Phishing, Smishing, Vishing

Phishing ist den meisten Menschen aus dem beruflichen und privaten Umfeld bekannt. Angreifer versuchen mit fingierten E-Mails an Zugangsdaten, Bankdaten oder andere Informationen der Empfängerinnen zu gelangen. Dabei geben sich die Angreiferinnen als bekannte Unternehmen oder Personen aus dem Umfeld der Empfängerinnen aus.

In der Vergangenheit waren diese Angriffsversuche oft schlecht umgesetzt und für viele Menschen schnell erkennbar, beispielsweise durch auffällig viele Rechtschreibfehler und falsche Personennamen. Mittlerweile sind viele Phishing-Angriffe jedoch äußerst ausgefeilt und nur bei genauer Prüfung als solche erkennbar. Angreifer*innen gelangen so beispielsweise über schadhafte Links in Phishing-E-Mails an sensible Daten und richten damit allein für die deutsche Wirtschaft einen jährlichen Schaden im dreistelligen Milliardenbereich an.

Eine dem Phishing ähnliche Angriffsart ist das Smishing. Hierbei verwenden die Angreiferinnen anstelle von E-Mails SMS-Nachrichten, mit denen sie ihren Opfern eine falsche Identität vortäuschen und versuchen, an Daten zu gelangen. Da SMS-Nachrichten in der Regel sehr kurz sind, fällt es Kriminellen oft vergleichsweise leicht, die Identität beispielsweise des unternehmenseigenen IT-Supports oder eines Paketdienstes glaubwürdig vorzutäuschen. Auch beim Smishing nutzen Angreiferinnen häufig schadhafte Links. Diese können beispielsweise auf Websites führen, die Nutzer*innen zur Eingabe sensibler Anmeldedaten verleiten.

Demselben Prinzip folgt auch das Vishing. Im Gegensatz zu Phishing und Smishing nutzen Angreiferinnen hierfür jedoch Sprachnachrichten oder Telefonanrufe, um ihren Opfern sensible Informationen zu entlocken oder sie zu Handlungen zu verleiten. Oft verwenden die Kriminellen hierbei KI-Unterstützung, mit der sie Stimmen glaubhaft imitieren können. Die betroffenen Personen werden dabei in der Regel unter Druck gesetzt, indem die Angreiferinnen beispielsweise eine Notlage vortäuschen, die eine dringende Handlung erfordert. Durch diesen Überrumpelungseffekt lassen sich viele Betroffene dazu verleiten, sensible Daten preiszugeben, Zugänge zu Systemen zu gewähren oder Finanztransaktionen auszuführen.

Sowohl Phishing als auch Smishing und Vishing zählen zu den sogenannten Social-Engineering-Angriffen. Dabei machen sich Angreifer*innen soziale Beziehungen zunutze, um Daten zu erbeuten. Rein technische Schutzmaßnahmen reichen daher nicht aus, um diese Angriffsarten wirksam abzuwehren.

Für Unternehmen ist es entscheidend, Mitarbeitende dafür zu sensibilisieren, solche Angriffe zu erkennen und sich im Ernstfall sicherheitskonform zu verhalten. Empfehlenswert sind regelmäßige Schulungen und Übungen. Darüber hinaus ist eine unternehmensweite Sensibilisierung für die Bedeutung der Informationssicherheit sowie für zuständige Ansprechstellen erforderlich.