Sextortion per E-Mail: Die Erpressung, die es nie gab

Regelmäßig erreichen Betroffene E-Mails, in denen ein angeblicher Angreifer behauptet, das Betriebssystem des Empfängers "übernommen" zu haben: Über eine zuvor besuchte Webseite sei Schadsoftware auf das Gerät gelangt, seither bestehe Zugriff auf Bildschirm, Kamera und Mikrofon, und es existiere eine Videoaufzeichnung des Empfängers in einer intimen Situation. Verlangt wird die Überweisung eines Betrags in Bitcoin (oder auch andere Kryptowährungen oder Gutscheine), innerhalb einer knapp bemessenen Frist. Andernfalls werde die Aufnahme an sämtliche Kontakte verschickt. Diese Vorgehensweise ist unter der Bezeichnung Sextortion bekannt.

Eine solche Nachricht habe ich erst kürzlich selbst empfangen. Hiermit möchte ich auszugsweise darstellen, welche Merkmale eine forensische Betrachtung erkennen lässt und weshalb die behauptete Kompromittierung in den allermeisten Fällen dieser Art gar nicht vorliegt.

Beispiel einer durch den SV per E-Mail empfangenen Erpressung

Merkmale der vorliegenden Nachricht

Absender und Empfänger sind identisch.

Die Nachricht wurde scheinbar von jener Adresse versandt, an die sie zugestellt wurde. Dieser Umstand wird von den Verfassern als Beweis des behaupteten Zugriffs auf das Computersystem bzw. das E-Mail-Postfach angeführt. Die Absenderangabe im Kopfbereich einer E-Mail ist allerdings ein frei wählbares Feld und ohne ergänzende Prüfmechanismen nicht verbindlich. Ob die Nachricht tatsächlich aus dem eigenen Postfach stammt, kann anhand der vollständigen Kopfzeilen und der dort dokumentierten Zustellwege beurteilt werden, insbesondere anhand der Ergebnisse der Prüfverfahren SPF, DKIM und DMARC. In diesem Fall ergibt diese Prüfung durchwegs, dass die Nachricht von einem fremden Server - und nicht meinem eigenen Postfach - zugestellt wurde.

Der Betreff ist irreführend gewählt.

Die vorliegende Nachricht trägt den Betreff "Delivery status notification" und imitiert damit die automatisierte Zustellmeldung eines Mailservers. Dies soll die Nachricht einerseits unauffällig erscheinen lassen und andererseits die Wahrscheinlichkeit des Öffnens erhöhen.

Der Erpressungstext liegt als Bild-Datei vor.

Der eigentliche Inhalt der Nachricht war nicht als Text, sondern als eingebettete PNG-Datei enthalten. Filter, die Nachrichten anhand charakteristischer Formulierungen einordnen, greifen bei reinen Bild-Inhalten nur eingeschränkt. Dies ist ein deutliches Indiz für einen automatisierten Massenversand: Ein Angreifer mit tatsächlichem Zugriff auf ein einzelnes System hätte keinen Anlass, ein Mail auf diese Weise zu übermitteln um Spamfilter zu umgehen.

Ein Bezug zum konkreten Gerät fehlt vollständig.

Die Nachricht enthält keine Angabe, die auf eine tatsächliche Kenntnis des Systems schließen ließe: kein Betriebssystem, keine Gerätebezeichnung, keinen Dateipfad, keinen Ausschnitt der behaupteten Aufnahme. Wer über Monate hinweg Zugriff auf ein System hatte, verfügte über eine Vielzahl belegbarer Details. Die Drohung bleibt deshalb so allgemein, weil sie an eine unbekannte Vielzahl von Empfängern zugleich gerichtet ist.

Die technischen Behauptungen sind unschlüssig.

Behauptet wird der Einsatz einer „treiberbasierte Schadsoftware, die ihre Signaturen alle 4 Stunden erneuert“. Diese Formulierung beschreibt keinen real existierenden Mechanismus. Ebenso wird behauptet, der Versender werde über das Öffnen der Nachricht benachrichtigt und ein Countdown beginne. Eine solche "automatische" Lesebestätigung setzt das Nachladen externer Inhalte voraus; ein verbindlicher Nachweis über den Zeitpunkt des Lesens ergibt sich daraus nicht. Die meisten E-Mail-Programme sind heutzutage so konfiguriert, dass externe Inhalte nicht automatisch geladen werden.

Die Bitcoin-Adresse ist der einzige verwertbare Anknüpfungspunkt.

Da Transaktionen in der Blockchain öffentlich einsehbar sind, lässt sich zu einer solchen Adresse feststellen, ob überhaupt Zahlungen eingegangen sind und in welcher Höhe. Bei Massenversendungen dieser Art wird häufig je Empfängergruppe eine Adresse verwendet. Gehen mehrere Zahlungen auf diese Adresse ein, ist klar, dass es sich nicht um eine gezielte Drohung, sondern um eine Massenkampagne handelt: die eigene Zahlung wäre den Angreifen auch nicht zuordenbar!

Conclusio

Die genannten Merkmale sprechen gegen eine tatsächliche Kompromittierung des Empfängersystems. Es liegt ein automatisierter Massenversand vor, der darauf abzielt, dass ein kleiner Anteil der (großen Masse an) Empfänger aus Scham und Zeitdruck zahlt. Das behauptete Videomaterial existiert nicht. Zu beachten ist, dass in Nachrichten dieser Art gelegentlich ein Kennwort des Empfängers genannt wird. Auch dies belegt keinen Zugriff auf das Gerät. Solche Passwörter stammen aus veröffentlichten Sammlungen gestohlener Zugangsdaten die bei fremden Anbietern hinterlegt waren. In diesem Fall ist das betreffende Passwort dringend überall dort zu ändern, wo es verwendet wurde (am besten auch gleich Zwei-Faktor-Authentifizierung bzw. Passkey anlegen).

Empfohlene Vorgehensweise

Nicht zahlen und nicht antworten! Jede Reaktion bestätigt die Erreichbarkeit der Adresse und führt erfahrungsgemäß zu weiteren Nachrichten. Eine Anzeige bei der zuständigen Polizeidienststelle ist möglich (Erpressung ist nach § 144 StGB strafbar), es ist allerdings zu überlegen, ob dies ohne erlittenen Schaden wirklich zweckmäßig bzw. sinnvoll ist. Wurde hingegen bereits gezahlt, sind die Transaktionsdaten zu sichern und unverzüglich Anzeige zu erstatten! In diesem Fall ist die Nachricht keinesfalls zu löschen, sondern samt vollständigen Kopfzeilen zu sichern, da sie ansonsten als Beweismittel nicht mehr zur Verfügung steht.

Zusammenfassung

Erpressungsmails der beschriebenen Art wirken über die Scham des Empfängers. Ein technischer Zugriff besteht in aller Regel nicht. Identische Absender- und Empfängerangabe, irreführender Betreff, Text als Bild-Datei, fehlender Bezug zum konkreten Gerät und unschlüssige technische Behauptungen sind einer Prüfung zugänglich und im vorliegenden Fall sämtlich erfüllt. Ob eine Kompromittierung vorliegt, ist anhand der Kopfzeilen der Nachricht und des betroffenen Systems feststellbar. Diese Feststellung sollte erfolgen, bevor eine Zahlung auch nur erwogen wird.

Sie haben eine solche Nachricht erhalten und sind unsicher, ob Ihr Gerät betroffen ist? Nehmen Sie Kontakt auf - eine erste Einschätzung ist rasch möglich.

Der vorliegende Artikel versteht sich als unverbindlich und hat rein informativen Charakter. Er kann eine Begutachtung, die auf eine bestimmte und explizite Situation bezogen ist, niemals ersetzen.