Falsche Support-Anrufe nutzen Vertrauen statt Softwarelücken. Klare Rückrufregeln, sichere Fernhilfe und überwachte Konten erschweren den Missbrauch.
Ein Anruf klingt dringend: Angeblich muss der IT-Support ein Sicherheitsproblem beheben. Der Gesprächspartner kennt Fachbegriffe und bittet darum, eine Fernhilfesitzung zu starten oder eine Anmeldung zu bestätigen. Genau diese Vertrautheit kann Teil eines Angriffs sein.
Bei Vishing, also Voice Phishing, versuchen Angreifer über Gespräche Vertrauen und Zeitdruck aufzubauen. Das kann telefonisch oder über Kommunikationsdienste geschehen. Für Unternehmen ist deshalb wichtig, dass sich legitimer Support zuverlässig überprüfen lässt.
Microsoft beschreibt in einem Incident-Response-Bericht einen Fall, in dem Angreifer über Teams als IT-Support auftraten. Ein Beschäftigter wurde zur Nutzung von Quick Assist bewegt und ermöglichte dadurch den ersten Zugriff. Der Bericht zeigt, wie reguläre Kommunikations- und Fernhilfewerkzeuge missbraucht werden können.
Daraus folgt nicht, dass jede Fernhilfe verdächtig ist. Es braucht jedoch einen festgelegten Ablauf, der echte Supportkontakte von unerwarteten Anforderungen unterscheidbar macht.
Ein Rückruf an eine vom Anrufer selbst genannte Nummer ist keine unabhängige Prüfung. Beschäftigte müssen wissen, wo sie verlässliche Kontaktdaten finden und wie sie einen fragwürdigen Vorgang schnell melden können.
Wer Zugangsdaten oder eine gültige Sitzung missbraucht, kann in regulären Anwendungen arbeiten. Deshalb sollten Unternehmen nicht nur fehlgeschlagene Anmeldungen betrachten. Auch ungewöhnliche Zugriffe, Änderungen an Konten und unerwartete Datenbewegungen können eine Untersuchung erfordern.
Solche Signale müssen im Zusammenhang bewertet werden. Standortwechsel oder große Downloads können legitime Gründe haben. Eine automatisierte Sperre sollte deshalb auf abgestimmten Regeln und einer geeigneten Risikobewertung beruhen.
Supportkontakte sind im Arbeitsalltag normal. Menschen möchten Probleme lösen und reagieren häufig hilfsbereit, wenn ein vermeintlich zuständiger Ansprechpartner klare Anweisungen gibt. Angreifer können genau diese Erwartungen nutzen. Sie verbinden Fachbegriffe mit Zeitdruck und lassen eine ungewöhnliche Handlung wie einen notwendigen Wartungsschritt erscheinen. Die Gegenmaßnahme sollte deshalb nicht allein darin bestehen, Beschäftigte allgemein zu mehr Misstrauen aufzufordern. Sie benötigen einen überprüfbaren offiziellen Ablauf, an dem sie echte Unterstützung erkennen und ungewöhnliche Anforderungen sicher zurückweisen können.
Ein solcher Ablauf muss praktisch erreichbar sein. Wenn eine Rückfrage an den Service Desk lange dauert oder als störend empfunden wird, verliert die Regel im Alltag an Wirkung. Legen Sie einen einfachen Prüfweg fest und erklären Sie, dass Rückfragen ausdrücklich erwünscht sind. Beschäftigte sollten nicht entscheiden müssen, ob eine fachlich klingende Erklärung technisch plausibel ist. Sie sollen einen Kontakt unabhängig verifizieren können. Das reduziert den Druck, im Gespräch aus Hilfsbereitschaft oder Unsicherheit einer riskanten Anweisung zu folgen.
Besondere Aufmerksamkeit verdienen unerwartete Anforderungen, die Zugangsdaten, Anmeldebestätigungen oder Fernzugriffe betreffen. Auch Geheimhaltung und ungewöhnlicher Zeitdruck können Anlass für eine Rückfrage sein. Ein einzelnes Signal beweist noch keinen Angriff. Entscheidend ist, dass die Kombination einen sicheren Prüfweg auslöst. Schulungen sollten deshalb konkrete Alltagssituationen aufgreifen, statt nur Fachbegriffe zu erklären. Beschäftigte müssen wissen, was sie im nächsten Schritt tun können, ohne sich durch einen langen Maßnahmenkatalog zu arbeiten.
Achten Sie auf konsistente Regeln für echte Supportkontakte. Wenn interne Mitarbeitende regelmäßig unangekündigt anrufen und ungewöhnliche Freigaben verlangen, wird die Unterscheidung schwieriger. Ein klarer Bezug zu einem Vorgang und bekannte Kontaktwege können helfen. Neue Regeln sollten daher auch die Arbeitsweise des echten Service Desk berücksichtigen. Eine Sicherheitsschulung ist wenig überzeugend, wenn die normale Supportpraxis anschließend genau das Verhalten voraussetzt, vor dem die Beschäftigten gerade gewarnt wurden. Verlässliche Abläufe erleichtern beiden Seiten die Zusammenarbeit.
Nicht jede betroffene Person erkennt den Kontakt sofort als problematisch. Der Meldeweg sollte deshalb ausdrücklich auch für Unsicherheit und bereits erfolgte Handlungen offen sein. Wichtig sind verständliche Fragen: Wann fand der Kontakt statt, welcher Kanal wurde genutzt und welche Schritte wurden ausgeführt? Beschäftigte müssen dabei keine vollständige technische Analyse liefern. Die zuständige Fachrolle übernimmt die Einordnung. Schuldzuweisungen oder unnötige Hürden können dazu führen, dass Hinweise verspätet eintreffen und die Untersuchung mit weniger Informationen beginnen muss.
Die technische Reaktion richtet sich nach der tatsächlichen Handlung. Ein bloßer Anruf ist anders zu bewerten als eine freigegebene Fernsitzung oder eine bestätigte Anmeldung. Zuständige Rollen sollten relevante Daten sichern und notwendige Maßnahmen koordiniert einleiten. Vermeiden Sie unklare Sammelanweisungen, durch die mehrere Personen gleichzeitig Konten und Geräte verändern. Eine nachvollziehbare Bearbeitung hilft, die Reichweite zu beurteilen. Sie schafft außerdem eine Grundlage dafür, die Person später verständlich über die nächsten Schritte und die Wiederaufnahme ihrer Arbeit zu informieren.
Reguläre Anmeldungen sind nicht automatisch legitime Handlungen. Wenn ein Konto oder eine Sitzung missbraucht wird, kann Aktivität zunächst wie gewöhnliche Arbeit aussehen. Die Überwachung sollte deshalb geeigneten Kontext berücksichtigen, etwa auffällige Änderungen oder ungewöhnliche Kombinationen von Zugriffen. Welche Signale verfügbar und angemessen sind, hängt von den eingesetzten Systemen ab. Eine allgemeine Regel für alle Unternehmen wäre hier wenig hilfreich. Wichtiger ist, die eigenen Möglichkeiten anhand konkreter Szenarien zu prüfen und bekannte Lücken offen zu benennen.
Auch Fernhilfewerkzeuge brauchen eine klare Einordnung. Welche sind für den Support vorgesehen und unter welchen Bedingungen dürfen sie genutzt werden? Wie wird eine Sitzung gestartet und bestätigt? Wer überprüft ungewöhnliche Nutzung? Die Antworten sollten mit den betrieblichen Anforderungen vereinbar sein. Ein pauschales Verbot aller Fernhilfe kann legitime Unterstützung erschweren, während eine ungeregelte Nutzung Missbrauch erleichtert. Ein abgestimmtes Verfahren beschreibt zulässige Wege und macht Abweichungen erkennbar, ohne Beschäftigte bei jedem Supportkontakt allein mit der Entscheidung zu lassen.
In einem vereinfachten Szenario erhält ein Beschäftigter einen unerwarteten Anruf mit der Aufforderung, eine Anmeldung zu bestätigen. Er beendet das Gespräch und nutzt eine bekannte interne Kontaktnummer. Der Service Desk prüft den Vorgangsbezug und stellt fest, ob eine legitime Anfrage existiert. Gleichzeitig wird der Hinweis an die zuständige Sicherheitsrolle weitergegeben. Das Beispiel zeigt einen möglichen sicheren Ablauf. Es ist keine Aussage, dass ein einzelner Rückruf sämtliche Angriffsformen verhindert oder eine technische Untersuchung grundsätzlich überflüssig macht.
In einer späteren Übung kann derselbe Ablauf ohne riskante Eingriffe getestet werden. Ist die Nummer leicht auffindbar? Wissen Mitarbeitende, welche Informationen sie weitergeben sollen? Kann der Service Desk die Anfrage einordnen? Die Ergebnisse führen zu konkreten Verbesserungen. Eine erfolgreiche Schulung sollte nicht nur Wissen abfragen, sondern den praktischen Meldeweg stärken. So wird aus einer allgemeinen Warnung ein handhabbarer Prozess, der auch unter Zeitdruck und bei Unsicherheit funktioniert und nicht ausschließlich von der Aufmerksamkeit einzelner Personen abhängt.
Eine Übung muss keine aufwendige Angriffssimulation sein. Oft genügt es, einen unerwarteten Supportkontakt gemeinsam durchzusprechen. Was würde die betroffene Person tun und wo findet sie den bekannten Prüfkanal? Die Übung soll keinen Druck erzeugen, sondern Hindernisse aufzeigen. Eine gute Auswertung betrachtet deshalb auch die Erreichbarkeit und Verständlichkeit des offiziellen Service. Sicherheit wird durch einen nutzbaren gemeinsamen Ablauf gestärkt, nicht durch das nachträgliche Bloßstellen einzelner Personen.
Halten Sie fest, welche Rückfragen entstehen. Wenn verschiedene Teams unterschiedliche Supportwege kennen, sollte die Orientierung vereinheitlicht werden. Wenn die Prüfung eines Vorgangs zu lange dauert, braucht es möglicherweise einen einfacheren Ablauf. Die Übung liefert damit konkrete Verbesserungen an Service und Sicherheitsorganisation zugleich. Ein allgemeiner Hinweis auf mehr Aufmerksamkeit würde dieselben Hindernisse nicht beseitigen.
Wiederholen Sie wichtige Elemente nach Änderungen an Kommunikations- oder Supportverfahren. Neue Kontaktwege und Fernhilfewerkzeuge müssen in den bekannten Ablauf passen. Beschäftigte sollten erkennen können, woran sich der offizielle Weg orientiert, auch wenn sich eine Oberfläche oder ein technisches Produkt ändert. Das stärkt die Handlungsfähigkeit über einzelne aktuelle Angriffsmeldungen hinaus.
Eine angezeigte Nummer allein ist keine ausreichende Identitätsprüfung. Nutzen Sie den unabhängig bekannten offiziellen Weg. Auch vom Gesprächspartner genannte Rückrufdaten sollten nicht ungeprüft als verlässlich gelten. Der vereinbarte Prozess muss diese Prüfung einfach machen, damit Beschäftigte sie im Alltag tatsächlich anwenden können.
Melden Sie den Vorgang unverzüglich über den vorgesehenen Kanal und beschreiben Sie die ausgeführten Schritte. Die zuständigen Fachrollen entscheiden über weitere Maßnahmen. Eine frühe Meldung mit unvollständigen Informationen ist häufig hilfreicher als langes Abwarten, bis die betroffene Person selbst sicher beurteilen kann, was geschehen ist.
DSP unterstützt bei der Prüfung von Supportprozessen, Kontoüberwachung und Eskalationswegen. Ein nützlicher Einstieg ist die Frage: Würden Beschäftigte einen falschen Supportkontakt erkennen und würde die IT einen möglichen Missbrauch anschließend nachvollziehen können?
Sie möchten Ihre nächsten Schritte konkret planen? Sprechen Sie mit den Experten von DSP.
