Die meisten erfolgreichen Angriffe auf Unternehmen brechen nichts auf. Sie fragen freundlich nach und bekommen eine Antwort. Diese Seite zeigt die Maschen, die tatsächlich funktionieren, und was im Einzelfall hilft. Geschrieben für Menschen, die keine IT machen, sondern ihre Arbeit.
Sechs Maschen
Keine Hacker in dunklen Kapuzen. Diese sechs Fälle machen den Großteil der Schäden im Mittelstand aus, und alle sechs zielen auf Menschen, nicht auf Technik.
Eine Führungskraft bittet dringend um eine Überweisung, um Gutscheinkarten oder um Zugangsdaten, und bittet gleichzeitig um Diskretion. Eilfrist plus Geheimhaltung plus ungewöhnlicher Zahlungsweg ist das Muster. Prüfen Sie über eine Nummer, die Sie schon vorher hatten.
Ein echter Lieferant schreibt aus einem echten, aber übernommenen Postfach, dass sich seine Bankdaten geändert haben. Der teuerste Fall überhaupt. Bankdaten werden ausschließlich mündlich bestätigt, über eine Nummer aus Ihren Stammdaten.
Ein Link führt auf eine nachgebaute Seite von Microsoft, der Bank oder des Paketdienstes. Adressen liest man von rechts: bei windinx.de.kunden-login.xyz gehört die Seite zu kunden-login.xyz. Anmeldeseiten ruft man ohnehin besser über das eigene Lesezeichen auf.
Ein freundlicher Anrufer kennt den Namen Ihres Dienstleisters und möchte kurz per Fernwartung auf Ihren Rechner. Wer anruft, hat sich Sie ausgesucht. Auflegen und unter der bekannten Nummer zurückrufen, ein seriöser Dienstleister hat damit nie ein Problem.
Jemand mit Werkzeugkoffer folgt Ihnen ins Gebäude. Der Trick heißt Tailgating und funktioniert, weil Höflichkeit stärker wirkt als Misstrauen. Sie müssen niemanden entlarven, Sie müssen ihn nur zum Empfang begleiten.
Aufkleber an Türen, Ladesäulen und Parkautomaten werden überklebt, und in Briefen tauchen gedruckte Codes auf. Der Code selbst ist harmlos, er ist nur eine Adresse in Bildform. Ihr Handy zeigt diese Adresse vor dem Öffnen an, und diese Anzeige ist dazu da, gelesen zu werden.
Sie müssen keine Kopfzeilen lesen und keine Anhänge analysieren. Drei Handgriffe reichen im Alltag aus, und sie kosten zusammen weniger Zeit als das Öffnen der Mail.
Wenn zwei davon nicht stimmen, ist die Sache erledigt: nicht klicken, nicht antworten, sondern an die IT geben. Eine Rückfrage kostet fünf Minuten. Ein Klick kann Tage kosten.
Der erzwungene Wechsel alle dreißig Tage hat ausgedient. Er führt nachweislich zu schwächeren Passwörtern, weil Menschen dann hochzählen, und sowohl das BSI als auch das amerikanische NIST raten inzwischen davon ab. Was wirklich zählt, ist etwas anderes.
Und der wichtigste Satz zum zweiten Faktor: Bestätigen Sie nie eine Anmeldung, die Sie nicht selbst gerade ausgelöst haben. Kommt eine Anfrage unaufgefordert, ist das kein Fehler des Systems. Es heißt, dass jemand Ihr Passwort bereits hat. Ablehnen, melden, Passwort ändern.
Wenn doch etwas passiert ist
Der häufigste Grund, warum aus einem Klick ein Schaden wird, ist nicht der Klick. Es ist die Stunde, die aus Scham vergeht, bis jemand Bescheid sagt.
An die IT, auch bei Unsicherheit. Ein Fehlalarm kostet fünf Minuten. Ein verschwiegener Vorfall kostet Tage.
Keine Mails löschen, keinen Verlauf leeren. Genau diese Spuren braucht die Auswertung, um den Schaden einzugrenzen.
Nach der Meldung, nicht davor, und von einem Gerät, dem Sie trauen. Betroffen ist auch jeder andere Dienst mit demselben Passwort.
Uhrzeit, Absender, was angeklickt und was eingegeben wurde. Zwei Sätze reichen und sparen später eine Stunde Rekonstruktion.
Ein Wort an Führungskräfte: Wer Meldungen mit Ärger beantwortet, bekommt keine Meldungen mehr, sondern nur noch spätere. Eine Kultur, in der ein Klick ohne Vorwurf gemeldet werden kann, ist die wirksamste Einzelmaßnahme in diesem ganzen Themenfeld, und sie kostet nichts.
Häufige Fragen
Fünfzehn Situationen aus dem Arbeitsalltag, jeweils mit Auflösung und Begründung. Läuft komplett im Browser, ohne Anmeldung, ohne Speicherung.
Security-Quiz starten