Machen Sie Cyberkriminellen das Leben schwer 3 Tipps gegen Phishing

Phishing-Angriffe nutzen raffinierte psychologische Tricks wie Neugier, Zeitdruck und Angst, um Opfer zu ködern. Unternehmen müssen ihre Mitarbeiter regelmäßig schulen und moderne Technologien wie Multi-Faktor-Authentifizierung (MFA) und Mobile Threat Defense (MTD) einsetzen. Aber auch ein durchdachter Notfallplan kann im Ernstfall katastrophalen Datenverlust verhindern.

Der aktuelle Lagebericht zur IT-Sicherheit des BSI macht es deutlich: Die Bedrohungslage im Cyberraum ist in Deutschland so hoch wie nie. Eine relevante Angriffsart ist die Phishing-Attacke, durch die sich Kriminelle Zugang zu den IT-Systemen von Unternehmen, staatlichen Einrichtungen und Organisationen verschaffen. Verwunderlich ist diese Entwicklung nicht, denn vor allem bei Mails ist heute kaum noch erkennbar, dass es sich um Phishing handelt. Doch mit modernen Lösungen können IT-Teams derartige Attacken verhindern.

Phishing – so real ist die Gefahr

Phishing (eine Wortneuschöpfung aus den englischen Begriffen „Password“ und „fishing“) zielt darauf ab, Malware zu installieren oder an Authentisierungs­daten wie Benutzernamen und Passwörter zu gelangen, welche den Angreifenden zum Beispiel Zugang zu IT-Netzen von Unternehmen gewähren. Dafür versenden die Cyberkriminellen meist E-Mails, die die potenziellen Opfer zur Eingabe ihrer Daten auf gefälschten Webseiten auffordern oder schadhafte Anhänge enthalten. Das Problem: Vor allem auf Mobilgeräten sind solche Angriffe nur schwer zu erkennen, da dort die Möglichkeit fehlt, das Ziel eines Links durch Mausbewegung darüber anzuzeigen (Mouseover). Doch E-Mails sind schon längst nicht mehr die einzige Methode, an Passwörter und andere sensible Daten zu gelangen. Laut Lagebericht zur IT-Sicherheit 2023 des BSI verfolgen findige Hacker Phishing-Aktivitäten mittlerweile vermehrt auch per SMS, Social Media oder Voice-Calls. Dabei lässt sich durch KI etwa die Stimme eines Geschäftsführers imitieren, wodurch Fakes besonders realistisch wirken und von echten Anrufen nicht einfach zu unterscheiden sind.

Die 3 Trigger für Phishing

Charakteristisch für das Phishing ist, dass die Cyberkriminellen gezielt psychologische Tricks einsetzen, um ihre Opfer zum Handeln zu bewegen. Besonders effektiv – und somit gern genutzt – sind dabei diese drei Trigger:

• Neugier: Mails mit Betreffzeilen wie „Auto in Tiefgarage angefahren“ wecken das Interesse der Empfänger– denn man möchte ja wissen, wessen Auto betroffen ist und ob es möglicherweise das eigene ist. Die Neugier wird durch vage Informationen geweckt, die die Adressaten dazu bringen, auf enthaltene Links zu klicken oder Fotos zu öffnen, um mehr zu erfahren.

• Zeitlicher Druck: Die potenziellen Opfer werden animiert, schnell zu reagieren – beispielsweise auf ein zeitlich begrenztes, attraktives Angebot. Phishing-Mails nutzen häufig Formulierungen wie „Nur noch heute!“, um ein Gefühl der Dringlichkeit zu erzeugen. Dies verringert die Wahrscheinlichkeit, dass die Zielpersonen rational über ihre Handlungen nachdenken und veranlasst sie, sofort zu handeln, ohne die Echtheit der Nachricht zu hinterfragen.

• Angst und Bedrohung: Durch Drohungen, dass ohne sofortige Maßnahmen etwas Schlimmes passiert (zum Beispiel Kontosperrung, rechtliche Schritte), wird Druck aufgebaut. Die so ausgelöste Panik lässt die Opfer oft überstürzt handeln und sensible Informationen preisgeben.

Spätestens hier wird eines deutlich: Ein effektiver Schutz vor Phishing-Angriffen ist für Unternehmen aller Art unverzichtbar. Um derartige Attacken weitestgehend zu vermeiden beziehungsweise deren Auswirkungen gering zu halten, sollten also entsprechende Maßnahmen ganz oben auf der Agenda jeder IT-Abteilung stehen. Doch wie genau sollte ein angemessenes Schutzkonzept aussehen? Und wie lässt es sich umsetzen?

So wehren Unternehmen Phishing-Attacken erfolgreich ab

Insbesondere sind es diese drei Säulen, auf die ein Unternehmen setzen sollte, um sich vor Phishing-Attacken ausreichend zu schützen:

Tipp 1: Schulung der Belegschaft

A und O des Schutzes ist die Sensibilisierung der Belegschaft. Hier gilt es zum einen, ein Bewusstsein für die angewandten psychologischen Tricks (Trigger) zu schaffen. Zum anderen heißt es, die Angestellten hinsichtlich gängiger Angriffstaktiken und empfohlener Handlungsoptionen zu schulen. Doch dies ist keine einmalige Angelegenheit: Da Cybertäter äußerst kreativ sind, ändern sich die Hackingmethoden ständig. Erst regelmäßige Schulungen stellen sicher, dass die Mitarbeitenden in der Lage sind, Attacken überhaupt als solche zu erkennen, richtig zu reagieren und nicht in die Phishing-Falle zu tappen.

Tipp 2: Moderne Tools und Technologien zur Vorbeugung

Technologien wie Mobile-Threat-Defense-Lösungen (MTD), Virenscanner und die Absicherung von externen Zugängen durch Multi-Faktor-Authentifizierung sowie VPNs helfen, Einfallstore zu verringern. Sich stets aktuelle Technologien zunutze zu machen und die Unternehmenssysteme auf dem neuesten Stand zu halten, ist für die IT daher unabdingbar. Dadurch wird die Anzahl der Fälle, in denen die Mitarbeitenden aufmerksam sein müssen, deutlich verringert.

Tipp 3: Vorbereitung auf den Ernstfall

Selbst, wenn man noch so viele Maßnahmen trifft: Zu 100 Prozent ist kein Unternehmen vor Phishing-Angriffen gefeit. Damit die Auswirkungen solcher Bedrohungen jedoch möglichst im Rahmen bleiben, ist ein Notfallplan ein Muss. Hierzu gehören unter anderem auch Handbücher und Leitfäden, die genau regeln, wer was wann wie zu tun hat. Regelmäßiges Monitoring des Datentransfers wiederum hilft, Eindringlinge schnell zu identifizieren. Zudem sind Offline-Backups für die wichtigsten Unternehmensdaten wichtig, damit Letztere sich schnell wiederherstellen lassen.

Praxisbeispiele moderner Tools

Doch wie lassen sich Maßnahmen wie die technologische Absicherung gegen Phishing und die Sensibilisierung der Belegschaft umsetzen? Hier kommen moderne Tools ins Spiel, von denen wir vier im Folgenden näher beleuchten möchten.

MFA – auch ganz ohne zweites Gerät

Eine effektive Methode gegen Phishing-Angriffe auf Login-Daten ist die Multi-Faktor-Authentifizierung (MFA). MFA erhöht die Sicherheit erheblich, indem sie mehrere Faktoren zur Verifizierung eines Benutzers verlangt. So ist es beispielsweise möglich, neben dem Benutzerpasswort noch ein Einmalpasswort abzufragen, das per SMS an ein separates Smartphone geschickt wird. Moderne Lösungen erlauben dank Trusted-Platform-Module-Chip MFA sogar ganz ohne ein solches Zweitgerät – statt über ein Passwort authentifizieren sich die Benutzer durch Fingerabdruck, FaceID oder eine PIN.

Mobile Threat Defense (MTD)

Dank KI ist es modernen MTD-Tools möglich, Anomalien im Nutzerverhalten zu erkennen. So etwa können sie feststellen, ob eine Person ein Passwort nicht vom üblichen Standort oder zur üblichen Zeit eingibt – und im Verdachtsfall die Komplexität des Login-Verfahrens erhöhen (Stichwort MFA) oder den Zugriff verweigern.

Phishing Awareness: Schulung durch Simulation

Auch für die Sensibilisierung der Belegschaft gibt es moderne Technologien. Mithilfe von Phishing-Awareness-Tools zum Beispiel lassen sich realistische Phishing-Simulationen durchführen: Die Angestellten bekommen fingierte E-Mail- oder SMS-Nachrichten zugeschickt. Klicken sie auf einen darin enthaltenen Link oder öffnen sie einen Anhang, gelangen sie auf eine Informationsseite, die sie darüber aufklärt, dass es sich um einen Resilienztest des Unternehmens gehandelt hat und sie im Ernstfall in die Phishing-Falle getappt wären. Zudem wird den „Opfern“ vermittelt, wie sie den Manipulationsversuch hätten erkennen können und wie sie eigentlich reagieren sollten. Diese Methode schärft das Bewusstsein der Belegschaft und verbessert ihre Fähigkeit, Phishing-Angriffe zu erkennen. Detaillierte Berichte im Nachgang erlauben es den Unternehmen, ihr Risiko für Cyberattacken besser einzuschätzen und entsprechende Schulungen zu planen.

Stoppen von Ransomware

Wenn trotz aller Vorkehrungen eine Phishing-Attacke gelungen ist und schadhafte Software installiert wurde, gilt es, den Schaden so gering wie möglich zu halten. Spezielle Sicherheitslösungen können dank einer permanenten Überwachung von File-Shares und Cloud-Laufwerken eine unrechtmäßige Verschlüsselung von Dateien innerhalb von Sekunden erfassen. Eine solche Lösung identifiziert und isoliert kompromittierte Nutzer:innen, stoppt die weitere Verschlüsselung von Daten und hilft bei der Wiederherstellung von Dateien sowie der Analyse des Vorfalls. Dadurch lassen sich Ausfallzeiten auf ein Minimum reduzieren.

Fazit

Die Flut an Phishing-Angriffen steigt immer weiter an. Verschärfend kommt hinzu, dass sich ihre Qualität (auch durch moderne Technologien wie KI) stetig verbessert – und es damit für Nutzer immer schwerer wird, sie als Bedrohung zu erkennen. Konnte man früher Phishing-Mails noch anhand von Rechtschreib- und Grammatikfehlern identifizieren, ist das heute nicht mehr der Fall. Zudem existieren mittlerweile viele Phaas-Anbieter (Phishing-as-a-Service), die Kriminelle mit ihren Services zu gelungenen Angriffen verhelfen. Die Integration moderner Anwendungen wie MFA- und MTD-Lösungen, Phishing-Awareness-Tools und Ransomware-Blockern spielt eine wesentliche Rolle im Schutz vor Phishing-Angriffen. Mit der Expertise eines kompetenten Managed-Service-Providers finden Unternehmen nicht nur die geeigneten Tools, sondern können diese Technologien auch optimal nutzen. So gelingt es ihnen, sowohl die Sicherheit als auch die Benutzerfreundlichkeit ihrer Systeme zu erhöhen und gleichzeitig den eigenen Verwaltungsaufwand auf ein Minimum zu reduzieren.

Über den Autor: Surendiran Velauthapillai ist IT-Experte mit 20 Jahren Erfahrung in der IT-Branche. Als Head of IT-Services der EBF-EDV Beratung Föllmer GmbH ist er für die Bereiche interne IT, Hosting, Consulting und Support verantwortlich und in vielen Technologien der digitalen Arbeitswelt zu Hause. Das Team der EBF begleitet Unternehmen bei der individuellen Transformation zum digitalen Arbeitsplatz – von der Konzeption über Implementierung, Managed Services, individuelle Entwicklungen bis hin zum Hosting.

(ID:50148898)