Konto & Identität · ACC-03
Verdacht auf Kontoübernahme
Es gibt Anzeichen, dass jemand anderes Zugriff auf ein dienstliches Konto hat. Typisch sind Anmeldungen zu ungewöhnlichen Zeiten, Nachrichten, die du nie geschrieben hast, oder Einstellungen, die sich von selbst geändert haben.
Erste 15 Minuten
Sofortmaßnahmen.
- Anmeldung aus einem fremden Land gemeldet
- Gesendete Mails, die du nicht geschrieben hast
- Neue Weiterleitungsregel im Postfach
- Passwort funktioniert plötzlich nicht mehr
- 01
Passwort sofort ändern, von einem anderen, sauberen Gerät aus. Funktioniert das nicht mehr, direkt zur Meldung übergehen.
- 02
In den Kontoeinstellungen alle aktiven Sitzungen abmelden, damit fremde Zugriffe unterbrochen werden.
- 03
Postfachregeln und Weiterleitungen prüfen und auffällige Einträge notieren, bevor du sie entfernst.
- 04
Prüfen, ob dasselbe Passwort noch anderswo im Einsatz ist, und diese Konten ebenfalls ändern.
- 05
Sofort melden, auch wenn du den Zugriff schon unterbrochen hast.
Melden
Wen informieren, und wie.
Wen
IT-Verantwortliche oder IT-Dienstleister, unverzüglich. Bei Konten mit Zahlungsfreigabe zusätzlich die Geschäftsführung.
Wie
Telefonisch über den Notfallkontakt aus dem Kontaktblatt. Nicht über das betroffene Konto, weil Angreifer dort mitlesen können.
Was bereithalten
- Um welches Konto und welchen Dienst es geht
- Woran du den fremden Zugriff bemerkt hast
- Seit wann die Auffälligkeiten bestehen
- Welche Weiterleitungen oder Regeln du gefunden hast
- Ob das Passwort auch für andere Dienste genutzt wurde
Häufige Fehler
Nicht tun.
-
Über das verdächtige Konto selbst melden oder dort über den Vorfall schreiben.
-
Gefundene Weiterleitungsregeln löschen, ohne sie vorher festzuhalten. Sie sind ein wichtiger Hinweis auf das Vorgehen.
-
Abwarten, ob sich das Problem von selbst erledigt.
-
Kundinnen und Kunden auf eigene Faust warnen, bevor das Vorgehen abgestimmt ist.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die IT sperrt das Konto vorübergehend, setzt die Anmeldedaten neu auf und richtet die Multi-Faktor-Authentifizierung neu ein.
-
Anhand der Anmeldeprotokolle wird geprüft, welche Daten eingesehen und welche Nachrichten versendet wurden.
-
Sind personenbezogene Daten oder Zahlungsvorgänge betroffen, folgt die Bewertung durch Datenschutz-Ansprechperson und Geschäftsführung.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Die Weiterleitungsregel ist der eigentliche Schaden
Bei übernommenen Konten richtet sich die Aufmerksamkeit meist auf das Passwort. Der nachhaltigere Schaden entsteht woanders: Angreifer legen im Postfach eine Regel an, die eingehende Nachrichten automatisch an eine externe Adresse weiterleitet und anschließend im Ordner für gelöschte Elemente ablegt. Das Postfach sieht danach normal aus, der Mitschnitt läuft trotzdem weiter.
Deshalb steht die Regelprüfung in diesem Playbook so weit oben. Und deshalb sollst du gefundene Regeln erst festhalten und dann entfernen: Adresse, Bedingung und Erstellungszeitpunkt sagen der IT, seit wann mitgelesen wurde und wohin die Daten geflossen sind.
Warum die Meldung nicht über das betroffene Konto laufen darf
Wer Zugriff auf ein Postfach hat, liest mit. Eine Mail mit dem Betreff Verdacht auf Kompromittierung ist damit ein Warnschuss an die Gegenseite. Typische Reaktion: Die Angreifer beschleunigen, lösen offene Zahlungsanweisungen aus oder ziehen weitere Daten ab, bevor gesperrt wird.
Der Meldeweg für diesen Fall führt deshalb über Telefon oder ein anderes Medium. Das Gleiche gilt für die Abstimmung im Team: Solange das Konto nicht gesperrt ist, gehören Details des Vorfalls nicht in Kanäle, die über dieses Konto erreichbar sind.
Warum Passwort-Wiederverwendung den Fall vergrößert
Sehr viele Kontoübernahmen beginnen ohne Angriff auf das Unternehmen. Zugangsdaten stammen aus dem Datenleck eines fremden Anbieters und werden automatisiert gegen andere Dienste durchprobiert. Wurde dasselbe Passwort mehrfach verwendet, ist mit dem einen Konto auch jedes andere offen.
Das ist der Grund für den vierten Sofortschritt. Wenn du unsicher bist, welche Dienste dasselbe Passwort tragen, sag das offen in der Meldung. Die IT kann gezielt prüfen, wo dieselbe Kennung im Unternehmen sonst noch verwendet wird.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo Ihr Unternehmen steht und welcher nächste Schritt sinnvoll ist.