Eine gefälschte Rechnung im Posteingang: was die Grundlagen leisten

Über IT-Sicherheit lässt sich lange in Listen reden. Greifbarer wird sie, wenn man einen einzelnen Angriff Schritt für Schritt verfolgt. Der folgende Ablauf ist kein Fall aus meiner Arbeit, sondern ein gedachtes Beispiel. Er ist aber so gewöhnlich, dass er in jedem kleinen Büro passieren könnte.

Der Morgen, an dem es passiert

Im Posteingang liegt eine Rechnung. Absender, Logo und Tonfall wirken vertraut. Die Mail verweist auf ein Dokument, das man über einen Link ansehen soll. Der Link führt auf eine Anmeldeseite, die genauso aussieht wie die des eigenen Mailkontos. Eine Mitarbeiterin gibt ihr Passwort ein, weil gerade viel los ist. Das Dokument öffnet sich nicht. Sie denkt sich nichts dabei und arbeitet weiter.

Das ist kein Versagen. Gut gemachte Phishing-Mails sehen heute täuschend echt aus. Entscheidend ist, was danach passiert.

Das gestohlene Passwort

Der Angreifer hat jetzt das Passwort. Ist für das Mailkonto eine Mehrfaktor-Anmeldung eingeschaltet, reicht ihm das allein nicht. Er bräuchte zusätzlich einen Code oder eine Bestätigung auf dem Handy der Mitarbeiterin.

Ehrlich gesagt: Auch die Mehrfaktor-Anmeldung hält nicht jeden Angriff auf. Es gibt Fälschungen, die den Code gleich mit abgreifen. Sie macht den Weg aber deutlich schwerer, und sie kostet fast nichts.

Ohne zweiten Faktor sitzt der Angreifer im Postfach. Von dort kann er im Namen der Firma Mails verschicken. Gilt dasselbe Passwort auch für andere Zugänge, stehen ihm diese ebenfalls offen.

Der Anhang

Statt eines Links hätte die Mail auch einen Anhang tragen können, der ein Programm startet. Arbeitet die Mitarbeiterin mit Admin-Rechten, darf sich dieses Programm tief im System einrichten. Mit gewöhnlichen Benutzerrechten kommt es meist weniger weit. Sind Betriebssystem und Programme aktuell, fehlen ihm zudem viele bekannte Lücken, die es sonst ausnutzen könnte.

Der Weg weiter ins Netz

Wer auf einem Rechner sitzt, sucht weiter. Ein alter Fernzugang aus der Homeoffice-Zeit, den niemand mehr braucht, oder ein Passwort, das für alle Geräte gilt, sind dann offene Türen. Jeder Zugang, der geschlossen wurde, fehlt dem Angreifer.

Das Backup als letzte Stufe

Im schlimmsten Fall verschlüsselt ein Schadprogramm die Dateien. Dann zählt nur noch, ob es eine Sicherung gibt, die das Programm nicht erreicht hat, und ob sie sich zurückspielen lässt. Das weiss man nur, wenn man es vorher ausprobiert hat.

Was der Fall zeigt

Keine dieser Massnahmen ist teuer oder raffiniert. Keine hält allein alles auf. Zusammen sorgen sie dafür, dass ein Klick zu viel ein ärgerlicher Morgen bleibt und nicht zum Stillstand des Betriebs wird.

Und noch etwas: Die Mitarbeiterin aus dem Beispiel sollte den Vorfall ohne Angst melden können. Wer aus Angst schweigt, gibt dem Angreifer Zeit. Wer sofort Bescheid sagt, ermöglicht es, das Passwort zu ändern, bevor mehr passiert.

Was Sie diese Woche prüfen können

• Ist für E-Mail und alle Zugänge von aussen die Mehrfaktor-Anmeldung eingeschaltet?
• Wer arbeitet im Alltag mit Admin-Rechten, und braucht er sie wirklich?
• Laufen die automatischen Updates tatsächlich, oder warten sie auf «später»?
• Welche Fernzugänge gibt es, und welche davon braucht noch jemand?
• Weiss Ihr Team, wem es einen verdächtigen Klick sofort meldet?
• Wann wurde zuletzt eine Datei aus dem Backup zurückgeholt?

Wenn Sie es genauer wissen möchten

Einen solchen Ablauf können Sie für Ihren eigenen Betrieb gedanklich durchspielen. Ein Sicherheits-Audit beginnt bei mir ähnlich: mit einem Gespräch darüber, was für Sie der teuerste Ausfall wäre, und erst danach mit dem Blick in die Systeme. Auf Wunsch schule ich auch Ihr Team darin, solche Mails zu erkennen.

Wenn Sie wissen möchten, wo Ihr Betrieb heute steht, ist das kostenlose Erstgespräch ein guter Anfang.