Der Entwickler GitLab Inc. testete kürzlich die Awareness seiner eigenen Mitarbeiter. Bei einem Hacker Testangriff klickte erstaunlicherweise über ein Drittel aller Angestellten potenziell schädliche Links aus Phishing-Mails an. Wenn selbst die Verantwortlichen für IT-Security nicht sensibel genug reagieren — wie lässt sich die Sicherheit dann überhaupt verbessern?
Hacker Testangriff
GitLab ist mehr als eine Software. Der Name steht für eine Webanwendung, die Fehlersuche, System-Integration, Scan und Nutzerverwaltung für Software-Projekte abdeckt. Entwickelt und betrieben wird sie von GitLab Inc.
Ebendieser Entwickler wollte testen, wie es in Sachen IT-Sicherheit bei der eigenen Belegschaft bestellt ist. Das Mittel: ein Hacker Testangriff per Phishing-Mail.
Wie sieht so ein Hacker Testangriff aus?
Der Test prüft, wie Mitarbeiter mit Zugangsdaten und sensiblen Informationen umgehen. Über ein ausgewähltes Medium — hier E-Mail — werden gefälschte Nachrichten mit manipuliertem Absender verschickt. Die Mails enthalten Links, die auf eine eigens eingerichtete Website führen. Dort werden vertrauliche Angaben abgefragt: Personendaten, Bankkonten, Passwörter.
Gibt jemand diese Informationen ein, erhält der Angreifer — bei Tests zum Glück ein «freundlich gesinnter» — Zugang zu den Daten. In vielen Fällen sogar Zugriff auf alle systemtechnischen Funktionen. Totale Kontrolle, kurz gesagt.
Erschreckende Ergebnisse
Der Hacker Testangriff machte deutlich, dass nicht einmal die «Profis» allumfänglich geschützt sind. Insgesamt versandte der fingierte Hacker Mails an 50 Personen.
- 1/3 aller Personen klickte den enthaltenen Link an
- 50 % davon gaben Zugangsdaten ein, um sich auf der verlinkten Website einzuloggen
- nur 6 Mitarbeiter erachteten die Mail als verdächtig und meldeten sie beim Support
Warum ist dieses Ergebnis so besorgniserregend? Oft reicht beim Phishing bereits das Anklicken. Wenn integrierte Sicherheitsfunktionen wie Pop-Up-Blocker die schädliche Website nicht blockieren, folgen unter Umständen automatische Downloads — ohne weiteres Zutun.
Bewusstsein für IT-Sicherheit schaffen
Hacker Testangriffe sollen niemanden blossstellen. Seriöse IT-Security-Anbieter anonymisieren die Ergebnisse konsequent. Es geht ausschliesslich um die Analyse potenzieller Schwachstellen — und die liegen oft beim bekannten menschlichen Versagen.
Neben Schulungen sind unangemeldete Tests ein bewährtes Mittel. Aus den Erkenntnissen lassen sich gezielte Massnahmen ableiten.