Das Passwort war schnell zurückgesetzt, die Telefonate dauerten vier Wochen
Eingetippt hat jemand aus dem Team die Zugangsdaten auf einer nachgebauten Microsoft-Anmeldeseite. Eine Steuerberatungskanzlei, fünfzehn Mitarbeiter. Am Postfach stand nur das Passwort, ein zweiter Faktor war nicht eingerichtet. Drei Wochen lang las ein Fremder mit, was hereinkam. Ans Licht kam die Sache, weil ein Klient anrief: „Ich habe eine Zahlungsaufforderung bekommen, mit einer anderen Kontonummer. Stimmt das so?“
Übernommen haben wir die Umgebung erst nach diesem Anruf, betreut hat den Betrieb davor jemand anderer. Befund: Beim Durchgehen der Postfachregeln fanden wir eine Weiterleitung, die niemand angelegt hat. Aus derselben Adresse hat der Angreifer weitergeschrieben, im Namen des Büros: an Klienten, Lieferanten, Behörden. Ein Passwort ist schnell zurückgesetzt, so weit stimmt das. Erledigt ist ein gekapertes Postfach damit trotzdem nicht.
Folge: Die Kanzlei hat alle 350 Klienten informiert, dazu sämtliche Vertragspartner. Der Vorfall ging an die Datenschutzbehörde, die Aufarbeitung hat vier Wochen gedauert. In diesen vier Wochen ging es nicht um Technik, sondern um Telefonate.
Geflossen ist kein Geld, immerhin. Gekostet hat der Vorfall trotzdem, nur eben nicht in der Buchhaltung. Solche Postfächer sehen wir regelmäßig, wenn wir eine Umgebung übernehmen. Der Klick liegt dann meist Wochen zurück.
Fünf Punkte.Still für sich beantwortet.
Es geht nicht um Schuld, nur um das Muster.
Woran man die Fälschung erkennt
Der Druck. Sofort, innerhalb von 24 Stunden, sonst wird gesperrt. Seriöse Stellen setzen selten so nach. Wo eine Mail eine Frist erfindet, will sie das Nachdenken abkürzen, und genau das ist das Merkmal.
Die Absenderadresse und das Linkziel. Der Anzeigename mag „Ihre Bank“ lauten, die Adresse dahinter ist oft eine wirre Zeichenkette oder eine Domain, die fast richtig aussieht. Beim Link hilft ein alter Trick: mit der Maus darüberfahren, ohne zu klicken. Dann zeigt sich, wohin er wirklich führt.
Der Kontext. Eine Bank, bei der Sie kein Konto haben. Eine Rechnung für etwas, das niemand bestellt hat. Ein Chef, der noch nie per Mail Überweisungen angeordnet hat und es plötzlich tut. Die vier Maschen, die uns ständig begegnen, sind die gefälschte Rechnung, die Chef-Masche, der Paketdienst und die nachgebaute Microsoft-Anmeldung. Die letzte ist im Firmenumfeld die gefährlichste, weil sie kein Geld will, sondern das Postfach.
Für Technik-Interessierte Was ein guter Mailfilter prüft
Seriöse Absender lassen sich technisch verifizieren, und darauf stützt sich jeder moderne Filter.
Ein Filter senkt also die Zahl der Mails, die überhaupt ankommen. Er ersetzt nicht die Rückfrage per Telefon.
- SPF, DKIM und DMARC. SPF legt fest, welche Server im Namen einer Domain senden dürfen. DKIM versieht jede Nachricht mit einer Signatur, die nachträgliche Änderungen sichtbar macht. DMARC sagt dem Empfänger, was mit Mails geschehen soll, die diese Prüfungen nicht bestehen.
- Linkprüfung zum Zeitpunkt des Klicks. Angreifer schalten ihre Seiten oft erst nach der Zustellung scharf. Ein Filter, der Links nur beim Empfang bewertet, sieht in diesem Moment eine harmlose Adresse.
- Anhänge in einer isolierten Umgebung. Der Filter öffnet verdächtige Dateien zur Probe, bevor er sie zustellt, damit sich zeigt, was sie tun wollen.
- Die Grenze des Filters. Die Chef-Masche besteht nur aus Text und kommt von einer echten, sauber konfigurierten Fremdadresse. Technisch gibt es an ihr nichts zu beanstanden. Deshalb bleibt der Mensch die letzte Instanz.
„Die gefährlichen Mails sind nicht die mit den Tippfehlern. Es sind die unauffälligen, die an einem hektischen Dienstag ankommen, und deshalb verlasse ich mich nie auf Aufmerksamkeit allein.“
Was gegen den einen Klick hilft
Vor dem Klick. Ein richtig eingestellter Filter sortiert den Großteil aus, bevor ihn jemand sieht. Die Multifaktor-Authentifizierung sorgt dafür, dass ein erbeutetes Passwort allein nicht genügt. Beides ist Technik und kostet Ihr Team keine Aufmerksamkeit.
Im Moment der Entscheidung. Die Chef-Masche enthält weder Link noch Anhang, nur Text und Druck. Dagegen hilft eine Kultur, in der Nachfragen erwünscht ist. Wer bei einer ungewöhnlichen Zahlungsaufforderung kurz zum Hörer greift, hat den Angriff beendet.
In der ersten Stunde danach. Wenn doch jemand geklickt hat, zählt vor allem, dass er sich sofort meldet, ohne Kopfwäsche. Diese Stunde entscheidet, ob aus einem Klick ein Vorfall wird. Wer Angst vor der Reaktion hat, meldet zu spät.
In den Wochen danach. Welche Protokolle ein Postfach überhaupt mitschreibt und wie weit sie zurückreichen, hängt an der Lizenz und ist vorher festgelegt. Reichen sie nicht weit genug zurück, bleibt offen, was der Angreifer in dieser Zeit gelesen und was er versendet hat.
Regeln, Meldeweg und gesunde Skepsis können Sie selbst etablieren, und das wirkt sofort. Ob Ihr Filter richtig eingestellt ist, ob Ihre Domain gegen Missbrauch abgesichert ist und ob die Anmeldesicherheit überall greift, sieht man nur von innen, mit Werkzeug und Erfahrung.
„Bei uns klickt niemand darauf“
Der Einwand kommt fast immer, und er ist nicht dumm. Ihr Team ist aufmerksam, die plumpen Fälschungen mit den Tippfehlern erkennt hier jeder. Nur sind die gefährlichen Mails nicht die plumpen. Sie sind sauber formuliert, korrekt gestaltet, und manchmal treffen sie zufällig genau den richtigen Moment.
Ein Vier-Augen-Prinzip bei Zahlungen führen Sie ja auch nicht ein, weil Sie Ihrer Buchhaltung misstrauen, sondern weil eine einzelne Unterschrift an einem vollen Tag zu wenig Kontrolle ist. Genauso hier.
Vier Fragen, und was Sie selbst tun können.
Wer das nicht vorzeigen kann, hat Ihren Mailschutz einmal eingerichtet und seither sich selbst überlassen.
Vier Fragen weitergegeben.Und nichts am Bildschirm gesehen?
Dann wissen Sie nicht, ob ein gekapertes Postfach bei Ihnen überhaupt auffällt. Reden wir eine halbe Stunde darüber. Wir sehen uns Filter, Anmeldesicherheit und Meldeweg an und sagen Ihnen, welche der drei Stellen bei Ihnen offen ist.
