Golem.de: Häufig zielen Cyberangriffe nicht auf die IT, sondern auf den Menschen. Beispielsweise über Telefonanrufe oder Phishingmails. Warum funktioniert das immer noch?

Chester Wisniewski: Nehmen wir beispielsweise Emotet, aktuell die größte Bedrohung im Bereich E-Mail. Im Januar hat Emotet angefangen, die E-Mail-Kommunikation der letzten sechs Monate von infizierten Geräten herunterzuladen - allerdings immer nur die ersten 50 KByte von jeder E-Mail. Anfangs wunderten wir uns - um Informationen zu stehlen, ist das nicht besonders sinnvoll, die sind häufig in den Anhängen. Dann sahen wir, dass Emotet sich in die Konversation einklinkt, auf die E-Mails antwortet. Ich habe E-Mails gesehen, auf die Kunden hereingefallen sind, auf die ich auch hereingefallen wäre - obwohl ich mich seit 20 Jahren mit Spam und Phishing beschäftige.

Golem.de: Wie kann man sich dagegen schützen? Oft werden Trainings vorgeschlagen ...

Wisniewski: Ich glaube nicht, dass man so was mit Trainings verhindern kann. Ich glaube, dass die Trainings, die wir machen, nahezu vollständig nutzlos sind. Ich sollte vorsichtig mit solchen Aussagen sein, weil wir auch Trainings anbieten. Solche Trainings können nichts gegen ausgefeilte Angriffe wie das Einklinken in Konversationen durch Emotet ausrichten, sie helfen gegen klassisches Phishing.

Golem.de: Was läuft denn bisher falsch?

Wisniewski: Beim Phishing werden die Mitarbeiter häufig mit Software wie Phishme oder Sophos Phish Threat trainiert. Dabei werden die Fehlerraten gemessen: Beispielsweise in der Buchhaltung sind 18 Prozent auf die Phishingmails hereingefallen. Im Support 5 Prozent. In der Finanzabteilung 20 Prozent. Das hilft aber nicht wirklich weiter. Menschen fallen aus völlig unterschiedlichen Gründen auf solche E-Mails herein. Manche klicken einfach unverbesserlich auf alles, wieder andere wollen den Phishing-Test schnell abhaken, damit sie in die Mittagspause können und wieder andere sind im Kopf zuhause bei ihrem kranken Kind. Ich habe keine Firma gesehen, die die Fehlerrate deutlich unter 15 Prozent drücken konnte. Egal ob Tech-Firma oder Universität - niemand schafft das. Menschen sind verwundbar.

Golem.de: Wenn weder Sicherheitssoftware noch Trainings helfen, was dann?

Wisniewski: Wir sollten Social Engineering und Phishing-Angriffen ähnlich begegnen wie anderen Bedrohungen auch. Wir müssen uns damit abfinden, dass wir nicht alle Angriffe durch Prävention verhindern können, also müssen wir schauen, wie wir schnell und effektiv auf die Angriffe antworten können. Besonders auf die cleveren.

Golem.de: Nämlich wie?

Wisniewski: Wir sollten uns auf die Mitarbeiter fokussieren, die die Phishing-Mails erkennen, und sie ermutigen, die Mails zu melden statt sie in den Mülleimer zu verschieben. Die Mitarbeiter sind unsere Verteidigung. Mit ihren Meldungen können wir unsere EDR-Software [Endpoint Detection and Response, Anm. d. Red.] füttern und mit ihr herausfinden, in welchen Posteingängen solche Mails gelandet sind und ob sie bereits jemand geklickt hat. Wenn du das herausfindest, kannst du den Angriff beherrschen, bevor er ein Problem wird.

Golem.de: Wie lässt sich so ein Angriff beherrschen?

Wisniewski: Die meisten Emotet-Infektionen richten erst nach 24 bis 72 Stunden größere Schäden an. Bei der initialen Infektion mit Emotet erstattet die Schadsoftware den Angreifern erst einmal Bericht. In den darauffolgenden Stunden werden Payloads nachgeladen, meist Trickbot oder Dridex, deren Aufgabe es vor allem ist, Zahlungsdaten zu stehlen. Das ist zwar schlimm, aber richtig schlimm wird es erst ein, zwei Tage später, wenn die Angreifer Zeit hatten, die Angriffsberichte durchzusehen und eine Ransomware nachzuladen - mitsamt einer Lösegeldforderung in Millionenhöhe. Kurz gesagt: Du hast bei fast allen solchen Angriffen ein Zeitfenster, in dem du agieren kannst.