Der Mensch bleibt die größte Schwachstelle Die Trickkiste der Spear-Phishing-Angreifer

Anbieter zum Thema

IT-Seal GmbH Empowering Security Awareness

Hofmeyer PR Öffenlichkeitsarbeit für IT-Unternehmen

ALE Deutschland GmbH

Vitel GmbH

Spear Phishing zählt zu den gefährlichsten und häufigsten Arten von Cyberattacken. Mit raffinierten psychologischen Tricks werden die Opfer zu schnellen Klicks auf schädliche E-Mails animiert. Unternehmen sollten ihre Mitarbeiter systematisch auf mögliche Angriffe vorbereiten – ansonsten kann es schnell teuer werden.

Den bisher größten Spear-Phishing-Coup in Deutschland landeten Angreifer beim Automobilzulieferer Leoni. Dort fiel ein Mitarbeiter auf die so genannte Chef-Masche (CEO-Fraud) herein und transferierte auf Anweisung eines angeblichen hochrangigen Managers rund 40 Millionen Euro auf ausländische Konten. Die Chancen, das Geld zurückbekommen, waren gleich null.

Gezielte Suche nach nützlichen Informationen

Um erfolgreich zu sein, kombinieren die Spear-Phishing-Betrüger zwei Methoden. Zunächst durchsuchen sie die sozialen Medien und andere Internet-Quellen akribisch nach Informationen, die dort über Unternehmen und ihre Mitarbeiter zu finden sind. Daraus fertigen sie dann täuschend echt wirkende E-Mails an, die im Namen von Vorgesetzten, Kollegen oder Geschäftspartnern an die potenziellen Opfer versendet werden. Diese E-Mails enthalten plausibel erscheinende Aufforderungen oder geschickt ausgelegte Köder, um die Mitarbeiter zu schädlichen Handlungen zu bewegen: von der Preisgabe sensibler Informationen über Klicks auf Links mit Malware bis hin zur Überweisung von Geldsummen auf fremde Konten, wie bei Leoni geschehen.

Damit dies gelingt, zielen die Cyberkriminellen mit bewährten psychologischen Tricks auf die Gefühle der E-Mail-Empfänger. Diese sollen dazu gebracht werden, ihre Anweisungen ohne viel nachzudenken zu befolgen. Hier eine kleine Auswahl der gebräuchlichsten emotionalen Einflussfaktoren:

• Hilfsbereitschaft: Ein angeblicher Kollege bittet um Hinweise. Ein unbekannter Täter hat sein auf dem Firmengelände parkendes Fahrzeug beschädigt. Gibt es Zeugen dafür? Ein Link soll zu Fotos vom lädierten Auto führen. Klickt der Mitarbeiter auf diesen Link, landet sofort Schadsoftware auf seinem Rechner.

• Autoritätshörigkeit: Der vermeintliche Abteilungsleiter lädt zur Projektabsprache ein und sendet einen Link mit Teilnahmeinformationen. Welcher Mitarbeiter würde es schon wagen, dieser Aufforderung nicht Folge zu leisten? Daher wird der Link schnell geöffnet – zur Freude der Betrüger. Denn sie können das System des Mitarbeiters nun kompromittieren und dringen schlimmstenfalls darüber ins gesamte Unternehmensnetzwerk ein.

• Neugier: Die Angreifer geben sich als Redakteur einer großen überregionalen Zeitung aus und teilen mit, einen Artikel über das Unternehmen geschrieben zu haben. Auch hier wird der mitgesendete Link dem Mitarbeiter zum Verhängnis. Neugierig auf den Unternehmensbericht geworden, klickt er den Link an – und landet direkt den Betrügern am Haken.

• Zeitdruck: Ein zeitkritisches Projekt ruft zur Eile. Im Namen des Abteilungsleiters fordern die Angreifer die sofortige Übersendung wichtiger sicherheitsrelevanter Informationen. Ob die Angaben in der E-Mail stimmen, kann der Mitarbeiter auf die Schnelle gar nicht erst überprüfen. Er handelt sofort – und gibt die gewünschten Informationen gutgläubig den Cyberkriminellen preis.

Klassisches Schulungsangebot greift zu kurz

Die täglichen Angriffsmeldungen in den Medien haben viele Unternehmen aufgeschreckt. Sie setzen auf Security-Awareness-Trainings, um die Mitarbeiter für die zunehmenden Spear-Phishing-Attacken zu sensibilisieren. Doch greifen die klassischen Schulungsangebote zu kurz, da sie sich auf Präsenzschulungen, E-Learnings und Webinare zur Vermittlung theoretischen Wissens beschränken. Die Teilnehmer erfahren dabei, wie Phishing-Angriffe ablaufen, wie gefälschte E-Mails aussehen und wie sie bei einer Attacke reagieren sollen. Damit wird ausschließlich das rationale Denkvermögen geschult – das bei einer Angriffssituation im Alltag jedoch gar nicht ausschlaggebend ist.

Den Grund dafür beschreibt der Psychologe und Nobelpreisträger Daniel Kahnemann in seinem Bestseller „Schnelles Denken, langsames Denken“. Darin wird zwischen zwei Denksystemen des Menschen unterschieden. Das rationale Denken trifft seine Entscheidungen langsam und nach systematischer Prüfung eines Sachverhalts. Es wägt objektive Fakten ab und folgt der Vernunft. Das schnelle Denken hingegen läuft unterbewusst und automatisch ab. Es basiert auf subjektiven Erfahrungswerten und trifft impulsive Entscheidungen, die von Emotionen geleitet werden.

Spear-Phishing-Simulationen schließen Lücke

Da Spear-Phishing-Angriffe ausschließlich auf das schnelle Denken von Opfern zielen, sollten die theoretischen Security-Awareness-Trainings um praktische Phishing-Simulationen erweitert werden. Diese nutzen echte Unternehmens- und Mitarbeiterinformationen, um authentische Attacken nachzustellen. Fällt ein Mitarbeiter auf eine gefälschte E-Mail herein, landet er direkt auf einer interaktiven Erklärseite. Dort erhält er sukzessive Aufschluss, auf welche verdächtigen Merkmale er hätte achten sollen: von Buchstabendrehern in der Adresszeile über die Verwendung von Subdomains bis hin zu zweifelhaften Links.

Spear-Phishing-Simulationen sind sehr effektiv, weil sie den „Most Teachable Moment“ eines Mitarbeiters nutzen. Da sein Fehlverhalten direkt deutlich wird, geht er künftig vorsichtiger mit eingehenden E-Mails um – und schaut genau hin, bevor er automatisch klickt. Dabei empfiehlt es sich, die Simulationen regelmäßig zu wiederholen und zu aktualisieren. So wird nachhaltig das schnelle Denksystem gestärkt, das für die spontanen Klicks auf Spear-Phishing-Mails verantwortlich ist. Zudem sollten die Trainings an den persönlichen Lernbedarf der Mitarbeiter angepasst werden und eine kennzahlenbasierte Erfolgsmessung ermöglichen.

An Selbstwirksamkeit appellieren

Trotz ausgefeilter IT-Sicherheitstechnik bleibt der Mensch die größte Schwachstelle, wenn es um den Angriff mit gefälschten E-Mails geht. Dies sollten die Unternehmen ihren Mitarbeitern klar machen, bevor sie mit den Spear-Phishing-Simulationen starten. Die Beschäftigten dürfen keineswegs das Gefühl bekommen, dadurch von ihrem Arbeitgeber kontrolliert zu werden. Wer an die Selbstverantwortung und Selbstwirksamkeit der Mitarbeiter appelliert, legt den Grundstein für eine nachhaltige IT-Sicherheitskultur im Unternehmen.

Über den Autor

David Kelm ist Mitgründer und Geschäftsführer der IT-Seal GmbH, die auf den Schutz von Mitarbeitern gegen Social-Engineering-Angriffe spezialisiert ist. Seit Jahren beschäftigt er sich intensiv mit diesem Thema, unter anderem im Rahmen seiner Forschungstätigkeit an der TU Darmstadt. Kelms Erkenntnisse ließen IT-Seal zum führenden Anbieter von Security-Awareness-Trainings in Deutschland werden. Das Angebot bündelt innovative Methoden und Werkzeuge zur Messung und Schulung des Sicherheitsbewusstseins von Mitarbeitern.

(ID:48358352)