Jeder Schritt der Abfolge nutzt einen anderen Kanal
Das FBI beschreibt die Abfolge der Reihe nach. Zuerst drängt eine E-Mail, die sich als IT-, Rechnungs-, Zahlungs- oder Abonnementbenachrichtigung ausgibt, den Mitarbeiter dazu, eine Telefonnummer anzurufen. Der Angreifer gibt sich dann als IT-Support aus, entweder wenn der Mitarbeiter anruft oder wenn der Angreifer direkt anruft.
Als Nächstes bittet der Angreifer den Mitarbeiter, eine Fernzugriffssitzung mit Tools wie Quick Assist, AnyDesk oder Splashtop zu starten. Wenn der Fernzugriff fehlschlägt, besucht ein Angreifer das Büro. Der Besucher schließt ein Speichermedium an den Computer an und behauptet, dies sei notwendig, um ein Image des Geräts zu erstellen oder ein Backup durchzuführen (FBI FLASH-20260526-01, Mai 2026).
Sobald der Angreifer Zugriff hat, kopiert er Daten mit Tools wie WinSCP oder Rclone oder direkt auf den USB-Stick. Die Erpressung erfolgt anschließend per E-Mail, wobei der Angreifer zusätzlich Mitarbeiter oder Kunden anruft, um den Druck zu erhöhen.
Betrachtet man dies als Liste von Kanälen, umfasst es E-Mail oder SMS, Telefonanrufe, Fernzugriffssitzungen, physische Besuche sowie eine Erpressungskampagne per E-Mail und Telefon. Jeder Kanal erfüllt eine andere Aufgabe. Die E-Mail provoziert den Anruf, der Anruf verschafft den Zugriff, und der Besuch deckt den Fall ab, in dem der Zugriff fehlschlägt.
Jeder Kanal hat einen Verantwortlichen, aber die Abfolge hat keinen
Sicherheitsteams organisieren ihre Kontrollen normalerweise nach Kanälen. Das E-Mail-Gateway überwacht E-Mails. Das IT- oder Telefonieteam kümmert sich um Anrufe. Endpoint-Tools überwachen Fernzugriffssoftware. Die Gebäudeverwaltung kümmert sich um Besucher. Eine Textnachricht hat oft gar keinen Verantwortlichen.
In dieser Abfolge sieht jedes dieser Teams nur ein plausibles Fragment. Die erste E-Mail bittet um einen Anruf, daher hat ein Filter kaum Anhaltspunkte außer dem Absender und dem Wortlaut. Der Anruf hinterlässt keine Datei zum Scannen. Die Fernzugriffstools sind legitime Software, die Mitarbeitern und IT-Teams bereits bekannt ist.
Sogar der Besucher passt in die Geschichte. Laut The Register geben sich die Angreifer vor Ort als IT-Personal aus und behaupten, sie müssten den Schaden durch die Phishing-E-Mail bewerten (The Register, 27. Mai 2026). Der letzte Schritt bezieht sich wieder auf den ersten.
Der Wechsel ist das Signal
Eine Abfolge kann jeden Schritt überzeugend imitieren, aber sie kann den Moment des Kanalwechsels nicht vermeiden. Ein Mitarbeiter erhält eine E-Mail und dann einen Anruf, der sich darauf bezieht. Später erscheint ein Besucher und bezieht sich auf dieselbe E-Mail.
Dieser Moment ist der einzige Punkt, an dem ein Mitarbeiter über Informationen verfügt, die kein Tool hat. Die E-Mail und der Anruf gehören zur selben Geschichte. Ein Filter kann nicht wissen, dass der Anruf die E-Mail betrifft. Der Mitarbeiter kann es.
Dies ändert, was es wert ist, trainiert zu werden. Eine schlechte E-Mail zu erkennen, ist eine Fähigkeit. Zu bemerken, dass eine Anfrage von einem Kanal zu einem anderen gewechselt ist, und diesen Wechsel als Grund für eine Überprüfung zu behandeln, ist eine andere.
Was das für Sicherheitsteams bedeutet
Kartieren Sie die Zuständigkeiten, bevor Sie Kontrollen abbilden. Schreiben Sie auf, wer E-Mails, SMS, Anrufe, Fernzugriffssitzungen und Besucher überwacht und was passiert, wenn ein Fall drei davon berührt. Wenn die Antwort ein Gespräch ist, das niemand geplant hat, wird die Abfolge diese Lücke finden.
Geben Sie den Leuten eine zentrale Meldestelle. Ein Mitarbeiter, der eine E-Mail, eine SMS, einen Anruf oder einen Besucher erhält, sollte denselben Weg nutzen. Auf diese Weise landen die Meldungen in einer Warteschlange und jemand kann sie miteinander vergleichen.
Führen Sie eine Pivot-Regel ein. Wenn sich eine Anfrage auf einem Kanal auf einen anderen bezieht, wie etwa ein Anruf bezüglich einer E-Mail, überprüft der Mitarbeiter dies über eine Nummer oder einen Kontakt, den er selbst herausfindet. Die Empfehlungen des FBI beinhalten die Festlegung von IT-Verifizierungsrichtlinien.
Testen Sie die gesamte Abfolge, nicht jeden Kanal einzeln. Eine Tabletop-Übung oder Simulation, die von E-Mail über Telefon bis hin zum Besucher reicht, zeigt, ob jemand den Wechsel bemerkt. Bei Zepo haben wir unsere Multiattack-Simulationen um diese Idee herum aufgebaut.
Angreifer benötigen einen Mitarbeiter, der nur einen Schritt nach dem anderen sieht. Zu messen, ob Leute den Wechsel bemerken, gibt Sicherheitsteams ein Signal, das kein Gateway melden kann.
FAQ
Was ist ein Social-Engineering-Angriff über mehrere Kanäle? Es handelt sich um einen Angriff, der sich über E-Mails, Textnachrichten, Telefonanrufe, Fernzugriffe oder persönliche Kontakte erstreckt, um Schritt für Schritt Vertrauen aufzubauen. Jeder Kanal erfüllt eine andere Aufgabe und wird in der Regel von einem anderen Team oder Tool überwacht.
Was ist Callback-Phishing? Dabei handelt es sich um eine E-Mail oder Textnachricht, die den Empfänger auffordert, eine Telefonnummer anzurufen, anstatt auf einen Link zu klicken, sodass das Gespräch mit dem Angreifer per Sprache erfolgt. Das FBI beschreibt dies in seiner Warnmeldung vom Mai 2026 zur Silent Ransom Group (FBI FLASH-20260526-01, Mai 2026).
Warum stoppen E-Mail-Filter solche Sequenzen nicht? Ein Filter sieht nur den ersten Schritt. Der Anruf, die Fernzugriffssitzung und der persönliche Besuch finden außerhalb des E-Mail-Systems statt, sodass kein einzelnes Tool die gesamte Sequenz erfassen kann.
Was sollte ein Mitarbeiter tun, wenn sich ein Anruf auf eine E-Mail bezieht? Die Anfrage über einen Kontakt verifizieren, den der Mitarbeiter unabhängig gefunden hat – nicht über die Nummer in der Nachricht – und sowohl die E-Mail als auch den Anruf über denselben Sicherheitskanal melden.
.png)
.png)
.png)
.png)
