Warum der nächste Angriff wahrscheinlich nicht per E-Mail kommt

Ein Kunde aus der Baubranche hatte ein sauberes Setup: Phishing-Filter, Mitarbeiterschulungen, sogar eine simulierte Phishing-Kampagne zweimal im Jahr. Trotzdem stand plötzlich ein fremdes Gerät in der VPN-Verbindung zum Firmennetz. Keine verdächtige E-Mail, kein Anhang, kein Klick. Ein Mitarbeiter hatte Monate zuvor sein privates Passwort bei einem Onlineshop verwendet, der gehackt wurde, und dasselbe Passwort für den VPN-Zugang der Firma benutzt. Der Angreifer musste nicht einmal etwas erraten, er hatte die Zugangsdaten fertig aus einem Datenleck gekauft.

Genau das verschiebt sich gerade: Der Einstiegspunkt heißt immer seltener Postfach.

Warum E-Mail nicht mehr der naheliegendste Weg ist

Jahrelang war die Rechnung: Menschen klicken auf Links, also lohnt sich Investition in Spamfilter und Schulungen. Das stimmt weiterhin, aber viele Unternehmen haben genau deshalb aufgeholt, Filter sind besser geworden, Mitarbeitende vorsichtiger. Für Angreifer ist das Postfach dadurch nicht mehr der Weg des geringsten Widerstands. Wiederverwendete Passwörter aus fremden Datenlecks, offene Cloud-Speicher ohne Zugriffsschutz, veraltete Fernwartungssoftware bei einem IT-Dienstleister, ein falsch konfiguriertes API, das interne Daten nach außen zeigt: All das lässt sich automatisiert im großen Stil abklappern, ganz ohne dass irgendjemand im Unternehmen etwas anklicken muss.

Der zweite Weg, der zunimmt, sind Anrufe und Chatnachrichten statt Mails. Ein Anruf beim Helpdesk mit der Bitte, ein Passwort zurückzusetzen. Eine Nachricht in Microsoft Teams, angeblich vom Kollegen aus der Buchhaltung, mit einer dringenden Zahlungsänderung. Beides landet nicht im E-Mail-Filter, weil es dafür gar nicht gedacht ist.

Wo das für Unternehmen teuer wird

Die Schwachstelle liegt selten bei einer einzelnen fahrlässigen Person, sondern bei Zugängen, die niemand mehr auf dem Schirm hat. Der ehemalige Mitarbeiter, dessen Account nie deaktiviert wurde. Der externe Dienstleister mit Fernzugriff, der seit Jahren dieselben Zugangsdaten nutzt. Die Testumgebung, die eigentlich nur intern erreichbar sein sollte und aus Versehen öffentlich im Internet steht. Jeder dieser Punkte funktioniert unabhängig davon, wie gut die eigenen Mitarbeitenden Phishing-Mails erkennen.

Eine kurze Bestandsaufnahme

Vier Fragen helfen, den eigenen blinden Fleck zu finden: Welche Zugänge zu Ihren Systemen bestehen für ehemalige Mitarbeitende oder Dienstleister, die Sie gerade nicht mehr aktiv nutzen? Wo im Unternehmen wird ein Passwort ohne zusätzliche Bestätigung (MFA) akzeptiert? Welche Systeme sind vom Internet aus erreichbar, ohne dass jemand das bewusst entschieden hat? Und: Weiß Ihr Helpdesk, wie er eine echte Rückrufnummer von einer erfundenen unterscheidet, bevor er ein Passwort zurücksetzt?

Was das für Sie bedeutet

E-Mail-Sicherheit bleibt wichtig, aber sie deckt nur noch einen Teil der tatsächlichen Angriffsfläche ab. Wer sein Sicherheitsbudget ausschließlich dort investiert, schützt den Eingang, den mittlerweile fast jeder kennt, und übersieht die Seitentüren. Die gute Nachricht: Die vier Fragen oben lassen sich in den meisten mittelständischen Unternehmen ohne große Projekte beantworten, sie brauchen nur jemanden, der gezielt danach fragt.

Wenn Sie nicht sicher sind, wo Ihre eigenen Seitentüren liegen, ist das ein guter Ausgangspunkt für ein Gespräch.