Phishing-Mail geöffnet: die ersten 30 Minuten

Was die betroffene Person selbst tut, bevor die IT da ist

Das BSI hat zusammen mit der Polizeilichen Kriminalprävention eine Checkliste für den Ernstfall veröffentlicht. Für den Fall, dass Zugangsdaten zu einem Benutzerkonto weitergegeben wurden, nennt sie eine feste Reihenfolge. Zuerst wird schnellstmöglich ein neues Passwort vergeben, unmittelbar danach werden in den Einstellungen alle aktiven Sitzungen beendet. Dann wird geprüft, ob Einstellungen geändert oder Einkäufe getätigt wurden; lässt sich das nicht rückgängig machen oder ist der Zugriff auf das Konto verloren, wird der Anbieter kontaktiert. Zuletzt wird geprüft, ob weitere Konten betroffen sein könnten, etwa weil die Mailadresse zum Zurücksetzen anderer Passwörter hinterlegt ist.

Im Unternehmen verschiebt sich ein Teil dieser Schritte zur IT, weil die Person die Sitzungen eines verwalteten Kontos meist nicht selbst beenden kann und das Zurücksetzen über die Verwaltung läuft. Was bleibt, ist die Meldung, der Verzicht auf weitere Arbeit mit dem betroffenen Konto und die Antwort auf zwei Fragen: Was genau wurde eingegeben, und wurde ein zweiter Faktor bestätigt? Diese beiden Antworten entscheiden darüber, welcher der sechs Fälle vorliegt.

Wurden Zahlungsdaten eingegeben, gilt die Checkliste wörtlich: Die Bank wird informiert, bei Karten und Online-Banking über den Sperrnotruf 116 116. Eine Anzeige empfiehlt das BSI in jedem Fall, auch bei vagem Verdacht.

Wann aus dem Klick ein meldepflichtiger Vorfall wird

Für den Datenschutz ist die Frage, ob personenbezogene Daten betroffen sind und ob daraus ein Risiko für die Rechte und Freiheiten natürlicher Personen folgt. Ein übernommenes Postfach enthält fast immer personenbezogene Daten: Kontaktdaten, Vorgänge, Anhänge. Artikel 33 DSGVO verlangt dann die Meldung an die zuständige Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko. Die Meldung enthält Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen, Kontaktdaten des Datenschutzbeauftragten, wahrscheinliche Folgen und ergriffene Maßnahmen. Unabhängig von der Meldung ist jede Verletzung nach Absatz 5 zu dokumentieren.

Für Einrichtungen, die unter das BSI-Gesetz fallen, kommt § 32 BSIG hinzu. Meldepflichtig ist ein erheblicher Sicherheitsvorfall, also einer, der schwerwiegende Betriebsstörungen oder finanzielle Verluste verursachen kann oder andere Personen erheblich schädigen kann. Ein einzelnes übernommenes Konto ohne weitere Folgen erreicht diese Schwelle meist nicht, ein Konto, aus dem Zahlungsbetrug im Namen des Hauses läuft, unter Umständen schon. Die Erstmeldung muss spätestens 24 Stunden nach Kenntnis erfolgen und enthält zunächst nur die Einschätzung, ob eine rechtswidrige Handlung vorliegt und ob grenzüberschreitende Auswirkungen möglich sind.

Beide Fristen beginnen mit Kenntnis der Organisation, und beide erlauben eine Meldung mit unvollständigen Angaben, die später ergänzt wird. Die häufigste Fehlentscheidung ist, erst die Analyse abzuschließen und dann zu melden. Wer in einem Vorfall feststellt, dass die Bewertung mehr als einen Tag dauern wird, meldet mit dem, was er weiß, und reicht nach.

Warum fehlerfreies Deutsch kein Erkennungsmerkmal mehr ist

Die klassische Schulung hat Beschäftigten beigebracht, auf Rechtschreibfehler, unpersönliche Anrede und schlechte Übersetzungen zu achten. Das BSI hält diese Merkmale für überholt: Sprachmodelle personalisieren Phishing-Nachrichten mit zusätzlichem Kontext, treffen einen bestimmten Schreibstil und erzeugen auch plausible Domainnamen und Adressen.

Was bleibt, sind Merkmale, die mit dem Inhalt nichts zu tun haben: die tatsächliche Zieladresse eines Links, die Domain der Anmeldeseite und die Frage, ob dieser Absender diesen Vorgang auf diesem Weg überhaupt auslösen würde. Dazu kommt der Rückruf über eine selbst herausgesuchte Nummer. Das BSI empfiehlt in seiner Checkliste genau das: die Echtheit einer Mail im Zweifel telefonisch bestätigen zu lassen, und zwar nicht über die Nummer aus der Mail.

Für die IT folgt daraus, dass die technische Seite mehr tragen muss. Phishing-resistente Anmeldung bindet die Authentifizierung an die echte Domain, sodass eine gefälschte Seite mit ihr nichts anfangen kann. Mailgateways können Links umschreiben und Anhänge in einer Sandbox öffnen. Und die Anmeldeprotokolle müssen so ausgewertet werden, dass eine Anmeldung von einer unbekannten Adresse Minuten nach einem Klick auffällt, nicht erst beim nächsten Audit.

Was nach der Bereinigung noch zu tun bleibt

Nach den Sofortmaßnahmen steht die Frage nach der Reichweite. Microsoft empfiehlt, die Überwachungsprotokolle vom Beginn der verdächtigen Aktivität bis zum Abschluss der Bereinigung durchzusehen, die gesendeten Nachrichten des Zeitraums zu prüfen und auf dieser Grundlage festzustellen, welche Daten der Angreifer gesehen oder weitergeleitet hat. Erst dieses Ergebnis erlaubt eine belastbare Aussage gegenüber der Aufsichtsbehörde und gegenüber den Betroffenen.

Der letzte Schritt ist der, der im Alltag ausfällt: die Nachbereitung mit der betroffenen Person. Wer gemeldet hat, bekommt eine Rückmeldung, was die Meldung verhindert hat. Wer nicht gemeldet hat, bekommt eine Erklärung, warum es beim nächsten Mal anders laufen soll, und keine Abmahnung. Eine Meldekultur entsteht nicht durch Schulungen, sondern durch die Erfahrung, dass Melden folgenlos und Schweigen teuer ist.