Spear Phishing

In den letzten Jahren haben Cyber-Kriminelle ihre Angriffs-Methoden immer weiter verfeinert und perfektioniert. Während in den Anfangszeiten noch in sehr schlechtem Deutsch verfasste E-Mails an Tausende von Nutzern gleichzeitig geschickt wurden, um Passwörter oder andere Daten in Erfahrung zu bringen, tritt eine neue Variante des Phishings immer häufiger zu Tage: Das Spear Phishing. Was das genau ist und wie man sich dagegen schützen kann, wird in diesem Artikel näher beschrieben.

Da es sich beim Spear Phishing um eine gezielte Attacke handelt, spähen die Hacker im Vorfeld die Mitarbeiter und das Unternehmen aus. Das kann über die sozialen Netzwerke stattfinden oder anhand öffentlicher Informationen. Je nachdem, an welchen Daten die Hacker interessiert sind, wählen sie dann ihre „aussichtsreichsten“ Opfer aus.

Hacker nutzen und verfassen anschließend eine personalisierte E-Mail die in eindeutigem Bezug zum Umfeld der ZIelperson steht. Diese schicken sie an einen einzelnen, ausgewählten Mitarbeiter. Manchmal zielen die Täter gar nicht auf Zugangsdaten ab, sondern schleusen per Phishing-Mail Schadsoftware ins Unternehmen ein. In solchen Fällen wird in der Mail dazu aufgefordert, den mit Malware versuchten Anhang zu öffnen oder einen gefälschten Spear Phishing Link zu öffnen. Folgt man dieser Aufforderung installiert sich die Schadsoftware auf dem Rechner und kann sich sogar im gesamten Firmennetzwerk verbreiten und andere Rechner befallen.

Beliebt, um Geld zu erpressen, ist das Einschleusen von sogenannter Ransomware. Diese verschlüsselt sämtliche Laufwerke, sodass Nutzer keinen Zugriff mehr auf die Daten haben . Manchmal können Wochen oder sogar Monate vergehen, bis die Verschlüsselung erfolgt. Hacker nutzen die Zeit nach erfolgtem Zugriff, um im Firmennetzwerk die Rechner des Unternehmens gründlich ausspionieren. Das Opfer bekommt dann erst zum Zeitpunkt der Verschlüsselung einen Hinweis angezeigt, dass er/sie eine Überweisung tätigen soll (meist in Form von Bitcoin, um die Nachverfolgung zu erschweren), damit die Daten wiederhergestellt werden. Drohungen zur Veröffentlichung sensibler Unternehmensinformationen kommen auch immer öfter vor.

Durch solche Spear Phishing Angriffe können einem Unternehmen nicht nur enorme finanzielle Verluste, sondern auch Imageschäden gegenüber Partnern und Kunden entstehen. Sobald sensible Daten wie zum Beispiel Kundeninformationen oder Firmengeheimnisse in Besitz von Dritten gelangen, kann das zudem große Wettbewerbsnachteile bedeuten. Zudem ist ein Unternehmen haftbar, da es seiner Verpflichtung zum Datenschutz nicht nachgekommen ist. Dadurch können Rechtsstreitigkeiten mit Geschäftspartnern oder Kunden entstehen, die sich negativ auf das zukünftige Geschäftsverhältnis auswirken können.

Selbst durch ein gut gesichertes Firmennetzwerk und einen effektiven Spam-Filter schaffen es vor allem personalisierte Spear Phishing Mails oftmals dennoch in das Postfach der Mitarbeiter. Erhält man eine Phishing-Mail oder ist sich nicht sicher, sollte man nichts anklicken und die IT-Abteilung oder den IT-Sicherheitsbeauftragten zu Rate ziehen, sowie ggf. seine Kollegen dazu ansprechen.

Eine wirksame Security Awareness Kampagne beinhaltet auch ein Spear Phishing Training. Die Kampagne vermittelt Informationen, wie man eine Spear Phishing Attacke erkennt und wie man sich dabei richtig verhält. Nach der ersten Wissensvermittlung sollten die Mitarbeiter einer Spear Phishing Simulation ausgesetzt werden, um zu sehen, ob das übertragene Wissen auch sicher angewendet wird. Ein aussagekräftiges Reporting mit genauen KPIs sollte jederzeit Auskunft über den Wissensstand der Mitarbeiter sowie deren Anti Spear Phishing Verhalten geben.

Das regelmäßige Ändern von Passwörtern ist zusätzlich eine Möglichkeit, den Schaden zu begrenzen, falls doch einmal Daten nach außen gelangen sollten. Außerdem sollten die E-Mail-Programme so eingestellt werden, dass sich HTML-Code oder Bilddateien nicht automatisch öffnen, denn dadurch kann auch Schadcode ausgeführt werden.