E-Mail-Absender lassen sich mit minimalem Aufwand fälschen. Ähnlich einfach ist die Manipulation der Rufnummernanzeige bei Telefonanrufen. Ein Angreifer, der sich überzeugend als Vorgesetzter, IT-Support oder Geschäftspartner ausgibt, kann selbst geschulte Mitarbeitende dazu bringen, Zugangsdaten preiszugeben oder Überweisungen auszulösen.
Identitätsdiebstahl (G 0.36) zählt zu den wirkungsvollsten Angriffstechniken, weil er das Fundament jeder Sicherheitsarchitektur angreift: das Vertrauen in die Identität des Gegenübers.
Was steckt dahinter?
Beim Identitätsdiebstahl nutzt ein Angreifer Informationen über eine andere Person, um in deren Namen aufzutreten. Das Ziel kann finanzieller Betrug sein, aber auch der Zugang zu geschützten Systemen, die Umgehung von Genehmigungsprozessen oder die gezielte Rufschädigung des Opfers.
Angriffsmethoden
- Phishing und Spear-Phishing — Gefälschte E-Mails oder Webseiten, die zur Eingabe von Zugangsdaten verleiten. Spear-Phishing ist personalisiert und dadurch deutlich schwerer zu erkennen.
- Credential Stuffing — Automatisiertes Durchprobieren gestohlener Zugangsdaten (aus Datenlecks) auf verschiedenen Plattformen. Funktioniert, weil viele Benutzer identische Passwörter auf mehreren Diensten verwenden.
- Session Hijacking — Abfangen oder Stehlen von Session-Cookies, um eine bereits authentifizierte Sitzung zu übernehmen.
- Absenderfälschung — Manipulation von E-Mail-Headern, Rufnummernanzeigen oder Absenderkennungen bei Faxen und Messenger-Diensten.
- Maskerade — Einklinken in eine bestehende Kommunikationsverbindung (Man-in-the-Middle), um die bereits erfolgte Authentifizierung des ursprünglichen Teilnehmers auszunutzen.
Schadensausmass
Die Schäden sind vielfältig: Finanzielle Verluste durch betrügerische Transaktionen, Zugang zu vertraulichen Systemen und Daten, Reputationsschäden für die betroffene Person und die Organisation. Identitätsdiebstahl tritt besonders dort auf, wo die Identitätsprüfung nachlässig gehandhabt wird — und genau auf diesen schwächsten Punkt in der Kette zielen Angreifer.
Praxisbeispiele
Phishing mit gefälschter Anmeldeseite. Mitarbeitende erhalten eine E-Mail, die optisch vom internen IT-Service stammt, mit der Aufforderung, ihr Passwort wegen eines angeblichen Sicherheitsvorfalls zu ändern. Der Link führt auf eine täuschend echte Kopie der Anmeldeseite. Mehrere Personen geben ihre Zugangsdaten ein. Der Angreifer nutzt diese, um auf interne Systeme zuzugreifen.
Credential Stuffing auf Unternehmensportale. Nach einem großen Datenleck bei einem sozialen Netzwerk probiert ein Angreifer die geleakten E-Mail-Passwort-Kombinationen automatisiert auf dem VPN-Portal eines Unternehmens. Drei Mitarbeitende haben identische Passwörter verwendet. Der Angreifer erhält Zugang zum internen Netz.
Manipulierte Rufnummernanzeige. Ein Angreifer ruft eine Mitarbeiterin der Finanzabteilung an. Die Rufnummernanzeige zeigt die Durchwahl des Geschäftsführers. Der Anrufer gibt sich als Geschäftsführer aus und weist eine sofortige Überweisung über 85.000 Euro an einen „neuen Lieferanten” an. Erst die Rückfrage beim tatsächlichen Geschäftsführer verhindert den Schaden.
Relevante Kontrollen
Die folgenden ISO-27001-Kontrollen wirken dieser Gefährdung entgegen. (Die vollständige Liste der 20 zugeordneten Kontrollen findest du unten im Abschnitt „Abdeckende ISO-27001-Kontrollen”.)
Prävention:
- A.8.5 — Sichere Authentisierung: Multi-Faktor-Authentifizierung, bevorzugt phishing-resistente Verfahren (FIDO2).
- A.5.16 — Identitätsmanagement: Verlässliche Identitätsprüfung bei der Einrichtung von Benutzerkonten.
- A.8.4 — Zugriff auf Quellcode: Schutz von API-Schlüsseln und Zertifikaten, die für Identitätsdiebstahl missbraucht werden könnten.
- A.6.3 — Informationssicherheitsbewusstsein: Schulungen zu Phishing, Social Engineering und CEO-Fraud.
Erkennung:
- A.8.16 — Überwachungsaktivitäten: Erkennung ungewöhnlicher Anmeldemuster (geographische Anomalien, Anmeldung von unbekannten Geräten).
- A.8.20 — Netzwerksicherheit: Erkennung von Man-in-the-Middle-Angriffen und Session-Hijacking.
Reaktion:
- A.5.17 — Authentisierungsinformation: Sofortige Sperrung und Neuausstellung kompromittierter Zugangsdaten.
- A.8.10 — Löschung von Informationen: Sichere Löschung gestohlener Identitätsdaten auf kompromittierten Systemen.
BSI IT-Grundschutz
G 0.36 verknüpft der BSI-Grundschutzkatalog mit den folgenden Bausteinen:
- ORP.4 (Identitäts- und Berechtigungsmanagement) — Anforderungen an sichere Identitätsprüfung und Authentifizierung.
- ORP.3 (Sensibilisierung und Schulung) — Awareness-Training zu Phishing und Social Engineering.
- NET.3.4 (Network Access Control) — Netzwerkbasierte Identitätsprüfung und Zugangssteuerung.
- SYS.2.6 (Virtual Desktop Infrastructure) — Spezifische Authentifizierungsanforderungen bei virtualisierten Arbeitsplätzen.
Quellen
- BSI: Die Lage der IT-Sicherheit in Deutschland — Jahreslagebericht mit Statistiken zu Phishing und Identitätsdiebstahl
- BSI IT-Grundschutz: Elementare Gefährdungen, G 0.36 — Originalbeschreibung der elementaren Gefährdung
- ISO/IEC 27002:2022 Abschnitt 8.5 — Umsetzungshinweise zur sicheren Authentisierung