Social-Engineering-Angriffe nehmen zu

Social-Engineering-Techniken wie Pretexting, Vishing (Voice-Phishing), MFA-Fatigue-Angriffe (Überflutung mit Freigabeanfragen) und sogar SIM-Swapping werden eingesetzt, um Helpdesk-Mitarbeitende dazu zu bringen, Zugangsdaten zurückzusetzen oder MFA-Kontrollen zu deaktivieren. Diese Taktiken sind längst keine Theorie mehr – sie wurden bei schwerwiegenden Sicherheitsverletzungen beobachtet.

So begannen beispielsweise aufsehenerregende Angriffe auf zwei der weltweit größten Casino- und Hospitality-Unternehmen im Jahr 2023 mit Helpdesk-Identitätsvortäuschung: Hacker überzeugten den Support, Passwort-Resets oder eine erneute MFA-Registrierung bereitzustellen und erhielten damit faktisch die „Schlüssel zum Königreich“. Selbst das stärkste Authentifizierungssystem wird bedeutungslos, sobald ein nicht verifizierter Anrufer Ihr Frontline-Personal dazu bringen kann, Sicherheitsmechanismen zu übersteuern.

Die Auswirkungen: Umgehung von MFA und Eskalation zur Sicherheitsverletzung

Aktuelle globale Vorfälle verdeutlichen, wie schnell ein Social-Engineering-Einstiegspunkt zu einer umfassenden Sicherheitsverletzung eskaliert. Sobald Angreifer gültige Zugangsdaten erlangen oder einen Passwort-Reset erzwingen, können sie MFA umgehen und sich frei durch Systeme bewegen. In einem der Angriffe von 2023 nutzte eine bekannte Hackergruppe Social Engineering, um an Account-Zugangsdaten und einmalige MFA-Codes zu gelangen, was zu tagelangen Betriebsausfällen und einer Lösegeldforderung führte. Berichten zufolge zahlte eines der betroffenen Unternehmen im Jahr 2023 nach einem ähnlichen, auf den Helpdesk fokussierten Angriff Millionenbeträge an Lösegeld.² Dies sind keine Einzelfälle: Das internationale Cyberkriminellen-Netzwerk, das für diese Angriffe verantwortlich ist, hat seit 2022 eigenständig über 100 Organisationen in den Bereichen Hospitality, Cloud-Services, Telekommunikation, Einzelhandel, Luftfahrt und weiteren Branchen infiltriert. Diese und ähnliche Gruppen nutzen Taktiken, gegen die selbst ausgereifte Sicherheitsprogramme nur schwer ankommen.

Das größere Bild zeigt, dass keine Branche und keine Region immun ist. Im Jahr 2024 griffen Social Engineers Unternehmen vom britischen Einzelhandel bis hin zu nordamerikanischen Fluggesellschaften an. Häufig erfolgt der Erstzugang durch externe Personen, die sich als Insider ausgeben – etwa als vermeintliche Mitarbeitende oder Dienstleister, die den Support überzeugen, MFA „vorübergehend“ zu deaktivieren, eine Telefonnummer zu entfernen oder einen neuen Login-Link auszustellen. Nach dem Eindringen beginnen Angreifer mit lateraler Bewegung und weiten ihren Zugriff horizontal über Systeme hinweg aus, um Berechtigungen zu eskalieren, Daten zu exfiltrieren, Ransomware einzusetzen oder alles zusammen.

Ein einziger Fehler im Helpdesk kann zu regulatorischen Strafen, Reputationsschäden und erheblichen Geschäftsunterbrechungen in kritischen Sektoren führen. Die finanziellen Auswirkungen können verheerend sein; so führte beispielsweise der Cyberangriff im Mai 2025 auf einen führenden britischen Einzelhändler zu Verlusten in Millionenhöhe aufgrund von Betriebsunterbrechungen, rechtlichen Verpflichtungen und Wiederherstellungskosten.¹

Sich weiterentwickelnde Angreifertaktiken: KI-Identitätsvortäuschung und Multi-Vektor-Täuschung

Heutige Social Engineers erhöhen den Einsatz mit KI-gestützter Identitätsvortäuschung und Multi-Vektor-Angriffen. Deepfake-Stimmenklonen ist Realität: In einem dokumentierten Fall nahmen Betrüger den CEO eines globalen Unternehmens über einen gefälschten WhatsApp-Chat und eine Deepfake-Stimme in einer Telefonkonferenz ins Visier. Die Angreifer nutzten eine geklonte Stimme und zweckentfremdetes Videomaterial, um sich in einem virtuellen Meeting als CEO auszugeben und versuchten, eine Führungskraft zu einem fingierten Geschäft zu verleiten (glücklicherweise wurde der Angriff vereitelt).

Dieses Beispiel zeigt, wie Betrüger inzwischen Techniken kombinieren: Sie erstellten ein gefälschtes Konto mit dem Foto des CEO, organisierten ein Videomeeting und nutzten eine KI-generierte Stimme – eine kanalübergreifende Täuschung, die Messaging, Video und Audio miteinander verbindet.

Solch ausgefeilte Identitätsvortäuschung ist längst keine Seltenheit mehr. Im vergangenen Jahr haben Deepfake-Stimmbetrügereien Banken und Finanzunternehmen um Millionen betrogen und Sicherheitsteams in erhöhte Alarmbereitschaft versetzt. Angreifer kombinieren zudem traditionelle Methoden mit neuen Werkzeugen. Beispielsweise senden sie eine Phishing-E-Mail und folgen anschließend mit einem überzeugenden Telefonanruf (Vishing), in dem sie auf die E-Mail Bezug nehmen, um legitim zu wirken – und nutzen so mehrere Kommunikationskanäle gleichzeitig aus. Studien zeigen, dass Kriminelle zunehmend Phishing, Vishing und Smishing (SMS-Phishing) innerhalb einer einzigen Kampagne kombinieren, um ihre Glaubwürdigkeit zu maximieren.³

Mit generativer KI können Angreifer sofort personalisierte Phishing-Köder erstellen oder sogar gefälschte Dokumente und Stimmen generieren, wodurch Kosten und Aufwand für hochgradig zielgerichtete Angriffe sinken. Eine Analyse ergab, dass die Automatisierung solcher Angriffe die Kosten für Spear-Phishing um bis zu 99 % senken kann und es Bedrohungsakteuren ermöglicht, in bislang unmöglichem Maßstab zu agieren.⁴ Kurz gesagt: Die Einstiegshürde für überzeugendes Social Engineering ist gesunken, während die Raffinesse deutlich gestiegen ist.

Über Helpdesks hinaus: Weitere gängige Identitätsangriffe

Während die Identitätsvortäuschung gegenüber dem Helpdesk eine offensichtliche Schwachstelle darstellt, nutzen Angreifer heute zahlreiche weitere Identitätsschwachstellen in Unternehmen aus.

Jedes Glied in der Identitätskette – von Telekommunikationsanbietern und Endgeräten bis hin zu Sicherheitsadministratoren – ist zu einem Ziel geworden.

Angreifer suchen gezielt nach dem schwächsten Glied – sei es ein Helpdesk-Mitarbeiter ohne geeignete Verifizierungstools, ein von MFA-Prompts ermüdeter Mitarbeiter oder ein Mitarbeitender eines Telekommunikationsunternehmens, der zu einem SIM-Swapping verleitet wird. Eine erweiterte Verteidigungsstrategie muss all diese Angriffsvektoren berücksichtigen.

Strategische Antwort: Identitätszentrierte, mehrschichtige Verteidigung

Um diesen adaptiven Bedrohungen zu begegnen, müssen Organisationen zu einem identitätszentrierten Verteidigungsmodell übergehen (visualisiert in Abbildung 1 unten). In der traditionellen Sicherheit sprachen wir von Defense-in-Depth mit mehreren Ebenen (Netzwerk, Endpoint, Anwendung usw.). Heute ist Identität der neue Perimeter, daher müssen unsere Ebenen die Identitätssicherung in jedem Schritt verstärken. Das bedeutet, personelle, prozessuale und technologische Maßnahmen so zu kombinieren, dass bei Versagen einer Kontrolle andere Barrieren dem Angreifer im Weg stehen.

1. Identitätsprüfung und Zugriffskontrollen stärken (Innere Ebene)

Beginnen Sie damit, über einfache gemeinsame Geheimnisse oder Einmal-Tokens zur Identitätsprüfung hinauszugehen. Implementieren Sie eine starke, kontextbasierte Identitätsverifizierung, insbesondere für manuelle Prozesse wie Helpdesk-Anrufe.

Dies kann beinhalten, dass ein Helpdesk-Mitarbeiter einen Live-Identitätsnachweis mit dem Benutzer initiiert (z. B. durch das Senden einer Push-Benachrichtigung, die der Benutzer bestätigen muss, oder durch die Anforderung einer kurzen Live-Videoüberprüfung bei risikoreichen Aktionen). Nutzen Sie biometrische Prüfungen, die Verifizierung von Ausweisdokumenten oder Face-Recognition-Liveness-Prüfungen für Zurücksetzungen – diese Methoden sind deutlich schwerer zu fälschen als Sicherheitsfragen oder Mitarbeiter-IDs. Erzwingen Sie Multi-Faktor-Prüfungen, die etwas kombinieren, das der Benutzer besitzt (eine ID oder ein Gerät), etwas, das er ist (Biometrie), sowie kontextuelle Risikosignale.

Wenn beispielsweise eine Entsperrung eines Kontos angefordert wird, verlangen Sie nicht nur eine Verifizierung anhand von HR- oder Verzeichnisinformationen, sondern auch eine übereinstimmende Gesichts- oder Fingerabdruckprüfung sowie die Anwesenheit eines bekannten Geräts. Ziel ist es sicherzustellen, dass die Person, die Zugriff anfordert, die rechtmäßige Identität ist – ein Zero-Trust-Ansatz nach dem Prinzip „never trust, always verify“, angewendet auf die Wiederherstellung von Benutzeridentitäten. Parallel dazu sollten Unternehmen damit beginnen, die Grundlage für kryptografisch abgesicherte, verifizierbare Berechtigungsnachweise zu schaffen – digitale Bestätigungen, die nicht gefälscht werden können und während Wiederherstellungsprozessen einen starken, datenschutzfreundlichen Identitätsnachweis ermöglichen.

2. Implementieren Sie Workflow-Kontrollen und das Vier-Augen-Prinzip (Prozessebene)

So wie Finanztransaktionen häufig eine doppelte Genehmigung erfordern, sollten sensible Identitätsaktionen nicht im Ermessen eines einzelnen Mitarbeiters liegen. Führen Sie eine Genehmigung durch Kollegen oder Vorgesetzte für risikoreiche Änderungen ein.

Wenn beispielsweise ein Mitarbeiter anruft, um MFA zurückzusetzen, könnte das System automatisch eine zweite Instanz einbeziehen – etwa einen zuvor benannten Kollegen oder den Vorgesetzten des Benutzers –, um die Anfrage vor der Ausführung mit zu autorisieren. Dieser Peer-gestützte Workflow schafft eine „Zwei-Personen-Regel“, die die Wahrscheinlichkeit erheblich reduziert, dass der Fehler einer einzelnen Person die Sicherheit kompromittiert. (Nicht einmal ein Angreifer mit einem perfekten Deepfake kann gleichzeitig zwei unabhängige Personen täuschen, die persönlich oder über einen sekundären Kanal verifizieren.) Tatsächlich ermöglichen moderne Modelle zur Identitätswiederherstellung inzwischen, dass ein vorab registrierter „Helper“-Benutzer im Namen des Benutzers am Authentifizierungsprozess teilnimmt. Wenn der Benutzer den Zugriff auf alle Faktoren verliert, sollten zwei Helper erforderlich sein, damit sie nicht zusammenwirken können (die Zustimmung eines einzelnen Helpers allein wäre nicht ausreichend).

Diese orchestrierten Workflows können richtlinienbasiert automatisiert werden, indem beispielsweise verhindert wird, dass der Helpdesk das Passwort eines Benutzers direkt ändert, und stattdessen ein sicherer Self-Service-Prozess oder eine Genehmigungswarteschlange für Vorgesetzte ausgelöst wird. Durch die Integration von Checks and Balances in Identitätsprozesse wird Social Engineering für Angreifer deutlich schwerer skalierbar. Angesichts der Kritikalität von Identitätswiederherstellungsprozessen sollten Unternehmen in Erwägung ziehen, diese Funktionen organisatorisch im Sicherheitsbereich zu verankern. Dies gewährleistet eine stärkere Aufsicht, eine schnellere Ausrichtung an der Sicherheitsstrategie und ein geringeres Risiko von Prozessumgehungen in Drucksituationen.

3. Kontinuierliches Monitoring und Identity Threat Detection schichten (äußere Ebene)

Selbst bei starken präventiven Kontrollen sollten Sie davon ausgehen, dass einige Angriffe durchdringen. Hier werden Erkennung und Reaktion entscheidend. Implementieren Sie Tools und Prozesse für Identity Threat Detection and Response (ITDR): betrachten Sie dies als Security Operations Center (SOC)-Monitoring für Identitätssysteme.

Überwachen Sie beispielsweise Anomalien wie schnelle Konto-Zurücksetzungen, ungewöhnliche Anmeldeorte oder mehrere fehlgeschlagene MFA-Versuche über viele Konten hinweg (was auf einen umfassenderen Phishing- oder MFA-Fatigue-Angriff hindeuten könnte). Nutzen Sie AI/ML, um eine Baseline des normalen Benutzerverhaltens zu etablieren und bei Abweichungen eine Step-up-Authentifizierung auszulösen. Wenn sich beispielsweise jemand aus dem Finanzbereich plötzlich von einem neuen Gerät in einem anderen Land anmeldet und sofort versucht, auf HR-Dateien zuzugreifen, sollte dies Alarm auslösen und eine erneute Authentifizierungsprüfung oder einen Verifizierungsrückruf veranlassen.

Moderne Identitätsplattformen und Sicherheitsanalysen können Signale von Endpunkten, dem Netzwerk und dem Benutzerverhalten korrelieren, um für jede Sitzung einen Risikoscore zu erstellen.⁵ Wird ein hohes Risiko erkannt, sollten dynamische Step-up-Prüfungen greifen: beispielsweise die erneute biometrische Verifizierung, ein zusätzlicher Einmalcode oder sogar eine erneute Identitätsbestätigung über Sicherheitsfragen mit einem Mitarbeiter. Aktivitäten mit geringem Risiko können hingegen ohne zusätzliche Hürden fortgesetzt werden, um legitime Benutzer nicht unnötig zu belasten.⁵

Durch die Kombination robuster präventiver Kontrollen mit aktivem Monitoring und schneller Reaktion schaffen Unternehmen eine resiliente Identitätsverteidigung. Versagt eine Ebene (z. B. wenn ein Angreifer einen Helpdesk-Mitarbeiter täuscht), kann die nächste Ebene (Anomalieerkennung) die Bedrohung dennoch erkennen und eindämmen, bevor Schaden entsteht.

Identitätszentriertes, mehrschichtiges Verteidigungsmodell

Abbildung 1: Visualisierung des „Identitätszentrierten, mehrschichtigen Verteidigungsmodells“

Ein stufenweiser Fahrplan: Von sofort umsetzbaren Maßnahmen bis hin zu zukunftssicheren Strategien

Die Verbesserung der Identitätssicherheit und -wiederherstellung ist ein fortlaufender Prozess. Unternehmen sollten einen stufenweisen Ansatz verfolgen, um ihre Abwehrmaßnahmen zu modernisieren, ohne den Geschäftsbetrieb zu beeinträchtigen. Nachfolgend finden Sie einen branchenunabhängigen und global anwendbaren Now-, Mid-Term- und Long-Term-Fahrplan.

Sofortmaßnahmen (Now): Minimaler Aufwand, maximale Wirkung

Beginnen Sie damit, die Helpdesk-Lücke mit Lösungen zu schließen, die einfach umzusetzen sind und sofort erhebliche Wirkung zeigen.

In vielen Unternehmen sind Helpdesk-Funktionen an Drittanbieter oder Managed-Service-Partner ausgelagert. Diese Modelle können zwar den Support skalieren und Kosten senken, führen jedoch eine neue Risikodimension ein: Ausgelagerte Mitarbeiter sind häufig weniger emotional mit den Menschen, der Marke und dem Datenschutzethos des Unternehmens verbunden. Diese Distanz kann zu Fehlentscheidungen oder zum Übersehen subtiler Warnsignale bei Identitätswiederherstellungsanrufen führen.

Im Gegensatz dazu helfen Peer-basierte Wiederherstellungs-Workflows, bei denen Mitarbeiter vertrauenswürdige Kollegen oder Vorgesetzte vorab auswählen, um bei der Kontowiederherstellung zu unterstützen, diese Lücke zu schließen. Diese internen Akteure sind mit Teamdynamiken besser vertraut und weniger anfällig für Manipulation durch Dringlichkeit, Voice-Spoofing oder internen Jargon. Die Integration von Peer-Verifizierungsoptionen stärkt die menschliche Vertrauensebene, die ausgelagerten Helpdesks möglicherweise fehlt.

1. Peer-basierte Wiederherstellung aktivieren

Ermöglichen Sie Benutzern, ein oder zwei vertrauenswürdige Kollegen oder Vorgesetzte als „Account-Recovery-Helper“ vorab zu registrieren. Wird ein Benutzer ausgesperrt, verifizieren die Helper seine Identität über sichere, Out-of-Band-Workflows – Video, Unternehmens-Chat oder sogar persönlich – und genehmigen über Magic Link, Push-Benachrichtigung oder QR-Scan, wodurch verteiltes Vertrauen sichergestellt wird.

2. Helpdesk-Workflows gegen Social Engineering absichern

Anstatt sich auf unsichere OTPs zu verlassen, die per SMS oder E-Mail gesendet werden, verwenden Sie Live-Verifizierungs-Trigger während der Helpdesk-Interaktion. Diese Schritte stellen sicher, dass der Helpdesk-Mitarbeiter bestätigt, wer die Anfrage stellt, und nicht nur, was die Person weiß:

• Bitten Sie den Benutzer, ein Live-Selfie mit Liveness-Prüfung durchzuführen, kombiniert mit einer vertrauenswürdigen Referenz wie einer vorab registrierten biometrischen Vorlage oder einem verifizierten Ausweisdokument, um nicht nur die menschliche Präsenz, sondern auch die beanspruchte Identität zu bestätigen.
• Lösen Sie eine sichere In-Session-Prüfung aus (z. B. biometrische oder gerätegebundene Bestätigung).
• Verlangen Sie, dass der Benutzer auf eine Push-Benachrichtigung reagiert, die an ein zuvor registriertes, verifiziertes Gerät gesendet wurde.

3. Verifizierung von Ausweisdokumenten für Hochrisiko-Anwendungsfälle implementieren

Integrieren Sie, wo möglich, Schritte zur Ausweisverifizierung (Scan eines staatlich ausgestellten Dokuments + Echtzeit-Selfie-Abgleich + Identitätskorrelation/Datenabgleich) in Ihre Support- und Wiederherstellungsprozesse. Diese fügen einen Identitätskontrollpunkt mit hohem Vertrauensniveau hinzu, um Integrität und Sicherheit zu gewährleisten und zu verhindern, dass sich Identitätsbetrüger selbst mit Insiderwissen durchsetzen können.

4. Die menschliche Firewall schulen

Starten Sie ein Helpdesk-spezifisches Schulungsprogramm zu Social Engineering, Deepfakes und Spoofing-Taktiken. Statten Sie Mitarbeiter mit Eskalationsprotokollen und der Befugnis aus, Anfragen zu pausieren oder abzulehnen, wenn etwas verdächtig erscheint.

Der Identitätskorrelationsabgleich extrahierter Attribute (z. B. Name, Geburtsdatum, Dokumentnummer) mit maßgeblichen Quellen wie HR-Systemen oder Identitätsregistern sollte in diesen Hochsicherheitsprozessen verpflichtend sein, um sicherzustellen, dass die verifizierte Identität mit dem System of Record übereinstimmt.

5. Sicherheitsblase

Erwägen Sie die Einrichtung einer „Sicherheitsblase“ rund um Helpdesk-Operationen mit hohem Risiko, indem Sie Wiederherstellungsfunktionen mit erweiterten Verifizierungs-, Monitoring- und Eskalationsmechanismen isolieren.

Mid-Term-Verbesserungen: Mehrschichtige Verifizierung & integrierte Signale

In dieser Phase sollte Ihr Fokus auf skalierbarer Verteidigung liegen. Implementieren Sie mehrschichtige Verifizierungsframeworks für Identitätswiederherstellung und risikoreichen Zugriff. Das bedeutet die Kombination mehrerer Identitätsprüfungen: beispielsweise Scan eines staatlich ausgestellten Lichtbildausweises + Echtzeit-Liveness-Prüfung + Abgleich mit HR-Daten.

Um die Sicherheit weiter zu erhöhen, können Unternehmen diesen Prozess anreichern, indem sie biografische Attribute (Name und Adresse), die aus dem staatlich ausgestellten Ausweisdokument extrahiert wurden, mit externen, vertrauenswürdigen Datenquellen wie Auskunfteien oder nationalen Identitätsregistern abgleichen. Dieser biografische Abgleich liefert ein weiteres Signal zur Validierung der Legitimität der Identitätsanfrage und hilft dabei, das Vertrauen durch den Abgleich interner und externer Datensätze zu untermauern.

Falls ein Faktor fehlt oder fehlschlägt (z. B. ist der Ausweis des Nutzers abgelaufen oder das Gesicht stimmt nicht überein), sollten alternative Wege vorgesehen werden: etwa die Beantwortung einer HR-Sicherheitsfrage plus Genehmigung durch eine Führungskraft im Admin-Portal. Der Verifizierungsprozess sollte sich kontrolliert eskalieren lassen, indem beispielsweise automatisch ein sicherer Video-Chat mit einem Sicherheitsbeauftragten initiiert wird, wenn Standardmethoden fehlschlagen.

Gleichzeitig sollten unterschiedliche Signale in Ihre Identitäts-Workflows integriert werden. Verknüpfen Sie Ihre Identitätsplattform mit HR-Systemen, Endpoint Detection & Response (EDR)-Tools und Threat-Intelligence-Feeds. Wenn HR beispielsweise einen Nutzer als ausgeschieden kennzeichnet, lösen Sie automatisch eine Step-up-Authentifizierung für dieses Konto aus (oder sperren Sie es). Erkennt Ihr EDR- oder Browser-Isolation-Tool einen Malware-Vorfall auf einem Gerät, erzwingen Sie eine erneute Authentifizierung und Verifizierung für alle Konten, die von diesem Gerät aus zugreifen.

Mittelfristig sollte die Automatisierung den Großteil der Identitätswiederherstellungen sicher abwickeln – nur Randfälle erfordern menschliches Eingreifen. Orchestrierungs-Tools (Identity-Workflow-Engines) können Richtlinien in Echtzeit durchsetzen. Wenn beispielsweise ein Nutzer eine MFA-Zurücksetzung anfordert und der Gerätezustand nicht verifiziert ist, ist eine zusätzliche Genehmigung durch die Führungskraft erforderlich. Dadurch wird die Abhängigkeit von Gedächtnis und manuellen Schritten reduziert. Implementieren Sie außerdem unternehmensweit phishing-resistente MFA für Benutzeranmeldungen, etwa FIDO2-Sicherheitsschlüssel oder mobile Authenticator-Apps mit Number Matching, um Credential-Diebstahl und MFA-Fatigue-Angriffe zu neutralisieren.

Insgesamt besteht das mittelfristige Ziel in einer umfassenden, kontextbasierten Authentifizierung und Wiederherstellung, die sich dynamisch an das Risiko anpasst. Nutzer erhalten bei geringem Risiko eine reibungslose Erfahrung (ohne unnötige Hürden), während bei anomalen oder sensiblen Szenarien mehrere Validierungen ausgelöst werden, bevor Vertrauen gewährt wird.

Langfristige Erweiterungen (Strategische Weiterentwicklung): Dezentrale und kontinuierliche Identität

Langfristig sollten Unternehmen kryptografisch verifizierbare digitale Nachweise – mitunter als dezentrale Identität bezeichnet – sowie fortschrittliche Automatisierung einsetzen, um Angreifern einen Schritt voraus zu sein. Im Zukunftsmodell verfügen Mitarbeitende über verifizierbare digitale Nachweise (z. B. in einer mobilen Wallet), die vom Unternehmen ausgestellt werden. Anstatt Sicherheitsfragen zu stellen oder Verifizierungscodes zu verwalten, könnte der Helpdesk (oder das System) den Nutzer auffordern, einen kryptografisch signierten Nachweis vorzulegen, der Identität und Beschäftigungsstatus bestätigt. Da diese verifizierbaren Nachweise (VCs) vom Unternehmen signiert und an das biometrisch gesicherte Gerät des Nutzers gebunden sind, sind sie äußerst schwer zu fälschen.

Eine Identitätswiederherstellung könnte in diesem Szenario wie folgt aussehen: Der Helpdesk initiiert eine „Credential Request“, der Nutzer tippt auf sein Smartphone, um einen signierten Nachweis aus seiner Wallet zu senden, und das System validiert Signatur und Identitätsattribute, ohne dass Passwörter oder Ausweise manuell weitergegeben werden. Dies verbessert nicht nur die Sicherheit, sondern auch den Datenschutz, da der Nutzer die Freigabe seiner Nachweise kontrolliert. Parallel dazu sollte eine „Always-on“-Identity-Threat-Analytics-Engine eingeführt werden.

Zukünftige Identitätssysteme werden Vertrauen kontinuierlich bewerten und mithilfe von KI subtile Kompromittierungsindikatoren erkennen, indem sie beispielsweise das aktuelle Verhalten und den digitalen „Exhaust“ eines Nutzers (z. B. Tippmuster, Geolokalisierung, Zugriffszeiten) mit seiner historischen Basislinie vergleichen. Wenn etwas auffällig erscheint, kann das System automatisch Step-up-Herausforderungen durchsetzen oder sogar aktive Sitzungen in Echtzeit widerrufen (zum Beispiel, wenn sich das Konto eines Mitarbeiters plötzlich um 3 Uhr morgens wie ein Administrator verhält, wird es markiert und bis zur Untersuchung blockiert). Die langfristige Strategie umfasst zudem globalen Informationsaustausch und Zusammenarbeit.

Da Cyberbedrohungen Branchen und Landesgrenzen überschreiten, sollten Unternehmen anonymisierte Telemetriedaten und Angriffsindikatoren austauschen. Die Teilnahme an branchenspezifischen ISACs (Information Sharing and Analysis Centers) oder globalen Computer Emergency Response Teams (CERT)-Bulletins ermöglicht eine schnellere Erkennung neuer Social-Engineering-Methoden, die Ihre Branche betreffen.

Planen Sie schließlich für eine passwortlose Zukunft, in der Passwörter – die leicht phishing-anfällig sind – zugunsten gerätegebundener Nachweise und biometrischer Verfahren schrittweise abgeschafft werden. Dadurch werden viele Angriffsvektoren vollständig eliminiert. Die strategische Zukunft der Identitätssicherheit ist dezentral, intelligent und allgegenwärtig: Der Identitätsnachweis ist in Benutzergeräte und Workflows integriert, Vertrauen wird kontinuierlich bewertet, und Sicherheit wird nahtlos sowie nutzerzentriert.

Visualisierung des identitätszentrierten Verteidigungsmodells und der Workflows

Ein resilientes Identitätsverteidigungs-Framework muss mehrere ineinandergreifende Kontrollen rund um die Identität des Nutzers umfassen. Im Kern steht Identity and Access Management (IAM) mit robuster Authentifizierung, Single Sign-on (SSO) und Least-Privilege-Zugriff. Darauf aufbauend stellen Identity Governance und Privileged Access Management (PAM) sicher, dass Nutzer nur die Zugriffsrechte besitzen, die sie benötigen, und dass privilegierte Identitäten einer erhöhten Überwachung unterliegen.

Diese grundlegenden Ebenen werden von IDTR umgeben, das kontinuierlich verdächtiges Verhalten, fehlgeschlagene Authentifizierungen oder unbefugte Eskalationen überwacht. Auf der äußersten Ebene steht eine Zero-Trust-Sicherheitskultur, in der jede Anfrage dynamisch anhand kontextbezogener Risikofaktoren validiert wird. Selbst wenn eine Kontrollebene umgangen wird (z. B. durch ein kompromittiertes Passwort), verhindert die nächste Ebene – etwa Anomalieerkennung oder Step-up-Verifizierung –, dass der Angreifer weiter vordringt. Dieses Defense-in-Depth-Modell (wie in Abbildung 2 unten dargestellt) betrachtet Identität als mehrschichtigen Perimeter, reduziert die Abhängigkeit von einzelnen Kontrollen und stärkt die Sicherheitslage ganzheitlich.

Abbildung 2: Eine übergeordnete Darstellung des „Identity Centric Defense-in-Depth Model“

Peer-basierte Wiederherstellung und Step-up-Workflow

Die peer-gestützte Kontowiederherstellung führt verteiltes Vertrauen in den Identitätswiederherstellungsprozess ein. In Szenarien, in denen Nutzer den Zugriff auf ihr primäres MFA-Gerät verlieren, ermöglicht der Workflow die Initiierung der Wiederherstellung über einen vorab autorisierten Peer. Der Peer erhält eine sichere Benachrichtigung, führt eine starke Authentifizierung durch und validiert die Identität des Nutzers idealerweise über einen sekundären Kanal wie eine Videobestätigung oder geteiltes Wissen.

Der Workflow erfordert aktive Beteiligung: Der Peer kann beispielsweise einen dynamischen QR-Code scannen, über einen Magic Link genehmigen oder eine Push-Benachrichtigung bestätigen; ist das mit dem Peer verbundene Authentifizierungsrisiko zu hoch, wird auch für den Peer eine ID-Verifizierung erzwungen. Für zusätzliche Sicherheit kann an entscheidenden Punkten eine Step-up-Verifizierung vorgeschrieben werden. In Szenarien mit höherem Risiko kann die Genehmigung durch zwei separate Peers erforderlich sein, um das Risiko von Kollusion oder kompromittierten Konten zu reduzieren. Nach erfolgreicher Verifizierung gewährt das System temporären Zugriff, protokolliert die vollständige Interaktion und informiert optional die Sicherheitsteams zur Überwachung.

Dieser Prozess (unten in Abbildung 3 dargestellt) ermöglicht eine sichere Wiederherstellung ohne Abhängigkeit von zentralen Helpdesks, reduziert die Wahrscheinlichkeit erfolgreicher Social-Engineering-Angriffe erheblich und verlagert die Identitätssicherung näher an diejenigen, die die Identität des Nutzers persönlich validieren können.

Abbildung 3: Ein Beispiel für einen Prozessablauf zur sicheren Kontowiederherstellung ohne Helpdesk

Resilienz und Vertrauen über den gesamten Identitätslebenszyklus hinweg aufbauen

Identität ist die erste und letzte Verteidigungslinie. Ob sich ein Hacker noch vor dem Tor befindet oder bereits im Netzwerk ist – eine starke Identitätssicherheitsstrategie kann den Angriff eindämmen und neutralisieren. Die beschriebenen erweiterten Strategien – von der Stärkung von Helpdesk-Prozessen und Schulungen über den Einsatz mehrschichtiger Verteidigungsmaßnahmen bis hin zur Einführung zukünftiger Innovationen wie dezentraler Nachweise – verfolgen alle ein zentrales Ziel: das Vertrauen in die Identität jedes Nutzers, in jedem digitalen Moment und bei jeder Transaktion aufrechtzuerhalten.

Führungskräfte weltweit und branchenübergreifend sollten erkennen, dass diese Bedrohungen weder hypothetisch noch auf einen Sektor beschränkt sind – sie treffen Casinos, Fluggesellschaften, Krankenhäuser, Banken und Regierungen gleichermaßen. In ein identitätszentriertes Sicherheitsmodell zu investieren bedeutet daher, in die Kontinuität des Unternehmens zu investieren. Mit einer phasenweisen Roadmap können Unternehmen kurzfristig schnelle Erfolge erzielen (z. B. offensichtliche Lücken wie die Helpdesk-Verifizierung schließen), mittelfristige Upgrades planen (Integration intelligenter MFA und Monitoring) und auf einen zukunftsfähigen Zustand hinarbeiten, in dem Identitätsnachweise nahtlos, datenschutzfreundlich und kryptografisch verifizierbar sind.

Der Nutzen ist erheblich: Der Helpdesk wird als weiches Ziel eliminiert, Phishing- und Deepfake-Strategien werden abgeschwächt, und legitime Nutzer können ihre Arbeit stets sicher wieder aufnehmen und fortsetzen. In einer Welt voller KI-gestützter Betrugsmaschen und unzähliger Hackergruppen schaffen diejenigen, die ihre Identitätsverteidigung stärken, ein Sicherheitsnetz, das Angreifer nicht leicht durchdringen können. Kurz gesagt: Die Absicherung der Identitätswiederherstellung und darüber hinaus ist nicht nur ein IT-Projekt, sondern eine strategische Notwendigkeit für resiliente und vertrauenswürdige Abläufe im digitalen Zeitalter.

Referenzen

¹Reuters. "$400 million cyberattack upheaval to linger into July"

²8 News Now. "5 defendants linked to hacker group behind 2023 cyberattacks"

³The National Clo Review. "Smishing and Vishing in the Era of Automated Credibility"

⁴Schneier on Security. "AI Will Increase the Quantity and Quality of Phishing Scams"

⁵Patents Assigned to Ping Identity International, Inc. — Justia Patents Search

Haftungsausschluss: Hochkarätige Fallstudien und Bedrohungsinformationen stammen aus aktuellen Cybersicherheitsberichten und Nachrichtenquellen (z. B. Reuters, CyberScoop, The Guardian), um aktuelle Einblicke zu gewährleisten. Die referenzierten Best Practices und Modelle entsprechen den Empfehlungen von Branchenexperten sowie Frameworks wie Zero Trust und Defense-in-Depth für Identitätssicherheit.