Phishing erkennen: Die Merkmale, die heute noch funktionieren
Die Ratschläge von vor zehn Jahren funktionieren nicht mehr. Schlechtes Deutsch und krumme Absender sind selten geworden. Was bleibt, sind drei Merkmale, und eine Regel, die wichtiger ist als alle Merkmale.
Der überwiegende Teil erfolgreicher Angriffe auf Unternehmen beginnt nicht mit einer technischen Lücke, sondern mit einer Nachricht, die jemand geöffnet hat. Das ist keine Nachlässigkeit der Belegschaft. Es ist die Folge davon, dass diese Nachrichten gut geworden sind.
Warum die alten Erkennungsmerkmale nicht mehr tragen
„Achten Sie auf Rechtschreibfehler“ war einmal ein brauchbarer Rat. Heute sind Phishing-Mails sprachlich einwandfrei, oft besser formuliert als interne Rundschreiben. Übersetzungswerkzeuge und Sprachmodelle haben dieses Erkennungsmerkmal beseitigt.
Auch „fremder Absender“ trägt nicht mehr. Angreifer übernehmen echte Postfächer von Geschäftspartnern und antworten auf laufende Mailverläufe. Die Nachricht kommt dann tatsächlich von der Adresse, die seit Jahren im Verteiler steht, und bezieht sich auf einen echten Vorgang.
Und „verdächtiger Anhang“ greift zu kurz, weil der Weg heute meist über einen Link in eine täuschend echte Anmeldeseite führt. Dort wird kein Schadprogramm ausgeführt. Es wird nur ein Passwort eingegeben.
Die drei Merkmale, die bleiben
Handlungsdruck. Nahezu jede Angriffsnachricht erzeugt Eile: eine Frist, eine Sperrung, eine Zahlung, die heute noch raus muss. Der Grund ist psychologisch, unter Zeitdruck prüfen Menschen weniger. Eile ist deshalb das zuverlässigste Warnzeichen, das es gibt.
Ein Bruch im üblichen Weg. Die Buchhaltung bekommt eine Kontoänderung per Mail statt über das übliche Verfahren. Die Geschäftsführung bittet um eine Überweisung, ohne jemanden anzurufen. Nicht die Nachricht ist auffällig, sondern dass sie den normalen Ablauf umgeht.
Die Aufforderung zur Anmeldung. Jede Nachricht, die zur Eingabe von Zugangsdaten führt, verdient eine zweite Sekunde. Nicht weil der Link falsch aussieht, sondern weil es der einzige Weg ist, auf dem ein Passwort abfließen kann.
Die Regel, die mehr bringt als jedes Merkmal
Alle Erkennungsmerkmale haben dasselbe Problem: Sie verlangen, dass jemand in einem vollen Arbeitstag aufmerksam ist. Das funktioniert meistens und eben nicht immer.
Wirksamer ist eine organisatorische Regel: Jede Änderung von Zahlungsdaten und jede ungewöhnliche Zahlungsanweisung wird über einen zweiten Kanal bestätigt, per Rückruf unter der bekannten Nummer, nicht unter der in der Mail. Diese eine Regel verhindert die Angriffsform mit dem höchsten Schaden, und sie funktioniert auch dann, wenn die Mail perfekt war.
Dazu kommt die technische Entsprechung: Mehrfaktor-Anmeldung. Ein abgefangenes Passwort allein reicht dann nicht mehr. Das ist der einzige Schritt mit sofort messbarer Wirkung.
Was wir von Schulungen halten
Wir halten viel davon, wenn sie kurz, konkret und wiederkehrend sind, und wenig von der jährlichen Pflichtveranstaltung mit Zertifikat. Was wirkt, sind zehn Minuten an echten Beispielen aus dem eigenen Haus, zwei- bis dreimal im Jahr.
Wichtiger als jedes Training ist allerdings die Fehlerkultur. In Betrieben, in denen ein Klick Ärger bedeutet, wird er gemeldet, wenn der Schaden schon sichtbar ist. In Betrieben, in denen Melden selbstverständlich ist, vergehen Minuten statt Tage. Dieser Unterschied entscheidet über den Schaden, nicht die Schulungsquote.
Häufige Fragen
Woran erkennt man Phishing heute noch?
An Handlungsdruck, an einem Bruch im üblichen Ablauf und an der Aufforderung, sich irgendwo anzumelden. Rechtschreibfehler und fremde Absender sind als Kriterien weitgehend unbrauchbar geworden.
Was tun, wenn jemand geklickt hat?
Sofort melden, Passwort ändern, bestehende Sitzungen beenden lassen und das Gerät vom Netz nehmen, falls etwas ausgeführt wurde. Entscheidend ist die Zeit: Die ersten Minuten bestimmen den Schaden. Deshalb darf Melden nie mit Ärger verbunden sein.
Hilft ein Spamfilter nicht?
Er fängt den größten Teil ab, und das ist viel wert. Er fängt aber nicht die gezielten Nachrichten ab, die aus einem echten, übernommenen Postfach eines Geschäftspartners kommen, und genau die richten den Schaden an.
Was ist CEO-Fraud?
Eine Nachricht, die scheinbar von der Geschäftsführung kommt und eine eilige, vertrauliche Zahlung anweist. Sie zielt auf die Kombination aus Autorität und Zeitdruck. Dagegen hilft keine Technik, sondern die Regel, dass Zahlungen über einen zweiten Kanal bestätigt werden.
Lohnen sich simulierte Phishing-Tests?
Wenn sie als Lernmittel eingesetzt werden, ja. Wenn aus ihnen eine Rangliste oder ein Gespräch mit der Führungskraft folgt, richten sie Schaden an. Dann wird nicht mehr gemeldet, sondern verschwiegen.
Markus J. Rehberg
Vorstand (CEO): Schwerpunkt Compliance Recording, IT-Sicherheit und Nachweisführung.