eMails: Schutz vor Viren und Trojanern

Immer mehr Viren und Trojaner sind im Umlauf.

Daher möchte ich hier ein paar einfache Punkte aus eigener Erfahrung zur eMail-Sicherheit aufführen die jeder ganz einfach nachmachen kann.

Es gibt zwar niemals 100% Sicherheit, aber man kann das Risiko doch deutlich minimieren.
Die Tipps taugen sicher nicht für jeden Anwendungszweck, aber vielleicht findest Du ja etwas nützliches. Gerne nehme ich auch weitere Tipps auf und ich freue mich auch auf Fehlerhinweise.

Wichtigste Tipps des Beitrags: Backups, Hirn einschalten, nicht alles anklicken
Und hier die Langversion:

Jeder PC der am Internet hängt ist als komprimittiert anzusehen.
Das klingt hart aber sollte recht einleuchtend sein:
Jedes Betriebssystem, sei es Windows, Linux, Mac-OS, Android oder andere hat mehr oder weniger schwere Sicherheitslücken. Davon sind viele noch unbekannt, ungepatcht oder werden nur von Hackern und Geheimdiensten ausgenutzt.
Daher gilt: ein PC der am Internet hängt kann niemals 100% sicher sein.

Backups sind absolut wichtig!
Jedes Gerät kann kaputt gehen. Viren und Trojaner können den PC ruckzuck unbrauchbar machen. Aber auch nur ein Stromausfall oder ein Versehen, eine fehlerhafte Software oder ein dummer Zufall können in Sekundenbruchteilen den kompletten Platteninhalt unlesbar machen.
Daher sind Backups essentiell wichtig.
Hast du kein Backup, dann sind Deine Daten nicht wichtig.
Erstelle mehrere Backups, lagere diese vom PC getrennt und an verschiedenen Orten (Bei Diebstahl oder Brand sind sonst schnell auch die Sicherungen weg)

Installiere aktuelle Updates
Mit aktuellen Updates werden in der Regel bekannte Fehler behoben und Lücken geschlossen. Allerdings können Updates auch zu neuen Problemen führen. Daher immer vor dem Update ein Backup erstellen.
Kein Backup? Kein Mitleid! (Quelle: ct)

Verwende alternative Betriebssysteme
Die meisten PCs laufen mit Microsoft Windows. Das liegt daran daß Windows auf den meisten Geräten bereits vorinstalliert ist. Windows ist aber keine Pflicht. Man kann problemlos alternative Betriebssysteme installieren. Ein sehr anwenderfreundliches Alternativsystem ist z.B. Linux Mint. Mint basiert auf Ubuntu, hat aber für mich die ansprechendere Oberfläche und ist für Umsteiger ganz gut geeignet. Prinzipiell ist es aber fast egal welche Distribution man verwendet. Einfach vorher ausprobieren und vergleichen. Kostet ja nichts (ausser etwas Zeit) Die meisten Linux-Distributionen kann man vor der Installation von USB-Stick oder DVD testen ohne etwas am PC zu verändern.
Linux benötigt in der Regel viel weniger Ressourcen als Windows. Daher ist dieses System auch besonders gut für ältere Rechner geeignet.

Verwende aktuelle Virenscanner (unter Windows)
Der von Microsoft mitgelieferte Virenschutz ist in der Regel bereits ausreichend, er sollte aber immer aktuell sein. Bei Windows10 ist die Installation zusätzlicher Antivirensoftware meistens überflüssig oder führt sogar zu zusätzlichen Fehlern.

Verwende NICHT Microsoft Outlook
Das meistverbreitete eMail-System unter Windows ist MS Outlook, meistens in Verbindung mit MS Office (Word, Excel, usw.)
Das System ist grafisch ansprechend, sehr stabil und sehr funktional.
Allerdings zielen die meisten Angriffe auf MS Outlook, eben weil es am weitesten verbreitet ist.

Andere Programme wie z.B. Thunderbird sind für Mails zwar mindestens genausogut, aber in der Bedienung doch anders und daher trauen sich viele nicht die Alternativen zu testen.
Dabei kann man in der Regel (mit IMAP-Konten, Exchange, usw.) problemlos mehrere Programme gleichzeitig verwenden. Mit POP-Konten kann es aber Probleme geben da hier in der Regel abgeholte Mails vom Server gelöscht werden. Dann hat man in jedem Programm immer nur einen Teil seiner eMails.
Outlook hat den Vorteil daß hier Mails, Kalender, Adressbuch, Aufgaben und Notizen in einem Programm integriert sind. Outlook ist auch besser in den MS-Kosmos integriert, die Exchange-Anbindung funktioniert perfekt und die Vernetzung ist sehr einfach.
Thunderbird ist in erster Linie ein Mail-Programm. Die Kalender- und Adressfunktionen sind bei weitem nicht so schön wie bei Ms-Outlook.

Daher verwende ich gerne Evolution.
Das sieht aus und funktioniert ähnlich wie Outlook,läuft aber nur unter Linux (es gibt auch eine inoffizielle Windows-Version, die läuft aber nicht besonders gut).
Mit Thunderbird oder Evolution unter Linux ist man bereits vor den meisten Schäden aus dem Netz sicher. Windows-Schädlinge funktionieren unter Linux nicht. Word-Makros sind in Openoffice unter Linux nicht funktionsfähig und Linux-Trojaner sind in der freien Wildbahn kaum anzutreffen. 95% aller potentiellen Infektionen hat man mit Linux und Thunderbird oder Evolution bereits erledigt. Für den Rest braucht man einfach ein gutes Backup, Hirn 1.0 und vielleicht auch ein bisschen Glück daß es einen nicht erwischt. Denn kein System ist sicher, soviel ist sicher.

Veröffentliche NICHT Deine eMail-Adresse im Internet,

zumindest nicht im Klartext.
Viele bösartige Systeme durchsuchen das Internet nach eMail-Adressen und erstellen daraus eine Sammlung für den Spam- oder Trojanerversand.
Die Veröffentlichung von eMail-Adressen im Internet führt über kurz oder lang zu unerwünschten Mails.
Leider gibt es manchmal die Pflicht zur Veröffentlichung, z.B. im Impressum einer Webseite. Dafür kann man eine Wegwerfadresse verwenden die man ab und zu mal wechselt wenn wieder zuviel Müll eintrudelt.
Aber Achtung – die Adresse muss erreichbar sein solange sie im Impressum steht.

Du kannst Deine eMail-Adresse als Bild veröffentlichen, z.B. wenn Du eine Webseite hast auf der Du das benötigst. Oder Du verschleierst die Adresse durch Leerzeichen, die Verwendung von AT statt @ oder ähnlichen Dingen. Wichtig: die Adresse muss für die Zielgruppe eindeutig lesbar sein, sollte aber von Suchprogrammen nicht gefunden werden.
(für rechtliche Aspekte insbesondere bei Impressumspflicht bitte vorher einen Anwalt fragen)

Verwende HIRN 1.0

Einfacher Schutz mit großer Wirkung. HIRN 1.0 sollte bei den meisten Menschen vorhanden sein. Leider wird es viel zu selten benutzt.
Mit Einsatz von HIRN 1.0 ist man schon recht sicher unterwegs.

Klicke nicht auf jeden Müll.

Kennst Du den Absender einer Mail?
Biene123 will nicht mit Dir poppen, die will Dein Geld! Ganz sicher!
Du hast auch vermutlich keine verstorbenen Verwandten in Afrika die Dir eine Millionenerbschaft hinterlassen.
Bist Du wirklich Kunde bei der Sparkasse, Volksbank oder sonstigen Banken?
Selbst wenn Du dort Kunde bist: Banken fragen niemals nach Zugangsdaten, wollen niemals einen Datenabgleich.
OK, manche Banken und Versicherungen sind nicht besonders schlau und schicken Links in eMails. Sei schlauer: klicke nicht auf solche Links, es sei denn es geht nicht anders! Denken vor Klicken!

Verwende nicht CC: (Carbon Copy)

Eine große Unsitte ist der Versand von Mails mittels CC: an mehrere Absender.
(Carbon Copy ist einfach ein englischer Begriff für mehrere Kopien, übernommen aus dem Büroumfeld von früher: Durchschlag mittels Kohlepapier)
Das Problem daran ist daß JEDER Empfänger ALLE eMail-Adressen mitgeliefert bekommt.
Das ist ok wenn es sich um eine geschlossene Benutzergruppe handelt. Aber es ist NICHT ok bei irgendwelchen Bekanntmachungen von Vereinen oder Organisationen.
Jeder Empfänger bekommt bei CC: alle eMail-Adressen. Wenn jetzt nur einer der Empfänger einen Trojaner auf seinem PC hat bekommen unter Umständen alle Empfänger viel Spass.
Wenn Du Spass haben willst, dann antworte auf solche Mails mit „Antwort an Alle“. Bedanke Dich für die 500 eMail-Adressen. Oder schreib einfach was sinnloses zurück: „TEST“ 🙂
Gerne auch einen Witz oder eine interessante Geschichte. Warte auf die Reaktionen.
Aber denke daran – einige Empfänger könnten verschnupft reagieren.

Der größte GAU war vor vielen Jahren (>>10 Jahre) ein PC-Großhändler der sein Newsletter per CC: verschickt hat. Über 7000 eMail-Adressen wanderten in mein Postfach.
Da hatte mein Outlook (damals habe ich das noch verwendet) ziemlich mit zu kämpfen.
Einige Empfänger fanden das Lustig und antworteten mit „Antwort an alle“, schickten lustige Mails, andere beschwerten sich, einige wollten daß man sie aus der Liste nimmt. Und alle diese Mails gingen an alle Empfänger. Da waren dann auch einige dabei die das nicht geblickt haben und antworteten: „Ich kann Dich nicht austragen, die Mail ist nicht von mir“, usw. Und das auch wieder an alle.
Das gab ein ziemliches Durcheinander.

Verwende BCC: (Blind Carbon Copy)

Wenn Du unbedingt Mails an mehrere Empfänger versenden willst, dann versende BCC:
Bei dieser Variante erhält jeder Empfänger nur seine eMail-Adresse in der Empfängerzeile. Dadurch werden nicht sinnlos eMail-Adressen verteilt und der Datenschutz ist höher. Der Aufwand für BCC: ist derselbe wie bei CC:, man muss nur einen anderen Knopf anklicken.

Öffne keine WORD-Dokumente!
Und Excel auch nicht. Bevor Du überhaupt irgendein Dokument öffnest schalte Hirn 1.0 ein: habe ich das Dokument angefordert? Schreibt der Absender etwas sinnvolles dazu in der Mail? Weiss ich um was es geht?
Aber Achtung: gefälschte Mails sehen immer echter aus. Im Zweifelsfall NICHT öffnen und erst mal per Telefon zurückfragen.

Viele Trojaner sind als Word-Makros (z.B. in DOCX-Dateien) unterwegs. Microsoft erlaubt sich auch seit Jahren die Unsitte, Dateiendungen auszublenden. Dadurch Kann eine Dokument.doc eben auch eine Dokument.doc.exe-Datei sein, eine ausführbare Datei.
Dazu kommt noch der Designfehler daß unter Windows nicht zwischen Anschauen, Bearbeiten oder Ausführen unterschieden wird sondern einfach nur pauschal „ÖFFNEN“ möglich ist. Was bei ÖFFNEN passiert sieht man im schlimmsten Fall erst wenn es zu spät ist.

Zum Öffnen von Office-Dokumenten kann man Openoffice verwenden, da ist man schon etwas sicherer (nicht 100% sicher).

Hinterfrage jede Anweisung die per Mail kommt

Ganz bestimmt wird kein Chef eine Mail schreiben mit „ganz geheim, frag nicht zurück, ruf mich nicht an, überweise einfach eine Million vom Geschäftskonto auf die Bahamas. Verrate es keinem“. Da ist entweder der Chef blöde wenn er sowas wirklich macht oder der Empfänger wenn er drauf reinfällt. Das ist aber bereits mehrfach so passiert!

Verwende für Dokumentenversand PDF

Die meisten Büro-Dokumente lassen sich als PDF versenden. Dazu haben die meisten Programme (Word, Excel, Openoffice) eine entsprechende Option beim Speichern. PDF ist sicherer als .DOC und .XLS (nicht 100% sicher).
Versende keine Word-Dokumente, das ist BÖSE! Es sei denn der Empfänger soll in der Datei irgendetwas bearbeiten, da wird das Originalformat benötigt. Aber nur wenn der Empfänger Bescheid weiß.
Rundmails von Firma, Verein, Schule und sonstigen Absendern schickt man NICHT als .DOC, .DOCX oder sonstigen Office-Formaten sondern als PDF.

Nutze Wegwerf-Adressen

Musst Du wirklich jeden Newsletter abonnieren? Willst Du überall Deine Mail-Adresse veröffentlichen? Je mehr Deine eMail-Adresse verbreitet ist, desto wahrscheinlicher bekommst Du SPAM und Trojaner per Mail. Daher solltest Du Wegwerfadressen verwenden.
Es gibt viele Anbieter kostenloser Mail-Adressen. Leg Dir eine oder mehrere Adressen neben Deiner Haupt-eMail-Adresse zu. Nimm diese Accounts wenn Du Dich irgendwo anmeldest.
Du kannst die Mails an Deine Hauptadresse weiterleiten oder mit Deiner Mailsoftware abrufen. Alternativ geht meistens auch der Mail-Zugriff im Browser.
Wenn eine Mailadresse verbrannt ist, d.h. mehr Werbung oder Trojaner ankommen als sinnvolles Zeug, dann kannst Du diesen Account einfach wegwerfen. Aber Achtung: Wichtige Empfänger sollten eine Dauerhafte Mail-Adresse erhalten. Nicht daß Du Mahnungen oder Versicherungs- und Behörden-Mails nicht bekommst weil Du dort eine Wegwerfadresse angegeben hast.

TEXT ist besser als HTML

Plain Text ist einfach, schmucklos und funktional. Das reicht für Mails vollkommen.
HTML dient dazu, Mails mit verschiedenen Schriftarten, bunt und mit Multimedia auszustatten, das braucht kein Mensch. Dafür reisst es aber riesige Sicherheitslöchen in Dein Mailsystem.
Eingebettete Funktionen zum Nachladen externer Inhalte funktionieren über HTML.
Schalte HTML aus.

Mail-Vorschau nur mit Vorsicht

Zumindest für die Mail-Vorschau auf jeden Fall HTML abschalten. Automatische Vorschau ist bequem aber gefährlich. Vielleicht reicht es Dir bereits über Name und Betreff die meisten Mails zu sortieren? Manche Mails muss man gar nicht erst öffnen, mit dem falschen Mailprogramm und bösen Mails reicht manchmal bereits die Vorschau, um den Rechner zu verseuchen. Das „Laden externer Inhalte“ auf jeden Fall deaktivieren. Das kann man bei Bedarf zulassen, wenn man den Text geladen hat. Zugegeben ein Klick mehr, aber im Falle eines Falles kann es das Leben Deines EDV-Systems retten.

Regelmäßige Passwortwechsel

Der regelmäßige Wechsel des Passworts macht dieses prinzipiell nicht sicherer.
Aber da man nie sicher sein kann, ob der Anbieter einer Dienstleistung (eMail-Provider, Hoster, etc) nicht vielleicht gehackt wurde, macht das schon Sinn.
Vielleicht ist ja auch der eigene PC mit einem Passwort-Grabber verseucht. Da macht der Wechsel aber nur dann Sinn, wenn der PC wieder sauber ist.
Allerdings sollte man wirklich immer ein neues Passwort verwenden und nicht zwischen 2 verschiedenen hin und her wechseln. Wenn die Datenbank eines Anbieters geklaut wurde, dann sind ALLE bisherigen Passwörter Müll, denn man weiss ja meistens nicht, wann die Daten abgegriffen worden sind.

Ignoriere die Warnungen Deines PCs NICHT!

Aktuelle Office-Programme sind schon recht gut abgesichert und sperren viel oder fragen oft nach. Ignoriere das nicht! Wenn Dein Outlook Dich vor dem Öffnen von Anhängen warnt, dann schalte Hirn 1.0 ein. Wenn Word Dich fragt ob es enthaltene Makros ausführen soll, dann sollten alle Alarmsirenen angehen. Nicht einfach alles anklicken und abnicken. Denken vor Klicken!

Meins

Als Beispiel möchte ich hier mein System kurz vorstellen.
Das ist natürlich nicht für jeden geeignet aber als kleine Anregung wie es funktionieren könnte:
Als Server läuft hier eine Synology Box.
Die Kisten gibt es in verschiedenen Größen für Heimanwender bis zur Großfirma. Auf dieser Box läuft bei mir der Mailserver der die Mails von meinen Internet-Mailkonten einsammelt und in die einzelnen Postfächer einsortiert.
Dabei erfolgt bereits eine erste Prüfung auf SPAM, Viren und Trojaner. Für Kontakte und Kalender gibt es CARDAV/CALDAV-Server-Software auf dieser Synology-Box (aktuell DS918+)
An den Arbeitsplätzen läuft Linux. Meine Lieblings-Mailsoftware ist Evolution.
Das ist zwar weniger verbreitet als Thunderbird, integriert aber Kontakte, Kalender, Aufgaben und Notizen und ähnelt sehr dem MS-Outlook. Die Oberfläche gefällt mir gut.

Thunderbird ist parallel im Einsatz. Man kann die Programme beliebig nebeneinander ausführen. Der Zugriff auf Mails erfolgt per IMAP-Protokoll.
Windows habe ich zwar auch im Einsatz, allerdings gibt es auf diesen Geräten keinen Mail-Zugriff. Windows-Viren haben dadurch kaum eine Chance.
Alle Mails werden automatisch auf einen zusätzlichen PC gesichert. Dabei holt dieser PC die Mails vom Server ab, der Benutzer auf diesem PC ist sonst im Netzwerk nicht vorhanden. Das verhindert einen automatischen Befall falls irgendein User gehackt werden sollte.

Abschliessender Hinweis:
Diese Liste erhebt keinen Anspruch auf Vollständigkeit und wird auch ab und an mal erweitert / verändert.
Niemand ist 100% vor Viren und Trojanern geschützt. Aber mit Hirn 1.0 und obigen Tipps ist man schon relativ gut unterwegs.
Und nicht das Backup vergessen!