Die wichtigsten Erkenntnisse
- Vishing-Angriffe haben dramatisch zugenommen, wobei organisierte Gruppen Social Engineering industrialisieren, um sich über Helpdesks einen ersten Zugriff zu verschaffen.
- Angreifer wechseln schnell von kompromittierten Benutzerkonten zu dauerhaften Maschinenidentitäten wie OAuth-Tokens und Dienstkonten.
- Den meisten Unternehmen fehlen Governance-Maßnahmen und Transparenz in Bezug auf nicht-menschliche Identitäten (NHI), was eine erhebliche Sicherheitslücke darstellt.
- Eine wirksame Readiness hängt davon ab, Identitätssignale miteinander zu verknüpfen und Maschinenidentitäten als risikobehaftete Ressourcen zu behandeln.
- Echte Widerstandsfähigkeit erfordert die Fähigkeit, unbefugte Änderungen an Berechtigungen zu erkennen und rückgängig zu machen, bevor Angreifer eine dauerhafte Präsenz etablieren.
Ihre Helpdesk-Mitarbeiter haben gerade einen Anruf erhalten. Der Anrufer kannte den Namen des Mitarbeiters, dessen Vorgesetzten und die letzten vier Ziffern seiner Personalnummer. Er bat um eine Passwortzurücksetzung. Standardverfahren. Der IT-Mitarbeiter kam der Bitte nach.
Dieser Anruf war ein Betrugsversuch. Und der Angreifer ist nun im System.
Voice-Phishing – „Vishing“ – stieg im Jahr 2025 um 449 %. Angreifergruppen haben Social Engineering zu einem skalierbaren Geschäft gemacht: Sie rekrutieren Anrufer, verfassen Skripte und zahlen 500 bis 1.000 Dollar pro erfolgreicher Helpdesk-Identitätsfälschung. Sie haben es nicht auf Ihre Daten abgesehen. Sie suchen nach einem Einstiegspunkt.
Sobald sie drinnen sind, verweilen Angreifer nicht lange beim menschlichen Konto. Sie bewegen sich lateral – stehlen OAuth-Token, erstellen neue administrative Dienstkonten und betten Zugriffsrechte in Anmeldedaten auf Maschinenebene ein, die niemand überwacht. Im Gegensatz zu menschlichen Passwörtern werden diese Anmeldedaten selten gewechselt. Sie lösen keine Anmeldewarnungen aus. Sie können eine vollständige Bereinigung des ursprünglich kompromittierten Benutzers überstehen.
Bis Ihr Sicherheitsteam das Ticket zum Helpdesk-Vorfall schließt, hat sich der Angreifer möglicherweise schon seit Wochen unbemerkt in Ihrer Umgebung eingenistet. Die Lücke in der Governance verschlimmert die Situation noch.
Weniger als 25 % der Unternehmen verfügen über formelle Richtlinien für die Erstellung oder Stilllegung von NHIs – also den Dienstkonten, API-Schlüsseln und OAuth-Tokens, deren Anzahl mittlerweile die der menschlichen Nutzer im Verhältnis 144:1 übersteigt. Fast alle von ihnen verfügen über Berechtigungen, die weit über das hinausgehen, was ihre Funktion erfordert.
Die meisten Unternehmen haben fast kein Vertrauen in ihre Fähigkeit, einen Angriff zu erkennen, der auf diese Ebene abzielt. Das ist kein Versagen der Prävention. Es ist ein Versagen der Recovery-Planung.
Wie Readiness aussieht
Prävention am Helpdesk ist wichtig – Schulungen, Rückrufüberprüfung, Out-of-Band-Bestätigung. Aber das allein reicht nicht aus. Angreifer industrialisieren ihre Angriffe schneller, als Sensibilisierungsprogramme mithalten können.
Readiness bedeutet, die Signale miteinander zu verknüpfen: Eine Interaktion am Helpdesk, auf die unmittelbar ein Reset der Multi-Faktor-Authentifizierung (MFA) oder die Erstellung eines neuen Tokens folgt, ist ein Indikator für eine Kompromittierung mit hoher Wahrscheinlichkeit.
Es bedeutet, Maschinenidentitäten als Tier-0-Assets zu behandeln – ihre Erstellung zu regeln, ihre Berechtigungen festzulegen und auf unbefugte Eskalationen zu überwachen. Und es bedeutet, böswillige Änderungen an Berechtigungen schnell zu erkennen und rückgängig zu machen, bevor sie zur neuen Normalität werden.
Erfahren Sie, wie die Identitätsresilienz von Commvault die schnelle Erkennung, Rückgängigmachung und Recovery Ihrer Identitätsumgebung unterstützt.
FAQs
F: Was ist ein Vishing-Angriff im Kontext der Unternehmenssicherheit?
A: Beim Vishing (Voice-Phishing) werden Telefonanrufe genutzt, um sich als Mitarbeiter auszugeben und IT-Helpdesks dazu zu manipulieren, Zugriff zu gewähren – typischerweise durch das Zurücksetzen von Passwörtern oder MFA-Daten. Diese Vorgehensweise wird zunehmend industrialisiert: Organisierte Gruppen rekrutieren Anrufer und verwenden vorformulierte Skripte, um die Erfolgsquote zu maximieren.
F: Warum wechseln Angreifer nach einem Vishing-Einstieg zu Maschinenidentitäten?
A: Menschliche Konten werden bereinigt. Maschinenidentitäten – OAuth-Token, Dienstkonten, API-Schlüssel – sind beständiger und werden selten rotiert; oft sind sie für herkömmliche Überwachungsmaßnahmen unsichtbar. Durch die Verlagerung des Zugriffs auf die Maschinenebene können Angreifer diese Beständigkeit auch lange nach der Erkennung und Behebung des ursprünglichen Bruchs menschlicher Anmeldedaten aufrechterhalten.
F: Was bedeutet „Identitätsresilienz“ in der Praxis?
A: Es bedeutet, dass Ihr Unternehmen dazu beitragen kann, unbefugte Änderungen von Zugriffsrechten nahezu in Echtzeit zu erkennen und die Identitätsumgebung schnell wieder in einen vertrauenswürdigen Zustand zu versetzen. Die Erkennung allein reicht nicht aus – die Fähigkeit, böswillige Aktivitäten rückgängig zu machen und zu überprüfen, ob Maschinenidentitäten nicht manipuliert wurden (oder, falls doch, sie auf einen früheren, einwandfreien Zeitpunkt zurückzusetzen), ist entscheidend dafür, ob ein Unternehmen Readiness hat oder einem Risiko ausgesetzt ist.
Vidya Shankaran ist Field CTO bei Commvault.
