E-Mail von der TU Graz?

Sie denken, Sie hätten eine E-Mail mit Spam oder Malware etc. von der TU Graz bekommen?
Natürlich ist das möglich, aber es ist ziemlich unwahrscheinlich. Bis zu diesem Zeitpunkt waren bis auf ein paar E-Mails, die über gephishte Accounts versandt wurden, alle E-Mails (also der Absender) gefälscht.

Hat sich jemand beschwert, Sie hätten ihm eine E-Mail mit Spam oder Viren gesendet?
Natürlich könnte Ihr Rechner mit „Malicious Code“ oder Malware (= Viren, Trojaner, Wurm, …) infiziert sein und von Ihnen Mails unbemerkt senden, wahrscheinlicher ist aber, dass auf einem anderen System Ihre E-Mail Adresse als Absenderadresse angegeben wird (das Fälschen der Absenderadresse ohne digitale Signatur ist sehr einfach!).

Auch wenn Sie eine E-Mail bekommen, bei der Sie nicht sicher sind, ob sie tatsächlich von der TU kommt: analysieren Sie (wenn möglich) selbst den Header (s. u.) oder fragen Sie Ihren EDV-Beauftragten. Dieser kann bei Unsicherheit auch beim Postmaster nachfragen: Ein Mal zu viel gefragt schadet weniger als ein Mal zu viel Daten weiter gegeben!

Seit 1.10.2021 haben wir SPF/DMARC scharf gestellt, d. h., dass E-Mail-Server, die das unterstützen, keine E-Mails mit gefälschten Adressen der TU Graz mehr annehmen bzw. E-Mails mit Absender-Adressen der TU Graz nur mehr annehmen, wenn diese E-Mails auch über die Relay-Server der TU Graz verschickt wurden. Sollten Sie noch irrtümlich E-Mails mit einer TU-Adresse über einen externen Server versenden, bekommen Sie eine Warnung von mailgate@tugraz.at.

Sie scheinen selbst der Absender zu sein?

Beispiel eines Teils eines E-Mail-Headers

Den Header der gefälschten E-Mail genauer untersuchen

Sie scheinen selbst der Absender zu sein?

In Wellen passiert es immer wieder, dass bei Spam-E-Mails als Absender Adressen der TU Graz missbraucht werden, genau dafür gibt es SPF/DMARC. Sollten Sie Beschwerden bekommen, weisen Sie die Beschwerdeführer darauf hin, dass ihr Provider SPF/DMARC einsetzen soll.

Sollte sich aus der Analyse des Headers der E-Mail aber ergeben, dass die E-Mail tatsächlich über einen der SMTP-Server der TU Graz versandt wurde, wenden Sie sich bitte umgehend an den ZID, weil das bedeutet, dass ein Account der TU Graz (muss nicht unbedingt Ihr Account sein) übernommen wurde.

Beispiel eines Teils eines E-Mail-Headers

Beispiel für eine gefälschte E-Mail

Received: from [irgendeine IP adresse] (helo=irgendwas.tugraz.at)
 by irgendein Rechner with smtp (irgendein MTA)
…
Received: from irgendein anderer Server ([irgendeine andere Adresse]) 
 by irgendein anderer Rechner with …
Reply-To: <irgendeinnamenummer@irgendwas.tugraz.at>
Date: …
Message-ID: <irgendeine (ungültige) Message-ID>
From: <irgendeinnamenummer@irgendwas.tugraz.at>
To: <ihre@mail.adresse>
…

Beispiele für echte E-Mails der TU Graz

Die untersten Received:-Zeilen im Header sollten dann aussehen wie in den folgenden Beispielen.

Gesendet über Exchange

intern

Received: from MBX00n.tugraz.local (129.27.x.y) by MBX00n.tugraz.local
 (129.27.x.y) with Microsoft SMTP Server (version=TLS1_2,
 cipher=TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384) id 15.1.1466.3 via Mailbox
 Transport; Mon, 7 Jan 2019 09:13:37 +0100
Received: from MBX00n.tugraz.local (129.27.x.y) by MBX00n.tugraz.local
 (129.27.48.76) with Microsoft SMTP Server (version=TLS1_2,
 cipher=TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384) id 15.1.1466.3; Mon, 7 Jan 2019
 09:13:36 +0100
Received: from MBX00n.tugraz.local ([fe80::2861:8e5:5ef1:50a0]) by
 MBX00n.tugraz.local ([fe80::2861:8e5:5ef1:50a0%3]) with mapi id
 15.01.1466.003; Mon, 7 Jan 2019 09:13:36 +0100

extern

Received: from exchange.tugraz.at (exchangelg.tugraz.at [129.27.2.220])
	by mailrelay.tugraz.at (Postfix) with ESMTPS id 43Yq2G5T7lz3wGN
	for <Ihre Adresse>; Tue,  8 Jan 2019 11:56:38 +0100 (CET)
…
Received: from MBX00n.tugraz.local (129.27.x.y) by MBX00n.tugraz.local
 (129.27.48.76) with Microsoft SMTP Server (version=TLS1_2,
 cipher=TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384) id 15.1.1466.3; Tue, 8 Jan 2019
 11:56:38 +0100
Received: from MBX00n.tugraz.local ([fe80::a006:9678:a370:a44b]) by
 MBX00n.tugraz.local ([fe80::a006:9678:a370:a44b%2]) with mapi id
 15.01.1466.003; Tue, 8 Jan 2019 11:56:38 +0100

Gesendet über den SMTP-Server

Received: from wo.auch.immer (wo.auch.immer [a.b.c.d])
	by mailrelay.tugraz.at (Postfix) with ESMTPSA id 43YpF30Lpjz1DDZ1
	for <Ihre Adresse>; Tue,  8 Jan 2019 11:20:54 +0100 (CET)

Gesendet über einen Server der TU Graz

Received: from server.tugraz.at (server.tugraz.at [129.27.x.y])
	by mrelay.tugraz.at (Postfix) with ESMTPSA id 43Y78w4wTKz2XXls
	for <Ihre Adresse>; Mon,  7 Jan 2019 09:00:00 +0100 (CET)
…
Received: by server.tugraz.at (irgendein MTA, from userid nnn)
	id 5B1F0AA2216; Mon,  7 Jan 2019 09:00:00 +0100 (CET)

Den Header der gefäschten E-Mail genauer untersuchen

Die From:- (und eventuelle Return-path:-)Zeilen können mit fast jedem E-Mail-Client gefälscht werden, solange DKIM (RFC 4871) oder SPF etc. bzw. digitale E-Mail-Signatur nicht weit verbreitet ist, vertrauen Sie daher keiner nicht signierten E-Mail!
In der ersten Received:-Zeile sehen Sie, dass der Name „irgendwas.tugraz.at“ mit dem helo-Befehl gesetzt wurde, das ist nur dann notwendig, wenn der Name gefälscht wurde. Aber auch wenn Sie kein helo sehen - überprüfen Sie bitte die IP-Adresse.
Der IP-Bereich der TU Graz („TUGnet“) ist 129.27.*.
Die letzte Received:-Zeile im Header (also vor dem Inhalt, in dem natürlich ebenfalls Received: als Text stehen kann!) zeigt Ihnen (falls sie nicht ebenfalls gefälscht ist, was aber relativ schwierig ist), wo die E-Mail tatsächlich herstammt - Sie sollten den Postmaster oder das Abuse-Team dieses System kontaktieren und uns damit verschonen, weil wir nichts dagegen tun können!