Phishing

Phishing ist ein Angriff auf Menschen, nicht auf Software. Der Angreifer baut eine Nachricht, die von einer Bank, einem Kollegen, einem Lieferanten oder der IT-Abteilung zu stammen scheint, und bittet den Leser um etwas Alltägliches: sich anzumelden, eine Datei zu öffnen, eine Rechnung zu bezahlen oder Daten zu bestätigen.

Der Name spielt auf fishing an, das englische Wort fürs Angeln: Die Nachricht ist der Köder, die Handlung des Opfers der Fang.

Für Organisationen ist Phishing wichtig, weil es zu den häufigsten Wegen für den ersten Zugang gehört. Eine externe Bedrohung ohne eigene Zugriffsrechte leiht sich die eines Mitarbeiters, und ein einziges gestohlenes Passwort kann eine Datenschutzverletzung auslösen.

Kampagnen unterscheiden sich in Umfang und Sorgfalt, doch die meisten durchlaufen dieselben vier Stufen, und in der letzten entsteht der Schaden: Der erbeutete Zugang führt zu Datenabfluss oder zu einer betrügerischen Zahlung.

1. 1

   Köder wählen

   Der Angreifer wählt einen glaubwürdigen Vorwand, etwa eine Passwort-Ablaufwarnung, eine Rechnung oder ein geteiltes Dokument.

2. 2

   Nachricht zustellen

   Die Nachricht kommt per E-Mail, SMS, Telefon oder soziales Netzwerk, oft von einem gefälschten oder täuschend ähnlichen Absender.

3. 3

   Handlung auslösen

   Das Opfer gibt sein Passwort auf einer gefälschten Seite ein, öffnet einen Anhang oder bestätigt eine Anfrage.

4. 4

   Zugang nutzen

   Der Angreifer meldet sich an, durchstöbert Postfächer und Dateiablagen und nimmt Daten oder Geld mit.

Die Arten unterscheiden sich im Kanal und darin, wie viel der Angreifer über das Ziel weiß. Klon-Phishing sollte man früh kennen, weil es eine Nachricht wiederverwendet, der das Opfer bereits vertraut. QR-Codes in E-Mails oder auf Plakaten (Quishing) sind ein weiterer Träger desselben Tricks.

Phishing wirkt, weil es Gewohnheiten ausnutzt, nicht Softwarefehler. Die Nachrichten leihen sich Autorität (eine Vorgesetzte, eine Bank), erzeugen Zeitdruck oder sehen nach Routinearbeit aus, und beschäftigte Menschen erledigen Routineanfragen, ohne sie zu prüfen. Wenn ein Mitarbeiter getäuscht wird und ein Passwort oder eine Datei herausgibt, entsteht eine unbeabsichtigte Offenlegung: Niemand wollte etwas preisgeben.

Früher war fehlerfreier Text ein verlässliches Indiz. Dieser Rat hat an Wert verloren, weil Werkzeuge, die in jeder Sprache flüssigen Text erzeugen, die holprigen Formulierungen beseitigen, die den Betrug einst verrieten.

Kein Zeichen ist ein Beweis, und gut gemachte Nachrichten zeigen keines davon. Maßgeblich sind das Gesamtbild und die Bitte selbst: Verlangt eine unerwartete Nachricht Passwörter, Geld oder Daten?

• Eine Absenderadresse, die der echten ähnelt, aber nicht gleicht, etwa mit vertauschtem Buchstaben in der Domain
• Zeitdruck oder Drohung: ein Konto, das gesperrt wird, eine Zahlung, die heute fällig ist
• Ein Link, dessen tatsächliches Ziel, beim Überfahren sichtbar, vom Linktext abweicht
• Ein unerwarteter Anhang, besonders ein Archiv, ein Dokument mit Aufforderung zum Aktivieren von Makros oder eine ausführbare Datei
• Die Bitte, sich anzumelden, zu zahlen oder Daten auf einem unüblichen Weg zu senden
• Die Bitte um Verschwiegenheit oder darum, die übliche Freigabe zu überspringen

Keine einzelne Maßnahme stoppt Phishing, denn jede deckt eine andere Stufe ab: die Zustellung der Nachricht, den Klick, die Anmeldung und den Abfluss der Daten. Ebenen wirken am besten, wenn sie davon ausgehen, dass manche Nachrichten durchkommen, und dafür sorgen, dass dabei keine sensiblen Daten mitgehen.

Anexet ist kein Anti-Phishing-Gateway und entscheidet nicht, ob eine Nachricht Phishing ist.

Geboten werden das Abfangen von E-Mails auf überwachten Endgeräten, das die Analyse von Nachrichten- und Anhangsinhalten ermöglicht, und HTTP-Blockierregeln im Rahmen der Überwachung des Webverkehrs, die eine Anfrage stoppen können, deren Inhalt eine Richtlinie verletzt, etwa das Senden sensibler Daten an eine Website. Der Mitarbeiter sieht dann eine Meldung wie die unten gezeigte.

Beginnen Sie bei den Konten und Daten, deren Verlust am meisten schmerzen würde: E-Mail, Finanzen und Administratorzugang. Aktivieren Sie dort zuerst die Multi-Faktor-Authentifizierung und legen Sie dann einen einheitlichen Meldeweg für verdächtige Nachrichten sowie eine Rückfrage über einen zweiten Kanal bei Zahlungs- und Kontoänderungen fest.

Behandeln Sie Schulung als Übung, nicht als jährlichen Vortrag: kurz, konkret und ohne Schuldzuweisung, damit Menschen Fehler schnell melden, statt sie zu verbergen.