Grundlagen zum Verständnis von Phishing

241.342 Opfer im Jahr 2020 allein in den USA. Wie du dich vor Phishing schützt.

241.342 Opfer im Jahr 2020 allein in den USA -

Wie du dich vor Phishing schützt

Phishing ist die größte Gefahr im digitalen Raum. Privatpersonen, Unternehmen, Staaten – Sie alle sind bereits durch Phishing beschädigt und erpresst worden.

Phishing wirkt vielleicht auf den ersten Blick harmlos. Doch hinter einer Fake E-Mail oder einem manipulierenden Anruf stecken oftmals Rufmordkampagnen, Spähattacken und Cyberangriffe die weltweite Systeme zerstören.

In diesem Artikel geht es um Phishing. Darum was Phishing ist, was es so gefährlich macht und wie du dich davor schützt.

Egal ob am Telefon oder per E-Mail.

Schritt für Schritt und mit Praxisbeispielen aus dem echten Leben erklärt.

Damit du keine weitere Nummer auf der nicht enden wollenden Liste von Angriffsopfern wirst.

In diesem Artikel geht es um eines der wichtigsten Themen des Internets. Beziehungsweise der Sicherheit im Internet.

Phishing.

Nach dieser Lektüre weißt du, welche Alarmglocken bei diesem Bild läuten sollten und warum:

Phishing Mails erkennen - 1. gecrackte Mailadresse

Was sich hinter jedem der markierten Punkte verbirgt und vieles mehr, jetzt.

Konkret erfährst du in diesem Artikel:

➡️ Was ist Phishing überhaupt genau?

➡️ Was genau passiert beim Phishing?

➡️ Wie gefährlich ist Phishing tatsächlich?

➡️ Welche Arten von Phishing werden wie angewendet und wer ist davon jeweils besonders gefährdet?

➡️ Alles rund um Phishing-Mails (Wie sie aussehen, woran du sie erkennst, was du tun solltest, wenn du draufgeklickt hast und vieles mehr)

➡️ Wie du nie wieder Opfer von Phishing-Mails wirst (Anhand echter Beispiele aus dem Alltag)

Bereit für mehr Sicherheit im digitalen Alltag? Dann lass uns loslegen!

Von vorn:

Level 1:

Grundlagen

Was ist Phishing?

Phishing ist, einfach erklärt, der Versuch, an deine Daten zu kommen. Nur eben mit (sehr) unsauberen Mitteln. Und meistens im Cyberraum, also via Internet und Co.

Stell dir folgende Situation vor:

Jemand bietet dir an einem Limonadenstand ein Glas Zitronenwasser an. Vollkommen kostenlos. Alles, was du im Gegenzug tun sollst, ist, dem Limonadenstandbetreiber deine E-Mail-Zugangsdaten zu geben.

Wenn du dir jetzt denkst: What the Hedgefond? Warum sollte ich meine E-Mail-Zugangsdaten rausrücken? Und warum so leicht? Dann bist du mitten drin. Online wird dir natürlich niemand einen solch komischen Deal anbieten. Aber viele andere Varianten, um ähnliches zu erreichen.

Phishing ist mindestens so alt wie Limonadenstände. Genau genommen so alt wie das gezielte Einsetzen von Informationen, um anderen Menschen zu schaden und sich einen eigenen Vorteil daraus zu erschaffen.

Denn Informationen, bzw. Wissen, war schon immer Macht. Früher vor allem das Wissen um Ränkespielchen und militärische Informationen um Machthaber zu erpressen. Heute trifft es jeden. Technologie demokratisiert nicht nur die positiven Dinge wie freien Zugang zum Weltwissen. Manchmal bringt sie auch weniger erfreuliche Dinge mit sich.

Wenn das Leben dir Limonade gibt ... nimm eine Phishing-Definition

Eine einfache Phishing-Definition

Wenn dir die Erklärung in Geschichtsform nicht genug Licht ins Dunkel bringt, hilft dir vielleicht eine kurze und knackige Phishing-Definition zum tieferen Verständnis:

Phishing Definition:

Phishing bezeichnet jeden Versuch, bzw. jede Handlung, die darauf abzielt, gegen den Willen und / oder ohne das Wissen des Informationsbesitzers / der Informationsquelle Informationen von diesem / dieser zu stehlen und / oder Zugang zu diesen Informationen zu erhalten.

Klingt auf den ersten Blick vielleicht etwas abstrakt, zwirbelt sich aber relativ schnell auf in 5 Schlüsselkomponenten:

  1. Versuch / Handlung: Es gibt einen Angreifer mit einer Intention.
  2. Gegen den Willen / ohne das Wissen: Gegenteil der Angreiferintention.
  3. Informationsbesitzer / Informationsquelle: Es gibt einen Angegriffenen.
  4. Informationen: Es gibt “Beute”.
  5. Stehlen / Zugang erhalten: Es gibt ein konkretes Ziel hinter dem Angriff.

Ich denke, das sollte als Phishing Definition ausreichen.

Das “Was” ist also klar. Phishing ist das “fischen” nach brauchbarem (Informationen). Und ähnlich wie ein Fisch nicht sonderlich erfreut darüber ist, an einer Angel baumelnd in einen Holzeimer geworfen und dann buchstäblich ausgeweidet zu werden, sind Phishing-Opfer nach einem Angriff selten fröhlicher als zuvor.

Warum heißt es aber Ph-ishing und nicht F-ishing, wenn es doch ums Datenangeln geht? Weil Phishing eine Kombination aus dem Ausflug auf die offene See und der Abkürzung

  • Password-
  • Harvesting

also “passwort-ernten” ist. (Und Hacker gern eigentümliche Schreibweisen mit “Ph” nutzen. Jede Subkultur hat Ihre Codes und Eigenheiten)

So wie der Laichgrund das “Feld” des Fischers ist, so ist das Internet das Feld der endlos nachwachsenden Ressource Passwörter, Zugangsdaten, Kreditkarteninformationen und mehr.

Deswegen, auch im Deutschen, Phishing.

Ausgesprochen wird “Phishing” übrigens praktisch gleich zu “fisching”. Besonders exakte Betoner können das “Ph” am Anfang natürlich noch etwas spitzer formen. Aber jeder versteht dich, wenn du phishing “gut-deutsch” wie „fisching“ aussprichst.

Kommen wir zum nächsten Fundament-Teil, dem “Wie”:

Die zwei primären (Angriffs)Arten des Phishings sind

  1. Social Engineering und
  2. Ausnutzen mangelnder Security Awareness (Was zum Großteil Social Engineering ist)

Mehr zu den beiden Phishing-Arten inklusive Beispielen und Verteidigungsstrategien erfährst du in meinen Artikeln zu Social Engineering und Security Awareness.

Also in kurz:

Phishing umfasst sämtliche Angriffe gegen Menschen um ohne / gegen deren Wissen an sensible Daten zu gelangen.

Ok. Das Intro haben wir also fast durch. Fehlt nur noch eines: Das “Wie genau”.

Es gibt wahrscheinlich mehr Phishing-Möglichkeiten als Moleküle im Universum, picken wir an dieser Stelle also nur 2 konkrete zur besseren Vorstellung heraus.

  1. Die Phishing-Kampagne: Vorbei die Zeiten, in denen Phishing-Angriffe offensichtlich schlecht gemachte Versuche der Informationsgewinnung sind. Mittlerweile hat sich bei der Cyberkriminalität eine ähnliche Professionalisierung durchgesetzt, wie im Online-Marketing. Deswegen sind Phishing-Attacken mehr und mehr keine Einzelfälle, sondern von langer Hand geplante und komplex verwobene Angriffs-Lawinen. Da gehen Mails mit gezielter vorheriger Informationsbeschaffung und persönlicher Beeinflussung des Mailempfängers und vielem mehr Hand in Hand. Wie die Vorbereitung für einen solchen “höherwertigen” Angriff aussehen kann, habe ich dir in meinem kostenlosen Webinar zur gezielten Internetrecherche exemplarisch aufgezeichnet.
  2. Das Phishing-Gewinnspiel: Eine weitere Kategorie von beliebten Phishing-Varianten sind Fake-Gewinnspiele. Bei diesen wird ein Gewinnspiel gefälscht / frei erfunden um an Nutzerdaten zu gelangen und mit diesen dann Unsinn zu treiben. Oder, noch einen Schritt weiter gegangen, auf Basis der so gewonnenen Daten die Gewinnspiel-Teilnehmer anzurufen und weitere, noch sensiblere Daten in Erfahrung zu bringen. (“Herzlichen Glückwunsch zum Gewinn! Natürlich brauchen wir jetzt Ihre Kontodaten, wie sollen wir Ihnen sonst Ihren Gewinn auszahlen? …”) Auch hier ist der Einzige wirkungsvolle Schutz das Wissen um richtige Informationsbeschaffung. Denn nur wenn ich etwas wirklich fundiert überprüfen kann, kann ich sicher entscheiden, wie ich weiter vorgehe. Wie du dabei konkret agieren kannst, zeige ich exemplarisch in meinem kostenlosen Webinar zur Online Recherche.

Ich denke jetzt sprechen wir beide dieselbe Sprache zum Thema Phishing.

Zeit für das nächste Level:

Level 2:

Schlüsselwissen

Was passiert bei Phishing?

Wir wissen jetzt was es ist. Doch wie genau funktioniert es? Wie läuft eine typische “Phishing-Session” ab? Aus welchen Bestandteilen besteht sie?

Entzaubern wir das Unbekannte etwas. 

Bei Phishing passiert immer das gleiche, nur die individuellen Bestandteile ändern sich je nach konkretem Fall:

  1. Die eigenen Kommunikationsdaten sind in fremde Hände geraten und bilden das Fundament der Phishing-Attacke.
  2. Auf Basis der eigenen Daten wird ein Angriff unternommen. Entweder direkt oder indirekt um noch mehr sensible Daten zu erhalten um dann den Angriff mit mehr Wucht / höherer Erfolgswahrscheinlichkeit auszuführen.
  3. Ist der Angriff erfolgreich und das eigene System geknackt, geschieht der tatsächliche Schaden: Wie Wasser, das nach einem Dammbruch das Tal flutet, schlägt die “Schadphase” zu. Diese kann aus den verschiedensten Dingen und Kombinationen dieser Dinge bestehen. Von simplem Datendiebstahl über Ransomware bis hin zum Cryptojacking ist dabei alles im Rahmen des Möglichen.

Hier auch nochmal als handliche Infografik auf einen Blick:

Die zentralen Phishing Bestandteile

Wir wissen was Phishing ist und woraus es sich zusammensetzt. Doch wie “schlägt” sich Phishing im Kontext anderer Angriffsmethoden?

Zeit für das große Grundlagenwissen-Finale zum Thema Phishing:

Phishing und der Rest: Das “Who is Who” der virtuellen Angriffsmethoden auf einen Blick

Den Fundamenten des Phishings haben wir uns jetzt hinreichend gewidmet.

Schauen wir uns nun kurz an, wo Phishing sich im Vergleich zu anderen Onlinegefahren einordnet.

Am häufigsten werde ich in meinen Webinaren zur Abgrenzung von Phishing zu Skimming, Hacking und Spam gefragt. Stellen wir diese 4 Gauner also mal gegenüber:

 AblaufAngriffszielMethode
Phishing
  1. Input: Du erhältst Informationen, auf welche du reagieren sollst. Kann in Form einer E-Mail, einer SMS, eines Anrufs etc. geschehen.
  2. Reaktion: Du sollst auf den Input reagieren. Oftmals indem du Daten angibst, Dateien öffnest oder Links öffnest.
  3. Infektion: Während du mit etwas anderem an der Oberfläche abgelenkt wirst, wird im Hintergrund dein System angegriffen.
Buchstäblich jeder. Je mehr Macht / Geld / Einfluss etc. vorhanden ist, desto lohnenswerter. Aber auch bei „normalen“ Menschen lohnt sich ein Angriff. Und sei es nur um Sie zum Teil eines Folgeangriffs zu machen.

Phishing ist eine hinterhältige Unterart des Spam.

Beim Phishing werfen die Angreifer Ihre virtuelle „Angel“ aus und warten darauf, dass das Opfer klickt / zubeißt.

Und ähnlich wie beim echten fischen ist das Opfer nach dem Biss nahezu chancenlos ausgeliefert.

Skimming
  1. Manipulation: Die Angreifer verändern eine Geldschnittstelle so, dass diese Ihnen automatisch und unerkannt Daten ausgibt.
  2. Anwendung: Die manipulierte Geldschnittstelle wird benutzt.
  3. Diebstahl: Während der Benutzung werden die eingegebenen Daten kopiert und ggf. direkt übermittelt / automatisch zum Diebstahl eingesetzt.
Jeder, der an Geldschnittstellen wie Bankautomaten Geld abholt.

Skimming ist wie Phishing, nur spezifischer.

Beim Skimming werden ebenfalls Daten von dir abgesaugt, nur hier ausschließlich direkt geldbezogen.

Hacking
  1. Ausspähen (optional): Je nach Größe, Umfang und Ziel der Hackingattacke wird das Ziel ggf. vorab ausgespäht um Schwachstellen zu finden.
  2. Angriff: Hacker attackieren gezielt technische Systeme.
  3. Nachbehandlung (optional): Bei manchen Angriffsarten ist das Hacking selbst nicht der zentrale Teil. Hier wird zum Beispiel ein Spähprogramm hinterlassen um nach dem Hacking weiter an Daten zu gelangen.
Jeder, bei dem es sich aus Hackersicht lohnt. Kann ein Unternehmen sein, kann ein Staat sein, kann eine Privatperson sein.

Ein Fremder übernimmt das eigene System und/oder manipuliert dieses.

Hacking kann in verschiedensten Varianten mit Phishing kombiniert werden, chronologisch wie technisch.

Spam
  1. Sammlung: E-Mail-Adressen werden gesammelt.
  2. Versendung: Versand von unerwünschten Mails an jeden User, dessen Mailadresse bekannt ist.

Ziel von Spammern ist es, Gewinn über Werbeklicks von Spam-Opfern auf Links in Spam-Mails erzielen.

Da dies allerdings nur die wenigsten tun, wird prinzipiell jeder mit einer E-Mail-Adresse mit Spam überzogen.

Unmengen von Spammails in jeden Winkel versenden. Nach dem “Gießkannen-Prinzip” Gewinne damit einfahren.

Spam- und Phishing-Mails sehen sich manchmal sehr ähnlich. Manchmal hat eine Fake-E-Mail auch sowohl Phishing- als auch Spamcharakter.

Hier mal ein Beispiel für eine etwas ausgeklügeltere Phishing-Mail:

Ein etwas ausgefalleners Beispiel für Phishing

Wenn du dich jetzt fragst, was an dieser Mail auffällig ist und woran du in wenigen Sekunden erkennst, dass es sich hierbei um eine Phishing-Mail handelt, bist du in meinem Phishing-Mail-Artikel goldrichtig.

Hier einige der Angriffspunkte, welche beim Skimming attackiert, bzw. manipuliert werden können auf einen Blick:

Phishing vs. Skimming im Direktvergleich

Mehr zum Thema Skimming erfährst du in einem anderen Artikel, den ich hier verlinke, sobald er fertig ist.

Gefahr oder bloß nervig? Die Bedeutung von Phishing

Nachdem wir Phishing mittlerweile besser kennen als unseren Nachbarn wird es Zeit diesen Angriffsvektor einzuordnen.

Und damit die Antwort auf die Frage zu geben:

Welche Bedeutung hat Phishing für meinen digitalen Alltag?

Die Kurzantwort konnte ich glaube ich weiter oben bereits hinreichend geben: Eine enorme Bedeutung! Egal ob als Privatperson oder in Unternehmen, ein falscher Klick kann Milliarden kosten, Karrierepfade beenden und Leben zerstören. Mehr zum Thema Bedeutung von Phishing findest du auch in meinem Artikel zum Thema:

Hier findest du mehr zur Bedeutung von Phishing für deinen Alltag und dich (Artikel)

Kommen wir zu den verschiedenen Phishing-Arten:

Welche Arten von Phishing gibt es?

Schauen wir uns die gängigsten Phishing Arten und die häufigsten Medien an, in welchen man auf diese Arten trifft.

Auf einen Blick sieht die Welt des Phishings grob ungefähr so aus:

Phishing Arten auf einen Blick

Jede der Phishing Arten auf der x-Achse kann mit fast jedem Angriffsmedium auf der y-Achse kombiniert werden.

Da prinzipiell jede dieser Phishing-Arten einen eigenen Artikel verdient, verlinke ich hier nach und nach eben diese, sobald ich sie geschrieben habe.

Exemplarisch für alles außer Mails hier mal am Beispiel Telefon:

Warum ist Phishing per Telefon so “lukrativ und verlockend”? Weil die direkte Beeinflussbarkeit für “ungehärtete”, also nicht zum Thema Sicherheit weitergebildete Mitarbeiter bei Telefonaten vergleichsweise hoch ist. Und der Angreifer, anders als zum Beispiel beim direkten Gespräch, dennoch nahezu unerkannt agieren kann.

Der einzige wirkliche Nachteil von Phishing per Telefon ist der, dass es nicht skalierbar ist. Und dieser Nachteil ist derart groß, dass relativ betrachtet Telefon-Phishing recht selten vorkommt.

Schauen wir uns das Thema Phishing Anruf etwas näher an:

Seltener aber persönlicher: Der Phishing Anruf

Da Phishing Anrufe so etwas wie die Präzisionswaffen für besondere Fälle sind, habe ich mich diesen in einem Artikel ausführlich gewidmet:

Alles was du über Phishing Anrufe wissen musst. (Artikel)

In diesem Artikel gehe ich unter anderem darauf ein:

  1. Was Phishing Anrufe so gefährlich macht
  2. Wie Phishing Anrufe „vor deinen Augen“ dein Gehirn kidnappen.
  3. Wie du dich ganz leicht vor derartigen Angriffen schützen kannst, indem du eine einfache 4-Punkte-Checkliste abhakst.

Was uns zum „Standard“ des Phishing führt. Der Phishing-Mail:

Das „Bread & Butter“ im Phishing: Phishing Mails

Das Feld der Phishing Mails ist so groß wie es gefährlich ist. Die Spannweite reicht dabei von generischem Spam, der hundertmillionenfach ins Internet geworfen wird wie Pflanzensamen. Und dabei durch schlichte Wahrscheinlichkeitsrechnung erfolgreich ist.

Bis hin zu personenspezifisch maßgeschneiderten Mails, denen manchmal monatelange Recherche und Observierung der Zielperson vorausgeht. Denn bei diesen Spear-Phishing oder auch Whaling Mails muss nur ein einziger Klick passen.

Da dies den Rahmen dieses Artikels mehr als sprengen würde, habe ich dazu einen eigenen Artikel geschrieben:

Was Phishing Mails sind und wie du sie identifizieren und entschärfen kannst. (Artikel)

In diesem erfährst du unter anderem:

  1. Wie ein einziger Klick eine komplette Firma für Wochen zum Stillstand gezwungen hat.
  2. Wie Phishing-Mails aufgebaut sind.
  3. Warum du überhaupt Phishing-Mails bekommst.
  4. Konkrete Beispiele aus der Praxis anhand derer du erkennen kannst, was Phishing Mails ausmacht.

Was uns zum letzten Abschnitt dieses Artikels führt. Dem Schutz vor Phishing:

Level 3:

Praxis

Phishing Schutz: Und nun?

Jetzt weißt du also wie solche Angriffe und Mails aussehen, woran du sie erkennst und was die Ziele und Wege zum Ziel von Angreifern sind.

Doch wie nun weiter?

Den effektivsten Phishing Schutz hast du bereits kennengelernt: Deine Fähigkeit Phishing Angriffe zu identifizieren und Ihnen zu widerstehen.

Anders formuliert: Deine Security Awareness. Dein digitales Sicherheits-Bewusstsein. Du bist dir jetzt bewusst, dass Link nicht gleich Link ist. Du weißt jetzt wie ein Anhang komplette Serverfarmen zerstören kann. Du weißt, dass auch du im Fadenkreuz stehst.

Sehr gut! Allein durch dieses Wissen bist du „härter“ bzw. stärker „gehärtet“. Also sicherer im Digitalraum.

Weitere Schutzmaßnahmen gegen Phishing können sein:

  1. Verschärfte Einstellungen bei Spamfiltern und Antiviren-Software
  2. Der Einsatz verschlüsselter Container und Passwortsafes
  3. Das Härten aller insgesamt beteiligter IT-Systeme
  4. Und vor allem: Das ständige Training der eigenen Achtsamkeit!

Das klappt im Rahmen von Security Awareness / Social Engineering Trainings meist ganz gut. Wenn ich dich dabei unterstützen soll, melde dich gern bei mir.

Auch hilfreich um ein Gefühl für die Bedrohungslage zu bekommen, kann das Phishing Radar sein:

https://www.verbraucherzentrale.de/wissen/digitale-welt/phishingradar/phishingradar-aktuelle-warnungen-6059

Auf diesem findest du stets die aktuellsten Großangriffe und deren momentane Gestalt.

 

Phishing – Fazit

Das soll es für jetzt zum Thema Phishing erst einmal gewesen sein.

Ich hoffe, ich konnte dich bei deiner digitalen Sicherheit unterstützen.

Welche Erfahrungen hast du mit Phishing schon gemacht? Was soll ich im nächsten Update dieses Artikels noch ergänzen?

Schreib‘ es mir gern in die Kommentare! Bis dahin, stay safe!

Ben

Wo gibt es mehr?

Weitere Inhalte, Trainings und mehr von mir zur Cybersecurity

Sollten dir all diese Ressourcen, Anleitungen und Handreichungen noch immer nicht genügen, biete ich auch noch Cybersecurity Trainings an.

Mein Schwerpunkt liegt dabei auf der “Sicherung” des Menschen, also Security Awareness.

Mehr dazu findest du auf meiner Seite zu meinen Cybersecurity Trainings oder meinen Security Awareness Trainings.

Onlinekurs

Grundlagen und Anwendungen rund um die Cybersicherheit des eigenen Unternehmens. Aufgeteilt in 6 Module und jederzeit nutzbar.

Fragen und Antworten

Online ausgeführte Frage und Antwort-Runden mit verschiedenen Teilnehmern.

Individuelle Schulungen

Maßgeschneiderte Lösungen für Ihre konkreten Cybersecurity-Probleme.

All In-One

Gesamtpaket aus Cybersecurity, digitaler Transformation und dem Einsatz künstlicher Intelligenz.

Phishing Mails sind eine nicht zu unterschätzende Gefahrenquelle

Phishing Mails: 1 Klick der 12.000.000 € kostet

Phishing Mails:

1 Klick der 12.000.000 € kostet

Dieser Artikel kann deine Karriere und dein Unternehmen retten. Und vielleicht sogar noch einiges mehr…

Phishing Mails sind hinterlistige und ohne das richtige Wissen schwer erkennbare Angriffe. Hier lernst du Schritt für Schritt alle wichtigen Elemente kennen, mit denen du sicher bist. Legen wir los!

Dieser Artikel ist Teil meiner großen Informations-Serie zum Thema Cybersecurity und ein Unterpunkt meines Allround-Artikels zum Thema Phishing.

Wenn du mehr dazu wissen möchtest, wie Cyberkriminelle in Windeseile, kostenlos und anonym Daten über deine Webpräsenz herausfinden und dich damit gezielt manipulieren können, dann schau dir mein kostenloses Webinar zum Thema Online Recherche und Informationsbeschaffung an.

Was kann eine einzige Mail schon großartig anrichten?

Diese Frage stellen sich noch immer viel zu viele Menschen. Und viel zu oft sind diese in sehr wichtigen Positionen.

Schauen wir uns ein aktuelles und anschauliches Beispiel an. Zitat aus einem Artikel des Handelsblatts:

“ … Selbst wenn Unternehmen wie etwa im Fall EDAG sehr schnell auf die Attacke reagieren, ist der Aufwand, diese abzuwehren, häufig gewaltig. Das zeigt das Beispiel der Wuppertaler Schmersal. Ende Mai vergangenen Jahres wurde der Automatisierungsspezialist vom Landeskriminalamt vor einem Cyberangriff gewarnt. Sofort fuhren die Verantwortlichen alle Systeme herunter – mit massiven Folgen. Die Fertigung in sieben Werken und die Arbeit in über 50 Niederlassungen ruhte länger als zunächst gedacht.

Gut zwei Wochen dauerte es, bis jeder Winkel in dem weitverzweigten IT-Netz durchsucht war. Am Ende musste das Unternehmen die gesamte IT neu aufsetzen. Die Kosten bezifferte Philip Schmersal, der geschäftsführende Gesellschafter, auf über zwölf Millionen Euro. …“

Klingt drastisch? Ist es auch! Und hier kommt noch hinzu, dass die Verantwortlichen vorab gewarnt wurden UND vorbildlich gehandelt haben!

Im Großteil der Fälle passiert weder das eine noch das andere.

Und wie ist dieser massive Ausfall zustande gekommen?

Das wird in einem Nebensatz, beinahe beiläufig in besagtem Artikel ebenfalls erwähnt:

Auslöser – so zeigte sich bei den Analysen – war eine Mail, die völlig unverdächtig war, die aber den Trojaner in das System eingeschleust hatte.

Eine Phishing Mail hat 14 Tage lang 7 Werke in mehr als 50 Niederlassungen lahmgelegt und dabei mehr als 12.000.000 € Schaden verursacht.

Obwohl nahezu mustergültig reagiert wurde und es eine ernstgenommene Vorwarnung gab!

Was kann eine einzige Mail schon großartig anrichten? 

Einiges.

Und damit sind wir direkt im Thema: Phishing Mails.

Beim Thema Phishing Mails sind wir beim “Bread and Butter” des Phishing angelangt. Denn Fake Mails, wie Phishing E-Mails auch oft genannt werden, bilden den absoluten Großteil sämtlicher Phishing-Attacken ab. Warum?

Weil Mails extreme Vorteile für Angreifer bieten. Denn Phishing Mails sind

  1. 100%ig anonym
  2. Automatisiert,
  3. In unendlicher Zahl und
  4. Nahezu in Echtzeit erstellbar
  5. Einnisten in Firmen-Proxys möglich und Angriff über diese (Siehe Praxis-Beispiel weiter unten)

Phishing Mails sind aus Sicht der Angreifer so etwas wie eine Gelddruckmaschine für Banken. Sie liefern einen nahezu unendlichen Strom an Ressourcen zu relativ geringen Kosten.

Schauen wir uns daher in diesem Artikel Phishing E-Mails genauer an.

 

Unter anderem erfährst du:

  1. Was Phishing Mails überhaupt sind und was diese Fake Mails von „normalen“ Mails unterscheidet
  2. Eine Beispiel-Chronologie von Phishing Mail bis eingetretener Schaden
  3. Warum du überhaupt Phishing Mails bekommst / wie Kriminelle an deine Emailadresse kommen, um Phishing Mails an dich zu schicken
  4. Wie du kugelsicher Phishing Mails im Schlaf erkennst und filtern kannst, ohne auch nur mit der Wimper zu zucken
  5. Konkrete Beispiele von Phishing Mails die ich selbst erhalten und betreuen durfte
  6. Eine handliche und sofort einsetzbare 15-Punkte Checkliste um verdächtige Mails auszusondern

Legen wir los!

Was sind Phishing Mails?

Warum + Wie Links für dich zur Gefahr werden können

Beginnen wir beim Anfang: Was sind Phishing Mails überhaupt?

Phishing Mails sind technisch betrachtet und von außen besehen “normale” E-Mails. Mit einem elementaren Unterschied:

Eine Phishing Mail bringt dich nicht zum angegeben Ziel, sondern direkt in eine Gefahrenzone. Eine Gefahrenzone, die so gut getarnt ist, dass du nicht einmal dann sicher sagen kannst, dass Gefahr im Verzug ist, wenn du mitten drin stehst und unter Umständen bereits deine Daten eingibst.

Das funktioniert über gefälschte Anhänge, Dateien innerhalb von Mails und vor allem über gefälschte Links. Schauen wir uns den letzten Fall genauer an.

 

Echte vs. Fake Mails

Das kannst du dir ungefähr so vorstellen:

✅ Eine “normale” Mail enthält einen Link zu einem Ziel, zum Beispiel einem Artikel. Angenommen zum Thema Feuersalamander. Der Link funktioniert dabei wie ein Tunnel, welcher deinen Browser und dich zusammen durch eben diesen Tunnel direkt zur Zieladresse Artikel führt. Dort erfährst du also mehr über das Leben des Feuersalamanders und bist beeindruckt. Diese bekommst du zum Beispiel von deinem Kollegen Frank. Soweit alles gut, danke für die Mail, Frank.

Diese Mail sieht zum Beispiel so aus:

(Blau markiert = “sichtbarer” Linktext. Grün markiert = tatsächliches Linkziel. Rot markiert = Linkziel in “Maschinensprache”)

Hey, ich habe gerade diesen spannenden Artikel zum Thema Feuersalamander entdeckt, schau ihn dir unbedingt mal an: https://www.geo.de/geolino/tierlexikon/840-rtkl-tierlexikon-feuersalamander

Frank.

Im Quelltext, also der Sprache, in welcher Franks Computer mit deinem “spricht”, sieht diese Mail so aus:

<p>Hey, ich habe gerade diesen spannenden Artikel zum Thema Feuersalamander entdeckt, schau ihn dir unbedingt mal an: <a href=“https://www.geo.de/geolino/tierlexikon/840-rtkl-tierlexikon-feuersalamander“>https://www.geo.de/geolino/tierlexikon/840-rtkl-tierlexikon-feuersalamander</a></p><p><br></p>

<p>Frank.</p>

Im Wesentlichen sprechen auch Computer unsere Sprache, sie sind nur sehr große Liebhaber von eckigen Klammern.

Der farbig hervorgehobene Teil wird gleich noch relevant.

❌ Eine Phishing Mail enthält ebenfalls einen Link zu einem Ziel. Doch anders als im obigen, harmlosen Beispiel, führt dich dieser Link nicht zu einem harmlosen Artikel. Sondern in eine gezielt für dich gestellte Falle. Wenn der Tunnel von Frank dich ins Salamander-Biotop geführt hat, führt dich der Tunnel der Phishing-Mail direkt in ein Minenfeld. Das tückische dabei: Die Mail kann auf den ersten Blick sogar exakt so aussehen, wie die Mail von Frank. Doch unter der Haube, im Quelltext, verbirgt sich die Bombe. Schauen wir uns die Phishing-Variante von Franks Mail an:

Hey, ich habe gerade diesen spannenden Artikel zum Thema Feuersalamander entdeckt, schau ihn dir unbedingt mal an: https://www.geo.de/geolino/tierlexikon/840-rtkl-tierlexikon-feuersalamander

Frank.

Erkennst du den Unterschied? Siehst du die Zacken der Landmine aus dem Boden ragen? Noch nicht? Dann lass uns gemeinsam etwas näher ran gehen:

<p>Hey, ich habe gerade diesen spannenden Artikel zum Thema Feuersalamander entdeckt, schau ihn dir unbedingt mal an: <a href=“https://www.bsi.bund.de/DE/Home/home_node.html“>https://www.geo.de/geolino/tierlexikon/840-rtkl-tierlexikon-feuersalamander</a></p><p><br></p>

<p>Frank.</p>

Du siehst den Unterschied noch nicht? Oder siehst ihn zwar, aber weißt nicht, was dir das sagen soll? Dann klicke mal auf beide blau markierte Links und schau mal, ob sie dich zum gleichen Ziel bringen. Sollten sie doch, sie sehen schließlich gleich aus, richtig?

Die Krux liegt hierbei unter der Motorhaube. Es ist wie im echten Leben, nicht überall wo Tesla draufsteht, ist auch Tesla drin.

Was genau drin ist, sieht man meist erst beim hereinschauen. So auch hier. Der Schlüssel ist der Vergleich der beiden grün markierten Bereiche. Denn dieser Bereich ist der, der die “Ausfahrt des Tunnels” bestimmt. Der rote, sichtbare Bereich ist quasi nur das Eingangsschild. Wo du am Ende tatsächlich rauskommst, entscheidet aber der grüne Bereich.

Ich kann auch ein Schild mit der Aufschrift “In 2km Nordseeküste” vor den Gotthard-Tunnel stellen. Doch der Tunnel-”Inhalt” bestimmt, wo du tatsächlich am Ende landest.

Phishing Mails nutzen falsche Tunnelbeschriftungen gegen dich

Und deshalb ist es egal, was der blau markierte Bereich sagt. (Der Linktext) Ausschließlich der Inhalt des grünen Bereiches zählt. (Das Linkziel)

Wie im echten Leben: Nur wenn alles im grünen Bereich passt, macht die ganze Sache wirklich Spaß.

Heißt in Kurzform:

  1. Nein, du brauchst keinerlei informatisches Vorwissen um Fake-Links in Phishing-Mails zu erkennen und zu umgehen. Tatsächlich musst du nur eine Einzige Sache können:
  2. Den Unterschied zwischen dem Link erkennen, der suggeriert wird. Und dem tatsächlichen Linkziel. Wenn du einen Apfel und eine Birne voneinander unterscheiden kannst, hast du hier also gute Karten. (Mehr dazu weiter unten)

Die Kurzantwort auf die Frage “Was sind Phishing Mails?” lautet also: Mails, die dich zu einem anderen Ziel bringen, als sie suggerieren.

…Aber warum?

Welchen Sinn hat das? Warum erstellt jemand ein Linkziel, welches ein anderes ist als das, was er angibt? Machen wir ein einfaches Beispiel:

Angenommen du bekommst eine Mail von deiner Bank mit der Aufforderung, dein Onlinebanking zu ändern. Dann klickst du auf den Link, gibst deine Zugangsdaten ein und änderst, was du ändern sollst.

Gleiches Szenario, diesmal in der Phishing Variante:

Du bekommst eine Mail von einem Angreifer, welcher sich als deine Bank ausgibt. Die Mail sieht exakt gleich aus, bis hin zum Wortlaut und Logo oben links in der Ecke. Du erhältst wieder die Aufforderung, deine Onlinebanking-Daten zu ändern. Nur diesmal wirst du nicht zur tatsächlichen Bankseite geführt, sondern zu einer gefälschten, nachgebauten.

Du gibst wieder deine Daten ein, doch dann kommt eine Fehlermeldung. Du bist verwirrt, weißt aber nicht was du tun sollst, und fährst den Computer herunter.

Währenddessen haben die Kriminellen deine Zugangsdaten durch ihre gefälschte Seite erhalten, melden sich mit diesen in deinem Konto an und räumen dieses leer.

Das ist der Grund, warum Banken niemals derartige Aufforderungen per Mail senden würden.

Multidimensionale Angriffe: Drei zum Preis von einem.

Wirklich gefährlich im großen Maßstab werden Phishing Mails allerdings erst kombiniert mit anderen virtuellen Waffen.

Häufig kommt dabei das Dreigespann aus Phishing Mail – Trojaner – Ransomware zum Einsatz. Beim eingangs genannten Beispiel war dies genau die Angriffsabfolge.

Es gibt eine nahezu unendliche Anzahl von Kombinationsmöglichkeiten digitaler Waffen. Bei dem Großteil ist Phishing allerdings die Speerpitze. Aus den oben genannten Gründen.

Schauen wir uns dieses unheilvolle Trivium kurz etwas näher an.

Du kannst dir das ganze ungefähr so vorstellen:

Es klingelt bei dir und es meldet sich ein Handwerker, der bei dir ein undichtes Fenster reparieren soll.

Verwirrt und verunsichert lässt du ihn herein, schaust aus dem Fenster und ein Fahrzeug fährt die Einfahrt entlang.

Ein Mann in Montur steigt mit einem braunen Karton unterm Arm aus und kommt zu dir in die Wohnung.

Er spricht kurz mit dir, stellt den Karton auf den Küchentisch und geht mit dir ins Wohnzimmer um den Schaden zu besprechen.

Nachdem ihr alles geklärt habt und du so verwirrt wie vorher bist, siehst du überall auf dem Flur Schlangen.

Keine aus Papier. Waschechte, lebendige Schlangen kriechen langsam und zischend überall durch deine Wohnung.

Und nun?

Was Handwerker, Autos, Kartons und Schlangen mit Phishing Mails zu tun haben?

  1. Der Handwerker ist der Grund, warum du die Mail öffnest.
  2. Das Auto ist der Anhang oder der Link, welcher den Sprengstoff in deinen Rechner bringt.
  3. Der Karton ist der Trojaner, welcher nach Lust und Laune auf deinen Rechner Software installiert, ohne das du es mitbekommst.
  4. Die Schlangen sind die Ransomware, die deine Technik kidnappen und dich gefangennehmen.

Ein klassischer Phishing Mail-Ablauf

Fragst du dich immer noch „Was kann eine einzige Mail schon großartig anrichten?

Gut. Bevor wir in die Praxis gehen und ich dir anhand konkreter Beispiele erkläre, wie du Phishing Mails entschärfst, bleibt nur noch eine letzte Frage zu klären:

Warum bekomme ich überhaupt

Phishing Mails?

Die Antwort auf die Frage “Warum bekomme ich Phishing Mails?” läuft in etwa 80 % der Fälle auf eine oder beide der folgenden Optionen heraus:

  1. Deine E-Mail-Adresse wurde von einem Service weitergegeben. Es passiert nicht selten, dass Firmen übernommen werden oder Datenbanken “unter der Hand” oder auch offiziell verkaufen und große Mengen Mailadressen dadurch den Besitzer wechseln. Und nicht selten bedeutet das: Hallo Phishing Mails. Deshalb: Achte darauf, welchem Service du im Internet vertraust. Und welche Mailadresse du wo / überhaupt angibst. (Eine E-Mailadresse nur für solche Fälle ist zum Beispiel wirklich hilfreich)
  2. Ein Service wurde geknackt, die Daten gekapert und in Zehntausender-Paketen auf dem virtuellen Schwarzmarkt für Centbeträge verschleudert. Das ist meistens der Fall, wenn du wirklich “hässliche” Phishing Mails bekommst.

Schnell und einfach prüfen ob deine Mailadresse betroffen ist

Wie kannst du mit einem Klick, kostenlos und ohne Aufwand prüfen, ob deine Mailadresse(n) in einer solchen Schwarzmarkt-Schleuder im Umlauf sind?

Am einfachsten durch Services, welche die bekannten Datenbanken im Darknet kopieren und per Klick durchsuchbar machen.

Das sind zum Beispiel

  1. Have I Been Pwned als größte Prüfdatenbank oder der
  2. HPI Identity Leak Checker vor allem für deutsche Mailadressen

Einfach Link öffnen, fragliche Mail eingeben und absenden. Das Ergebnis kommt entweder direkt oder wird per Mail zugesendet.

Es gibt noch andere, ähnliche Services. Diese beiden decken meiner Erfahrung nach aber etwa 80% der relevanten Datenbanken ab.

Alright. Phishing-Mail-Grundlagen ✅. Auf zur Praxis:

Phishing Mails erkennen:

Sicher, garantiert und einfach

Phishing Mails mit minimalem Aufwand erkennen und entschärfenWir wissen jetzt wie Phishing Mails funktionieren, was sie prinzipiell so gefährlich macht und wo sie (meistens) herkommen.

Doch woran erkenne ich diese maskierten Digital-Kobolde? Was genau und sofort erkennbar zeichnet die bösen Zwillinge der E-Mail aus?

Die Kurzform zum sofortigen Einsatz, bevor wir uns gleich ausführlicher jeden der hier genannten Stichpunkte ansehen.

Wenn du Phishing Mails erkennen möchtest, hilft dir diese handliche Checkliste:

 

Phishing Mails 80/20: Wie du mit minimalem Aufwand maximale Sicherheit erreichst

Die 20 % des Aufwands welche dir > 80 % der Sicherheit bringen: Prüfe den

  1. Absender (Name + Mailadresse, vor allem die Mailadresse!)
  2. Betreff (Will er Emotionen wecken? Druck / Angst machen?)
  3. Link, auf den du klicken sollst / möchtest und ließ diesen (aus), BEVOR du auf diesen klickst. Wie das geht, hast du oben grundlegend schon erfahren. Am Beispiel live zeige ich es in meinem kostenlosen Webinar zum Thema Informationsbeschaffung und Online Recherche.

Mit diesen 3 “Tricks” und den entsprechenden Reaktionen auf das Ergebnis bist du sicher gegen jede Phishing Mail.

Wenn du dich mit mehr Informationen allerdings noch besser für diesen Kampf gerüstet fühlst, kriegst du hier noch einige weitere Punkte, welche dir garantierte Sicherheit und ein gutes Bauchgefühl bescheren:

  1. Headline prüfen (Will sie dir nur Emotionen wie Angst bringen? -> Verdächtig. Zum Beispiel “illegale Account Aktivität erkannt”)
  2. Mailabsender prüfen (Ist es irgendein spammy Bullshit? NUR die URL nach dem letzten Punkt zählt. Alles davor ist egal)
  3. Inhalt prüfen (Ist es auf Englisch obwohl ich auf Deutsch unterwegs bin?
  4. Link lesen BEVOR du auf irgendeinen Button klickst.
  5. Falls eine Trap Door / Link Cloaking von einem gehackten / erstellen ähnlich klingenden Service, zB ionos.biz statt wie normal ionos.com benutzt wurde, Link in der URL-Leiste lesen und NICHTS tun, bevor du dir nicht sicher bist, dass der Link sauber ist.
  6. Empfänger: Ist es unbekannt? Dann bist du nur einer von vielen (Hunderten bis Tausenden), denen diese Mail gerade zugeschickt wurde.

Alright, dann kommen wir jetzt zu den konkreten Beispielen. Ich habe derer 3 mitgebracht, in aufsteigenden „Echtheitsgraden“ und Gefahrenstufen: ( Du kannst mit dem Slider stufenlos zwischen der Originalmail, so wie sie auch in deinem Posteingang landet und den wichtigen Stellen auf die du achten solltest, switchen)

Die Anatomie einer Phishing Mail

Schritt für Schritt zur Sicherheit

Fall #1: „Gießkannen“-Phishing auf gut Glück

Diese Art von Phishing Mail begegnet einem am häufigsten im Netz. Hierbei werden einfach Phishing Mails erstellt und wahllos an jeden gesendet, der in der Zieldatenbank ist.

Kann mal klappen, kann mal nicht funktionieren.

Wenn diese Mails funktionieren, dann eher aufgrund der gewählten Sprache und verwendeten Wörter. Schauen wir uns systematisch die wichtigsten Warnsignale an:

  1. (3): Impliziert, dass der Empfänger bereits zwei Nachrichten zuvor verpasst hat. Führt dadurch halbbewusst zu mehr Dringlichkeit und Druck zu reagieren.
  2. Müssen: Siehe 1. Keine Bitte sondern weiterer psychischer Druckaufbau.
  3. Neue: Impliziert je nach Interpretation etwas besseres, aktuelleres oder generell eine sicherere Lösung als die Vorhergehende. Hier wird also ausgenutzt, dass Updates gut sind und neues gern genutzt wird.
  4. Web-Sicherheitssystem: Hier wird explizit Sicherheit vorgegaukelt. Und gerade bei einer Bank möchte man sicher sein. Man ist also angehalten, der Mail zu folgen.
  5. Aktivieren: Hier wird nicht „installieren“ oder „konfigurieren“ geschrieben. Sondern lediglich aktivieren, also einen Knopf drücken. Klingt einfach, dafür das man danach sicher ist, richtig? (Spätestens hier fällt auf, dass gute Copywriter auch sehr direkt gefährlich sein können 😉
  6. Absendername: Erklärung siehe oben.
  7. Absender-Mail: Wichtig! Wenn du sonst nichts in einer Mail scannst, die Mailadresse des Absenders und den Link auf den du klicken sollst, musst du prüfen! Warum siehe oben und bei Beispiel #3 weiter unten.
  8. Empfänger-Mailadresse: Siehe oben.
  9. Link auf den der Empfänger klicken soll: Wichtig! Wie oben und weiter unten geschrieben, Links immer vor dem Draufklicken lesen!

So viel zu den kritischsten Checkpoints. Es gibt noch ein paar hilfreiche Indizien, die man zusätzlich prüfen kann:

  1. Domain-Authentifizierung: Manche Programme warnen den Empfänger bereits groß und rot vorher, achtsam zu sein.
  2. Mail-Footer: Manchmal entlarven sich Phishing Mails auch über schlecht geschriebene, logisch inkonsistente oder schlicht falsch oder nicht übersetzte Texte / Textabschnitte. Passierte früher öfter, mittlerweile immer seltener.
  3. Sinnlose Inhalte am Ende der Mail: In einigen Fällen enden Phishing Mails mit sinnlosen Zeilen. Warum ist schwer zu sagen, aber es ist ein recht sicheres Indiz für eine Fake Mail. Manchmal geschieht dies in weißer Schrift auf weißem Hintergrund wie in dieser Mail, deshalb ist dieser Abschnitt auf dem Bild auch blau markiert.

Wichtig hierbei: Das sind wie gesagt generische Mails. Eine Mail für alle. In meinem Fall offensichtlich sinnlos wenn man den Absender-Service, in diesem Falle die DKB, nicht benutzt.

Doch mit relativ wenig Analyse und Recherche können solche Mails wie maßgeschneidert werden und ungleich schwerer zu identifizieren. Wie die Grundlage dafür aussehen kann, erfährst du in meinem kostenlosen Webinar.

Phishing Beispiele - 2. der Klassiker Versicherung_marked

Fall #2: Phishing getarnt im weißen Rauschen

Phishing Mail Beispiel 2

Diese Art von Fake Mails ist vor allem gefährlich für Personen und Firmen die viele Pakete erhalten.

Denn dabei geht eine solche Mail schnell unter, da mal täglich Dutzende wie diese erhält.

Schauen wir uns die Anatomie einer solchen Phishing Mail am Muster aus der Praxis an:

Wichtig: Alle bei #1 genannten Punkte gelten uneingeschränkt weiterhin und zusätzlich zu den hier ausgeführten!

  1. Nachricht aus einer Verteilerliste: Wenn das eigene Programm eine Funktion anbietet, die Quell-Liste der Phishing Mail zurückzuverfolgen, kann man dies durchaus machen. Kann im Folgeschritt dabei helfen, gezielt Adressen zu blockieren, bei Behörden zu melden und in der Zukunft besser zu wissen, worauf man achten muss. Eher optional und für Menschen mit Drang zur Technik-Detektei.
  2. Inhalt der Mail: Wenn du bis hierhin alle Punkte richtig überprüft hast, macht der Inhalt keinen großen Unterschied mehr. Dennoch können sich natürlich auch hier noch mögliche Indizien für Phishing-Ambitionen offenbaren.
  3. Weitere Absenderdaten: Auch die Prüfung von Firmendaten in der Mail und der Abgleich mit der Realität kann die Sicherheit über die Authentizität erhöhen. Anhaltspunkte können zum Beispiel sein: Verwendetes Logo, Unterschrift, Firmenname etc.

Fall #3: Phishing Mail via vertrauenswürdigem, gehacktem Proxy

Diese Art der Fake Mail ist besonders gefährlich. Denn die tatsächliche Phishing Mail wird von einer real existierenden, überprüfbaren und oftmals seriösen Firma versendet.

Und ist zeitgleich noch schwieriger zurückverfolgbar, da ein missbrauchter „Bote“ zur Zustellung der Phishing Mail genutzt wird.

Du kannst dir das vorstellen wie einen Brief den du in die Hand gedrückt bekommst, in welchem sich Juckpulver befindet. Der sich wild kratzende Empfänger wird dir nach der Übergabe die Schuld zuschieben, nicht deinem Auftraggeber.

Phishing Mails über so genannte Proxys, also „Außenstellen“ sind noch aus weiteren Gründen gefährlich, aber bleiben wir beim Beispiel und schauen uns Anhaltspunkte an:

Auch hier gilt wieder: Die Tipps von #1 und #2 gelten zusätzlich zu den hier genannten!

  1. Absender: Selten wird ein Unternehmen geknackt und als Proxy missbraucht, welche einen ähnlichen Namen oder ähnliche andere Daten hat. Der Abgleich von Namen und Mailadresse des Absenders ist hier also oftmals die einzige wirkliche Möglichkeit zur Identifikation.
  2. E-Mail-Adresse des Absenders: In diesem Fall wurde eine unprofessionell klingende Mailadresse mit „meins@“ statt zum Beispiel „kontakt@“ oder „business@“ genutzt. Was zwar einerseits sicherer vor dem möglichen Auffliegen des Einbruchs macht, aber andererseits auch die Abwehr erleichtert. Andererseits hatte die gehackte Firma über welche die Phishing Mail zugestellt wurde absolut nichts mit einer Bank zu tun. Da ich den offiziellen Firmennamen nicht nennen darf, machen wir es an einem Beispiel: Du erhältst eine Mail von Autohaus Ziegel, die Mail abgeschickt wurde aber von „auto@blumen-sommerfrische.de“. Ziemlich offensichtlich, wenn man weiß, wonach man schauen muss.
Phishing Mails erkennen - 1. gecrackte Mailadresse

Dauerskill #1: Links lesen

Was uns zum meiner Meinung nach wichtigsten Skill der Cybersicherheit insgesamt bringt: Der Fähigkeit, Links zu lesen und zu interpretieren.

Wenn du Interesse an einem ausführlichen Artikel dazu hast, kommentiere gern diesen Artikel. ⬇️

Die Kurzform siehst du im Screenshot neben diesem Text.

Zwei Dinge solltest du tun, bevor du auf irgendeinen Link im Internet klickst:

  1. Die Maus über den Link halten.
  2. Lesen, welches Linkziel dir unten links in der Ecke deines Bildschirms angezeigt wird. Wenn es das Ziel ist, zu dem du möchtest, klicke frei und unbeschwert. Wenn nicht: Finger weg!

Fake- und Phishing Mails:

Fazit

Phishing ist die größte Gefahr für Cybersicherheit im Internet. (Der Link führt zu einem Bericht des FBI von 2020, lies dir den Link aber gern vor dem Klicken durch! 😉

Die Schäden, die auf einen einzigen Klick folgen können, sind gigantisch. Persönlich wie geschäftlich.

Doch mit dem richtigen Wissen lässt sich diese Gefahrenquelle ganz leicht umschiffen. Ich hoffe ich konnte dir genau dieses Wissen in diesem Artikel vermitteln.

Und zum Schluss bekommst du hier wie versprochen die Checkliste zum ausdrucken und anwenden. Damit du jetzt nicht jedes Mal diesen Artikel öffnen, Bilder hin- und herwischen und alles händisch prüfen musst.

Wenn du mehr von mir wissen möchtest, abonniere am besten meinen Newsletter oder schreib mir direkt. 

Stay safe!

Ben

Deine kostenlose 15-Punkte Anti-Phishing-Mail Checkliste
Hier kannst du dir die Anti-Phishing-Mail Checkliste kostenlos herunterladen
Du möchtest mehr Informationen zu digitaler Transformation, Cybersecurity und künstlicher Intelligenz von mir erhalten? Dann abonniere hier kostenfrei meinen Newsletter:

Ein Phishing Anruf kann gefährliche Folgen haben

Der Phishing Anruf: Gefahr durch die Ohrmuschel

Der Phishing Anruf:

Was ihn so gefährlich macht und wie du dich schützt

Phishing Anrufe sind wie Funde von Weltkriegsbomben: Gemessen an den Gefahren des digitalen Alltags relativ selten aber mit umso mehr Vorsicht zu behandeln.

Was den Phishing Anruf so gefährlich macht, wie du dich schützen kannst und eine handliche 4-Punkte-Checkliste zur sofortigen Identifikation und Entschärfung von Phishing Calls gibt es in diesem Artikel.

Phishing Anrufe

Warum man für manche Gespräche einen Waffenschein braucht

Dieser Artikel ist Teil meiner großen Informations-Serie zum Thema Cybersecurity und ein Unterpunkt meines Allround-Artikels zum Thema Phishing.

Wenn du mehr dazu wissen möchtest, wie Cyberkriminelle in Windeseile, kostenlos und anonym Daten über deine Webpräsenz herausfinden und dich damit gezielt manipulieren können, dann schau dir mein kostenloses Webinar zum Thema Online Recherche und Informationsbeschaffung an.

Der Phishing Anruf ist im Vergleich zu seinem großen Bruder, der Fake- oder Phishing Mail eher ein kleiner Player im “Phishing-Game”. Was nicht schwer ist, lassen sich Mails doch beliebig replizieren, brauchen Anrufe allerdings noch immer Menschen.

Doch nur weil sie seltener sind, heißt es nicht, dass man nie von diesen attackiert wird. Und erst recht nicht, dass Phishing Anrufe harmlos sind. Im Gegenteil. (mehr zur Bedeutung von Phishing erfährst du in diesem Artikel)

Glücklicherweise ist es hier noch viel leichter, sicher zu sein. Denn die meisten Phishing Anrufe lassen sich leicht identifizieren und dementsprechend entschärfen. Wenn also keine Profis mit langer Vorbereitung am anderen Ende der Leitung sitzen, hat man hier ganz gute Karten.

Zumindest wenn man die Tipps auf dieser kleinen “Phishing Anruf Checkliste” beherzigt:

Deine "4-Punkt Sicherheits-Checkliste"

bei Phishing Anrufen

Auf 4 Vorkommnisse / Eigenschaften von Telefonaten solltest du achten, bzw. vorbereitet sein, um Phishing Calls nicht auf den Leim zu gehen:

  1. Es ist ein unbekannter / komisch klingender Anruf. Kann prinzipiell überall vorkommen, hier ist eine zentrale Sache wichtig: → Höre auf dein Bauchgefühl. Menschen sind im Laufe der Evolution wirklich gut darin geworden, Gefahren “aus dem Bauch heraus” zu erkennen. Lass dich von eben diesem leiten. Ist der Anruf einfach nur verwirrend oder möglicherweise gefährlich? Dein Bauch weist dir den Weg.
  2. Du sollst sensible Daten weitergeben. Wenn Handlungen wie Freigaben oder Zugänge von dir gefordert werden solltest du prinzipiell die → Notbremse ziehen und nichts sagen / entschieden gegenfragen wofür genau / ggf. direkt auflegen, statt das Notizbuch zu zücken. Mehr zum Umgang und Gefahren dabei findest du in meinen Artikel zu den Theman Security Awareness und Social Engineering.
  3. Es werden intensive Emotionen als Waffe gegen dich aufgebaut und eingesetzt. Immer wenn ein Anruf schnell und auf dem direkten Weg Druck, Angst oder ähnliche Gefühle in dir erzeugen möchte, solltest du einen radikalen Cut setzen. Entweder indem du → entschieden dagegen gehst oder auflegst oder ähnliches. Warum so kompromisslos? Weil wir emotionsgeleitet buchstäblich nicht denken können. Nicht weil wir doof sind, sondern weil unser Gehirn so funktioniert. Die Details sind etwas komplexer aber an einem Beispiel: Auf Einschüchterung folgt Angst, folgt das sogenannte  “Amygdala Hijacking”, dein “fight or flight” Mechanismus und die Sicherheit von Soft- und Hardware ist buchstäblich vergessen. Extrem wichtiger Punkt! Mehr dazu im nächsten Abschnitt.
  4. Es werden vermeintliche Sicherheiten eingesetzt, um dein Vertrauen zu gewinnen. Wie kann so etwas aussehen? Zum Beispiel wird dir während des Telefonats eine professionell aussehende Webseite angesagt, welche du in Echtzeit anschauen kannst. („Gehen Sie mal auf www. …„) Diese soll beweisen, dass der Anrufer “sauber” ist. Wenn du dir derartiger Tricks allerdings nicht bewusst bist und keine Fähigkeiten wie dem Auslesen von Hyperlinks besitzt, kannst du hier leicht aufs Kreuz gelegt werden. → Sei hier also prinzipiell skeptisch. Je mehr dir jemand etwas beweisen möchte, desto mehr versucht er etwas zu verkaufen. Kann gut sein, kann aber auch böse enden.

So viel zum Thema Phishing Calls for now. Jetzt weißt du, wie du mit einem Phishing Anruf angegriffen werden kannst und wie du dich dagegen verteidigst. (Zumindest grob, die Feinheiten brauchen eine ganze Menge mehr Wörter, aber als 80/20 Variante sollte das schon weiterhelfen)

Doch wie funktioniert die wichtigste Waffe von Phishing-Angreifern? Wie funktioniert das „Amygdala-Hijacking“? Schauen wir es uns an:

Amygdala-Hijacking:

Wie dein Gehirn "vor deinen Augen" gekidnappt wird

Viele Angriffe, egal ob offline oder digital, basieren darauf, dich kampfunfähig zu machen. Im Bestfall für den / die Angreifer, bevor der tatsächliche Angriff beginnt.

Beim Phishing geschieht dies besonders perfide. Denn du siehst den Angreifer nicht einmal und doch kann er dich wie eine Marionette tanzen lassen.

Und das alles nur, indem er die richtigen Knöpfe bei dir drückt.

Der größte und wichtigste Knopf dabei ist deine Amygdala.

Du kannst dir dein „Ich“ in verschiedenen binären Varianten vorstellen; Zukunfts-Ich vs. Jetzt-Ich, Allein-Ich vs. Gruppen-Ich und eben auch Rationales-Ich vs. „Instinkt“-Ich. (Auch hier: vereinfacht gesprochen)

Wenn du normal und ungestört deinem Alltag nachgehst, befinden sich deine höheren Hemisphären, deine Ratio am Steuer. Du kannst dabei gut rechnen, langfristige Pläne schmieden und ausführen und komplexe / abstrakte Handlungen ausführen.

Und dann gibt es noch dein „niederes“ Ich. „Nieder“ im architektonischen Sinne, denn das Gehirn ist aufgebaut wie eine Aufeinanderschichtung von Speiseeiskugeln. Und die unterste Kugel die bei dir im Sommer vielleicht Schokolade ist, ist im Gehirn dein Stammhirn. Und Teil davon ist die Amygdala.

Das ist der „Urzeit-Teil“ in uns allen. Der Teil, der zwischen Mammuts und Säbelzahntigern großgeworden ist und nichts von Computern und Cyberangriffen gehört hat.

Und genau diesen Teil möchten Kriminelle in dir wecken, wenn sie angreifen. Denn wenn dieser Teil am Steuer ist, ist der Rest von dir, deine Ratio in den Keller verbannt. Dann kannst du nur noch in schnellen, einfachen und simplen Lösungen denken. Buchstäblich. Du kannst dann nicht mehr anders denken.

Und so aufs kognitive Kreuz gelegt ist es für Angreifer ein Leichtes, an deiner Verteidigung vorbei und direkt zu den sensiblen Daten zu kommen.

Das ist auch der Grund warum bei Militärnahkampf-Training wie Krav Maga immer auch „Stresstests“ involviert sind.

Um genau diesen blinden Fleck zu trainieren und zu flicken.

Abseits der oben stehenden Checkliste helfen auch Atemtechniken und Meditation. Vor allem aber das Wissen um diese Angriffsmöglichkeit. In diesem Sinne bist du jetzt bereits sicherer, egal was du sonst tust.

Mehr zum Amygdala-Hijacking findest du in diesem hilfreichen Artikel und noch breiter gefächert in diesem Artikel der Harvard-University.

Amygdala Hijacking beim Phishing Anruf
Dieser kleine Teil deines Gehirns macht dich quasi sofort “kampfunfähig. Getriggerte Emotionen können deine Amygdala kapern und dich “geistig in die Steinzeit befördern”.

So viel von meiner Seite zum Thema Phishing Anruf. Was mich abschließend noch interessiert ist deine Sicht der Dinge:

Wie gehst du mit der Gefahr von / Phishing Anrufen um?

Wie bereitest du dich auf derartige Angriffe vor?

Hast du Erfahrungen mit Phishing Calls gemacht?

Schreib‘ es mir gern in die Kommentare, ich beantworte jeden Einzelnen und bin gespannt!

Stay safe,

Ben

Du möchtest mehr Informationen zu digitaler Transformation, Cybersecurity und künstlicher Intelligenz von mir erhalten? Dann abonniere hier kostenfrei meinen Newsletter:

Die tatsächliche Phishing Bedeutung ist größer als du wahrscheinlich denkst

Die Bedeutung von Phishing: Wie du dein digitales Sicherheitsrisiko um 96% senken kannst

Die Bedeutung von Phishing:Wie du dein digitales Sicherheitsrisiko um 96% senken kannst

Phishing ist so etwas wie die „Aufklärungseinheit“ der Cyberkriminellen. Ein falscher Klick und deine persönlichen, gesundheitlichen, Firmen- und andere sensible Daten können Ihre Reise um den Globus antreten. Welche Bedeutung Phishing hat und wie diese ganz konkret an den bei Cyberkriminellen beliebtesten Beispielen aussieht, das und mehr in diesem Artikel.

Die Phishing-Bedeutung:

Warum du hier gut hinschauen solltest

Dieser Artikel ist Teil meiner großen Informations-Serie zum Thema Cybersecurity und ein Unterpunkt meines Allround-Artikels zum Thema Phishing.

Wenn du mehr dazu wissen möchtest, wie Cyberkriminelle in Windeseile, kostenlos und anonym Daten über deine Webpräsenz herausfinden und dich damit gezielt manipulieren können, dann schau dir mein kostenloses Webinar zum Thema Online Recherche und Informationsbeschaffung an.

Es gibt in Sachen Cybersicherheit zwei Arten von Menschen. Die erste ist relativ gut informiert und fragt sich und mich:

Welche Bedeutung hat Phishing für mich in meinem digitalen Alltag?

Die zweite Gruppe ist weniger gut informiert und fragt mit Glück eher:

Was zum Kuckucksei ist Phishing? Und muss ich das überhaupt wissen?

Die Antwort auf beide Fragen ist die gleiche:

Phishing ist eine der gefährlichsten Angriffsmöglichkeiten im Internet. JA, du solltest davon wissen und JA, Phishing hat eine große Bedeutung für dich.

Sogar eine verflixt große: Fast jedes Unternehmen hat Phishing-Attacken auf Ihrer „digitalen Bedrohungsliste“ ganz oben stehen. Das ist einer dieser Fälle, in denen 96% der Befragten nicht falsch liegen können.

Glücklicherweise ist auch der weitere Verlauf der Antwort für beide Fragen gleich. Schauen wir uns in diesem Artikel also die Phishing Bedeutung etwas genauer an.

Konkret erfährst du hier:

  1. Welche Auswirkungen Phishing nach sich ziehen kann
  2. Was genau Phishing so hinterlistig und gefährlich macht
  3. Warum es eher schlimmer als besser wird (es sei denn du bildest dich dazu weiter)
  4. Die 2 bei Cyberkriminellen beliebtesten Fälle von Phishing: Amazon und Paypal

Legen wir los.

Die "wahre" Phishing-Bedeutung

Wie Daten deinen Rechner öffnen wie eine Dose

Lass mich die praktische Phishing Bedeutung mit einer Metapher beschreiben:

Phishing ist wie eine Landmine: Leicht zu übersehen, zu ignorieren und falsch zu behandeln. Wenn allerdings damit falsch umgegangen wird, können die folgen verheerend sein.

Warum ist Phishing so gefährlich? Weil die Folgen auf einen Phishing-„Angriff“ nicht absehbar sind. Es ist ein bisschen wie bei der Klimakatastrophe: Während man voll dabei ist, spürt man maximal ein flaues Gefühl im Magen. Doch sobald der tatsächliche Schaden einsetzt, können die Folgen irreparabel sein.

Denn was kann passieren? Wie oben angesprochen kann der Schaden direkt geschehen, also zum Beispiel sofort nach dem Herunterladen eines Mailanhangs einer Phishing-Mail mein System verschlüsselt und damit „digital gekidnappt“ werden.

Das ist kurzfristig nervig, aber nachdem ich den eigenen Computer einmal grundgereinigt und meine Zugangsdaten geändert habe, geht es meist wieder.

Es kann ebenso passieren, dass sich nach dem Klick auf die Phishing-Mail oder der Eingabe von Daten auf einer Phishing-Webseite ein Tracking-Programm bei mir installiert.

Dieses liest von dann an sämtliche Eingaben in meinen Computer aus und schickt diese Eingaben an den Angreifer. Und dieser hat so vollautomatisch meine Passwörter, Zugangsdaten und sensiblen Dokumentinhalte.

Dieses Szenario ist vor allem so gefährlich, weil ich es unter Umständen viel zu spät oder nie herausfinde.

Es geht aber auch noch schlimmer: Nach meinem “Hereinbitten” des Angreifers durch die Phishing-Kommunikation kann sich auch andere Software installieren. Software, welche meinen Rechner zur “Außenstelle”, zum digitalen “Brückenkopf” weiterer Cyberangriffe macht.

Sodass Angreifer, welche andere Opfer attackieren dies über meinen infizierten Rechner tun. Und die Polizei und Opfer dann bei mir klingeln, statt bei dem tatsächlichen Angreifer. Ich werde also gegen meinen Willen zum “Zombie-Komplizen” gemacht.

Das sind nur 3 Beispielszenarien und aus diesen auch nur kleine Ausschnitte. Die Bedeutung von Phishing sollte also nicht auf die zu leichte Schulter genommen werden.

Die Folgen reichen dabei von Identitätsdiebstahl, Erpressung, Betrug, Diebstahl und Datenvernichtung bis hin zur Beihilfe bei und im schlimmsten Fall der Ermöglichung von Verbrechen.

Und dort hört das Problem noch nicht einmal auf, denn Phishing wird auch immer gefährlicher.

Warum? 

Warum Phishing immer gefährlicher, aggresiver und nachhaltig schädlicher wird

Phishing „mutiert“ quasi mit dem Wissenszuwachs seiner Anwender. Was in diesem Dreierhopp geschieht:

  1. Angreifer werden immer besser und “geübter”, da sie schlicht nahezu unendlich viele Angriffsziele haben und die Erfolgsraten ähnlich wie mit Marketingtools exakt bestimmen und tracken können. ⬇️
  2. Dieses Wissen verteilt sich skalierbar und international buchstäblich in Lichtgeschwindigkeit und ⬇️
  3. Wie im echten Leben besteht auch im virtuellen Kampf das klassische Verteidiger-Dilemma: Angreifer haben immer das Überraschungsmoment und die Vorbereitungszeit auf Ihrer Seite. Verteidiger hingegen können immer nur reagieren.

Das ist dir alles zu abstrakt? Dann empfehle ich dir einen kurzen Blick ins “Phishing-Radar” der Verbraucherzentrale. Dort hast du tagesaktuell die aktuell größten Phishing-Fälle aufgezeigt.

Das sieht, am Beispiel einer Phishing Mail zu Paypal, zum Beispiel so aus:

Phishing & Paypal: Eine unfreiwillige, innige Beziehung

Phishing + Paypal = eine explosive Mischung. Das sehen sowohl Cyberkriminelle als auch Kunden von Paypal so. 

Doch warum ist Paypal so stark im Fokus?

Aus drei Gründen:

  1. Weil Paypal der Direktlink zu Geld ist.
  2. Weil Paypal Phishing ungleich schwerer nachzuvollziehen ist, als bei anderen Banken. Eine Emailadresse lässt sich problemlos fälschen, ein Konto schwerer.
  3. Weil es skalierbar ist. Wie oben bereits ausgeführt kann ich ohne große Hürden Hunderttausende Mails aus einmal losschicken und meinen Angriffsradius damit maximieren. Ohne das es mir technisch große Probleme bereitet.

Aus ähnlichen Gründen ist der Angriff auf Amazon-Konten auch so interessant. Nur das sich Angreifer dabei kein Geld überweisen, sondern Dinge in Ihre Nähe senden lassen und diese dann gefahrlos abholen.

Deshalb, konkret an den beiden Beispielen Amazon und Paypal: Phishing kann dir deinen Kontostand, deine Beziehungen und deinen Arbeitsplatz verhageln. (Und noch viel mehr, wenn ein Angreifer es darauf anlegt)

Sei also wachsam und achtsam bei jeder Mail und jedem Link den du anklickst!

Welche Bedeutung hat Phishing in deinem Leben bis jetzt / bereits eingenommen? Schreib‘ es mir gern in die Kommentare!

Stay safe,

Ben

Beispiel Phishing Paypal aus dem Phishing Radar der Verbraucherzentrale
Quelle: https://www.verbraucherzentrale.de/wissen/digitale-welt/phishingradar/phishingradar-aktuelle-warnungen-6059
Du möchtest mehr Informationen zu digitaler Transformation, Cybersecurity und künstlicher Intelligenz von mir erhalten? Dann abonniere hier kostenfrei meinen Newsletter:

Cyber Security ist Katz und Maus in digital

Cyber Security – Alles was du zu(deine)m Schutz im Digitalraum wissen musst

Dieser Beitrag ist Teil meiner Reihe zum Thema Cybersicherheit. Alles auf einen Blick zum Thema Cybersecurity findest du hier. Außerdem habe ich Artikel geschrieben zu den Theman: Security Awareness, Social Engineering, Internetrecherche, IT Security Lösungen und IT-Sicherheit allgemein, Informationssicherheit, Internetkriminalität und Cybercrime, Phishing und spezifischen Schutzwerkzeugen wie zum Beispiel VeraCrypt und Keepass. Mehr zum jeweiligen Artikel findest du beim Klick auf das jeweilige Wort. (Alle Schlagworte ohne Link darüber werden noch veröffentlicht und hier aktualisiert verlinkt) Viel Spaß mit diesem Artikel!

Cyber Security ist für deinen Ausflug in die weiten des Cyberspace ungefähr das, was Kleidung, die eigenen vier Wände und Schlösser in der echten Welt sind:

Cyber Security ist alles, was du brauchst, um den Launen der Natur dieser Dimension nicht schutzlos ausgesetzt zu sein.

Sie ist, richtig eingestellt, im virtuellen Alltag unsichtbar. Und bis etwas schiefgeht, bekommst du so oder so nichts davon mit.

Doch wie so oft gilt: Du merkst erst dann was dir fehlt, wenn es zu spät ist. Und dann umso schmerzhafter.

Nirgendwo sonst gilt das so intensiv wie im Bereich der Cyber Security:

Die Kosten mangelnder Cyber Security sind horrend

Q: https://de.statista.com/infografik/16825/geschaetzte-hoehe-des-durch-cyberattacken-entgangenen-umsatzes/

Ungesicherter Cyberspace ist ein Schlaraffenland für Kriminelle und sonstige Angreifer. Schätzungen zufolge sind mehr als 20 % aller Dateien im Netz ungeschützt. (Während zeitgleich der größte Schaden bei Angriffen durch den Verlust sensibler Informationen entsteht)

Cybercrime ist lukrativer als der weltweite Drogenhandel, und zwar um ein Vielfaches. (Was klar ist, denn bei skalierten Unternehmen skaliert sich der Schaden ebenfalls)

Weitere “Horrorstatistiken” wie diese finden sich hier zusammengestellt.

Kurzum: Wer nicht ausreichend auf seine Sicherheit im virtuellen Raum achtet, hat nur eine Alternative: Diesen zu verlassen. (Was, Digitalisierung Ahoj, seit langer Zeit keine Option mehr ist)

Aus diesen und weiteren Gründen schauen wir uns in diesem Artikel die wirkungsvollsten Mechanismen, besten Quellen und die Zukunft der Cyber Security an.

Konkret erfährst du in diesem „Rundum“-Artikel zum Thema Cyber Security:

  • Was ist Cyber Security?
  • Wie funktioniert Cyber Security nachhaltig?
  • Kann man Cyber Security messen?
  • Welche Voraussetzungen braucht Cyber Security?
  • Welche Gesetze gelten rund um diese?
  • Welche konkreten Maßnahmen kann man ergreifen um im Cyberraum sicher zu sein?
  • Was hat es mit dem NIST-Framework auf sich?
  • Wo geht die Zukunft der Cyber Security hin?
  • Vieles mehr…

Angeschnallt, die Fahrt geht los:

 

Was versteht man unter Cyber Security?

Fangen wir von vorn an: Was ist Cyber Security?

Ausführlicher habe ich diese Frage bereits in meiner Übersichtsseite zum Thema Cybersecurity beantwortet, doch eine einfache Definition zur Orientierung kann sein:

Cyber Security umfasst alle Maßnahmen um sicher in der digitalen Welt agieren zu können. (sicher zum Beispiel vor Datenverlusten oder Angriffen)

Es ist also ein wenig wie ein Picknickkorb, in welchem alle wichtigen Dinge eingepackt sind, damit das Picknick ein voller Erfolg wird.

Grundlagen der Cyber Security sind vor allem Informatik und Psychologie.

Ersteres, weil die digitale Welt aus Daten, Informationen besteht und Informatik daher Ihre “Naturgesetze” bestimmt.

Und zweiteres, weil der Cyberraum letzten Endes von Menschen bevölkert wird und sich daher um den Menschen dreht.

Es gibt natürlich noch viele weitere beteiligte Disziplinen wie Mathematik, Webdesign, künstliche Intelligenz etc. Aber diese beiden sind der Kern des ganzen.

 

Wie funktioniert Cyber Security?

Will man Cyber Security angemessen erklären, muss man zunächst die Mechanismen und den “Tanz” von Angreifer und Verteidiger erklären.

Dieser funktioniert im Kern genau wie das endlose Wettrüsten von Dieb und Detektiv in der echten Welt: Der Dieb versucht immer neue Methoden, setzt immer neue Techniken und Geräte ein, um den Detektiv zu überlisten. Und der Detektiv rüstet seinerseits immer weiter auf und bildet sich konstant weiter aus.

Im Wesentlichen ist Cybercrime- und Security genau dieser endlose Kreislauf aus Schwert und Schild, Kanone und Mauer.

Mit einem gewichtigen Unterschied: Im virtuellen Raum gibt es keine Identitäten, keine Möglichkeiten Angreifer zu identifizieren, besteht keine Notwendigkeit, tatsächlich den eigenen Computer zu verlassen. Ein Aggressor kann dich hacken und deine digitale Identität zum Pokerspielen auf den Philippinen nutzen, während er selbst in einem Bergcafé in Grönland sitzt.

Cybercrime ist theoretisch das perfekte Verbrechen. Es gibt keine Zeugen, keine Verletzten und keine Spuren. Alles ist verschlüsselt und verschleiert. Zumindest im Schlimmstfall. Oft sind die Angreifer nicht gut genug, um wirklich spurlos zu bleiben. Doch das ändert nichts an der Dimension dieser Gefahr: Gegen Cyberkriminalität helfen keine Türen und keine Schlösser. Du kannst eine Attacke weder spüren noch hören.

Cyberkriminalität ist die “dunkle” Seite der Digitalisierung: von überall aus einsetzbar, ohne große Teams und Organisationen effektiv und mit Skaleneffekten in jede mögliche Richtung.

Digital ist es egal, ob du 10 oder 10.000 Kunden hast. Und für Angreifer ist es egal, ob sie 10 oder 10.000 Datensätze erbeuten.

Deswegen ist Cyber Security von solch enormer Bedeutung. Sie ist wie ein Lichtschalter für deine digitalen Aktivitäten. Egal ob privat oder beruflich. Wenn du gehackt bist, kannst du virtuell prinzipiell ausgeschaltet werden und bist auf die Gnade / Langeweile deines Angreifers angewiesen.

Kein schöner Gedanke, oder?

 

Welche Herausforderungen tun sich im Zusammenhang mit Cyber Security auf?

Cyber Security ist, wie oben angesprochen, ein wirklich umfangreiches und komplexes Thema. Daraus entsteht bereits die erste Hürde: Zu überblicken, was wichtig ist und wie man es einsetzen kann.

Doch es gibt noch einige weitere Hürden / Herausforderungen:

  • Die Frage der Angemessenheit: Sollte ich als Privatperson meine Daten mit einem militärischen Verschlüsselungsstandard sichern, oder reicht da auch weniger?
  • Die Frage des richtigen Starts: Welche der zahlreichen Maßnahmen sollte die erste, zweite und dritte sein, um mich angemessen abzusichern?
  • Die Frage des Zeitpunktes: Welche Lösungen brauche ich heute und welche morgen? Und welche brauche ich gar nicht mehr, weil sie Schnee von gestern sind?
  • Die Frage der richtigen Wahl: Welches Programm, welchen Anbieter sollte ich wofür nehmen? Und wann reicht dessen Service nicht mehr aus?

Wie gesagt, das sind nur einige der Herausforderungen wirklich wasserdichter Cybersicherheit. Doch diese zeigen gut, warum zumindest ein solides Grundverständnis unersetzlich ist.

 

Kann man Cyber Security messen?

Eine Frage kommt immer wieder im Bereich der digitalen Sicherheit auf:

Gibt es einen objektiven “cyber security index”? Also eine Möglichkeit die eigene Firmensicherheit ungetrübt zu messen? Und wenn, gibt es diesen auch noch länderübergreifend? Gar weltweit?

Die Kurzantwort: Ja und nein. Ja, es gibt einen “offiziellen” Cyber Security Index der internationalen Telekommunikations-Union (ITU), der Agentur für Informations- und Kommunikationstechnologien der vereinten Nationen. Dieser wurde zuletzt 2018 veröffentlicht und sieht “von oben” betrachtet so aus:

Einer der vielen global Cyber Security Indizes

Quelle: https://www.itu.int/dms_pub/itu-d/opb/str/D-STR-GCI.01-2018-PDF-E.pdf

Etwas weiter aufgeschlüsselt sieht dieser Index so aus:

Cyber Security Index II

Quelle: https://www.itu.int/dms_pub/itu-d/opb/str/D-STR-GCI.01-2018-PDF-E.pdf

Insofern: Grob, ja.

 

Aber auch zeitgleich nein. Warum? Weil es mindestens so viele “objektive Indizes” gibt, wie es Cyber Security-Firmen auf der Welt gibt. Denn jede Firma möchte natürlich besser als die anderen nachweisen und dem Kunden Vormessen können, dass seine Leistung die beste ist.

Solche Indizes können zum Beispiel so aussehen.

Heißt: Es gibt Möglichkeiten, gute wie weniger gute, objektive wie subjektive, Cyber Security zu messen. Doch welche davon besser als andere sind, in welchem Maßstab etc. ist eine andere Frage, welche sich nahezu nicht pauschal beantworten lässt.

 

Welche Voraussetzungen braucht Cyber Security?

Um Cyber Security richtig einsetzen zu können, braucht man gewisse grundlegende Informationen. Man sollte vor einer Cyber Security-Strategie zum  Beispiel

  • sein System kennen
  • seine Anforderungen kennen
  • sein Budget kennen
  • den Rahmen der Umsetzung grob verstehen und vorgeben können.

 

Warum ist Cyber Security wichtig?

Nachdem wir die Grundlagen erörtert haben, noch eine kleine Geschichte zur Verdeutlichung der Wichtigkeit von Cybersicherheit in zwei Bildern:

Q: https://www.gutjahr.biz/2013/05/identity-theft/

Q: https://www.gutjahr.biz/2013/05/identity-theft/

 

Weitere Angriffsszenarien etc. findest du auf meiner Hub-Seite zum Thema Cybersecurity.

 

Welche Gesetze gelten für Cyber Security in Deutschland?

Abseits der offensichtlichen Bedrohungslage und permanenter Angriffsflächen ungeschützter Systeme kann auch der gesetzliche Druck bestehen, die eigenen Systeme zu sichern.

Vor allem bei systemkritischen Infrastruktur-Betreibern ist dies der Fall.

Cyber Security Gesetze

Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Schutz-Kritischer-Infrastrukturen-ITSig-u-UP-KRITIS.pdf?__blob=publicationFile&v=7

In den meisten Fällen gelten das IT-Sicherheitsgesetz bzw. die NIS-Richtlinie. (NIS steht dabei für Netz und Informations-Sicherheit)

 

Mehr dazu findest du auf den offiziellen Seiten der Bundesregierung dazu:

 

Cyber Security, Team und Management

Cyber Security ist vor allem auf Team- und Management-Level extrem wichtig. Warum? Weil nur mit einer offenen, vertrauensvollen Struktur und Kultur destruktive Szenarien vermieden werden können. Wie zum Beispiel:

  1. Das Ausspielen des / der Teams gegeneinander (weil diese keine Informationen miteinander teilen, weil sie zerstritten sind oder dergleichen)
  2. Das Ausnutzen von Informationslücken zwischen den Teams (Weil das eine Team das andere nicht informiert über Fortschritte, Planung etc.)
  3. Das Missbrauchen von strengen Hierarchien (indem die nicht hinterfragte Hörigkeit nach “Oben” dazu führt, dass sensible Daten in die Hände von Angreifern gelangen)

Es gibt noch Dutzende, wenn nicht hunderte weitere Angriffsszenarien wie diese. Und alle basieren auf Firmenkultur- bzw. Struktur.

Deswegen sind Team und Management welche diese vorlebt so wichtig.

Mehr dazu findest du auf meiner Seite zu Security Awareness.

 

Angriffsziel Deutschland: Cyber Security für den Mittelstand

Was uns direkt zum nächsten Punkt bringt: Da wir in Deutschland sehr viele Hidden Champions, Weltmarktführer in spezifischen Nischen und technisch exzellente Mittelstandsfirmen haben, bieten sich für Angreifer hier sehr lukrative Ziele.

Da diese Firmen wie gesagt oftmals technisch sehr fit und Angriffe gegen unsichere Mitarbeiter viel einfacher sind, attackieren Aggressoren dementsprechend auch eher den Menschen hinter dem Bildschirm.

Mehr dazu inklusive konkreten Schutz-Strategien findest du auch auf meiner Seite zur Security Awareness.

 

Cyber Security Maßnahmen

Nachdem wir jetzt die verschiedenen Blickwinkel rund um die Grundlagen der Cybersicherheit kennen, kommen wir zur konkreten Umsetzung.

Welche Cyber Security Maßnahmen bringen den meisten “Bang per Buck”, den größten Effekt pro eingesetzter Ressource?

Im Wesentlichen lassen sich Cyber Security Maßnahmen grob kategorisieren in:

  1. Strategie: Ein individuelles, einsatz- geprüftes Cyber Security Konzept.
  2. Taktik: Permanent verbesserte Cyber Security Awareness, also das Sicherheitsbewusstsein aller beteiligter Personen
  3. Backup: Dem Cyber Security Notfallplan, für den Fall eines Angriffs und
  4. Rahmen: Der Kenntnis des Cyber Security NIST-Frameworks als Grundlage und Ergänzung dieser Pfeiler.

Schauen wir uns die wichtigsten Cyber Security Maßnahmen nachfolgend etwas genauer an:

 

Cyber Security Awareness: Sicherheitsbewusstsein als beste Waffe gegen jede Attacke

Wie bereits mehrfach angesprochen, ist Security Awareness eine der wichtigsten Verteidigungsstrategien gegen jeden digitalen Angriff. Denn diese ist die direkte Antwort auf das größte Einfallstor von Cyber-Kriminellen.

Deswegen sollte Cyber Security Awareness immer ganz oben auf jeder Maßnahmen-Liste stehen.

Mehr zur Cyber Security Awareness findest du hier.

 

Der Cyber Security Notfallplan:

Oftmals wird hier an die BSI-Seite bzw. die Seite der Allianz für Cybersicherheit mit Ihren hilfreichen Dokumenten verwiesen:

Mit diesen Grundlagen kommt man schon sehr weit. Doch wie sieht ein eigener Cyber Security Notfallplan aus? Exemplarisch zum Beispiel so: https://konbriefing.com/de-files/it-notfallplan/IT-Notfallplan-0.2.pdf

Der Cyber Security Notfallplan hilft wenn alles sonst zu spät ist

 

Was ist das Cyber Security NIST Framework? – Und warum ist es so wichtig?

Vom Notfallplan zu einem der wichtigsten Dokumente der gesamten Cybersicherheit: Dem Cyber Security NIST Framework.

Was ist das Cyber Security NIST Framework, was tut es und warum ist es so wichtig?

Das “Framework for Improving Critical Infrastructure Cybersecurity” des National Institute of Standards and Technology – oder kurz “NIST Framework” ist so etwas wie die Leitplanke der Cybersicherheit.

Warum? Weil es keine so kompakte, so wohl gewählte Alternative zu diesem gibt.

Es ist insgesamt 48 Seiten lang, wobei die ersten und letzten 4 Seiten Intro und Begriffserklärungen sind.

Es ist allein schon für seinen Kern wichtig:

Cyber Security NIST Framework Core

Q: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.04162018.pdf

Zusätzlich gibt es in diesem Struktur-Dokument Hinweise zur Implementierung, Koordination, Kommunikation mit relevanten Stakeholdern und vielem mehr.

Risk Management mit dem NIST Framework

Q: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.04162018.pdf

 

Mehr “Bang per Buck” gibt es in kaum einem anderen Werk in diesem Bereich.

Meiner Meinung nach ist das Cyber Security NIST Framework eines der Grundlagenwerke eines jeden Experten in diesem Bereich.

Zu finden ist die stets aktuelle Version des NIST Frameworks hier: https://www.nist.gov/cyberframework/framework

 

Die Zukunft der Cyber Security

Wir haben jetzt also die Grundlagen, Dringlichkeit und Maßnahmen rund um das Thema Cyber Security näher beleuchtet.

Bleibt nur noch ein wichtiger Punkt: Die Zukunft dieses komplexen Feldes.

Und die bleibt spannend!

In absehbarer Zeit gibt es drei zentrale Trends, welche sich massiv und grundlegend auf die Cyber Security auswirken werden:

Die Zukunft der Cyber Security

Cyber Security Trend #1: Stärkerer Einsatz künstlicher Intelligenz

“Künstliche Intelligenz (KI) ist die letzte Erfindung, welche die Menschheit machen muss. Ab dann übernimmt den Rest die KI selbst.”

So oder so ähnlich geht die aktuelle Diskussion rund um dieses gigantische Gebiet in Kurzform.

Die Idee dahinter, wieder in kurz, geht ungefähr so: Künstliche Intelligenz kann automatisiert schneller und besser im Digitalraum navigieren, als es ein Mensch je könnte.

Heißt: Alles von Innovation über Testing und Kundenmanagement bis hin zur Auslieferung übernimmt zum Großteil die KI.

Abgesehen davon, dass wir uns aktuell mit Höchstgeschwindigkeit in genau diese Richtung entwickeln, birgt diese “erweiterte Virtualisierung” noch weitere, eklatante Herausforderungen:

Wenn sich alles schneller und besser automatisieren lässt, gilt dies auch für Cyberattacken? Und, hoffentlich auch für Cyber Security?

Die Kurzantwort: Wahrscheinlich. Sehr wahrscheinlich. Viele Cybersecurity-Experten sehen ein großes Automatisierungspotenzial sowohl in den Anwendungen, als auch in Ihren Aufgabenbereichen.

Vielleicht haben wir also bald virtuelle Assistenten, die miteinander sprechen. Und die Sicherheit erledigen diese direkt von selbst in diesem Schritt mit.

Das kann in vielen verschiedenen Teilbereichen geschehen, aber auch “am Stück”.

Zum Beispiel in Form von “AI Sandboxes”, wie ich in einem Artikel 2019 bereits geschrieben habe. Mehr zu KI + Cyber Security an anderer Stelle.

 

Cyber Security Trend #2: (Stärkerer) Einsatz von Quantencomputern

Quantencomputer arbeiten grundlegend anders als “herkömmliche” Computer.

Aus diesem Grund müssen Systeme auch fundamental anders gesichert werden.

Und da selbst in Deutschland so langsam die Quanten-Welle losrollt, wird das auch keine Jahrzehnte mehr dauern.

Heißt: In Quanten-”harten” Systemen wird in absehbarer Zeit mehr und mehr Fokus und Geld liegen. (müssen)+

Hier wird vor allem die sogenannte “Post-Quanten-Kryptografie” immer stärker zum Tragen kommen.

 

Cyber Security Trend #3: Immer perfidere und ausgeklügeltere Social Engineering-Strategien

Der letzte große, absehbare Trend in der Cyber Security sind immer komplexere Angriffe gegen die Anwender. Diese Attacken werden immer

  • Individueller
  • Präziser
  • Kontextsensitiver und
  • Datenunterfütterter

Es wird also immer herausfordernder für User zum Beispiel Spam- und Phishingmails effektiv zu erkennen und zu filtern.

Auch hier werden mehr und mehr technische Hilfen auf den Markt kommen. Doch am sichersten bleibt nach wie vor eines: das Grundverständnis der relevanten Angriffspunkte.

Wie eine solche fortgeschrittene Attacke begonnen werden kann und welche Daten dabei herausgefunden werden können, zeige ich in meiner Mikro-Schulung zum Thema:

Coming soon. Wenn du up to date bleiben möchtest, trage dich in meinen Newsletter ein.

 

Das soll es hierzu erstmal gewesen sein, ich hoffe dieser Artikel konnte etwas Licht ins Dunkel bringen.

Mehr von mir zum Thema findest du auf meiner Cybersecurity Übersichtsseite oder direkt bei meinen Angeboten.

 

Viel Erfolg und stay safe!

Social Engineering Beispiel - Business as usual

Social Engineering: Verstehst du es, ist dein Unternehmen (digital) sicher

Dieser Beitrag ist Teil meiner Reihe zum Thema Cybersicherheit. Alles auf einen Blick zum Thema Cybersecurity findest du hier. Außerdem habe ich Artikel geschrieben zu den Theman: Security Awareness, Cyber Security generell, Internetrecherche, IT Security Lösungen und IT-Sicherheit allgemein, Informationssicherheit, Internetkriminalität und Cybercrime, Phishing und spezifischen Schutzwerkzeugen wie zum Beispiel VeraCrypt und Keepass. Mehr zum jeweiligen Artikel findest du beim Klick auf das jeweilige Wort. (Alle Schlagworte ohne Link darüber werden noch veröffentlicht und hier aktualisiert verlinkt) Viel Spaß mit diesem Artikel!

Social Engineering ist eine der gefährlichsten Entwicklungen des Digitalzeitalters. Denn mit Social Engineering können kriminelle Angreifer in Systeme eindringen und Daten missbrauchen, nahezu egal, wie hoch die technischen Hürden auch sein mögen.

Denn es gibt im Wesentlichen zwei Angriffsmöglichkeiten auf digitale Systeme:

  1. Den Angriff auf das System selbst. Dies umfasst Hacking im “klassischen” Sinne. Also Manipulation von Rechnern, lokalen Netzwerken, Sensoren etc.
  2. Den Angriff auf den Benutzer des Systems / Menschen, die mit dem System in Kontakt stehen. Diese Angriffe zielen darauf ab, Nutzer von Systemen so zu beeinflussen, dass diese den Angreifern einen direkten Zugriff zum Ziel öffnen. Vorbei an sämtlichen Sicherheitsmaßnahmen.
Cybercrime und Social Engineering Statistik

Social Engineering ist eine der Top 3 Angriffsszenarien auf Firmen weltweit.
Quelle: https://de.statista.com/statistik/daten/studie/499324/umfrage/vorfaelle-von-cybercrime-in-unternehmen-weltweit/#professional

Ich nutze zur Veranschaulichung dieser zwei Optionen gern die Metapher einer Burg:

Ich kann in eine Burg einfallen, indem ich die Mauern durchbreche, den Burggraben überwinde und die Wachen besiege.

Oder, wie es im Falle von Social Engineering geschieht, einfach den Koch, den Bogenschützen oder im schlimmsten Fall die Wache am Tor davon überzeugen, mich hineinzulassen. Oder mir zumindest den Schlüssel für die Tore zu geben.

Im letzten Fall helfen auch die dicksten Mauern und die höchsten Zinnen nichts.

Deshalb ist Social Engineering einerseits so beliebt und zeitgleich so gefährlich.

Doch das ist noch nicht alles!

Es kommt noch dicker: Social Engineering ist nicht nur leichter für Angreifer, es ist auch lukrativer und die effizienteste Methode in ein System einzumarschieren.

Leichter, weil das Wettrüsten zwischen Cybersecurity-Firma und Hacker verhältnismäßig viele Ressourcen auf der Seite der Angreifer benötigt.

Doch lukrativer und effizienter vor allem deshalb, weil Social Engineering im schlimmsten Falle nicht einmal Hackingskills voraussetzt.

Alles, was ein Angreifer braucht, ist der Zugang zu sensiblen Bereichen. Und der lässt sich ungleich schneller und problemloser direkt vom Nutzer erlangen.

Das geht so weit, dass einige Hacker seit geraumer Zeit folgende These vertreten:

“Social Engineering sei die bei weitem effektivste Methode, um an ein Passwort zu gelangen, und schlage rein technische Ansätze in Sachen Geschwindigkeit um Längen.”

That’s it.

Social Engineering ist also

  1. Schneller
  2. Leichter
  3. Lukrativer und
  4. Effizienter

Als (die meisten komplexeren) technische Angriffe.

Social Engineering Attacken sind oft ungleich einfacher als klassisches HackingEin Mensch lässt sich im Vergleich zu einem gehärteten System oft nahezu kinderleicht “knacken”.

Was uns zum Thema führt: Was ist Social Engineering, wie sehen Angriffe aus, welche Tools gibt es zur Verteidigung und wie kann man sich davor effektiv schützen?

Heißt, in diesem Artikel lernst du unter anderem:

  1. Eine einfache und leicht verständliche Social Engineering Definition
  2. Die 3 gängigsten Social Engineering Attacken- / Social Engineering Angriffe
  3. Einige der eindrucksvollsten Social Engineering Beispiele
  4. Wirkungsvolle Maßnahmen, mit denen man sich / seine Firma / seine Mitarbeiter vor Social Engineering schützen kann

Gehen wir systematisch vor:

Die Social Engineering Definition – Womit haben wir es hier zu tun?

Wir wissen jetzt warum das Thema Social Engineering auf jedes Cybersecurity-Radar gehört.

Doch was genau ist Social Engineering überhaupt?

In meinem Artikel zum Thema Security Awareness Training habe ich Social Engineering indirekt wie folgt definiert:

“…gezielte, geplante und systematisch realisierte soziale Manipulationen mit dem Ziel Schaden zu verursachen.”

Social Engineering ist also der Versuch, durch Manipulation von Menschen in ein fremdes, meist digitales, System einzudringen.

Dieses Feld hat derart viele Facetten, dass es schwer ist, hier trennschärfer vorzugehen und diese Definition präziser zu formulieren.

Man hört immer wieder von Grobabstraktionen wie den “3 Typen des Social Engineerings” oder den “5 Formen des Social Hackings”.

Zu diesen gehören meistens

  • Phishing
  • Vishing
  • Pretexting
  • Baiting
  • Quid Pro Quo und
  • Tailgaiting

Diese Abstraktionen sind generell hilfreich, aber im “echten Leben” kommen meist Kombinationsangriffe zum Tragen, welche diese Trennschärfe aufweichen.

Social Engineering Formen und Kategorien

Um das etwas klarer zu machen, hilft es vielleicht, das Ganze mal anhand eines konkreten Beispiels durchzuspielen und ein weiteres live zu zeigen:

Zwei einfache Social Engineering Beispiele

Angenommen, ein Angreifer möchte den Zugriff zu den Kontodaten eines Unternehmens erhalten und sich 1.000.000 € überweisen.

Er weiß durch einen kurzen Technologie-Check, das ein Angriff über die technische Seite zu aufwändig wird. Weshalb er die menschliche Seite ins Visier nimmt.

Um dies zu erreichen braucht er lediglich zwei Informationen. Er muss wissen;

  1. Wer die Rechte / die Zugangsdaten zum Firmenkonto besitzt und
  2. Unter welchen Bedingungen Überweisungen von diesem ausgeführt werden. (Überweist das Konto in Echtzeit? Auch an Wochenenden? Gibt es eine maximale Überweisungssumme pro Tag? etc.)

Außerdem braucht er ein nicht zu ihm rückverfolgbares Konto / mehrere Konten, welche automatisch bei Geldeingang untereinander Geld transferieren / ein “Waschprogramm”, welches aus dem Geld einen nicht nachvollziehbaren Wert macht. Also das Geld z.B. in Bitcoins oder Gutscheinkarten umwandelt.

Alternativ kann er es auch noch einfacher machen und sich das Geld direkt vom Unternehmen selbst, aber nicht nachvollziehbar überweisen lassen. Wie das geht, wird in diesem englischsprachigen Video eindrucksvoll live demonstriert:

Ich gehe hier exemplarisch auf den ersten der beiden Fälle ein. Vor allem deshalb, weil der zweite schwieriger an Firmen einsetzbar ist. Warum? Weil dort die Wahrscheinlichkeit höher ist, dass eine oder mehrere zusätzliche Personen involviert werden, was den Angriff “unnötig” kompliziert machen kann.

Gehen wir also systematisch vor. Wie kann ein solcher Social Engineering Angriff am Beispiel aussehen? Chronologisch:

Chronologie einer Social Engineering Attacke

Wie kann eine Social Engineering Attacke Schritt für Schritt ablaufen? Ich skizziere nachfolgend eine von unzählbar vielen Möglichkeiten. Ohne dabei nachvollziehbarerweise zu sehr ins Detail zu gehen. Denn dieser Artikel soll sensibilisieren und zu einer besseren Verteidigung beitragen. Und nicht Social Engineering Angriffe leichter machen.

Was uns zu folgendem Grob-Plan führt:

  1. Der Angreifer fokussiert sich auf sein genaues Angriffsziel, wählt also die Zielfirma aus. Hierbei kann er nach verschiedenen Variablen vorgehen; Wie gut er die Firma bereits kennt, ob er schon Vorerfahrung mit Firmen dieser Art hat, ob er ein persönliches Motiv hat, genau diese Firma zu attackieren etc.
  2. Er recherchiert jetzt grob mögliche Angriffsmöglichkeiten, fragt ggf. andere (Social) Hacker um Rat oder ggf. bereits im Umlauf befindliche Zugangsdaten etc.
  3. Aus den sich ergebenden Angriffsvektoren filtert der Angreifer die lukrativsten aus und bereitet sich entsprechend vor. Hierbei sammelt er gezielt möglichst viele und möglichst wichtige Daten, welche ihn so weit wie möglich in Richtung seines Ziels bringen. Wenn notwendig, kann dies offline ebenso wie online geschehen, indem zum Beispiel Routinen von relevanten Mitarbeitern ausspioniert werden. (Was per Handyortung automatisch genau so wie mit “klassischer Beschattung” passieren kann. Ziel hierbei ist es, an Zugangsdaten zu gelangen. Das kann geschehen, indem der Angreifer in die Wohnung eines Schlüssel-Mitarbeiters eindringt, während dieser nicht daheim ist um Passwörter zu suchen etc.)
  4. Basierend auf den Ergebnissen aus Schritt 3 startet der Angreifer seine Social Engineering Attacke. Oftmals, indem er per E-Mail-Anhang eine Spionage-Software installiert und sich abseits des Mitarbeiterwissens an die notwendigen Programme begibt.

Je nach Notwendigkeit werden hier auch “klassische” Hackinggeschütze neben den Social Engineering-Waffen zu einem (halb)digitalen Großangriff kombiniert:

Social Engineering als Grossangriff

5. Nachdem der Angriff geschehen und der Schaden angerichtet ist, gibt es 3 Möglichkeiten:

    1. Der Angreifer zieht von dannen und lässt die Firma in Ruhe. Je nach “ethischem Verständnis” und Persönlichkeit des Aggressors verwischt dieser dabei seine Spuren oder lässt einfach alles stehen und liegen und zieht weiter. Das ist oftmals der Best-Case.
    2. Der Angreifer beginnt mit der Zerstörung der Firmensysteme. Das geschieht vor allem bei Auftragsangriffen. Hierbei verschlüsselt der Angreifer zum Beispiel sämtliche Festplatten und Backups, betreibt automatisierten Rufmord, indem er vorkonfigurierte E-Mails an wichtige Geschäftspartner versendet etc. Das ist der kurz- und mittelfristig schlimmste Fall. Zumal man den Verlust des Geldes in diesem Fall zunächst gar nicht bemerkt, da die Firmen-Infrastruktur zunächst gerettet werden muss.
    3. Der Aggressor verlässt scheinbar den Tatort, ohne neben dem Geldverlust Schaden zu hinterlassen. In Wahrheit verkauft er Firmendaten, Zugänge, Gebäudepläne etc. im Darknet für den Meistbietenden, welcher mit diesen Daten viel leichter einen eigenen Angriff planen und ausführen kann. All das Gelernte aus den Schritten 1. – 3. kann dabei, je nach Firma, viel Geld wert sein. Dieser Fall ist der langfristig verheerendste. Denn die angegriffene Firma wähnt sich in Sicherheit, obwohl sie bereits erneut ins Visier gerät.
Social Engineering Beispiel - Business as usual

Business as usual – oder doch nicht?

Schauen wir uns Schritt 3 des oben beschriebenen Szenarios etwas ausführlicher an.

Wie kommt ein Angreifer an welche Informationen?

Die einfachste Variante ist die Informationsbeschaffung durch kostenlose, für jeden zugängliche Tools. Ich gehe an dieser Stelle nicht näher auf diese und das genaue Vorgehen ein, da die daraus erwachsende Gefahr meines Erachtens größer als der hier gelieferte Mehrwert ist.

In meinen Trainings zeige ich diese allerdings live.

Es gibt noch viele weitere Möglichkeiten, einige leicht, andere schwer, einige schnell, andere zeitintensiv.

Eine Variante des Social “Hackings” zeigt dieses Video:

Angriffsszenario: Buchstäblich “social” Engineering

Eine Möglichkeit, die schwer genug ist, dass sie auch nach einer Beschreibung wahrscheinlich nicht sofort nachgemacht wird, ist der “Frontalangriff” mitten ins Herz der Zielfirma. Dieser kann zum Beispiel so ablaufen:

Ein Angreifer nimmt die Identität eines Paketdienstmitarbeiters an. Er liefert ein Paket zur Sekretärin seiner Zielfirma und filmt den gesamten Weg vom Eingang bis ins Büro.

Er stellt ihr während der Übergabe einige wenige, harmlos wirkende aber speziell vorbereitete Fragen um an weitere wichtige Daten zu gelangen. Diese Fragen können zum Beispiel den aktuellen Aufenthaltsort des Geschäftsführers betreffen und in etwa so gestellt sein:

“Guten Tag, ich habe hier ein Paket für Herrn Müller, er ist hier der Geschäftsführer, richtig? Ist er gerade zu sprechen? Nicht? Wann erreiche ich Ihn denn wieder? Ah, in einer Woche, ist er gerade im Urlaub? Ok, danke. Dann lasse ich das Paket einfach bei Ihnen, Frau Schulze, ok? Das Foto auf Ihrem Schreibtisch ist schön, sind das Ihre Familie und Sie?

Alles Gute Ihnen noch! Ah, eine letzte Frage habe ich noch, gibt es hier noch einen anderen Ausgang, als den Fahrstuhl vorn links? Ich danke Ihnen! Bis zum nächsten Mal und einen schönen Tag Ihnen noch!”

Klingt wie die Seite eines harmlosen Gesprächs, oder?

Doch der Angreifer hat so kinderleicht mehrere Informationen auf einmal erhalten, welche seinen späteren Angriff erleichtern können:

  • Die Bestätigung des aktuellen Geschäftsführers
  • Die Verfügbarkeiten des Geschäftsführers
  • Der Aufenthaltsort des Geschäftsführers
  • Die Familie der Assistentin / Sekretärin des Geschäftsführers, also wahrscheinlich der Person, bei welcher alle relevanten Informationen zusammenlaufen
  • Mögliche Zugangswege zu den Büroräumlichkeiten
  • Ein Gefühl dafür, wie stark Sicherheitsvorkehrungen wie Kameras oder Sicherheitspersonal im Gebäude vorhanden sind
  • Ein Gefühl dafür, wie lang er bis zu welchem Raum im Gebäude braucht und welche Schritte er dabei gehen muss
  • Usw.

Weitere Beispiele und Informationen hat DATEV in dieser handlichen PDF zusammengetragen.

Effektiver, nachhaltiger Schutz vor Social Engineering

Das Problem hierbei ist das folgende: Es sind so viele verschiedene Disziplinen zur effektiven Abwehr eines solchen Angriffs notwendig, dass der Ansatz über das Meistern dieser von vornherein zum Scheitern verurteilt ist. Wie meine ich das?

  • Um den Paketboten nonverbal zu prüfen braucht man Körpersprachewissen
  • Um richtig reagieren zu können, braucht man (Verhandlungs)psychologisches Wissen
  • Um den Kontext verstehen zu können, braucht man informatisches Wissen.
  • Und so weiter. Diese Liste lässt sich lang und ausführlich weiterführen.

Deshalb ist dieser Ansatz, “den Eimer zu flicken” meiner Meinung nach unmöglich realisierbar.

Weshalb ich einen grundlegend anderen, viel fundamentaleren wähle:

Zu einem gewissen Grad muss man Social Engineering lernen, um sich davor schützen zu können.

Was heißt das? Man muss verstehen, wie menschliche Gewohnheiten, Routinen, Denkweisen und Handlungen grundlegend vonstattengehen. Dann muss man dieses Wissen in den Kontext der digitalen Welt setzen.

Und am Ende aus diesen losen Enden eine sichere Schutzweste stricken.

Und genau das mache ich in meinen Cybersecurity-Webinaren.

Mehr zu diesen findet sich hier.

Das soll es so weit auch zum Thema Social Engineering erstmal gewesen sein. Möge dieses Wissen helfen, um Schaden zu vermeiden. Wie stehst du zu Social Engineering, lieber Leser? Hast du bereits (schmerzhafte) Erfahrung damit machen müssen? Wie schützt du dich? Ich freue mich von dir zu lesen!