Vishing, Smishing und Pretexting

Obwohl Phishing die Schlagzeilen beherrscht, nutzen Angreifer mehrere Kommunikationskanäle, um Opfer zu manipulieren. Vishing nutzt Sprachanrufe, Smishing verwendet SMS-Nachrichten, und Pretexting bezeichnet das Erfinden eines glaubwürdigen falschen Szenarios (Vorwands), um zu begründen, warum das Opfer einer Aufforderung nachkommen sollte. Diese Angriffe sind nicht erfolgreich, weil die Opfer unwissend sind, sondern weil sie grundlegende menschliche Instinkte ausnutzen: Vertrauen in Autorität, den Wunsch zu helfen und die Neigung, unter Druck Anweisungen zu befolgen.

Vishing (Voice-Phishing) nutzt Telefonanrufe, um Opfer zu manipulieren. Gängige Vorwände sind beispielsweise die Imitation eines IRS-Mitarbeiters, der wegen unbezahlter Steuern mit einer Verhaftung droht, einer Bankbetrugsabteilung, die vor verdächtigen Transaktionen warnt, eines Supportmitarbeiters, der behauptet, einen Virus entdeckt zu haben, oder einer Behörde für staatliche Leistungen, die eine Verifizierung verlangt. Angreifer verwenden Anrufer-ID-Spoofing, um die Telefonnummer einer legitimen Organisation anzuzeigen. Vishing-Kampagnen mit automatisierten Anrufen werden in großem Umfang durchgeführt und verbinden interessierte Opfer anschließend mit echten Mitarbeitenden. Der Echtzeitcharakter von Sprachanrufen erzeugt Druck, der kritisches Denken erschwert.

Smishing (SMS-Phishing) übermittelt Phishing-Köder per SMS. Bei gängigen Smishing-Nachrichten werden Paketdienste (FedEx, UPS, USPS) imitiert und gefälschte Sendungsbenachrichtigungen mit schädlichen Links versendet. Andere Nachrichten stammen angeblich von Banken, die vor verdächtigen Abbuchungen warnen, oder von Mobilfunkanbietern, die auf Probleme mit dem Konto hinweisen. Smishing-URLs verwenden häufig URL-Shortener oder ähnlich aussehende Domänen. Mobilgeräte sind möglicherweise anfälliger als Desktopgeräte, da kleinere Bildschirme die Prüfung von URLs erschweren und mobile Browser häufig nicht die vollständige Adresse anzeigen. Außerdem genießen SMS von Natur aus ein gewisses Vertrauen – Nutzerinnen und Nutzer reagieren auf Textnachrichten tendenziell schneller als auf E-Mails.

Pretexting bezeichnet das Erfinden eines falschen, aber glaubwürdigen Szenarios, das den Kontext für eine Social-Engineering-Aufforderung schafft. Ohne einen überzeugenden Vorwand würden Aufforderungen nach sensiblen Informationen oder ungewöhnlichen Handlungen sofort Verdacht erregen. Ein Angreifer könnte sich beispielsweise als neuer IT-Dienstleister ausgeben, der Hilfe beim Zugriff auf Systeme benötigt, als Prüfer, der Zugriff auf Finanzunterlagen verlangt, oder als Lieferant, der in das Gebäude „hineingelassen“ werden muss. Der Vorwand muss nicht aufwendig sein – er muss lediglich plausibel genug wirken, damit das Ziel die Aufforderung ausführt, ohne vorher innezuhalten und sie zu überprüfen.

Die Einflussprinzipien von Robert Cialdini erklären, warum Social Engineering funktioniert. Autorität – Menschen kommen Personen nach, die sie als Autorität wahrnehmen (CEO, IRS, Polizei). Dringlichkeit/Knappheit – Zeitdruck verhindert eine sorgfältige Bewertung („Handeln Sie innerhalb der nächsten 10 Minuten“). Soziale Bewährtheit – Menschen tun, was andere tun. Sympathie – Menschen kommen Personen nach, denen sie vertrauen oder die ihnen sympathisch sind. Reziprozität – Menschen fühlen sich verpflichtet, Gefälligkeiten zu erwidern. Commitment – Sobald eine kleine Verpflichtung eingegangen wurde, neigen Menschen dazu, auch größere Verpflichtungen einzuhalten. Das Verständnis dieser Prinzipien hilft Schulungsverantwortlichen für Sicherheitsbewusstsein, wirksamere Gegenbotschaften zu entwickeln.

Moderne VoIP-Technologie macht Anrufer-ID-Spoofing trivial. Dienste wie SpoofCard, Twilio und verschiedene VoIP-APIs ermöglichen es jedem, vor dem Anruf die angezeigte Anrufer-ID auf eine beliebige Nummer zu setzen. Angreifer fälschen regelmäßig die Nummern von Bank-Kundenservices, Behörden oder sogar die eigene Nummer des Opfers (Neighbor Spoofing). Das STIR/SHAKEN-Framework (Secure Telephony Identity Revisited / Signature-based Handling of Asserted information using toKENs) wurde in den USA vorgeschrieben, um die Anrufer-ID kryptografisch zu authentifizieren, wird aber noch nicht flächendeckend eingesetzt. Vertrauen Sie zur Identitätsprüfung niemals ausschließlich auf die Anrufer-ID.

Mitarbeitende im Helpdesk sind besonders attraktive Ziele für Vishing, weil es zu ihren Aufgaben gehört, Nutzerinnen und Nutzern zu helfen – dadurch entsteht ein natürlicher Konflikt mit Sicherheitsverfahren. Ein typischer Angriff läuft so ab: Der Angreifer ruft an und gibt sich als leitender Mitarbeiter aus, der dringend eine Zurücksetzung seines Kontos benötigt, weil er kurz vor einem wichtigen Meeting ausgesperrt wurde. Die Kombination aus Autorität und Dringlichkeit kann dazu führen, dass ein hilfsbereiter Helpdesk-Mitarbeiter Verifizierungsschritte überspringt. Der bekannte Twitter-Hack von 2020 begann mit Vishing-Angriffen auf Twitter-Mitarbeitende, durch die Angreifer Zugriff auf interne Tools erhielten. Helpdesks benötigen strenge Verfahren zur Identitätsprüfung, von denen unabhängig von der Dringlichkeit nicht abgewichen werden darf.

Ein SIM-Swap-Angriff kombiniert Vishing und Social Engineering gegen den Kundensupport eines Mobilfunkanbieters. Der Angreifer ruft beim Anbieter an, gibt sich als das Opfer aus, beantwortet Fragen zur Identitätsprüfung (unter Verwendung von Informationen aus Datenleaks oder sozialen Medien) und überzeugt den Mitarbeiter, die Telefonnummer des Opfers auf eine vom Angreifer kontrollierte SIM-Karte zu übertragen. Sobald die Nummer gekapert wurde, gehen alle SMS-basierten MFA-Codes an den Angreifer. Dadurch kann er die Konten des Opfers bei E-Mail-Diensten, Banken und Kryptowährungsplattformen übernehmen. Mit SIM-Swapping wurden bereits Kryptowährungen im Wert von Millionen gestohlen.

Zur Erkennung von Social-Engineering-Angriffen müssen Meldungen von Mitarbeitenden mit technischer Protokollierung kombiniert werden. Jede Mitarbeiterin und jeder Mitarbeiter sollte wissen, wie ein verdächtiger Anruf oder eine verdächtige SMS zu melden ist – idealerweise über eine Ein-Klick-Schaltfläche in der E-Mail oder eine eigene E-Mail-Adresse (phishing@company.com). Zu den technischen Indikatoren gehören Anrufprotokolle mit eingehenden Anrufen von gefälschten Nummern, SIEM-Warnungen zu Helpdesk-Kennwortzurücksetzungen nach eingehenden Anrufen sowie Änderungen des Kontozugriffs außerhalb der Geschäftszeiten. Nach einem Vorfall sind Telefonaufzeichnungen und SMS-Protokolle neben E-Mail-Protokollen und Authentifizierungsereignissen wichtige forensische Beweismittel.

Der Schutz vor Pretexting erfordert Verifizierungsverfahren, die Mitarbeitende unabhängig vom empfundenen Druck konsequent befolgen. Zu den wichtigsten Richtlinien gehören: Überprüfen Sie die Identität immer über einen separaten, etablierten Kanal, bevor Sie ungewöhnliche Aufforderungen erfüllen; führen Sie ein Codenamensystem für die Kommunikation mit Führungskräften ein; schulen Sie Mitarbeitende darin, dass sich Autoritätspersonen innerhalb des Unternehmens durch Verifizierungsanfragen nicht angegriffen fühlen werden; und schaffen Sie eine sicherheitsbewusste Kultur, in der die Einhaltung von Verfahren auch dann anerkannt wird, wenn sie geringfügige Unannehmlichkeiten verursacht. Unangekündigte Social-Engineering-Tests zeigen, ob die Schulung in der Praxis wirksam ist.

Für die Security+-Prüfung müssen Sie die Phishing-Kanäle klar unterscheiden. Phishing erfolgt per E-Mail. Vishing erfolgt per Sprache oder Telefon. Smishing erfolgt per SMS. Pharming leitet DNS-Anfragen um, ohne dass ein Klick erforderlich ist. Alle verfolgen dasselbe Ziel – das Opfer dazu zu bringen, Anmeldedaten preiszugeben, Geld zu überweisen oder Malware zu installieren –, doch Übertragungsweg und Gegenmaßnahmen unterscheiden sich. E-Mail verfügt über technische Schutzmaßnahmen (SPF/DKIM/DMARC/Sandboxing); bei Sprache und SMS gibt es deutlich weniger technische Kontrollen, wodurch Schulungen zum Sicherheitsbewusstsein für diese Kanäle noch wichtiger werden.

In dieser Lektion haben Sie gelernt: Vishing nutzt Telefonanrufe mit gefälschter Anrufer-ID, um Autoritätspersonen zu imitieren und Anmeldedaten oder Handlungen zu erlangen, Smishing übermittelt Phishing-Köder per SMS, wobei Nutzerinnen und Nutzer von Mobilgeräten URLs schlechter erkennen können, und Pretexting schafft glaubwürdige falsche Szenarien, die ungewöhnliche Aufforderungen rechtfertigen – geschützt durch strenge Verfahren zur Identitätsprüfung, bandexterne Bestätigung und Schulungen für Mitarbeitende. Als Nächstes befassen wir uns mit physischem Social Engineering durch Tailgating und Baiting.