Ich hätte vor ein paar Jahren wahrscheinlich gesagt: eher nicht. Heute würde ich das nicht mehr unterschreiben. Ich habe mir einen aktuellen Fall angesehen, den Proofpoint veröffentlicht hat. Dabei geht es um eine Gruppe, die von den Sicherheitsforschern als „China-aligned“ eingestuft wird und gezielt Personen aus dem amerikanischen KI-Umfeld angesprochen haben soll. Was mich daran beschäftigt, ist gar nicht der eigentliche Phishing-Link. Sondern alles, was vorher passiert.
Die erste Nachricht war offenbar bewusst unspektakulär. Eine fachliche Anfrage. Ein Thema, das zur angeschriebenen Person passt. Nichts, bei dem man sofort denkt: Angriff. Und genau das ist clever. Denn sobald ich antworte, hat die Gegenseite schon einiges gelernt. Die Adresse funktioniert. Ich beschäftige mich mit dem Thema. Ich bin grundsätzlich bereit zu kommunizieren.
Vor allem aber entsteht etwas, das technisch kaum zu messen ist: Vertrauen.
Erst später kommt der eigentliche Angriff. Ein Dokument. Eine Anmeldung. Eine Seite, die so aussieht, wie man sie kennt. Und plötzlich geht es nicht mehr um eine E-Mail, sondern möglicherweise um das Microsoft-Konto, Cloud-Daten, interne Kommunikation und im schlimmsten Fall um die nächsten Personen im Unternehmen. So habe ich diesen Fall jedenfalls verstanden: Der Angriff beginnt heute nicht zwingend mit Schadsoftware. Er kann mit einem völlig normalen Gespräch beginnen. Und wenn man das einmal weiterdenkt, wird es unangenehm. KI kann Texte inzwischen so formulieren, dass schlechte Grammatik oder merkwürdige Formulierungen als Warnsignal zunehmend wegfallen. Stimmen lassen sich imitieren. Informationen über Mitarbeiter, Geschäftsführer und Projekte finden sich öffentlich auf LinkedIn, Unternehmensseiten und in Pressemitteilungen. Gleichzeitig werden Phishing-Seiten technisch immer besser.
Das bedeutet für mich nicht, dass künftig jede E-Mail verdächtig ist. Es bedeutet etwas anderes:
Unternehmen müssen ihre Mitarbeiter auf eine Form von Angriff vorbereiten, bei der der Angreifer nicht wie ein Angreifer aussieht. „Nicht auf unbekannte Links klicken“ ist dafür schlicht zu wenig. Man muss verstehen, wie Vertrauen aufgebaut wird, welche Informationen über das eigene Unternehmen öffentlich sichtbar sind und warum ein Angreifer vielleicht mehrere Schritte investiert, bevor überhaupt etwas Auffälliges passiert. Genau deshalb finde ich das Thema externe Angriffsfläche so spannend. Bei SiteWarden beschäftigen wir uns genau mit dieser Frage: Was kann jemand über ein Unternehmen von außen sehen, finden und möglicherweise gegen das Unternehmen verwenden? Denn vielleicht ist die wichtigste Frage künftig nicht mehr: „Ist dieser Link echt?“ Sondern: „Woher weiß ich eigentlich, dass die Person vor diesem Link überhaupt echt war?“