Defend · Notfall und Sicherheitsvorfall
Phishing
Eine täuschend echte E-Mail, ein Klick, und ein Angreifer ist als Kollege angemeldet und verschickt Mails in Ihrem Namen. Das ist unser Vorgehen, so wie es in dem Fall lief, der unseren Standard gesetzt hat.
Der Angreifer bricht nicht ein. Er meldet sich an.
Eine Phishing-Mail installiert nichts Raffiniertes. Sie holt ein Passwort, und damit meldet sich der Angreifer als Kollege an: liest das Postfach, richtet Regeln ein, die seine Spuren verstecken, leitet weiter, was nützlich ist, und schickt einen Massenversand an alle Kontakte, damit das nächste Unternehmen auch hereinfällt. Bis es jemand bemerkt, gehört ihm das Konto schon eine Weile, und die Mails, die rausgingen, tragen Ihren Namen. Deshalb geht es bei der Antwort um das Konto und alles, was es erreicht hat: sperren, den Angreifer aus jeder Sitzung werfen, entfernen, was er eingerichtet hat, klären, was er geöffnet und verschickt hat, und ausschließen, dass er sich einen weiteren Weg hinein gelegt hat.
Der Ablauf
Was wir tun, in dieser Reihenfolge.
Die Reihenfolge ist dieselbe wie bei jedem Vorfall: eindämmen, prüfen, aufräumen, zuerst Sie informieren, festhalten. Das bedeutet jeder Schritt, wenn der Vorfall ein übernommenes Konto ist.
-
Konto sperren, jede Sitzung widerrufen
Das Passwort wird zurückgesetzt und jede Sitzung des Angreifers widerrufen, wenn nötig im ganzen Tenant. So geht nichts mehr in Ihrem Namen raus, und ein gestohlenes Token funktioniert nicht mehr.
-
Zuerst die Spuren sichern
Bevor irgendetwas aufgeräumt wird, sichern und analysieren wir die Daten zu Mailfluss und Nachrichtenverfolgung, die Anmeldeprotokolle und die Aktivität des Kontos: wann sie hineinkamen, von wo und was sie getan haben.
-
Entfernen, was sie eingerichtet haben
Posteingangsregeln, die ihre Spuren versteckt haben, Weiterleitungen an externe Adressen, App-Berechtigungen und Sitzungen: Alles, was der Angreifer hinzugefügt hat, kommt weg, und das Konto wird gehärtet, bevor es an seinen Besitzer zurückgeht.
-
Der Kette folgen
Welche Konten die Phishing-Mail erreicht hat, welche hereingefallen sind, worauf zugegriffen wurde, was verschickt wurde und an wen. Die Betroffenen im Unternehmen werden erfasst, die Empfänger außerhalb eingegrenzt.
-
Alles drumherum prüfen
Server und die Systeme um sie herum, das Netzwerk, die Geräte, von denen das Konto angemeldet war: Die übrigen Wege hinein werden geprüft und ausgeschlossen, damit der Angreifer nicht irgendwo anders noch drin ist.
-
Dem Datenschutzbeauftragten die Fakten liefern
Für die Entscheidung, ob gemeldet werden muss: welche Daten, welche Personen, wann, und der zeitliche Ablauf, in der Form, die Meldung und Folgenabschätzung brauchen. Die rechtliche Bewertung bleibt bei Ihnen.
Schriftlich festgehalten
In Ihrer Nachweismappe.
- Der zeitliche Ablauf: erster Anruf, Konto gesperrt, alle Sitzungen widerrufen, letzte Prüfung
- Welche Konten erreicht wurden, worauf zugegriffen und was an wen verschickt wurde
- Was entfernt wurde: Regeln, Weiterleitungen, Sitzungen, Berechtigungen
- Die Fakten, die Ihr Datenschutzbeauftragter bekommen hat, und wann
- Ein kurzer technischer Bericht, eine Fassung für Ihr Unternehmen und eine Zusammenfassung für die Führung
Was ohne festen Ablauf schiefgeht.
-
Nur das Passwort wird geändert
Das Passwort ist zurückgesetzt, alle atmen auf. Die Sitzungen des Angreifers bleiben gültig, seine Weiterleitung bleibt bestehen, und das Postfach läuft wochenlang weiter nach draußen.
-
Das zweite Konto, das niemand geprüft hat
Der Massenversand kam von einem Konto, also wird ein Konto bereinigt. Die Phishing-Mail hatte sechs weitere erreicht, und eines davon war schon hereingefallen.
-
Der Bericht aus dem Gedächtnis
Eine Woche später fragt der Datenschutzbeauftragte, was das Unternehmen wann verlassen hat. Die Protokolle sind überschrieben, das Postfach ist aufgeräumt, und die Antwort ist eine Vermutung.
Ebenfalls unter Notfall und Sicherheitsvorfall
Häufige Fragen
Haben Sie das so wirklich für einen Kunden gemacht?
Ja. Bei einem Immobiliendienstleister fiel jemand im Team auf eine Phishing-Mail herein; der Angriff erreichte sieben Konten, und der Angreifer verschickte einen Massenversand mit 2.500 Mails. Zwei unserer Techniker arbeiteten ab dem ersten Tag parallel. Am sechsten Tag waren alle Sitzungen im Tenant widerrufen, am siebten die übrigen Wege hinein ausgeschlossen und die Antwort an den Datenschutzbeauftragten fertig. Dieses Vorgehen wurde unser Standard für jeden Kunden.
Müssen wir unseren Mandanten und Kunden sagen, dass Mails in unserem Namen rausgingen?
Das ist Ihre Entscheidung, und die rechtliche Bewertung bleibt bei Ihnen. Wir liefern die Fakten dafür: welche Empfänger was bekommen haben, wann, und ob auf etwas von ihnen zugegriffen wurde. Dann helfen wir Ihnen, es in Worten zu sagen, die stimmen, und Ihre Nachweismappe hält es fest.
Können Sie Phishing ganz verhindern?
Das kann niemand, und wir behaupten es nicht. Die Schichten vor dieser Seite, E-Mail-Sicherheit, ein zweiter Faktor für alle und Conditional Access, halten die meisten Versuche ab; diese Seite ist für den einen, der durchkommt. Was wir versprechen können: Die Reihenfolge ist jedes Mal dieselbe, und sie endet im Protokoll.
Start
Was passiert bei Ihnen, wenn jemand klickt?
Im Erstgespräch gehen wir durch, wen Ihr Team anrufen würde, wer ein Konto sperren und seine Sitzungen widerrufen könnte und was Ihre Nachweismappe danach zeigen würde.
- Kein First Level
- Keine Überraschungen
- Erst testen, dann entscheiden