"Ein alter Bekannter" sei das, sagt Christoph Hardy vom IT-Sicherheitsunternehmen Sophos, der da in neuer Gestalt im Postfach lande. Bereits seit März beobachten die Virenexperten eine Welle von Mails, die viele Themen anreißen und ansonsten alle eines gemeinsam haben: Sie verweisen auf eine beim Freehoster Geocities hinterlegte Seite. Wer auf den Link klickt, bekommt ein Problem: Was auch immer die Mail verspricht, auf der Webseite wartet statt dessen ein Trojaner-Downloader auf Opfer.

Die Taktik kombiniert Social-Engeneering-Methoden mit einer so genannten Drive-by-Infektion. Skripte auf der Webseite sorgen dafür, dass Sicherheitslücken im Webbrowser ausnutzend der Download eines Trojaners beginnt, der sich auf dem Rechner des Mailempfängers einrichtet. Dort öffnet er eine Hintertür und ermöglicht es, weitere Schadprogramme nachzuladen. Prinzipiell kann danach alles passieren, vom Ausspionieren des Rechners bis hin zu seiner Fernsteuerung oder seiner Nutzung in einem Botnetz. Über solche Netzwerke fremdkontrollierter Rechner werden Spam-Mails verschickt oder Webseiten attackiert.

Eine eindeutige Warnung vor solchen Mails fällt schwer, denn sie kursieren in vielfältiger Gestalt und Aufmachung. Sie alle aber teilen bestimmte Merkmale: Sie versuchen, die Neugier der Empfänger zu wecken und sie dazu zu bewegen, eine Webseite zu besuchen. Die Lockmails versprechen Pornografie, kostenlose Downloads, exklusive Informationen.

Seit dem College-Massaker von Blacksburg gibt es eine Welle von Mails, die vor allem mit Angst und Grauen operieren. In Brasilien und Portugal geht eine Mail um, die exklusives Bildmaterial von dem Amoklauf verspricht und unter der Bezeichnung "TERROR_EM_VIRGINIA.scr" einen Screensaver installiert, der einen Trojaner transportiert (siehe Bild).

In Deutschland gehen Trojaner-Spammer noch einen Schritt weiter. SPIEGEL ONLINE erhielt in den letzten Tagen eine ganze Reihe von Lock-Mails, von denen wir zwei hier beispielhaft zitieren. Sie zeigen, wie die Spammer arbeiten. Eine angstmachende Botschaft wird mit einem Link hin zur Fallen-Seite kombiniert:

Solche Mails setzen auf reflexartige Reaktion. Der beste Schutz vor ihnen ist ebenfalls ein Reflex: So etwas sollte man - wie alle verdächtigen, unverlangt zugesandten Mails mit Links, Bildern oder Dateianhängen - sofort löschen. Ansonsten gelten die Sicherheitsregeln, die man grundsätzlich immer bei der Bewegung im Internet beherzigen sollte:

• "Safer surfen" mit aktuellem Virenschutz und Firewall
• Die Sicherheits-Updates des Betriebssystems sollten durchgeführt werden
• Browsersoftware u.ä. sollte stets auf dem aktuellen Stand gehalten werden
• Finsterecken im Web sollte man meiden, denn dort lauern die meisten Fallenseiten
• Windows-Nutzer sollten nach Möglichkeit ein Profil für die Internetnutzung wählen, in dem sie nicht über Administratorrechte verfügen

Vorsicht, warnt das Internet-Storm-Center SANS, ist auch bei Webseiten zum Thema Virgina-Tech-Massaker angesagt. Bis Freitag, 11 Uhr waren 551 Webadressen zu diesem Thema angemeldet, von denen zumeist unklar sei, wofür sie eingerichtet wurden. Wie auch das US-CERT-Center (eine vom Verteidigungsministerium finanzierte IT-Sicherheitsberatung) glaubt man bei SANS, dass etliche dieser Seiten in den nächsten Tagen als Phishingseiten oder zur Verteilung von Trojanern aktiv werden könnten.