Welche Absenderadresse verwendet Microsoft?
Nach Angaben in der zugrunde liegenden Empfehlung werden legitime Sicherheitsbenachrichtigungen für Microsoft Konten über die Adresse noreply@accountprotection.microsoft.com versendet. Nachrichten, die angebliche Kontowarnungen von Adressen mit Domains wie outlook.com, hotmail.com, live.com, msn.com oder onmicrosoft.com versenden, sollten entsprechend kritisch geprüft werden.
Die sichtbare Absenderadresse allein ist allerdings kein ausreichender Echtheitsnachweis. Absenderinformationen können manipuliert werden. Bei einer technischen Prüfung sind deshalb zusätzlich die Nachrichtenkopfzeilen relevant. Dazu gehören unter anderem die Ergebnisse der Authentifizierungsverfahren SPF, DKIM und DMARC. Sie können Hinweise darauf liefern, ob eine Nachricht tatsächlich über die für die jeweilige Domain autorisierte Infrastruktur übertragen wurde.
Nachrichten von onmicrosoft.com besonders prüfen
Besondere Aufmerksamkeit verdienen Nachrichten, deren Absenderadresse onmicrosoft.com enthält. Die Domain wird im Microsoft 365 Umfeld unter anderem als Bestandteil von Mandantendomains verwendet. Das bloße Auftreten dieser Domain bedeutet daher nicht automatisch, dass eine Nachricht eine offizielle Sicherheitsmitteilung von Microsoft darstellt.
Für Anwender und Administratoren kann es sinnvoll sein, entsprechende Nachrichten abhängig vom jeweiligen Einsatzszenario gesondert zu filtern oder einer strengeren Prüfung zu unterziehen. Eine pauschale Löschregel sollte jedoch nur eingerichtet werden, wenn sichergestellt ist, dass im jeweiligen Unternehmen oder persönlichen Umfeld keine legitimen Absender mit einer solchen Adresse benötigt werden.
Aufforderungen zur Bestätigung neuer Nutzungsbedingungen
Ein typisches Phishing Szenario besteht darin, Empfänger unter Zeitdruck zur Bestätigung angeblich neuer Nutzungsbedingungen zu bewegen. Die Nachricht enthält beispielsweise die Behauptung, das Microsoft Konto werde geschlossen oder deaktiviert, wenn nicht innerhalb einer bestimmten Frist auf einen Link geklickt werde.
Solche Aufforderungen sind ein deutliches Warnsignal. Microsoft kann Nutzer über Änderungen an seinen Servicebedingungen informieren. Eine Nachricht, die jedoch mit einer Kontoschließung droht und die weitere Nutzung unmittelbar von einem Klick auf einen eingebetteten Bestätigungslink abhängig macht, sollte nicht ungeprüft befolgt werden.
Statt Links aus verdächtigen E-Mails zu öffnen, sollten Nutzer die benötigte Microsoft Webseite direkt über eine bekannte Adresse im Browser aufrufen. Auf diese Weise wird vermieden, dass ein optisch authentisch wirkender Link tatsächlich auf eine manipulierte Anmeldeseite führt.
Warum Phishing Links besonders gefährlich sind
Bei Microsoft Konten zielen Phishing Kampagnen häufig auf die Zugangsdaten des Benutzers. Die verlinkte Webseite kann einer regulären Microsoft Anmeldeseite nahezu vollständig nachempfunden sein. Gibt der Empfänger dort seine E-Mail Adresse und sein Kennwort ein, werden die Informationen nicht an Microsoft, sondern an die Infrastruktur des Angreifers übertragen.
Moderne Angriffe können darüber hinaus versuchen, zusätzliche Authentifizierungsinformationen abzugreifen. Deshalb sollte nicht allein das Erscheinungsbild einer Anmeldeseite als Sicherheitsmerkmal betrachtet werden. Entscheidend sind unter anderem die tatsächlich aufgerufene Domain und der Kontext, in dem die Anmeldung angefordert wurde.
Microsoft Konten und die Zwei Jahres Regel
Eine weitere Quelle für Verunsicherung sind Benachrichtigungen über längere Zeit nicht verwendete Microsoft Konten. Nach den im Ausgangstext beschriebenen Regeln kann ein Microsoft Konto nach zwei Jahren Inaktivität geschlossen werden. Wer ein Konto weiterhin verwenden möchte, muss es deshalb innerhalb des maßgeblichen Aktivitätszeitraums nutzen.
Eine legitime Warnung vor einer bevorstehenden Schließung aufgrund von Inaktivität unterscheidet sich damit grundsätzlich von einer Phishing Nachricht, die eine sofortige Reaktion auf einen unbekannten Link verlangt.
Warnung vor Ablauf der Inaktivitätsfrist
Nach einer Inaktivität von 22 Monaten kann Microsoft eine Benachrichtigung an die für das Konto hinterlegten Sicherheitsadressen senden. Damit verbleiben noch 60 Tage bis zum Erreichen der Zwei Jahres Grenze. In der Nachricht wird der Nutzer darauf hingewiesen, sich vor einem bestimmten Datum wieder anzumelden, wenn das Konto erhalten bleiben soll.
Für die Reaktivierung sollte die Anmeldung nicht über einen möglicherweise zweifelhaften Link innerhalb einer E-Mail erfolgen. Stattdessen kann der Nutzer Outlook.com oder account.microsoft.com selbst im Browser aufrufen und sich dort anmelden. Dieses Vorgehen reduziert das Risiko, über einen manipulierten Link auf eine Phishing Seite geleitet zu werden.
Sicherheitsadressen können für Verwirrung sorgen
Microsoft Konten können zusätzliche Kontaktinformationen enthalten, die für Sicherheitszwecke verwendet werden. Solche Sicherheitsadressen dienen beispielsweise dazu, den Kontoinhaber bei bestimmten Vorgängen zu erreichen oder Informationen zur Kontosicherheit zu übermitteln.
Dadurch kann eine ungewöhnliche Situation entstehen: Ein Nutzer erhält eine grundsätzlich plausible Microsoft Benachrichtigung zu einem Konto, dessen Adresse ihm nicht bekannt vorkommt. In einer solchen Nachricht kann die eigentliche Kontoidentität aus Datenschutz und Sicherheitsgründen nur teilweise dargestellt werden, beispielsweise mit den ersten Zeichen eines Alias und der zugehörigen Domain.
Eine mögliche Ursache besteht darin, dass eine andere Person die E-Mail Adresse des Empfängers als Sicherheitsadresse für ihr Microsoft Konto hinterlegt hat. Wenn der Empfänger das genannte Konto nicht kennt und selbst keine entsprechende Zuordnung vorgenommen hat, muss daraus nicht automatisch folgen, dass sein eigenes E-Mail Konto kompromittiert wurde. Eine solche Nachricht kann in diesem Fall ignoriert und gelöscht werden.
Technische Prüfung ist zuverlässiger als das Erscheinungsbild
Professionell gestaltete Phishing Nachrichten lassen sich anhand von Logo, Farben und Layout inzwischen nur noch eingeschränkt erkennen. Angreifer können das visuelle Erscheinungsbild legitimer Microsoft Kommunikation relativ einfach reproduzieren. Für eine belastbarere Bewertung sind technische und inhaltliche Merkmale daher wichtiger.
Dazu zählen die Absenderdomain, die tatsächlichen Zieladressen eingebetteter Links, die Authentifizierungsergebnisse in den E-Mail Headern sowie die Art der geforderten Aktion. Besondere Vorsicht ist angebracht, wenn eine Nachricht künstlichen Zeitdruck erzeugt, mit einer Kontosperrung droht oder die Eingabe von Zugangsdaten nach dem Öffnen eines Links verlangt.
Direkte Anmeldung statt Klick auf E-Mail Links
Für Nutzer von Outlook und Microsoft Konten lässt sich das Phishing Risiko durch eine einfache Vorgehensweise deutlich reduzieren. Enthält eine Nachricht eine Warnung zum Konto, sollte die darin beschriebene Situation möglichst unabhängig von der E-Mail überprüft werden. Dazu wird die bekannte Microsoft Kontoseite direkt im Browser aufgerufen.
Dieser Ansatz trennt die Information aus der E-Mail von der eigentlichen Kontoanmeldung. Selbst wenn die empfangene Nachricht gefälscht ist, gelangt der Nutzer dadurch nicht auf die vom Angreifer bereitgestellte Webseite.
Fazit
Bei vermeintlichen Microsoft Sicherheitsmeldungen sollte weder das professionelle Erscheinungsbild noch der angezeigte Absender allein als Echtheitsnachweis dienen. Die Kombination aus Absenderprüfung, Analyse der Linkziele, Kontrolle der E-Mail Authentifizierung und einer unabhängigen Anmeldung über die bekannten Microsoft Webseiten bietet eine wesentlich zuverlässigere Grundlage.
Insbesondere Nachrichten, die mit einer kurzfristigen Kontoschließung drohen und gleichzeitig zum Anklicken eines Links auffordern, sollten als potenzieller Phishing Versuch behandelt werden. Bei Warnungen über inaktive Konten oder andere Sicherheitsereignisse empfiehlt sich die direkte Überprüfung über das Microsoft Konto. Damit lässt sich die erforderliche Aktion durchführen, ohne einem möglicherweise manipulierten Link aus einer E-Mail vertrauen zu müssen.
