Phishing & Social Engineering · PHI-06
Verdächtiger QR-Code oder SMS-Link
Ein QR-Code oder eine SMS führt auf eine Seite, die Zugangsdaten, eine Zahlung oder eine App-Installation verlangt. Beide Wege umgehen den Mail-Schutz des Unternehmens, weil sie am Handy und außerhalb des Postfachs ankommen.
Erste 15 Minuten
Sofortmaßnahmen.
- QR-Code-Aufkleber über dem Original am Parkautomaten
- SMS zu einer angeblich fehlgeschlagenen Paketzustellung
- QR-Code in einer Mail statt eines Links
- SMS von der angeblichen Bank mit Bestätigungslink
- 01
Nichts eingeben und die Seite schließen. Solange keine Daten eingetippt sind, ist meist nichts passiert.
- 02
Wurde bereits etwas eingegeben: sofort das betroffene Passwort ändern und alle aktiven Sitzungen abmelden.
- 03
Wurde eine App oder ein Profil installiert: Gerät vom WLAN und Mobilfunk trennen und die IT anrufen, bevor du weiter tippst.
- 04
Screenshot der Nachricht oder Foto des QR-Codes machen, samt Absendernummer.
- 05
Melden, auch wenn du nichts eingegeben hast. Der Fund selbst ist die nützliche Information.
Melden
Wen informieren, und wie.
Wen
IT-Verantwortliche oder IT-Dienstleister. Bei QR-Codes im eigenen Gebäude zusätzlich Empfang oder Facility-Verantwortliche.
Wie
Über den internen Meldeweg aus dem Kontaktblatt. Bei installierter App oder Profil telefonisch, nicht schriftlich vom betroffenen Gerät.
Was bereithalten
- Wo der QR-Code hing oder von welcher Nummer die SMS kam
- Wie die Zielseite ausgesehen und was sie verlangt hat
- Ob du etwas eingegeben oder installiert hast
- Ob es ein dienstliches oder privates Gerät war
- Wann genau du den Code gescannt oder den Link geöffnet hast
Häufige Fehler
Nicht tun.
-
Den Code ein zweites Mal scannen, um ihn Kolleginnen und Kollegen zu zeigen.
-
Den Link zur Warnung an andere weiterleiten. Wer ihn öffnet, landet auf derselben Seite.
-
Auf die SMS antworten, auch nicht mit einer Absage. Eine Antwort bestätigt, dass die Nummer aktiv ist.
-
Verdächtige QR-Aufkleber entfernen, bevor jemand sie fotografiert hat.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die IT prüft, ob weitere Personen dieselbe Nachricht erhalten haben, und sperrt die Zieladresse.
-
Bei eingegebenen Zugangsdaten werden Konto und Anmeldeprotokolle geprüft und die Anmeldedaten neu aufgesetzt.
-
Bei installierten Apps oder Konfigurationsprofilen wird das Gerät untersucht und im Zweifel neu aufgesetzt.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Warum QR-Codes und SMS am Schutz vorbeikommen
Der Mail-Schutz des Unternehmens filtert Anhänge und prüft Links. Ein QR-Code enthält weder das eine noch das andere: Für den Filter ist er ein Bild. Die Adresse dahinter wird erst sichtbar, wenn die Kamera sie gelesen hat, und dann meist auf dem privaten Handy, das außerhalb der Unternehmenskontrolle steht. Für Smishing gilt dasselbe über den Mobilfunkweg.
Dieser Umweg ist der eigentliche Zweck der Masche. Sie zielt bewusst auf den Moment, in dem eine gut geschützte Organisation an ein schlecht geschütztes Gerät übergibt. Genau deshalb gehören Funde gemeldet, auch wenn niemand darauf hereingefallen ist. Eine gemeldete Nachricht sagt der IT, dass gerade eine Welle läuft.
Der gefährlichste Fall ist die Installation
Eingegebene Zugangsdaten lassen sich zurückholen: Passwort ändern, Sitzungen beenden, Protokolle prüfen. Eine installierte App oder ein Konfigurationsprofil ist eine andere Größenordnung. Solche Profile können Netzwerkverkehr umleiten, Zertifikate hinterlegen und Eingaben mitlesen, und sie überstehen einen Neustart.
Deshalb steht in den Sofortmaßnahmen: Verbindung trennen und anrufen, bevor du weitertippst. Jede weitere Eingabe auf einem so präparierten Gerät kann direkt mitgeschnitten werden, auch die neuen Zugangsdaten, die du gerade setzen willst.
QR-Codes im eigenen Gebäude
Aufkleber über Originalcodes sind eine bekannte Masche an Parkautomaten, Ladesäulen und Aushängen. Sie funktioniert auch in Firmengebäuden, etwa auf Besucherformularen, WLAN-Hinweisen oder Kantinen-Aushängen. Ein solcher Fund betrifft alle im Haus und gehört deshalb zusätzlich an Empfang oder Facility-Verantwortliche.
Wichtig für die Aufklärung: Erst fotografieren, dann entfernen. Ohne Bild bleibt später offen, wohin der Code führte und wie viele Personen ihn gescannt haben könnten.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo Ihr Unternehmen steht und welcher nächste Schritt sinnvoll ist.