Identity & Access Security als Fraud-Prevention-Maßnahme

Schwerpunkt: Identity, KYC & Fraud Prevention

Nils Dohmen, Cyber Defense Consultant bei Secuinfra, thematisiert die Bedeutung von Identity und Access Management zur Betrugsprävention. Der Fokus liegt auf der Gefährdung durch Adversary-in-the-Middle-Angriffe, die authentifizierte Sitzungen ins Visier nehmen — Nils Dohmen, Cyber Defense Consultant, Secuinfra Secuinfra

Angriff auf digitale Identität: Nicht das Passwort allein ist oft das Ziel, sondern die komplette authentifizierte Sitzung. Bei Adversary-in-the-Middle-Angriffen wird nämlich die Identität eines Mitarbeitenden faktisch gekapert – trotz MFA. Das ist damit ein Paradebeispiel dafür, warum Identity-Security nicht bei der Anmeldung enden sollte, sondern ein kontinuierliches Risiko-Scoring (Gerät, Standort, Verhalten) benötigt: Phishing-resistente Authentisierung (FIDO2/Passkeys) sollte daher künftig ein zentrales Identity-Thema sein.

von Nils Dohmen, Cyber Defense Consultant, Secuinfra

Finanzinstitute investieren in Firewalls, Endpoint-Schutz, Verschlüsselung und hochverfügbare Systeme. Aber viele erfolgreiche Angriffe beginnen schon mit einer glaubwürdigen E-Mail, einem Anruf oder einer gefälschten Anmeldeseite. Angreifer umgehen Kontrollen, indem sie Mitarbeitende dazu bringen, eine legitim wirkende Aktion auszuführen.

Das macht den Menschen jedoch nicht zum schwächsten Glied.

Das Problem entsteht, wenn ein einzelner Irrtum ausreicht, um weitreichende Berechtigungen zu erhalten.“

In Banken, Versicherungen und Zahlungsdienstleistern ist dieses Risiko besonders hoch: Mitarbeitende arbeiten mit vertraulichen Kundendaten, Zahlungsfreigaben und privilegierten Anwendungen. Zeitdruck, regulatorische Pflichten und komplexe Abstimmungswege schaffen Situationen, die Angreifer glaubwürdig imitieren können.

Vom Phishing-Link zur gültigen Sitzung

Social-Engineering-Angriffe zielen längst nicht mehr nur auf Passwörter. Bei Adversary-in-the-Middle-Angriffen schaltet sich eine täuschend echte Phishing-Seite zwischen Nutzer und Anmeldedienst. Sie leitet Zugangsdaten und Einmalcode in Echtzeit weiter und fängt das Session-Cookie ab. Der Angreifer übernimmt so eine bereits authentifizierte Sitzung, obwohl Mehrfaktor-Authentifizierung aktiv ist.

Auch Push-basierte MFA wird missbraucht: Bei MFA-Fatigue lösen Angreifer wiederholt Anmeldeanfragen aus, bis ein gestresster Nutzer bestätigt. Bei Helpdesk-Angriffen geben sich Täter als Mitarbeitende aus und verlangen einen Passwort- oder Geräte-Reset. KI-generierte Deepfakes erhöhen die Glaubwürdigkeit.

Nach der Kontoübernahme durchsuchen Angreifer Postfächer nach Rechnungen und internen Freigaberegeln. Anschließend manipulieren sie Bankverbindungen, täuschen Vorstandsaufträge vor oder versenden über legitime Konten weitere Phishing-Nachrichten. Vieles bleibt unauffällig, da gültige Identitäten und reguläre Kommunikationskanäle genutzt werden.

Schutz muss die Identity absichern

Autor Nils Dohmen, Secuinfra

Nils Dohmen, Cyber Defense Consultant bei Secuinfra, präsentiert sich in professioneller Kleidung. Sein Ausdruck vermittelt Selbstbewusstsein und Fachkompetenz im Bereich Cybersecurity. Der Hintergrund ist unscharf und unterstützt den Fokus auf seine Person.

Nils Dohmen ist Experte für Cybersecurity und digitale Risikostrategien bei Secuinfra (Webseite). Er beschäftigt sich seit Jahren mit den Auswirkungen von Social Engineering und KI-gestützten Angriffsmethoden auf Unternehmen und Organisationen. Sein Fokus liegt auf der Schnittstelle zwischen Technologie, menschlichem Verhalten und Sicherheitskultur.

Klassische Schulungen allein reichen nicht. Mitarbeitende müssen verdächtige Situationen erkennen können, sollten aber nicht als entscheidende “Verteidigungslinie” gelten. Entscheidend ist eine Sicherheitsarchitektur, die gestohlene Zugangsdaten und menschliche Fehlentscheidungen einkalkuliert.

Phishing-resistente Authentisierung mit FIDO2 oder Passkeys erschwert Anmeldungen über gefälschte Domains, weil die kryptografische Anmeldung an den tatsächlichen Dienst gebunden ist.“

Zugriffe sollten nach Gerät, Standort, Risiko und Nutzerverhalten bewertet werden. Ein Login von einem unbekannten Gerät, ein ungewöhnlicher Zugriff auf Zahlungsdaten oder eine neue Weiterleitungsregel im Postfach müssen geprüft oder blockiert werden.

Hinzu kommen minimale Berechtigungen und belastbare Freigabeprozesse. Kritische Zahlungen, Änderungen an Stammdaten und administrative Aktionen dürfen nicht allein aufgrund einer E-Mail, eines Telefonats oder einer einzelnen Bestätigung möglich sein. Auch ein Vier-Augen-Prinzip wirkt nur, mit unabhängigem Kommunikationskanal und Referenzdaten.

Erkennung statt Schuldzuweisung

Social Engineering endet nicht, sobald jemand klickt. Für das Security Operations Center beginnt dann die entscheidende Phase. Identitäts-, Endpoint-, E-Mail- und Netzwerkdaten müssen korreliert werden. Erst so zeigt sich, ob auf eine verdächtige Nachricht eine neue Cloud-Anmeldung, ein ungewöhnlicher Download oder veränderte Postfachregeln folgen.

Finanzunternehmen benötigen klar definierte Reaktionsabläufe. Verdächtige Sitzungen müssen widerrufen, Konten risikobasiert gesperrt und betroffene Systeme untersucht werden. Nötig ist zudem ein sanktionsfreier Meldeweg. Wer einen Fehler früh meldet, verkürzt die Zeit, in der ein Angreifer unentdeckt handeln kann.

Wirksamer Schutz entsteht durch technische Kontrollen, die Manipulation erschweren, Auswirkungen begrenzen und verdächtiges Verhalten sichtbar machen. Der Mensch bleibt Teil der Sicherheitsarchitektur, nicht ihre einzige Barriere. Nils Dohmen, Secuinfra/dk