Ich habe schon viele Vorträge über IT-Security moderiert. Vor Kurzem aber wurde ich selbst Teil einer perfiden Attacke. Hier erzähle ich die Geschichte dazu. Um zu verdeutlichen, wie wichtig der Mensch als letzte Bastion in der Security ist. Aber auch, wie unheimlich geschickt Angreifer heutzutage vorgehen, um Vertrauen zu erzeugen.

Ein ziemlich perfekter Anruf

Ich war gerade am Flughafen, auf dem Weg in den Urlaub, als meine Bank mich anrief. Im Display stand die mir bekannte Nummer der Hotline meiner Bank. Am anderen Ende begrüßte mich ein Mitarbeiter, sprach mich mit meinem Namen an und erklärte, es gebe verdächtige Aktivitäten auf meinem Konto. Eine Überweisung über 3.000 Euro an einen Herrn Müller – ob ich die beauftragt hätte? Ich verneinte. Dann sprach er von Kreditkartenumsätzen in der Türkei und fragte, ob ich aktuell dort sei. Wieder: nein.

Er meinte daraufhin, meine Identität sei vermutlich kompromittiert. Man müsse jetzt sicherheitshalber „alle Authentifizierungsmaßnahmen zurücksetzen“. Er wolle mich um 15 Uhr erneut anrufen. Ich solle dann alle Kreditkarten und mein Smartphone zur Multi-Faktor-Authentifizierung bereithalten. Er bat zudem zum Abgleich um meine Kontonummer. Ich gab sie ihm – obwohl ich schon einen leisen Verdacht hatte, mir aber dachte: Mit der Kontonummer allein kann man ja nichts anfangen.

Der Moment, in dem Misstrauen den Unterschied machte

Direkt nach dem Auflegen rief ich bei der Bank an. Und die Bank bestätigte, dass kein Anruf von dort gekommen war. Sie erklärten mir aber, dass dieses Vorgehen aktuell häufiger vorkommen würde und dass ich auf keinen Fall etwas bestätigen oder per App freigeben solle. Gleichzeitig baten sie mich, beim angekündigten Rückruf mitzuspielen, um zu sehen, wie die Täter vorgehen.

Punkt 15 Uhr kam der Anruf. Der vermeintliche Mitarbeiter fragte, ob ich vor meinem Rechner sitze und meine Kreditkarten bereithalte. Ich bejahte. Dann kündigte er an, dass für das Zurücksetzen der Authentifizierungs-Geräte eine App-Freigabe notwendig sei, die er jetzt auslösen würde und die ich bestätigen solle. Die Freigabe kam sofort bei mir an. Und es wirkte glaubwürdig, dass ich sie bestätigen sollte, um meine Identität zu schützen.

Da ich aber ja schon wusste, dass ich es hier mit Betrügern zu tun hatte, tat ich natürlich nichts, sondern behauptete, es sei nichts angekommen. Er versuchte es zwei weitere Male. Dann meinte er, er würde es einen anderen Weg versuchen, wenn das so nicht ginge. Dann erhielt ich eine SMS mit einem Bestätigungscode, um den er mich bat. Dabei wurde der Grund in der SMS angegeben: „Passwort vergessen“. Auch den Code gab ich natürlich nicht weiter, sondern sagte ihm, dass ich ihn entlarvt hätte und die Polizei bereits eine Fangschaltung eingerichtet habe. Das stimmte zwar nicht, aber ich wollte ihm zumindest ein bisschen Angst machen.

Was wirklich passiert war

Danach sprach ich erneut mit der Bank. Sie erklärte mir, was passiert war: Der Anrufer hatte versucht, sich mit meiner Kontonummer in meinen Online-Banking-Account einzuloggen. Dort bildet die Kontonummer (mit einem Zusatz) den Benutzernamen. Anschließend klickte er auf „Passwort vergessen“, was auf meinem Smartphone eine Authentifizierungs-Anfrage auslöste und bei Nicht-Erfolg später dann eben den SMS-Code. Hätte ich diese Freigabe bestätigt, hätte er nur noch die CVV-Nummer meiner Kreditkarte gebraucht – dann hätte er Vollzugriff auf mein Konto gehabt, inklusive der Möglichkeit, eigene Geräte als MFA zu registrieren. Und die hatte ich ja auch schon bereitlegen sollen.

Damit wäre mein Zugang komplett auf ihn übergegangen. Genau das war sein Ziel.

Der Mensch als letzte Firewall

Ich bin heilfroh, dass ich sofort misstrauisch wurde und den Kontakt zur Bank suchte. Gleichzeitig bin ich erschüttert, wie glaubwürdig, planvoll und professionell dieser Angriff aufgebaut war. Ich kann mir sehr gut vorstellen, dass viele Menschen in so einer Situation Vertrauen fassen – und damit alles verlieren.

Darum ist es so wichtig, dass wir über Security sprechen. Über Konzepte wie Zero Trust. Aber auch über den Menschen als entscheidenden Faktor in jedem Sicherheitskonzept.

Denn die Bedrohung ist real – und sie wird immer raffinierter.
Und manchmal ist das Einzige, was uns schützt, kein Passwort, sondern ein Moment des Misstrauens.

Warum ich solche Geschichten erzähle

Gerade deswegen spreche ich in meinen Moderationen und Keynotes immer wieder über genau diesen Punkt: dass Technologie nur so sicher ist, wie die Menschen, die sie bedienen.

Denn Sicherheit beginnt ganz häufig nicht mit einem Update. Sie beginnt mit Bewusstsein.