Die erschreckende Wahrheit über Vertrauen: Warum „verifiziert“ zu sein nicht bedeutet, dass man sicher ist

Lassen Sie uns über etwas sprechen, das Sicherheitsexperten nachts wachhält. Es ist nicht der Hacker mit der Kapuzenjacke, den man aus Filmen kennt. Es ist auch kein hochkomplexer Zero-Day-Exploit. Es ist etwas viel Einfacheres und unendlich viel Gefährlicheres: die Annahme, dass die Verifizierung der Identität gleichbedeutend mit der Verifizierung der Authentizität ist.

Ich bin vor Kurzem auf diese faszinierende (und leicht erschreckende) Fallstudie gestoßen, und ich kann nicht aufhören, darüber nachzudenken. Ein Unternehmen – nennen wir es ein typisches mittelständisches Unternehmen – durchlief nicht ein, nicht zwei, sondern DREI separate Sicherheitsvorfälle innerhalb von vier Monaten. Der Clou dabei: Keiner davon beinhaltete das Eindringen in Netzwerke oder das Ausnutzen von Softwarefehlern. Jedes Mal wurde der Angreifer einfach zu jemandem, dem das Unternehmen bereits vertraute.

Das ist... eigentlich ziemlich beunruhigend, wenn man darüber nachdenkt.

Das Passwort war perfekt. Die Person nicht.

Das ist das Problem bei der traditionellen Sicherheit: Wir behandeln die Authentifizierung wie ein Schloss-und-Schlüssel-Problem. Man bekommt das richtige Passwort, besteht den MFA-Check, und bumm – man ist drin. Aber was ist, wenn das Schloss genau so funktioniert, wie es soll, aber die Person, die hindurchgeht, einfach... nicht die ist, für die sie sich hält?

Die Fälle, auf die ich mich beziehe, zeigten drei verschiedene Ausprägungen genau dieses Problems. Erstens gab es einen CFO, der einen Anruf vom „IT-Support“ über verdächtige Aktivitäten auf seinem Konto erhielt. Die Anruferkennung zeigte eine interne Nummer an. Der Anrufer kannte den MFA-Anbieter des Unternehmens. Er wusste, dass der CFO auf Reisen war (weil er in den sozialen Medien darüber gepostet hatte – natürlich hat er das getan, das machen wir alle). Sie hatten sogar Informationen aus alten Datenlecks im Dark Web parat.

Alles, was sie brauchten, war, dass er einen Verifizierungscode vorlas. Und das tat er.

Innerhalb von zwanzig Minuten nutzte jemand seine E-Mail, um dringende Zahlungen anzufordern. Der einzige Grund, warum kein Geld floss? Ein scharfsinniger Spezialist für die Kreditorenbuchhaltung hatte das Gefühl, dass die Anfrage „nicht stimmig“ war, und rief ihn direkt an. Dieser menschliche Instinkt rettete den Tag.

Vertrauen ist gut, Kontrolle ist besser (außer wenn man es vergisst)

Was mich an diesen Vorfällen am meisten trifft, ist nicht die Raffinesse der Angriffe – es ist, wie langweilig sie für die meisten Sicherheitssysteme aussehen würden. Die Anmeldedaten stimmten. Die Authentifizierung war erfolgreich. Die Sitzungen waren gültig.

Aber irgendwo auf dem Weg haben wir vergessen, dass es bei der Verifizierung nicht nur darum geht, Häkchen zu setzen. Es geht darum, zu bestätigen, dass der Mensch am anderen Ende tatsächlich der ist, der er vorgibt zu sein – und dass er einen legitimen Grund hat, das zu tun, was er tut.

Der zweite Vorfall betraf eine externe Einstellung, die völlig legitim schien. Ein großartiger Lebenslauf. Glaubwürdige Referenzen. Ein solides Portfolio. Aber hier ist der Punkt: Nichts davon ist schwer zu stehlen. Die Person stellte sich als jemand heraus, der die Identität eines echten Ingenieurs nutzte, mit völlig fingierten Referenzen, und der von Übersee aus arbeitete, indem er Firmenlaptops in eine Mietwohnung schicken ließ.

Der einzige Grund, warum das auffiel? Jemand bemerkte, dass der Laptop vor allem während der Nachtstunden aktiv war. Das war es. Keine hochkomplexe Erkennung. Nur jemand, der auf etwas achtete, das ein wenig seltsam erschien.

Das Sitzungsproblem, über das niemand spricht

Und dann ist da noch der dritte Vorfall, der meiner Meinung nach die am meisten unterschätzte Bedrohung in der modernen Sicherheit darstellt. Das Konto einer Führungskraft wurde aus Rumänien aufgerufen. Sie schlief zu diesem Zeitpunkt in Ohio.

Ihr Passwort war nicht kompromittiert. Ihr MFA wurde nicht umgangen. Stattdessen sammelte eine Malware auf einem gemeinsam genutzten Heimcomputer ihre Browser-Sitzungscookies. Der Angreifer ging direkt durch die digitale Haustür und erschien als ein vollkommen legitimer, authentifizierter Benutzer.

Das ist das schmutzige Geheimnis der sitzungsbasierten Authentifizierung: Wenn man erst einmal drin ist, bleibt man oft auch drin. Sitzungstoken können Stunden oder sogar Tage lang gültig bleiben. Und im Gegensatz zu Passwörtern sind sie nichts, was Benutzer leicht schützen oder regelmäßig ändern können.

Was ist also die eigentliche Lehre?

Ich glaube nicht, dass die Lehre hier „sei paranoider“ lautet (obwohl eine gesunde Prise Paranoia ehrlich gesagt nie schadet). Ich denke, die eigentliche Erkenntnis liegt in der Lücke zwischen Identitätsverifizierung und Vertrauensbestätigung.

Die meisten Organisationen sind mittlerweile sehr gut im ersten Teil geworden. Wir verifizieren Anmeldedaten, wir erzwingen MFA, wir setzen Häkchen. Aber der zweite Teil – kontinuierlich zu bestätigen, dass jemand immer noch autorisiert ist und angemessen handelt – genau da versagen wir.

Die Fälle, die ich bespreche, hatten alle eine weitere Gemeinsamkeit: Sie wurden von Menschen oder von Menschen entwickelten Systemen entdeckt, die nach verhaltensbedingten Anomalien suchten, nicht nur nach Authentifizierungsfehlern. Ein Kollege, der eine ungewöhnliche Anfrage hinterfragte. Ein Analyst, der seltsame Arbeitsmuster bemerkte. Ein automatisiertes System, das eine unmögliche Reise („impossible travel“) meldete.

Technische Kontrollen sind notwendig. Aber sie sind nicht ausreichend. Der wahre Sicherheitsmultiplikator besteht darin, eine Kultur aufzubauen, in der sich die Menschen befähigt fühlen, Dinge zu hinterfragen, die sich falsch anfühlen – selbst wenn die Anmeldedaten stimmen.

Denn hier ist die unbequeme Wahrheit: In der heutigen Bedrohungslandschaft ist das größte Sicherheitsrisiko vielleicht nicht der Angreifer vor euren Mauern. Es könnte die vollkommen legitim erscheinende Identität sein, die bereits in ihnen ist.

Bleibt wachsam, Freunde.

Tags: ['identity-security', 'social-engineering', 'business-security', 'remote-work-security', 'authentication']