:quality(90):no_upscale()){kind=logo}
Vier Kampagnen zeigen, dass Kommunikationskanäle zu einem ersten Angriffsvektor geworden sind
STATUS: Aktives Social-Engineering-Muster SCHWERWIEGENDKEIT: 6/10 ZIELGRUPPE: Verantwortliche für Sicherheit in den Bereichen Regierung, Verteidigung und kritische Infrastruktur
6. November 2026
·Blog
·Sichere Kommunikation
:quality(90):no_upscale())
Seit August nutzen Angreifer, die sich als IT-Helpdesks und vertrauenswürdige Ansprechpartner ausgeben, Telefonanrufe, Unternehmens-Chats, Messenger-Apps für Privatanwender sowie eine Aufforderung zur Geräteverknüpfung, um Mitarbeiter direkt zu erreichen. Bei jeder dieser Kampagnen hing der erste Zugriff von der Überzeugungskraft der Angreifer ab. Die gemeinsame Voraussetzung war ein Kommunikationskanal, über den ein Außenstehender ein Gespräch beginnen konnte.
Was ist passiert?
Bei allen vier Angriffen gelangte der Angreifer über einen Kanal, den die Organisation nutzt und dem sie vertraut, an eine Person heran.
Im September machte Arctic Wolf eine Kampagne bekannt, die unter der Bezeichnung PREY-0058 verfolgt wird: Dabei geben sich die Angreifer als Mitarbeiter des internen IT-Helpdesks aus, rufen Direktoren, Vizepräsidenten und andere Führungskräfte an und leiten sie anschließend auf eine gefälschte Microsoft 365-Anmeldeseite weiter, auf der Sitzungstoken erfasst werden. Es wird keine Malware eingesetzt; stattdessen entnehmen die Angreifer Daten aus SharePoint, OneDrive und Exchange, um damit Erpressungen durchzuführen.1
Im Oktober berichtete Arctic Wolf über ein wiederkehrendes Muster in Hunderten von Fällen, in denen Angreifer externe Chats in Microsoft Teams über Wegwerf-Tenants mit Namen wie „IT-Support (intern)“ eröffneten, oft nachdem sie den Posteingang des Opfers mit E-Mails überflutet hatten, um ein Gefühl der Dringlichkeit zu erzeugen. Sie überredeten das Opfer, ihnen über legitime Fernwartungstools Fernzugriff zu gewähren, und in einigen Fällen gelangte der Angriff bis zu Domänencontrollern und endete mit Datendiebstahl und Ransomware. Arctic Wolf kommt zu dem Schluss, dass dieser Angriffsvektor funktioniert, weil er das Vertrauen ausnutzt und nicht auf einer Software-Sicherheitslücke beruht.2
Ebenfalls im September warnten das FBI, das britische NCSC und der niederländische AIVD jeweils davor, dass staatlich geförderte Akteure sich in beliebten Messaging-Apps als vertrauenswürdige Kontakte eines Opfers ausgeben, zunächst ein Vertrauensverhältnis aufbauen und dann eine als harmlos getarnte schädliche Datei versenden.3 Im August wurde in einem Bericht über eine interne EU-Cyberpräsentation beschrieben, wie eine ausländische Regierung Konten von hochrangigen Beamten auf WhatsApp und Signal übernommen hatte; dabei gab es in diesem Jahr acht bedeutende Vorfälle, und unter den bestätigten Angriffen befand sich auch das Konto eines amtierenden Präsidenten des nationalen Parlaments. Die Angreifer überredeten die Opfer, einen Code preiszugeben, mit dem ein zweites Gerät mit dem Konto verknüpft wurde.4
In allen vier Fällen gaben sich die Angreifer als jemand aus, beispielsweise als Mitarbeiter des IT-Helpdesks oder als bekannter Ansprechpartner, und hatten einen legitimen Grund, ihre Anfrage über einen Kanal zu stellen, der Kontaktaufnahmen von Außenstehenden zulässt. Schulungen, in denen Mitarbeiter lernen, unbekannte Absender zu erkennen, können hier kaum helfen, und Link-Scans sowie Endpunktüberwachung haben kaum etwas zu prüfen, wenn der Angreifer das Opfer dazu bringt, die Arbeit selbst zu erledigen.
Was sie herausgefunden haben und was das bedeutet
Ergebnis | Was das bedeutet | Operative Konsequenz | Offene Frage |
Im Rahmen von vier separaten Kampagnen seit August wurden die Mitarbeiter per Telefonanruf, über den Unternehmens-Chat, über Messaging-Apps für Verbraucher sowie über eine Aufforderung zur Geräteverknüpfung erreicht. | Angreifer wählen den Kanal, der ihnen direkten Zugang zu einer Person verschafft, und dieser Kanal wechselt von einer Kampagne zur nächsten. | Sicherheitsmaßnahmen, die sich auf einen Kanal konzentrieren, wie beispielsweise E-Mail, lassen die anderen ungeschützt. | Wie viele Organisationen verfügen über eine schriftliche Regelung, wer die Mitarbeiter über die einzelnen Kanäle kontaktieren darf und wie die Mitarbeiter dies überprüfen können? |
In jedem Fall gab sich der Angreifer als IT-Supportmitarbeiter oder als vertrauenswürdiger Ansprechpartner aus. | Der Angriff zielt auf die Glaubwürdigkeit ab, sodass Warnungen vor unbekannten Absendern und das Überprüfen von Links kaum etwas bewirken. | Die Mitarbeiter können eine echte IT-Anfrage nicht zuverlässig von einer gefälschten unterscheiden, wenn beide über denselben Kanal eingehen. | Bietet die Organisation ihren Mitarbeitern eine separate, verifizierte Möglichkeit, um zu überprüfen, ob eine Anfrage tatsächlich von der IT- oder Sicherheitsabteilung stammt? |
Arctic Wolf stellte fest, dass die Kampagnen von Teams auf Organisationen abzielen, bei denen der externe Zugriff aktiviert ist, und dass Angreifer das Einfügen von Links vermeiden, sodass die „Safe Links“-Prüfung nichts zu überprüfen hat. | Plattformseitige Überprüfungen können einen Angriff, der von einer Person in einem Live-Chat oder einer Fernsitzung ausgeführt wird, nicht erkennen. | Die Erkennung muss auf der Grundlage der Endpunkt- und Identitätsaktivitäten nach dem Kontakt erfolgen, während die Prävention darin besteht, den Kreis der Personen einzuschränken, die überhaupt Kontakt zu den Mitarbeitern aufnehmen dürfen. | Haben die Organisationen seit Beginn dieser Kampagnen die Einstellungen für externe Chats und Verbundfunktionen überprüft? |
Warum das wichtig ist
Alte Annahme | Aktuelle Realität | BlackBerry-Antwort |
Schulungen zur Sensibilisierung für Sicherheitsfragen, in denen die Mitarbeiter lernen, unbekannten Absendern mit Misstrauen zu begegnen, schützen vor Social Engineering. | Bei diesen Kampagnen scheint die Nachricht vom IT-Support oder einem bekannten Kontakt zu stammen, sodass es keinen unbekannten Absender gibt, der Verdacht erregen könnte. | BlackBerry® SecuSUITE® Die Registrierung wird von der Organisation verwaltet, sodass eine vertrauliche Koordination über einen Kanal erfolgen kann, in dem die Kontakte bekannt sind und verwaltet werden, anstatt für Außenstehende zugänglich zu sein. |
Wenn eine Anfrage so aussieht, als stamme sie von der IT-Abteilung, können die Mitarbeiter die IT-Abteilung bitten, dies über denselben Kanal zu bestätigen. | Der Angreifer kontrolliert den Gesprächsverlauf, und in den Teams-Fällen erscheint die gefälschte IT-Identität im selben Chatfenster, in dem auch eine echte Identität erscheinen würde. | BlackBerry® AtHoc® bietet der IT- und Sicherheitsabteilung die Möglichkeit, echte Benachrichtigungen über einen separaten Kanal an die Mitarbeiter zu senden, damit diese überprüfen können, ob eine Anfrage echt ist. |
Plattformschutzmaßnahmen wie das Scannen von Links und Warnungen vor externen Nutzern decken Social-Engineering-Angriffe auf, die innerhalb der Plattform durchgeführt werden. | Angreifer verwenden Anzeigenamen, die Warnungen vor externen Benutzern unterlaufen, und verlagern die Aktivitäten in eine aktive Remote-Sitzung, sodass die Plattform nichts Bösartiges erkennt, das sie blockieren könnte. | Wo BlackBerry®UEM den Endpunkt verwaltet, kann es nicht autorisierte Fernzugriffssoftware einschränken, wodurch die Angriffsfläche, über die diese Angriffe die Kontrolle übernehmen, verringert wird. |
Empfohlene Maßnahmen
SOFORT | Überprüfen Sie die Einstellungen für den externen Zugriff und die Verbundfunktion in Microsoft Teams und beschränken Sie den externen Chat nach Möglichkeit auf namentlich genannte, genehmigte Domänen. |
SOFORT | Veröffentlichen Sie eine kurze Richtlinie für die Mitarbeiter, in der erläutert wird, in welchen Fällen die IT- und Sicherheitsabteilung Kontakt mit ihnen aufnimmt und in welchen nicht. Weisen Sie darauf hin, dass die IT-Abteilung niemals unaufgefordert per Chat oder Telefon um Fernzugriff bittet, und geben Sie den Mitarbeitern eine Möglichkeit an die Hand, legitime Anfragen zu überprüfen. |
KURZFRISTIG | Beschränken und überwachen Sie Fernwartungstools auf Endgeräten, da die Teams-Kampagnen davon abhängen, dass Mitarbeiter Tools wie Quick Assist, AnyDesk und ScreenConnect nutzen. |
KURZFRISTIG | Stellen Sie Führungskräften und Administratoren einen verifizierten Kanal für IT- und Sicherheitsmitteilungen zur Verfügung, der unabhängig von E-Mail und Chat ist. |
LAUFEND | Verfolgen Sie Social-Engineering-Kampagnen sowohl nach Kanal als auch nach Technik, damit eine Schwachstelle in einem Kanal geschlossen wird, bevor Angreifer sie ausnutzen können. |
BlackBerry-Position
Kampagnen über Telefonleitungen, Unternehmens-Chats, Messaging-Apps für Verbraucher und Aufforderungen zur Geräteverknüpfung hatten alle eine Gemeinsamkeit: Ein Außenstehender kam mit einem Mitarbeiter ins Gespräch und nutzte dies aus. Technische Kontrollmaßnahmen auf einer Plattform können wenig ausrichten, wenn der Angriff in Form eines Gesprächs erfolgt. Viel wichtiger ist die Kontrolle darüber, wer ein solches Gespräch initiieren darf. Unternehmen können die Lücke, auf die diese Kampagnen abzielen, verringern, indem sie sensible Absprachen in Kanälen durchführen, in denen Registrierungen und Kontakte verwaltet werden, und den Mitarbeitern eine separate Möglichkeit zur Überprüfung echter IT- und Sicherheitsanfragen zur Verfügung stellen.
Quellenangaben:
1. Bei Datenklau- und Erpressungsangriffen im Zusammenhang mit Microsoft 365 zielen gefälschte IT-Anrufe auf Führungskräfte ab. (Arctic Wolf, PREY-0058-Bedrohungsanalyse, wie von The Hacker News am 7. September 2026 berichtet).
2. Angreifer nutzen IT-Support-Betrugsmaschen über Microsoft Teams, um Malware und Ransomware zu verbreiten. (Arctic Wolf Labs, Untersuchung zu Angreifern, die den externen Chat von Microsoft Teams für den Erstzugang missbrauchen, wie von The Hacker News am 26. Oktober 2026 berichtet).
3. Iranische Cyberangriffe auf Dissidenten, Aktivisten und Journalisten. (Gemeinsame Cybersicherheitsempfehlung des britischen National Cyber Security Centre, des US-amerikanischen Federal Bureau of Investigation und des niederländischen General Intelligence and Security Service, 15. September 2026).
4. Ein Dokument belegt, dass staatlich unterstützte Hacker EU-Beamte über WhatsApp ins Visier genommen haben. (Politico, Ergebnisse einer internen EU-Präsentation zum Thema Cybersicherheit, wie von TheNextWeb im August 2026 berichtet, sowie Dark Reading, Berichterstattung über Warnungen nationaler Behörden zu Kampagnen auf Signal und WhatsApp, 25. August 2026).
:quality(90):no_upscale())