Es gibt Technologien, die die Zahl der Phishing-E-Mails in Ihrem Unternehmen begrenzen und sie aufspüren. Letztlich bleibt der Mensch aber die letzte Verteidigungslinie gegen Social-Engineering-Angriffe dieser Art.
Irgendwann wird es Sie als Arbeitgeber oder MSP erwischen. Statt alles abzuriegeln und die Geschäftskommunikation auszubremsen, sollten Beschäftigte von der C-Suite abwärts in der Lage sein, Phishing-E-Mails zu erkennen. So passiert der Ernstfall in einer Schulungsumgebung und nicht in der Realität.
Zunächst sollten Mitarbeiter:innen verstehen, aus welchen Elementen ein Social-Engineering-Phishing-Angriff (genauer gesagt ein Spear-Phishing-Angriff) besteht und wie sie nachvollziehen können, wo ihre Informationen im Internet veröffentlicht sind.
Die Elemente eines Social-Engineering-Phishings
Den eigenen digitalen Fußabdruck prüfen
Die besten Cyberkriminellen nehmen sich Zeit, um ihr nächstes Opfer gründlich auszukundschaften. Sie durchforsten Social-Media-Profile, die mit dem Namen der Person verknüpft sind, und suchen bei Google nach allen verfügbaren Informationen. So setzen sie Stück für Stück ein Bild der Gewohnheiten dieser Person zusammen.
Bei größeren Social-Engineering-Phishing-Angriffen stelle ich mir vor, dass es ungefähr so abläuft:
Dazu gehören zum Beispiel Orte, die sie regelmäßig aufsuchen, etwa ein Fitnessstudio oder das Lieblingsrestaurant, und sogar persönliche Daten wie Geburtsdatum oder Wohnanschrift.
Stellen Sie sich vor, Sie posten in den sozialen Medien immer wieder, wie sehr Sie ein bestimmtes Café in Ihrer Nähe mögen. Vielleicht steht genau in diesem Moment ein Beitrag über dieses Café in Ihrer Story.
Angreifer:innen könnten daraus eine überzeugende Phishing-E-Mail basteln, die wie ein Gutscheincode dieses Cafés oder eines Partnerunternehmens aussieht.
Wenn solche Informationen frei im Netz kursieren, fallen Opfer deutlich eher auf Betrugsmaschen herein, die genau diese persönlichen Details ausnutzen.
Sozialen Druck erzeugen, damit geklickt wird
„Menschliches Verhalten lässt sich nur schwer ändern. Menschen sind für bestimmte Dinge immer anfällig, und aktuelle Ereignisse verändern, wofür sie anfällig sind und wie sie reagieren.“
, Connor Swalm, CEO & Gründer von Phin Security
In vielen Fällen setzen Angreifer:innen auf sozialen Druck, damit durchschnittliche Benutzer:innen klicken, ohne zweimal nachzudenken.
Ein typisches Beispiel sind Phishing-E-Mails mit einer Bitte einer Führungskraft an neue Mitarbeiter:innen in deren ersten Arbeitswochen.
In anderen Fällen wird stärker mit Emotionen gearbeitet: Eine Freundin oder ein Kollege braucht angeblich sofort Hilfe, um aus einer misslichen Lage herauszukommen.
Beide Beispiele nutzen sozialen Druck und pure menschliche Emotionen, damit das Opfer dem Klick Vorrang vor allem Gelernten aus der Sicherheitsschulung gibt.
Praktische Tipps, um Phishing zu erkennen
Wer etwas bemerkt, sollte es melden
Eine mögliche Phishing-E-Mail zu melden, sollte hier die goldene Regel sein, selbst dann, wenn die Person die E-Mail bereits geöffnet oder einen Anhang heruntergeladen hat. Mitarbeiter:innen brauchen einen unterstützenden Prozess und ein entsprechendes Umfeld, wenn sie erkannte oder geöffnete Phishing-E-Mails melden.
Sorgen Sie dafür, dass die Meldung einer Phishing-E-Mail nicht negativ aufgenommen wird oder an das Bloßstellen von Mitarbeiter:innen erinnert.
Beispiele für Phishing und passende Schutzmaßnahmen sehen Sie in diesem kurzen Video: „Beispiele für Phishing-E-Mails: So erkennen Sie eine Phishing-E-Mail“.
In einem kürzlichen MSP Live Chat, der eine Phishing-Challenge mit anderen IT-Profis beinhaltete, ging Connor Swalm, CEO von Phin Security, noch einen Schritt weiter:
„Sagen Sie Ihren Mitarbeiter:innen nicht, an welchem Tag oder zu welcher Uhrzeit ein Phishing-Test stattfindet. Sonst öffnen sie an diesen Tagen einfach gar keine E-Mails, was Effizienz und Kommunikation im Unternehmen ausbremst.“
, Connor Swalm, CEO & Gründer von Phin Security
Connor hat in unserem MSP Live Chat über die Risiken von „bestrafendem Phishing-Training“ gesprochen, hier geht es zum Clip:
Die häufigsten Arten von Phishing-Angriffen immer wieder thematisieren
Je besser Mitarbeiter:innen alle Arten von Phishing-Angriffen kennen, desto besser sind sie gewappnet, wenn es ernst wird und sie einen Vorfall melden müssen.
Die US-amerikanische Federal Trade Commission hat diese Liste zusammengestellt, die die häufigsten Arten von Phishing-Angriffen beschreibt. Dazu gehört auch, dass manche Social-Engineering-Phishing-Maschen E-Mails, SMS und sogar Telefonanrufe kombinieren, um die nötigen Informationen für einen Angriff zu sammeln.
Erstellen Sie trotzdem keine lange, technische Liste von Bedrohungen. Übersetzen Sie die häufigsten Bedrohungen lieber so, dass sie von der C-Suite bis in alle Bereiche des Unternehmens verständlich sind. Beispiele aus der Praxis wie die aus unserem MSP Live Chat machen das Thema anschaulicher und helfen dem Team, die Realität dahinter nachzuvollziehen.
Zu Vorsicht ermutigen und sich wo möglich auf Unternehmensrichtlinien stützen
Richtlinien zu Geldtransfers, zur Kommunikation durch die CEO oder den CEO und zur Erstellung neuer Zugangsdaten sind eine hervorragende Orientierung, damit Mitarbeiter:innen eine Phishing-E-Mail erkennen.
Angenommen, einmalige Geldtransfers für zusätzliche Leistungen sind laut Unternehmensrichtlinie in Ihrem Unternehmen nicht zulässig. Dann ist das für Mitarbeiter:innen ein sehr einfaches Erkennungsmerkmal für einen Phishing-Versuch.
Darüber hinaus empfehlen wir, in der Richtlinie festzuhalten, wie die Kommunikation der Geschäftsführung bei zeitkritischen Anfragen aussieht. Wenn dann neue Mitarbeiter:innen eine dringende Anfrage über Amazon-Geschenkkarten im Wert von 600 US-Dollar im Postfach haben, wissen sie: So etwas würde die Geschäftsführung niemals per E-Mail erbitten.
MSP-Live-Chat-Stammgast Ray Orsini, CEO von OITVOIP, hat dieses Beispiel mit den Geschenkkarten genauer erklärt. Hier geht es zum Clip:
Sicherheitskultur schlägt Sicherheitsschulung
„Kultur ist die stärkste Kraft der Menschheit.“ — Kanye West
Jedes Unternehmen sollte regelmäßige Sicherheitsschulungen im Kalender der Beschäftigten einplanen. Wird Sicherheit aber Teil der Unternehmenskultur, lässt sie sich nicht mehr umgehen und bleibt dauerhaft präsent.
Halten Sie die Regeln einfach und verständlich, damit Ihr Team weiß, was von ihm erwartet wird, und damit es versteht: Es beteiligt sich nicht nur an der Abwehr von Angreifer:innen, sondern ist einer der wichtigsten Bestandteile dieser Abwehr.
