Hybride Arbeitsumfelder haben sich durchgesetzt: Immer mehr Arbeitnehmer:innen arbeiten im Homeoffice und greifen von wo sie gerade arbeiten auf Systeme und Datenbanken ihres Arbeitgebers zurück. Das ist für Unternehmen und deren Mitarbeitende oftmals sehr praktisch. Leider schafft diese dezentrale Arbeitsstruktur zahlreiche neue Einfallstore für cyberkriminelle Angriffe auf Unternehmen und ihre Daten.
Eine Studie des IT-Sicherheitsdiensleisters BeyondTrust ergab, dass innerhalb des Jahres 2021 die Zahl der sogenannten Phishing-Angriffe auf Unternehmen um 200 Prozent gestiegen sei. Diese Zahlen alarmieren – und viele Unternehmen sind unsicher, ob sie ausreichend gegen kriminelle Angriffe auf ihre IT geschützt sind. Kleinere Unternehmen gehen davon aus, dass sie keine lohnenden Ziele für Kriminelle seien – doch das ist ein Irrtum.
Was Phishing ist, wie Phishing-Angriffe funktionieren, wieso häufig Mitarbeiter:innen Einfallstore für Attacken sind und wie Sie Ihr Unternehmen dagegen schützen können, lesen Sie in diesem Beitrag.
Was ist Phishing?
Bei einem Phishing-Angriff (vom englischen Begriff für Angeln: fishing) „ködern“ Kriminelle potenzielle Opfer mit E-Mails, die auf den ersten Blick von einem vertrauenswürdigen Absender stammen. Mithilfe dieser E-Mails wollen die Übeltäter an sensible Informationen gelangen. Die „Maschen“ der Kriminellen werden immer ausgeklügelter. Häufig erkennen Opfer eine Phishing-E-Mail erst, wenn es zu spät ist.
Phishing-E-Mails fordern zum Beispiel dazu auf, Passwörter, der andere vertrauliche Daten in eine Maske einzugeben. Diese Daten landen dann direkt bei den Kriminellen, die sie etwa im Darknet verkaufen oder für eigene Zwecke nutzen. Dass Phishing jedoch auch über andere Kanäle erfolgen kann, lesen Sie im weiteren Verlauf dieses Artikels.
Phishing-Angriffe erfolgen in den meisten Fällen über E-Mail-Anhänge, die – sofern sie angeklickt werden – Schadsoftware auf einen Rechner einschleusen sollen. Manchmal enthalten Phishing-Mails auch Links zu einer Website, auf vermeintlich seriöse Apps heruntergeladen werden können. Kriminelle haben diese Apps jedoch mit Schadsoftware ausgestattet.
Phishing ist immer Bestandteil einer sogenannten Social-Engineering-Strategie. Im Folgenden Abschnitt lesen Sie, wie Kriminelle die „Schwachstelle Mensch“ immer wieder für Ihre Zwecke ausnutzen.
Wie funktioniert ein Phishing-Angriff?
Das Vorgaukeln einer falschen Identität ist Bestandteil vieler Phishing-Angriffe. Zuvor versuchen Kriminelle häufig, Vertrauen zu ihren Opfern aufzubauen. Dieses Vergehen bezeichnen Sicherheitsexpert:innen auch als Social Engineering (Englisch für: Soziale Manipulation). Im folgenden Abschnitt lesen Sie anhand eines Beispiels, wie ein Phishing-Angriff ablaufen kann, welche Kommunikationskanäle dafür genutzt werden und wie Phishing-Angreifer menschliche Unachtsamkeit gezielt ausnutzen.
Social Engineering: Der Mensch als Schwachstelle
Ein:e Anrufer:in gibt sich als Mitarbeiter:in einer Bank oder eines Telekommunikationsunternehmens aus und fordert sein Opfer zur Preisgabe von Anmelde- oder Kontoinformationen auf. Häufig nennen die kriminellen Anrufer:innen bestimmte Internetseiten, die ihre Opfer umgehend besuchen sollen.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) berichtet etwa von einem angeblichen Systemadministrator, der Mitarbeitende eines Unternehmens anruft. Damit die Angerufenen ein angebliches Problem beheben können, sollen sie auf einen bestimmten Link klicken. Nach diesem Anruf erhalten die Opfer eine E-Mail. Klicken sie auf den angekündigten Link, nimmt das Unheil seinen Lauf: In vielen Fällen lauern hinter diesen in Phishing-Mails enthaltenen Links korrumpierte Webseiten. Diese installieren beim Anklicken eine Schadsoftware auf den Computer des Opfers.
Diese Schadsoftware kann Ihr Unternehmen auf vielfältige Art schädigen: Sogenannte Erpresser-Trojaner (Ransomware) verschlüsseln beispielsweise Ihre Unternehmensdaten. Die Kriminellen fordern ein Lösegeld und geben an, nur nach Zahlung die Daten wieder zu entschlüsseln.
Durch den zeitweisen oder endgültigen Verlust wichtiger Unternehmensdaten wird Ihr operatives Geschäft geschädigt. Die Wiederherstellung beschädigter Daten dauert und kostet viel Geld. Kommt es darüber hinaus zu einem Datendiebstahl, kann Ihr Unternehmen das Vertrauen Ihrer Kunden verlieren.
Warum ist Social Engineering erfolgreich?
Obwohl sich Unternehmen der Gefahr bewusst sind, die von Social-Engineering- und Phishing-Angriffen ausgeht, kommt es immer wieder zu erfolgreichen Attacken. Der Grund: Die Opfer handeln in dem Glauben, das Richtige zu tun.
Die kriminellen Anrufer:innen agieren häufig sehr sprachgewandt und täuschen ihr Opfer in einer realen Gesprächssituation. Auch soziale Netzwerke bieten Kriminellen gute Möglichkeiten, mit potenziellen Opfern in Kontakt zu treten. Dort können sie außerdem im Voraus viele Informationen über Namen und Strukturen in einem Unternehmen sammeln.
Welche Arten von Phishing gibt es?
In den vergangenen Jahren haben Cyberkriminelle ihr Vorgehen immer weiter professionalisiert. Viele Hackergruppen bieten ihre Dienste als sogenannte Ransomware-as-a-Service-Leistungen beispielsweise im Darknet professionell zur Verfügung. Mit dem Siegeszug der mobilen Telekommunikation haben sich die Kriminelle außerdem immer neue Kanäle gesucht, über die sie ihre Opfer erreichen können. Die wichtigsten stellen wir im Folgenden vor:
E-Mail-Phishing: Kriminelle nutzen diese Phishing-Variante sehr häufig. Diese E-Mails ködern Opfer mit Links zu schädlichen Websites oder enthalten Malware in ihren Anhängen. Teilweise gehen diesen E-Mails persönliche Anrufe voraus, in denen die kriminellen Anrufer die Mail unter einem falschem Vorwand ankündigen.
Smishing: Das sogenannte Smishing ist Phishing mithilfe von SMS. Kriminelle versenden eine SMS an zuvor erbeutete Mobilfunknummern. Die Empfänger:innen sollen auf einen Link klicken oder eine bestimmte App herunterladen. Wenn sie dieser Aufforderung folgen, laden sie unter Umständen eine Schadsoftware auf das Handy. Viele dieser Programme leiten dann unbemerkt persönliche Daten aus dem Adressbuch an die Angreifer weiter.
Social-Media-Phishing: Kriminelle kommen an Zugangsdaten von Social-Media-Konten und verschaffen sich Zugang zu den Freundeslisten der Kontobesitzer:innen. Dann senden sie Links zu einer von ihnen erstellten Phishing-Webseite an alle Personen in der Kontaktliste.
Vishing: Vishing ist die Abkürzung für Voice Phishing. Kriminelle rufen potenzielle Opfer an und geben sich beispielsweise als Mitarbeiter:innen eines Telekommunikationsunternehmens aus. Sie versprechen am Telefon bessere Bedingungen bei einem Mobilfunkvertrag. Willigt das Opfer ein, fordern die Anrufer zur Herausgabe persönlicher Daten auf.
Website-Phishing: Phishing-Websites sind häufig gefälschte Kopien von seriösen Websites wie Amazon, Ebay oder PayPal und sind den Originalen teilweise sehr ähnlich. Doch die Websites stammen von Cyberkriminellen, die warten, bis arglose Nutzer:innen ihre Zugangsdaten in die Anmeldemasken eingeben. Die Angreifer:innen lesen die Daten aus und missbrauchen sie anschließend – zum Beispiel zum Einkauf teurer Waren bei echten Online-Shoppingportalen auf Kosten des oder der eigentlichen Kontoinhaber:in.
Diese Phishing-Strategien gibt es
Mithilfe der oben genannten Phishing-Kanäle erreichen Cyberkriminelle ihre Opfer und verleiten sie mit einer Vielzahl unterschiedlicher Methoden zu schädlichen Handlungen. Im Folgenden stellen wir Ihnen exemplarisch sieben Phishing-Strategien vor.
CEO-Phishing: Kriminelle gaukeln ihren Opfern in E-Mails oder Kurzmitteilungen vor, sie seien das Vorstandsmitglied eines Unternehmens. Häufig haben die Angreifer:innen zuvor mithilfe eines Whaling-Angriffs (siehe unten) Zugangsdaten eines/r hochrangigen Mitarbeiter:in erbeutet.
Cloud-Phishing: Auch beliebte Cloud-Dienste sind häufig Phishing-Ziele. Kriminelle erstellen gefälschte Versionen des Anmeldebildschirms und stehlen dann die Anmeldedaten ihrer Opfer. Mit diesen Daten loggen sich die Cyberkriminellen in die Cloud-Konten der Geschädigten ein und stehlen Daten.
Deceptive Phishing: Bei dieser Art der „Irreführung” (Englisch: Deception) geben sich Kriminelle als echte Unternehmen oder Personen aus, um Ihr Vertrauen zu gewinnen.
Klon-Phishing: Angreifende klonen eine echte E-Mail und leiten sie an alle früheren Empfänger weiter. Doch vorher haben die Angreifer die Mail manipuliert und Links ausgetauscht – gegen Links, die direkt auf gefälschte Phishing-Webseiten führen.
Pharming: Der Begriff Pharming setzt sich aus den Wörtern „Phishing“ und „Farming“ (Deutsch: Ackerbau) zusammen und meint die Manipulation einer Webseite. Die Opfer dieser Phishing-Variation werden nach dem Anklicken einer vermeintlich seriösen Webseite direkt auf eine manipulierte Seite des Angreifers weitergeleitet. Die Fälschung ist häufig täuschend echt und die Opfer bemerken zu spät, dass sie auf Kriminelle hereingefallen sind. Beispielsweise, wenn von ihnen eingegebene Bankkontodaten missbraucht werden und Geld von ihrem Konto verschwindet.
Spear-Phishing: Dagegen zielt Spear-Phishing auf einzelne Personen. Cyberkriminelle suchen aktuell verstärkt in Online-Karrierenetzwerken nach neuen Opfern, da hier alle nötigen Informationen über den Status einer Person innerhalb eines Unternehmens zu finden sind.
Whaling: Beim Whaling (Deutsch: Walfang) suchen sich Angreifer:innen die sprichwörtlichen „dicken Fische“ innerhalb einer Unternehmensstruktur aus. Die Kriminellen sprechen Führungskräfte und Vorstandsmitglieder dann direkt mit Phishing-Mails oder SMS an.
So erkennen Sie eine Phishing-Mail
Das Aussehen von Phishing-Mails variiert stark. Dennoch können Sie anhand einiger Besonderheiten erkennen, ob eventuell Kriminelle die an Sie gerichtete Mail erstellt oder manipuliert haben:
- Ungenaue Adressierung: Viele Phishing-Angriffe sind breit gefächert und daher nicht mit dem genauen Namen des jeweiligen Opfers versehen. Im Anschreiben nutzen die Verfasser:innen lediglich eine vage Begrüßung, wie beispielsweise Ihren E-Mail-Benutzernamen (Beispiel: „Sehr geehrte musterperson@musterfirma.de…“).
- Es wird Druck aufgebaut: Phishing-Betrüger:innen wollen Sie häufig unter Druck setzen. Lassen Sie sich unter keinen Umständen Angst machen und ignorieren Sie auf jeden Fall „einmalige Angebote“. Seriöse Unternehmen und Institutionen bieten Ihnen immer alternative Angebote oder Möglichkeiten zur Nachfrage.
- Kurze Links: Seien Sie bei abgekürzten Links besondere vorsichtig. Kriminelle verschleiern die URL einer Phishing-Webseite häufig mithilfe von Kurzlinks, die nicht den Namen des Unternehmens beinhalten.
- Viele Tippfehler: Banken und Unternehmen versenden für gewöhnlich in tadelloser Sprache verfasste E-Mails an ihre Kund:innen. Gibt es dagegen zahlreiche Grammatik- und Rechtschreibfehler, können Sie ziemlich sicher sein, dass die E-Mail gefälscht ist.
- Vorsicht bei Anhängen: Unangeforderte Anhänge in E-Mails sollten Sie niemals einfach anklicken. Teilweise verbirgt sich Malware hinter Text- oder Bilddateien. Am besten löschen Sie diese Mails umgehend.
- Aufruf zur Datenpreisgabe: Wenn eine Mail Sie zur Herausgabe persönlicher Daten oder Passwörter auffordert, sollten Sie misstrauisch werden. Gleiches gilt im Übrigen auch bei betrügerischen Anrufen.
- Unbekanntes Unternehmen: Phishing-Betrüger:innen senden ihre E-Mails wahllos an möglichst viele Empfänger:innen. Wenn Sie eine E-Mail von einer Firma erhalten, die Sie nicht kennen und deren Dienste Sie nicht nutzen, handelt es sich in den meisten Fällen um Phishing.
Vorsicht bei verdächtigen Betreffzeilen
Häufig versehen Kriminelle die Betreffzeilen der Phishing-Mails mit alarmierenden und erschreckenden Botschaften, die Ihre Opfer zu einer sofortigen (und unbedachten) Handlung verführen sollen. Darunter gibt es einige wiederkehrende „Klassiker“:
- Falsche Rechnung: Sie werden aufgefordert, auf einen Link zu klicken. Angeblich führt dieser Link zu einer Seite eines Online-Versandhandels. Dort habe es ein Problem mit der Abrechnung gegeben, die Sie erklären sollen.
- Das Geldgeschenk: Eine Bank, eine Privatperson oder eine Lotteriegesellschaft möchte Ihnen einen Geldbetrag schenken. Um diesen zu erhalten, müssen Sie zuvor auf einer von den Angreifer:innen erstellten Webseite vertrauliche Daten eingeben oder auf einen schädlichen Link klicken.
- Der Gewinn: In einer Mail wird Ihnen berichtet, ein Zufallsgenerator habe sie zum Preisträger einer Gewinnspiels ernannt.
- Die Drohung: Die Phishing-Mail suggeriert, die Regierung eines bestimmten Staates wolle Sie strafrechtlich belangen. Über eine Eingabemaske sollen Sie vertrauliche Daten eingeben. Ansonsten drohe Ihnen eine Gefängnisstrafe.
Phishing-Verdacht: So verhalten Sie sich richtig
Wenn Sie oder Ihre Mitarbeiter Verdacht schöpfen, dass ankommende E-Mails oder Anrufe Teile einer Phishing-Attacke sein könnten, sollten Sie zunächst unter keinen Umständen die verdächtigen E-Mails öffnen.
- Wurden die E-Mails bereits geöffnet, sollten Sie unter keinen Umständen darin enthaltene Links anklicken. Stattdessen: Versuchen Sie, die im E-Mail-Text genannte Seite über die Startseite der betreffenden Organisation zu erreichen. Auf keinen Fall sollten Sie den angegebenen Link in die Adresszeile des Browsers einzutippen.
- Fragt eine E-Mail nach vertraulichen Daten, fragen Sie am besten telefonisch bei dem genannten Anbieter nach.
- Anhänge an E-Mails mit unbekannten Quellen sollten Sie nicht öffnen.
- Wichtig: Achten Sie stets darauf, dass die Antivirus-Software Ihres Unternehmens aktuell sind und dass die Firewall aktiv ist.
- In den IT-Sicherheitsrichtlinien Ihres Unternehmen sollte aufgeführt sein, an wen sich Ihre Mitarbeiter:innen umgehend wenden sollen, wenn sie verdächtige Mails erhalten.
Unterschiede zwischen Phishing und Spam?
Spam sind massenhaft verschickte unerwünschte Nachrichten, die ihre potenziellen Leser:innen zum Beispiel per E-Mail oder Messenger erreichen. Spam wird häufig zwar als lästig, aber harmlos wahrgenommen. Im Gegensatz zu gefährlichen Phishing-Mails. Doch diese Unterscheidung ist nicht mehr zeitgemäß.
Häufig sind Phishing-Mails Teil einer großangelegten Spam-Kampagne. Kriminelle versenden massenhaft gefälschte Mails im Namen eines Kreditinstituts an zuvor erbeutete E-Mail-Adressen. Teil dieser Mails können typische Phishing-Werkzeuge sein. Zum Beispiel eine Eingabemaske für vertrauliche Nutzerdaten; oder ein auf den ersten Blick harmloser Link, der jedoch zu einer gefälschten Webseite führt.
Sicher mobil arbeiten: mit Lookout
Nicht nur Unkonzentriertheit, Hektik oder fehlende Verschlüsselung können zum Problem für Ihre Mitarbeiter:innen werden: Laut Recherche des Sicherheits-Lösungsanbieters Lookout klicken Nutzer:innen auf einem mobilen Endgerät dreimal so häufig auf einen Phishing-Link, da die Phishing-Versuche auf einem kleinen Bildschirm viel schlechter zu erkennen sind.
Künstliche Intelligenz kann dabei helfen, Phishing-Angriffe auf diesen Applikationen zu erkennen und zu blockieren – und Angestellte daran hindern, Phishing-Seiten überhaupt erst aufzurufen. Mit über 4,5 Milliarden analysierten Webseiten, mehr als 160 Millionen untersuchten Apps und über 200 Millionen geprüften Endgeräten hat beispielsweise Lookout mehr als 500 Millionen Phishing-Seiten und mehr als 10.000 schädliche Apps im Visier – und das täglich.
Integrierte Virenscanner wie bei Windows oder auf dem Mac sind auf den meisten mobilen Endgeräten eher Fehlanzeige. Daher ist es sinnvoll, sowohl Dienst– als auch Privathandys und –tablets mit der Lookout-Security-Lösung zu schützen.
Das Lookout-System wird über eine zentrale Verwaltungskonsole gesteuert und ist sofort einsatzbereit. Die Inhalte von E-Mails, der Browserverlauf oder persönliche und private Nachrichten werden dabei weder mitgelesen noch irgendwo gespeichert. Die Gerätelaufzeit wird ebenfalls nicht beeinträchtigt.
Phishing: das Wichtigste in Kürze
- Mit Phishing-Mails wollen Kriminelle persönliche Informationen abgreifen oder ihre Opfer zu einer bestimmten Handlung verleiten.
- Phishing ist Teil einer sogenannten Social-Engineering-Strategie. Kriminelle erschleichen sich das Vertrauen von Firmenmitarbeiter:innen oder Führungskräften.
- Phishing erfolgt über viele Kanäle: unter anderem per E-Mail, SMS, Messenger oder am Telefon.
- Phishing-Attacken können wahllos oder gezielt auf bestimmte Personen erfolgen.
- Phishing-Mails erkennen Sie an verdächtigen Betreffzeilen oder bestimmten Merkmalen im Text.
Quelle:
https://www.vodafone.de/business/featured/digitales-business/digitaler-arbeitsplatz/phishing-erkennen-und-verhindern-so-gelingt-wirksamer-schutz-vor-cyber-kriminalitaet/