Phishing-Welle im STRATO-Look: Gefälschte Zahlungsaufforderung im Umlauf
Aktuell kursieren Phishing-Mails, die den deutschen Webhoster STRATO imitieren. Die E-Mails behaupten, eine automatische Zahlung sei fehlgeschlagen, und fordern den Empfänger auf, einen offenen Betrag von 9,99 Euro über einen eingebetteten Link zu begleichen. Der Link führt nicht zu STRATO, sondern auf eine externe, von Angreifern kontrollierte Seite.
Was steckt dahinter?
Die Mail kommt von der Absenderadresse postfach@rechnungstrato8hostingdrp001.de. Der Domain-Name ist so konstruiert, dass er auf den ersten Blick nach STRATO aussieht, es aber nicht ist. Die echte STRATO-Domain ist strato.de. Wer nur den Anzeigenamen liest, also „STRATO[AG]“, bemerkt den Unterschied oft nicht.
Der eingebettete Button „Zahlung jetzt abschließen“ verlinkt auf https://share.google/xxxxx (Link aus Sicherheitsgründen verändert). Das ist kein Google-Dienst im üblichen Sinne, sondern ein über Google-Infrastruktur weitergeleiteter Link, der das Vertrauen in den Google-Markennamen ausnutzt. Wohin die Weiterleitung tatsächlich führt, ist ohne risikofreie Analyse nicht feststellbar, aber das Ziel ist mit hoher Wahrscheinlichkeit eine Credential-Harvesting-Seite oder ein Zahlungsformular, das Kreditkartendaten abgreift.
Die Mail ist gestalterisch aufwendig: orangefarbener STRATO-Header mit Gradient-Design, ein hervorgehobener Betragskasten, ein auffälliger blauer Button und ein Footer mit Copyright-Vermerk. Der Text ist flüssig formuliert und enthält keine groben Rechtschreibfehler. Spam-Filter, die auf schlechtes Deutsch oder holprige Layouts angewiesen sind, erkennen diese Mail nicht zuverlässig.
Warum ist das gefährlich?
STRATO zählt zu den größten Hosting-Anbietern im deutschsprachigen Raum. Wer dort Domains, E-Mail-Postfächer oder Server betreibt, hat ein konkretes Interesse daran, keine Dienstunterbrechung zu riskieren. Genau darauf setzt diese Kampagne: Die Drohung „Ihr Dienst kann vorübergehend eingeschränkt werden“ erzeugt Handlungsdruck, und 9,99 Euro sind ein Betrag, der nicht groß genug ist, um lange darüber nachzudenken.
Wer auf den Link klickt und Zugangsdaten oder Zahlungsinformationen eingibt, übergibt diese direkt an die Angreifer. Im schlechtesten Fall wird das STRATO-Kundenkonto übernommen, Domains werden umgeleitet, und E-Mail-Verkehr läuft über fremde Server.
Woran erkennt man die Mail?
- Der Absender ist nicht @strato.de, sondern @rechnungstrato8hostingdrp001.de
- Der Link hinter dem Button führt nicht zu strato.de, sondern zu share.google/…
- STRATO spricht Kunden in echten Rechnungsmails namentlich an, diese Mail beginnt mit dem generischen „Hallo,“
- Im Footer der Mail verstecken sich Links zu vaporizerheaven.de, einem Vaporizer-Shop ohne jeden Bezug zu STRATO. Das weist darauf hin, dass Angreifer ein gehacktes E-Mail-Template oder eine kompromittierte Webseite als Basis genutzt haben
- Nicht auf den Link klicken
- Die Mail löschen
- Wer unsicher ist, ob eine echte Zahlungserinnerung vorliegt: direkt auf strato.de einloggen (URL manuell eintippen) und im Kundenkonto den Zahlungsstatus prüfen
- Die Mail als Phishing melden, zum Beispiel an die Verbraucherzentrale (phishing@verbraucherzentrale.nrw) oder an das BSI
- Wer bereits auf den Link geklickt und Daten eingegeben hat: sofort das STRATO-Passwort ändern, Zahlungsmittel sperren lassen und die Bank informieren
