Weißes Haus: E-Mail-Domains nicht gegen Phishing & Spoofing geschützt

Mehr als 95 Prozent aller E-Mail-Domains, die vom Executive Office of the President (EOP) der USA betrieben werden – einer Behörde, die den Präsidenten in seinen exekutiven Aufgaben unterstützt –, sind laut einer Untersuchung der Global Cyber Alliance (GCA) kaum oder gar nicht gegen Phishing- sowie Spoofing-Attacken abgesichert.

Bereits im letzten Jahr hatte das Department of Homeland Security, das US-amerikanische Ministerium für Innere Sicherheit, in Zusammenarbeit mit dem Senator Ron Wyden eine Anordnung erlassen, dass alle Bundesbehörden die Spezifikation „Domain-based Message Authentication, Reporting and Conformance“ (DMARC) implementieren sollen.

Lediglich 1 von 26 Domains geschützt

Wie sich nun herausstellt, ist nur eine der insgesamt 26 überprüften Domains gegen Spoofing geschützt (max.gov). Sieben Domains wenden DMARC immerhin auf der niedrigsten Stufe („None“) an, was zumindest eine Überwachung des E-Mail-Verkehrs ermöglicht und eventuell darauf hindeutet, dass an einer weiteren Umsetzung gearbeitet wird. Ein effektiver Schutz gegen Phishing- und Spoofing-Attacken ist jedoch nicht gewährleistet. Dies gilt unter anderem auch für WhiteHouse.gov und EOP.gov, die zu den wichtigsten staatlich betriebenen Domains zählen. Alle übrigen – also 18 von 26 Domains – sind nicht gegen solche Attacken, die der Verschleierung der Identität des möglichen Angreifers oder auch zum Identitätsdiebstahl dienen können, gesichert.

„Kronjuwelen“ für Angreifer

Bei der 2015 gebildeten Global Cyber Alliance handelt es sich um eine transnational gegen Cyberkriminalität agierende Non-Profit-Organisation, die aus der Zusammenarbeit der Bezirksstaatsanwaltschaft Manhattans, der Polizei der Stadt London und dem Center For Internet Security hervorgegangen ist. Dessen Vorsitzender Philip Reitinger beurteilt die Situation als nationales Sicherheitsrisiko, da Kriminelle oder auch Feinde aus dem Ausland diese Domains als Kronjuwelen sehen könnten.