Tag 0: Eine Nachricht von der Personalabteilung, die routinemäßig aussah
Eine E-Mail, die scheinbar von der Personalabteilung stammte, kündigte eine Änderung der Schichtpläne und der Stundenberechnung an. Die Mitarbeiter mussten ihre Daten bis Freitag bestätigen. Der Link führte zu einer Kopie des Mitarbeiterportals, die vom Original nicht zu unterscheiden war.
Der Verkäufer gab Benutzername und Passwort ein. Das Portal verlangte keine Zwei-Faktor-Authentifizierung. Diese war als unnötig erachtet worden, da auf das Portal „nur aus der Filiale zugegriffen wurde“. Dieselben Anmeldedaten funktionierten jedoch auch von außerhalb, und in jener Nacht nutzte sie jemand. Niemand meldete etwas.
Tag 1 bis 3: Eine Karte der Entscheidungsträger
Das Konto eines Verkäufers kann zwar nicht viel ausrichten, aber es kann sich umsehen. Die internen Systeme jedes Unternehmens enthalten konstruktionsbedingt einen Wegweiser durch die Organisation: Namen, Rollen, Personalnummern und wer über welche Berechtigungen verfügt.
Innerhalb von drei Tagen hatte der Angreifer die kleine Gruppe von Personen identifiziert, die alle Systeme des Unternehmens verwalten. Von diesem Moment an war nicht mehr das Netzwerk das Ziel, sondern eine dieser Personen.
Tag 4: Vier Minuten am Telefon
Der Angreifer rief beim Support-Desk an und gab sich als einer dieser Administratoren aus, unter Angabe von Name, Rolle und Personalnummer. Die Geschichte war dringend und glaubwürdig: Er befinde sich in einer Filiale, habe sein Telefon verloren und könne seinen Zugriff nicht verifizieren.
Der Mitarbeiter tat genau das, was das Verfahren vorsah. Er prüfte Name, Rolle und Personalnummer – alle drei Angaben waren korrekt. Er stellte den Zugriff wieder her. Eine halbe Stunde später verwaltete der Angreifer die Systeme des Unternehmens mit denselben Berechtigungen wie die Person, deren Identität er gestohlen hatte.
Das Telefonat dauerte weniger als vier Minuten. Niemand handelte fahrlässig, da das Verfahren Daten verifizierte, die der Angreifer bereits besaß.
Dieses Muster ist weit über einen Einzelfall hinaus dokumentiert. Mandiant verfolgt Gruppen wie UNC3944, die IT-Helpdesks ins Visier nehmen, um die Multi-Faktor-Authentifizierung zu umgehen und sich Erstzugriff zu verschaffen (Mandiant M-Trends 2026, März 2026). Das Center for Internet Security beschreibt Angreifer, die sich als Mitarbeiter ausgeben, um Helpdesk-Mitarbeiter dazu zu bringen, Passwörter zurückzusetzen. Andere fordern sie auf, die MFA-Registrierung auf ein Gerät zu verschieben, das der Angreifer kontrolliert (Center for Internet Security, August 2026).
Tag 4 und 5: Die Kopie vor der Sperrung
Bevor der Angreifer irgendetwas zerstörte, verbrachte er anderthalb Tage damit, Informationen aus dem Unternehmen zu kopieren: Mitarbeiterdaten, Kunden des Treueprogramms, Verträge und Buchhaltungsunterlagen. Die Daten verließen das Unternehmen während der Geschäftszeiten über einen Kanal, der wie eine routinemäßige Synchronisierung von innen aussah.
Kaum jemand rechnet mit diesem Schritt, und genau dieser macht Backups als alleinige Lösung wirkungslos.
Tag 6: Alles steht auf einmal still
Über Nacht deaktivierte der Angreifer von einem einzigen Verwaltungspunkt aus die Backups und verschlüsselte die Systeme. Das geschah nicht Rechner für Rechner. Alles fiel gleichzeitig aus.
Kassen, Warenwirtschaft, Logistik, Gehaltsabrechnung und E-Mail fielen kurz vor Ladenöffnung aus. Die Filialen, die konnten, stellten auf Papier um, die anderen öffneten gar nicht erst. Jeder Bildschirm zeigte dieselbe Nachricht: eine Kennung, eine Kontaktadresse und eine Frist.
Die Erpressung: Zwei Uhren, ein Skript
Die Nachricht enthielt zwei Countdowns. Einer zählte die Zeit bis zur Verdopplung des Lösegelds, der andere bis zur Veröffentlichung der gestohlenen Daten. Noch am selben Morgen aktivierte das Unternehmen seinen Krisenplan und schaltete seine Incident-Response-Firma, seinen Versicherer und die Behörden ein.
Auf der anderen Seite saß kein Fanatiker. Da war ein Mitarbeiter mit festen Arbeitszeiten und einem Skript. Ihr Argument war nicht die Verschlüsselung, sondern die Informationen, die sie zwei Tage zuvor entwendet hatten. Verschlüsselung lähmt, aber mit den Daten lässt sich Geld verdienen. Am dritten Tag veröffentlichten sie ein Beispiel mit dem Namen des Unternehmens, sodass die Frist auch öffentlich ablief.
Das Unternehmen zahlte nicht. Es stellte die Daten aus den Backups wieder her, die sicher geblieben waren. Das dauerte Wochen, weil niemand die Reihenfolge der Systemwiederherstellung geprobt hatte. Die Daten wurden trotzdem veröffentlicht. Dann folgten die Meldung an die Datenschutzbehörde, Benachrichtigungen an Kunden und Mitarbeiter sowie ein Verfahren, das weitaus länger dauerte als der Ausfall selbst.
Eine Zahlung hätte nichts davon verhindert. Sobald die Informationen erst einmal in fremden Händen sind, kauft man mit einem Lösegeld nur ein leeres Versprechen.
Warum der Angriff funktionierte
Der Angriff bestand aus fünf Gliedern, und für keines davon waren hochentwickelte Werkzeuge erforderlich. Jedes einzelne nutzte eine vernünftige Entscheidung aus, die niemand je hinterfragt hatte.
Das Ziel war die am leichtesten zugängliche Person, nicht die wichtigste. Der Sachbearbeiter hatte keinen Zugriff auf sensible Daten. Er verfügte über gültige Zugangsdaten und hatte keinen Grund, der Nachricht zu misstrauen.
Eine Ausnahme öffnete Tür und Tor. Die Zwei-Faktor-Authentifizierung für das Ladenpersonal zu überspringen, ergab an dem Tag, als es beschlossen wurde, durchaus Sinn. Niemand überprüfte dies, als dieselben Zugangsdaten plötzlich auch von außerhalb funktionierten.
Der Helpdesk ist eine Sicherheitskontrolle. Es ist die einzige Stelle im Unternehmen, deren explizite Aufgabe es ist, jemandem, der den Zugriff verloren hat, diesen wieder zu gewähren. Sie wird jedoch selten als solche geschult.
Die Signale waren vorhanden, liefen aber nie zusammen. Eine externe Verbindung mitten in der Nacht über ein Ladenkonto. Eine ungewöhnliche Datenübertragung über zwei Tage hinweg. Jedes Signal erreichte eine andere Stelle, und niemand brachte sie miteinander in Verbindung.
Jährliche Schulungen überstehen den Moment der Entscheidung nicht. Zwischen der Schulung und der E-Mail liegen Monate. Zwischen der E-Mail und dem Klick liegen Sekunden. Das Wissen war zwar vorhanden, wurde aber unter Druck nie abgerufen.
Der Handlungsspielraum lag vor der Verhandlung
Die Verhandlung war die einzige Phase des Vorfalls, in der das Unternehmen keinen Spielraum mehr hatte. Der gesamte Spielraum lag davor: in der E-Mail, die niemand meldete, und in dem Anruf, den niemand hinterfragte.
Das ändert die Perspektive für Sicherheitsverantwortliche. Die übliche Frage lautet, wie man die Verschlüsselung stoppt. Nützlicher ist die Frage, welche alltäglichen Entscheidungen, getroffen von welchen Rollen, ein Fremder mit einer glaubwürdigen Geschichte auslösen kann.
So betrachtet waren der Sachbearbeiter und der Support-Mitarbeiter zwei Menschen, die auf Basis der ihnen vorliegenden Informationen routinemäßige Entscheidungen trafen. Die Prozesse um sie herum gingen davon aus, dass diese Informationen privat seien. Das Verhalten ist das System, das verbessert werden muss, und in diesem Fall hätte man es lange vor dem Vorfall messen können.
Was das für Sicherheitsteams bedeutet
Beginnen Sie beim Helpdesk. Ein Verifizierungsverfahren, das nur auf Namen, Rolle und Mitarbeiternummer basiert, prüft lediglich Informationen, die ein Angreifer bereits aus dem ersten kompromittierten Konto beziehen kann. Ein Test mit einem realistischen Anruf, bei dem ein echter Mitarbeiter, korrekte Datenpunkte und eine glaubwürdige Dringlichkeit verwendet werden, zeigt, ob das Verfahren tatsächlich sicher ist oder nur so wirkt.
Überprüfen Sie Ausnahmen regelmäßig und nicht nur bei deren Erstellung. Eine Regel, die sicher war, als Zugangsdaten nur innerhalb der Filiale funktionierten, verliert ihre Sicherheit, sobald sich der Kontext ändert. Dasselbe gilt für Kontrollen, die für bestimmte Mitarbeitergruppen ausgesetzt wurden, weil das Risiko als gering eingestuft wurde.
Betrachten Sie Meldungen als messbares Ergebnis. Wie viele Personen die HR-E-Mail gemeldet haben und wie schnell dies geschah, sagt mehr über Ihr Risiko aus als die Anzahl der Klicks. Eine einzige frühzeitige Meldung hätte dem Unternehmen mehrere Tage Zeit zur Reaktion gegeben, statt nur Stunden.
Schulen Sie rollenbasiert und zum richtigen Zeitpunkt. Ein Filialmitarbeiter und ein Helpdesk-Mitarbeiter sind unterschiedlichen Angriffen über verschiedene Kanäle ausgesetzt. Ein Programm, das nur E-Mail-Phishing simuliert, hätte zwar den ersten Schritt dieses Angriffs erkannt, wäre aber für den entscheidenden zweiten Schritt blind geblieben.
Dies ist der Teil des Vorfalls, den wir bei Zepo messen, trainieren und reduzieren können. Der Angriff bestand aus fünf Schritten, wobei die Verschlüsselung den Abschluss bildete. Die beiden Schritte, die den Angriff ermöglichten und zum Erfolg führten, waren Mitarbeiter, die lediglich ihre Arbeit mit den ihnen vorliegenden Informationen erledigten.
FAQ
Was ist Vishing? Vishing steht für Voice-Phishing: Ein Angreifer ruft ein Ziel an und nutzt eine glaubwürdige Geschichte, oft unter Verwendung echter Namen und Mitarbeiterdaten, um Zugang oder Informationen zu erlangen. Laut Mandiant war dies 2025 mit 11 % der Vorfälle der zweithäufigste initiale Infektionsvektor (Mandiant M-Trends 2026, März 2026).
Wie umgehen Angreifer die Helpdesk-Verifizierung? Sie sammeln die für das Verfahren erforderlichen Details, wie Name, Rolle und Mitarbeiternummer, aus einem kompromittierten Konto oder öffentlichen Quellen. Der Mitarbeiter verifiziert dann Daten, die der Angreifer bereits besitzt – eine korrekte Antwort beweist also gar nichts.
Warum reichen Backups als Schutz vor Ransomware nicht aus? Angreifer kopieren Daten oft, bevor sie diese verschlüsseln. Die Wiederherstellung aus Backups stellt zwar die Systeme wieder her, aber nicht die gestohlenen Informationen, die der Angreifer weiterhin veröffentlichen oder verkaufen kann.
Wie testet man, ob ein Helpdesk resistent gegen Social Engineering ist? Führen Sie eine realistische Anrufsimulation mit einer echten Mitarbeiteridentität, korrekten Verifizierungsdaten und einem plausiblen, dringenden Grund durch. Messen Sie, ob der Mitarbeiter den Zugang wiederherstellt, den Vorfall eskaliert oder einen zweiten Verifizierungskanal anfordert.
.png)
.png)
.png)
.png)
