der LOEWE-Forschung

Abschlussarbeiten

Masterarbeiten:

  • Gamze Canova und Clemens Bergmann (betreut von Prof. Dr. Melanie Volkamer, Prof. Ralf Tenberg und Arne Renkema-Padmos): Development and Evaluation of a Phishing Education App. 

Bachelorarbeiten:

  • Alexander Thiebes (betreut von David Kelm und Prof. Dr. Melanie Volkamer): Entwicklung einer Anti-Phishing Landing Page.
  • Alexandra Kunz (betreut von Prof. Dr. Melanie Volkamer und Paul Gerber): Teachable Moments in der IT-Sicherheit - Klassifizierung und Anwendungsbereiche. 
  • Henning Stecher (betreut von Prof. Dr. Melanie Volkamer, Michaela Kauer und Prof. Dr. Ralph Bruder): Qualitative evaluation of a website for phishing education. 
     

Ergänzende Tools

Es gibt Tools, die Sie dabei unterstützen, Links mit Hilfe des Erlernten einfacher zu beurteilen:

  • TORPEDO - Erweiterung für das E-Mail-Programm Thunderbird, die Sie dabei unterstützt, gefährliche Links in E-Mails zu erkennen.
  • QR-Code Scanner App - Android-App, die es ermöglicht, mit dem Smartphone QR-Codes zu scannen. Wenn in dem QR Code eine URL enthalten ist, wird die Webseite nicht direkt geöffnet, sondern die URL wird Ihnen zunächst zur Prüfung angezeigt.

 

Aktuelle Referenzanwender und Organisation, die auf unser Material verweisen

  • Karlsruher Institut für Technologie
  • Berliner Verkehrsbetriebe
  • Amt für Gemeindedienst in der Evang.-Luth. Kirche in Bayern
  • ASAP Holding GmbH
  • HEAG
  • Bundesverwaltungsamt
  • MARKANT Deutschland
  • eligo
  • Könitz Porzellan GmbH
  • Lemo Maschinenbau GmbH
  • AVW Unternehmensgruppe
  • Stadt Dessau-Roßlau
  • Polizeipräsidium Einsatz in Baden-Württemberg
  • Polizeipräsidium Südhessen
  • Landesamt für Geoinformation und Landesvermessung Niedersachsen (LGLN)
  • Artilleriebataillon 295 der Bundeswehr
  • Eberhard Karls Universität Tübingen
  • MARKANT Handels- und Industriewaren-Vermittlungs AG
  • Stadt Hamm
  • Ruhr-Universität Bochum
  • Informations- und Mediendienste (ZIM) der Universität Duisburg-Essen
  • Hochschule Koblenz
  • Universität Würzburg
  • Technische Universität Braunschweig
  • Hochschule Konstanz (HTWG)
  • Fernuniversität Hagen
  • Hochschule Worms
  • Universität Bamberg
  • Universität Mannheim
  • Landkreis Marburg-Biedenkopf
  • Bayern1 Radio