Die Tricks der Angreifer

Entsprechende Attacken können in Unternehmen beträchtliche Schäden anrichten. In täuschend echt wirkenden E-Mails geben sich die Hacker als Vorgesetzte, Kollegen oder Geschäftspartner aus. Ziel ist, die Mitarbeiter zur Preisgabe sensibler Daten, zu Klicks auf schädliche Anhänge und Links oder zu Überweisungen auf fremde Konten zu verleiten. Dabei sprechen die Betrüger geschickt die Gefühle und damit das schnelle Denksystem der E-Mail-Empfänger an, wie es der Psychologe und Nobelpreisträger Daniel Kahnemann dem langsamen, rationalen Denken gegenüberstellt. Ohne darüber nachzudenken, tun die Mitarbeiter, was von ihnen verlangt wird.

Ganz oben auf der Liste der psychologischen Einflussfaktoren rangiert Autoritätshörigkeit. Wenn der vermeintliche Abteilungsleiter per Link zur Projektabsprache einlädt, gibt es kaum einen Mitarbeiter, der dieser Aufforderung nicht folgen würde. Ebenso wird mit der Angst der Beschäftigten gespielt und etwa im Namen der Finanzabteilung eine Rechnung moniert, die nicht beauftragt worden sei und keinen Bezug zu vorhandenen Verträgen habe. Der E-Mail-Empfänger bekommt einen Heidenschreck, er öffnet den Anhang – und installiert eine Schad-Software auf seinem Rechner.

Ein weiterer beliebter Trick liegt im Erzeugen von Zeitdruck. So ergeht eine Warnung vom angeblichen IT-Administrator: Falls der Mitarbeiter nicht sofort sein Passwort ändere, werde sein Nutzerkonto deaktiviert. Der Anwender gehorcht – und spielt seine Log-in-Daten den Angreifern in die Hände. In anderen Fällen wird die Neugier der Beschäftigten ausgenutzt. Vorgeblich teilt die Geschäftsleitung wichtige personelle Änderungen im Unternehmen mit und stellt im Intranet ein entsprechendes Organigramm zur Verfügung. Der Mitarbeiter ist gespannt, wer für welche Bereiche zuständig ist – und landet am Haken der Spear-Phishing-Angreifer.

Simulierte Angriffe wirken nach

Mit Security-Awareness-Trainings können Unternehmen ihre Mitarbeiter gegen Spear Phishing wappnen. Besonders effektiv sind Schulungen, die neben klassischen Präsenzschulungen, E-Learnings und Webinaren innovative Spear-Phishing-Simulationen umfassen. So verwendet der Trainingsanbieter IT-Seal beispielsweise echte Unternehmens- und Mitarbeiterinformationen, um authentisch wirkende Attacken nachzustellen. Die Mitarbeiter landen direkt auf einer interaktiven Erklärseite, die Hinweise auf verdächtige Merkmale der empfangenen E-Mail gibt: ob Buchstabendreher in der Adresszeile, gefälschte Subdomains oder verdächtige Links.

Simulierte Spear-Phishing-Angriffe sind didaktisch wertvoll, weil sie den „Most teachable moment“ eines Mitarbeiters nutzen und sein schnelles Denken adressieren. Da dieser genau im richtigen Moment über sein potenziell schadhaftes Verhalten aufgeklärt wird, geht er künftig vorsichtiger mit eingehenden E-Mails um – auch wenn diese virtuos seine Ängste, Gefühle und Reflexe adressieren.

Bildquelle: Envato Elements