Anruf vom falschen Dienstleister: Shop-Zugänge schützen

Die Rolle wechselt, das Muster bleibt. Der Anrufer gibt sich als jemand aus, mit dem der Shop ohnehin zusammenarbeitet, und verbindet das mit einem Anlass, der keinen Aufschub zu dulden scheint. Das BSI beschreibt den Kern solcher Angriffe als Täuschung über Identität und Absicht des Täters und nennt als klassisches Beispiel den vorgeblichen Systemadministrator, der anruft, weil er angeblich zur Behebung eines Systemfehlers das Passwort braucht (BSI). Für Onlineshops lassen sich die üblichen Rollen klar benennen:

Keine dieser Bitten passt zu einem Dienstleister, der seine Arbeit ordentlich macht. Ein Wartungsdienstleister mit Vertrag spielt Sicherheitsupdates über seine eigenen Zugänge und einen vereinbarten Ablauf ein, wie ihn die Seite Sicherheitsupdates beschreibt. Ein Anruf mit Passwortbitte gehört nicht dazu. Gleiches gilt für Zahlungsdienste und Registrare, die ihre Kunden über das Kundenkonto und schriftliche Wege erreichen.

Aufschlussreich ist die umgekehrte Richtung. Angreifer rufen nicht nur im Shop an, sondern auch beim Dienstleister und geben sich dort als Shopbetreiber oder als dessen Beschäftigte aus. Die gemeinsame Warnung AA23-320A von FBI, CISA und weiteren Behörden beschreibt Täter, die sich als Beschäftigte ausgaben, um IT- oder Helpdesk-Personal zur Herausgabe sensibler Informationen, zum Zurücksetzen des Passworts und zur Übertragung der Mehr-Faktor-Authentifizierung (MFA) auf ein eigenes Gerät zu bewegen (FBI/CISA). Ein Prüfweg, der nur eine Richtung absichert, lässt die andere offen.

Robo Calls verschieben das Muster zusätzlich. Ein automatisierter Anruf kann zum Beispiel eine Ansage abspielen, die eine Sperrung des Kontos ankündigt und zum Rückruf oder zum Drücken einer Taste auffordert. Wer darauf reagiert, spricht danach mit einem Menschen, der die eigentliche Abfrage übernimmt. Die Masche ist eine andere als bei der Übernahme von Kundenkonten mit gestohlenen Passwörtern, die der Beitrag zu Account-Takeover behandelt: Hier geht es um die Zugänge derer, die den Shop betreiben.

Social Engineering nutzt nach der Beschreibung des BSI menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität, um Personen zu manipulieren (BSI). Am Telefon kommen drei Verstärker hinzu, die eine schriftliche Anfrage nicht hat.

Shopname, Impressum, eingesetztes Shopsystem, Zahlungsarten und oft auch der Hoster lassen sich von außen erkennen. Hinzu kommen Namen aus Karriereseiten und beruflichen Netzwerken. Das BSI weist darauf hin, dass soziale Netzwerke Tätern die Möglichkeit bieten, im Vorfeld eine Vielzahl von Hintergrundinformationen über Beschäftigte eines Unternehmens zu sammeln (BSI). Die Warnung AA23-320A beschreibt zudem ein mehrstufiges Vorgehen: Zuerst erfragen die Täter, welche Schritte eine Passwortzurücksetzung am Helpdesk erfordert, dann sammeln sie in weiteren Anrufen die passenden Angaben zur Zielperson, zuletzt bitten sie gezielt um das Zurücksetzen (FBI/CISA). Wer einen Anrufer daran misst, ob er gut Bescheid weiß, prüft also das Falsche.

Die folgenden Regeln setzen nicht beim Erkennen an, sondern beim Verfahren. Sie wirken auch dann, wenn der Anrufer überzeugend ist, weil sie keine Einschätzung im Gespräch verlangen. Wer sie anwendet, muss nicht entscheiden, ob eine Stimme echt klingt.

Ein Kennwort ist ein Wort oder Satz, den nur der Shop und der Dienstleister kennen und der zu Beginn eines heiklen Gesprächs genannt wird. Es öffnet keinen Zugang, sondern zeigt nur, dass am anderen Ende die richtige Stelle sitzt. Das FBI rät Privatpersonen zu einem geheimen Wort oder Satz im Familienkreis, um Identitäten zu prüfen (FBI); im Geschäftsverkehr lässt sich dasselbe im Wartungsvertrag regeln. Drei Punkte machen es belastbar: Das Kennwort gilt in beide Richtungen, also auch dann, wenn der Shop beim Dienstleister anruft. Es liegt nicht im Postfach, sondern in einem Passwortmanager oder einer verschlossenen Anlage zum Vertrag. Und es wird gewechselt, sobald es in einem zweifelhaften Gespräch gefallen ist oder eine eingeweihte Person das Unternehmen verlässt.

Manche Anfragen sind auch nach Rückruf und Kennwort zu folgenreich für eine einzelne Entscheidung: das Zurücksetzen der MFA, ein neues Admin-Konto, die Installation einer Erweiterung aus einer fremden Quelle, geänderte Auszahlungs- oder Bankdaten, Änderungen an DNS und Domain. Für diese Fälle gilt das Vier-Augen-Prinzip mit Ticket: Eine Person nimmt die Anfrage auf, eine zweite prüft und gibt frei. Das britische NCSC hat Organisationen nach einer Reihe von Angriffen auf den Einzelhandel nachdrücklich empfohlen, die Abläufe zur Passwortzurücksetzung am Helpdesk zu überprüfen, einschließlich der Frage, wie Beschäftigte vor dem Zurücksetzen authentifiziert werden, besonders bei erhöhten Rechten (NCSC). Die Technik der Anmeldung selbst, von MFA-Verfahren bis zu Rollen, behandelt der Beitrag Shop-Admin-Zugang sichern.

Ein einzelner merkwürdiger Anruf wirkt harmlos. Mehrere Anrufe, in denen nacheinander nach dem Ablauf einer Passwortzurücksetzung, nach dem Namen der zuständigen Person und schließlich nach einem Code gefragt wird, ergeben ein Bild. Genau dieses schrittweise Vorgehen beschreibt die Warnung AA23-320A (FBI/CISA). Sichtbar wird es nur, wenn die Gespräche an einer Stelle zusammenlaufen. Ein Eintrag im Protokoll umfasst:

Das Protokoll muss keine eigene Software sein; ein geteiltes Formular reicht. Es sollte aber an einer Stelle liegen, die der Dienstleister bei Verdachtsfällen mitlesen darf, und es braucht eine Löschfrist, weil es Namen und Rufnummern enthält. Ergänzend lohnt der Blick ins Backend: Neue Admin-Konten, neu angelegte Integrationen und unerwartete Anmeldungen kurz nach einem verdächtigen Anruf sind ein Warnsignal. Zur Shopware-Wartung gehören regelmäßige Überprüfungen der Benutzerkonten, und das Monitoring meldet unerwartete Änderungen an DNS-Einträgen.

Regeln, die nur im Vertrag stehen, helfen am Telefon wenig. Wirksam werden sie, wenn jede Person, die Anrufe für den Shop annimmt, sie ohne Nachschlagen kennt: auch Aushilfen, der Kundenservice und die Vertretung im Urlaub. Sechs Bausteine helfen dabei.

Ein Verfahren schützt dabei auch die Menschen, die den Anruf annehmen. Wer nach Regel zurückruft, muss sich im Gespräch nicht gegen einen freundlichen, gut informierten Anrufer durchsetzen, sondern verweist auf den vereinbarten Ablauf. Für den Shop bleibt der Aufwand überschaubar: eine Kontaktliste, ein Kennwort, eine Freigaberegel und ein Formular. Wie Zugänge in der laufenden Shop-Betreuung zentral verwaltet und dokumentiert werden, zeigen die Leistungen.