Viele Unternehmen schulen ihre Mitarbeiter darin, Phishing-E-Mails zu erkennen. Doch was passiert, wenn diese trotzdem auf einen schädlichen Link klicken und ihre Zugangsdaten auf einer gefälschten Website eingeben?

 

Fehler passieren – entscheidend ist in diesem Fall vor allem, wie schnell und strukturiert das Unternehmen reagiert. Denn auch ein einzelner Fehler kann erhebliche Auswirkungen haben, wenn nicht rechtzeitig die richtigen Maßnahmen eingeleitet werden.

 

Gehen wir von folgendem Szenario aus: Ein Mitarbeiter erhält eine E-Mail, die scheinbar von einem bekannten Geschäftspartner stammt. Er klickt auf den enthaltenen Link und gibt auf einer gefälschten Anmeldeseite seine Zugangsdaten ein. Dem Angreifer gelingt es durch eine manipulierte Anmeldung, eine gültige Sitzung zu übernehmen.

 

Was ist nun schnellstmöglich zu tun?

 

Der Vorfall sollte unverzüglich und mit hoher Priorität an die zuständigen IT-Administratoren gemeldet werden. Denn die Zeit zwischen dem Erkennen eines Angriffs und der Einleitung wirksamer Gegenmaßnahmen ist oft entscheidend dafür, wie groß der entstandene Schaden letztendlich ist.

 

Deshalb ist es so wichtig, dass jeder Mitarbeiter weiß, an wen er sich im Schadens- oder Verdachtsfall wenden muss. Auch ein möglicher Fehlalarm sollte lieber einmal zu viel als einmal zu wenig gemeldet werden.

 

Je mehr relevante Informationen der IT zum Vorfall vorliegen, desto schneller können geeignete Gegenmaßnahmen eingeleitet werden. Mitarbeiter sollten deshalb den Zeitpunkt und die Umstände des Vorfalls möglichst genau mitteilen. Die weitere Beweissicherung, beispielsweise durch die Sicherung von Protokollen, sollte durch die IT erfolgen.

 

Die IT muss nun schnell und strukturiert reagieren – Panik ist hier keine Option. Zunächst muss geprüft werden, ob bereits ein unbefugter Zugriff stattgefunden hat. Betroffene Benutzerkonten sind zu sperren, aktive Sitzungen zu beenden und Zugangsdaten umgehend zurückzusetzen. Zusätzlich müssen möglicherweise betroffene Systeme isoliert, auffällige Anmeldeaktivitäten überprüft und relevante Protokolle gesichert werden.

 

Im nächsten Schritt ist zu untersuchen, ob Daten abgegriffen, verändert oder verschlüsselt wurden. Da Office-Anwendungen, Cloud-Dienste oder CRM-Systeme häufig miteinander verknüpft sind, müssen auch mögliche Abhängigkeiten und weitere betroffene Systeme berücksichtigt werden.

 

Weiterhin ist zu klären, ob Geschäftspartner informiert werden müssen oder gesetzliche Meldepflichten, beispielsweise nach DSGVO oder NIS2, bestehen.