Phishing

Phishing bezeichnet einen Angriff, bei dem sich Kriminelle als vertrauenswürdige Absender ausgeben, etwa als Bank, als Kollegin oder als Lieferant, um an Zugangsdaten, eine Zahlung oder einen Zugang zum Netz zu gelangen. Angegriffen wird der Mensch und nicht eine technische Schwachstelle der Software.

Was bedeutet der Begriff

Die Spielarten unterscheiden sich vor allem im Grad der Zielgenauigkeit. Massen-Phishing geht als generische E-Mail an Tausende von Empfängern. Spear Phishing ist auf eine einzelne Person oder ein Team zugeschnitten und stützt sich auf Details aus sozialen Netzwerken, aus einem Datenleck oder aus einem bereits übernommenen Postfach. Whaling zielt auf die Geschäftsführung und andere Zeichnungsberechtigte. Der Angriff bleibt längst nicht mehr im Postfach: Smishing (SMS-Phishing) kommt per SMS oder Messenger, Vishing (Voice Phishing) per Telefon, mitunter mit geklonter Stimme.

Warum es wichtig ist

Phishing gehört seit Jahren zu den häufigsten Einfallstoren in ein Unternehmensnetz, und genau darauf setzen Ransomware und Rechnungsbetrug auf. Neu ist, dass Multi-Faktor-Authentifizierung (MFA) allein längst nicht mehr genügt. Ein aktuelles Phishing-Kit stellt keine nachgebaute Anmeldeseite mehr bereit, sondern arbeitet als Reverse Proxy: Es reicht die Eingaben des Opfers in Echtzeit an die echte Seite des Anbieters weiter. Das Opfer sieht die echte Anmeldemaske, bestätigt die echte MFA-Abfrage und meldet sich tatsächlich an. Das Kit schneidet dabei den Einmalcode mit und, wichtiger noch, das anschließend ausgestellte Session-Cookie. Mit diesem Cookie steht dem Angreifer das Konto offen, ohne dass er den Code selbst je gebraucht hätte.

Entscheidend ist deshalb nicht, ob MFA aktiv ist, sondern ob die eingesetzten Faktoren phishing-resistent sind. Einmalcodes aus einer Authenticator-App, Codes per SMS und Push-Bestätigungen lassen sich allesamt an einen zwischengeschalteten Angreifer weiterreichen. Bei Passkeys und Hardware-Schlüsseln nach FIDO2/WebAuthn gelingt das nicht: Der Schlüssel ist an die Domain gebunden, für die er registriert wurde, und verweigert die Signatur für die Domain des Angreifers. Schulungen und ein Meldebutton bleiben sinnvoll, die strukturelle Lösung liegt jedoch im Anmeldeverfahren selbst.

Beispiel

Eine Mitarbeiterin erhält den Hinweis auf ein bereitliegendes Dokument und meldet sich über den Link auf einer Seite an, die dem Portal des eigenen Hauses zum Verwechseln ähnlich sieht. Passwort, MFA, alles funktioniert, und das Dokument öffnet sich sogar. Im Hintergrund hat ein Reverse Proxy das Session-Cookie mitgeschnitten. Eine Stunde später meldet die Überwachung eine Anmeldung aus einem fremden Netz. Es wurde kein Passwort geknackt und keine Schwachstelle ausgenutzt.