Auf die, die um 17:55 den Phishing-Verdacht noch melden
Stille Arbeit, Folge 2: Freitag, kurz vor Feierabend, ein Klick auf einen Link, der sich falsch anfühlt. Zwei Möglichkeiten: den Rechner zuklappen und hoffen, oder anrufen und sagen, dass man vielleicht etwas angeklickt hat. Warum die zweite oft die früheste Erkennung ist, die ein Haus bekommt, wo der IT-Grundschutz sie verlangt, und warum sie so selten gedankt wird.
Freitag, 17:55. Die Jacke hängt schon über der Stuhllehne. Eine letzte Mail: eine Paketzustellung, die nicht geklappt hat, ein Link zur neuen Terminwahl. Der Link ist schon angeklickt, als die Seite merkwürdig aussieht. Ein Anmeldefenster, das fast so aussieht wie das eigene.
Jetzt gibt es zwei Möglichkeiten. Den Rechner zuklappen, ins Wochenende gehen und hoffen, dass es nichts war. Oder die Nummer der IT anrufen, den Meldeknopf drücken, und einen Satz sagen, der niemandem leichtfällt: „Ich habe da vielleicht etwas angeklickt.“
Was die Meldung verhindert
Wer die Zugangsdaten auf einer gefälschten Seite eingibt, gibt sie jemandem, der damit sofort arbeiten kann. Kommt die Meldung um 17:55, kann das Passwort um 18:05 zurückgesetzt und die Sitzung beendet sein. Kommt sie am Montag um acht, hatte jemand anderes ein Wochenende Zeit: für eine Weiterleitungsregel im Postfach, für Mails an Kunden im fremden Namen, für den nächsten Schritt ins Netz.
Kein Filter und kein Monitoring erkennt einen solchen Klick so früh wie der Mensch, der ihn gerade gemacht hat. Die Meldung ist deshalb oft die früheste Erkennung, die ein Haus überhaupt bekommt.
Wo sie verlangt wird
Der IT-Grundschutz setzt voraus, dass diese Meldung möglich ist. Im Baustein DER.2.1 Behandlung von Sicherheitsvorfällen verlangt die Anforderung A9, es solle sichergestellt sein,
„dass Mitarbeitende Sicherheitsvorfälle über verlässliche und vertrauenswürdige Kanäle schnell und einfach melden können.“
Für erhöhten Schutzbedarf geht A20 weiter: Es solle möglich sein, Sicherheitsvorfälle auch außerhalb der üblichen Arbeitszeiten zu melden. Also genau um 17:55 an einem Freitag, und um 22 Uhr auch.
Warum es so schwer ist
Die Meldung ist ein Geständnis. Wer anruft, steht als die Person da, die geklickt hat. Der Baustein beschreibt in seiner Gefährdungslage einen ähnlichen Fall aus dem IT-Betrieb: Ein Server wird kompromittiert, weil Updates fehlen, und um Konsequenzen zu entgehen, werden sie schnell nachgespielt, bevor jemand die Ursache untersuchen kann. Das Fazit des BSI:
„Eine mangelhafte Fehlerkultur hat somit eine Analyse des Problems verhindert.“
Häuser, in denen auf eine Meldung eine Rüge folgt, bekommen keine Meldungen mehr. Sie bekommen nur noch Vorfälle, die sie selbst finden müssen, später.
Auf sie
Auf die, die kurz vor Feierabend noch anrufen, obwohl es peinlich ist und obwohl es vielleicht nichts war. Und auf die am anderen Ende der Leitung, die dann „danke“ sagen und nicht „schon wieder“.
Quellen
BSI IT-Grundschutz-Kompendium, Edition 2023, Baustein DER.2.1 Behandlung von Sicherheitsvorfällen, Gefährdungslage 2.2 sowie Anforderungen A9 und A20.
In der nächsten Folge: Auf die, die in der Stabsübung sagen: „Das wissen wir nicht.“ Die vorige Folge: Auf die, die die Rücksicherung testen.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.