Konto & Identität · ACC-04
Unerwartete MFA-Anfragen
Auf dem Handy erscheint eine Bestätigungsanfrage für eine Anmeldung, die du nicht ausgelöst hast. Manchmal einmal, manchmal in Serie und mitten in der Nacht. Jede dieser Anfragen bedeutet, dass jemand dein Passwort bereits kennt.
Erste 15 Minuten
Sofortmaßnahmen.
- Push-Anfrage ohne eigene Anmeldung
- Mehrere Anfragen kurz hintereinander
- Anfrage nachts oder im Urlaub
- SMS-Code, den niemand angefordert hat
- 01
Anfrage ablehnen. Niemals bestätigen, um die Serie zu beenden.
- 02
Passwort des betroffenen Kontos sofort ändern. Die Anfragen belegen, dass es bekannt ist.
- 03
Alle aktiven Sitzungen des Kontos abmelden.
- 04
Sofort melden, auch wenn du nichts bestätigt hast. Die IT braucht den Zeitpunkt der Versuche.
- 05
Hast du versehentlich bestätigt: telefonisch melden, das ist der dringende Fall.
Melden
Wen informieren, und wie.
Wen
IT-Verantwortliche oder IT-Dienstleister, unverzüglich. Bei versehentlicher Bestätigung sofort telefonisch.
Wie
Über den internen Meldeweg aus dem Kontaktblatt, bei bestätigter Anfrage telefonisch.
Was bereithalten
- Für welches Konto die Anfragen kamen
- Wie viele Anfragen und zu welchen Uhrzeiten
- Ob eine Anfrage bestätigt wurde
- Ob das Passwort bereits geändert wurde
- Ob parallel Anrufe oder Nachrichten dazu kamen
Häufige Fehler
Nicht tun.
-
Eine Anfrage bestätigen, damit endlich Ruhe ist. Genau darauf zielt die Wiederholung.
-
Die Anfragen wegwischen und nichts weiter tun. Das Passwort bleibt in fremder Hand.
-
Einem Anrufer glauben, der sich als IT ausgibt und um Bestätigung der Anfrage bittet.
-
Bis zum nächsten Werktag warten, weil die Anfragen nachts kommen.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die IT prüft die Anmeldeprotokolle auf Herkunft und Zeitpunkt der Versuche und setzt die Anmeldedaten neu auf.
-
Der zweite Faktor wird bei Bedarf auf ein Verfahren mit Nummernabgleich oder Sicherheitsschlüssel umgestellt.
-
Ist eine Bestätigung erfolgt, werden Postfachregeln, Weiterleitungen und verknüpfte Anwendungen kontrolliert.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Die Anfrage ist der Beweis, nicht die Warnung
Eine Bestätigungsanfrage erscheint erst, nachdem Benutzername und Passwort korrekt eingegeben wurden. Wer eine unerwartete Anfrage sieht, weiß damit zweierlei: Das Passwort ist in fremder Hand, und der zweite Faktor hat gerade als letzte Barriere gehalten.
Deshalb endet der Fall nicht mit dem Ablehnen. Das Passwort bleibt bekannt, und der nächste Versuch kommt. Der Passwortwechsel ist der eigentliche Schritt, das Ablehnen nur die Abwehr im Moment.
Die Serie ist die Methode
Wenn Anfragen in Serie kommen, ist das kein technischer Fehler. Es ist ein Vorgehen, das darauf setzt, dass irgendwann jemand bestätigt, um Ruhe zu haben oder weil die Anfrage verwechselt wird. Nachts funktioniert das besser als am Tag, und genau deshalb kommen die Wellen oft nachts.
Die Gegenmaßnahme ist unbequem und einfach: nie bestätigen, immer ablehnen, und den Vorfall noch in derselben Nacht melden. Ein gesperrtes Konto am Morgen ist erheblich billiger als ein übernommenes.
Der begleitende Anruf gehört zur Masche
Häufig kommt zur Anfrageflut ein Anruf. Jemand gibt sich als IT-Abteilung oder Dienstleister aus, erklärt die Anfragen mit einer laufenden Wartung und bittet um eine einzige Bestätigung, damit der Vorgang abgeschlossen werden kann.
Die eigene IT wird dich nie darum bitten, eine Anmeldeanfrage zu bestätigen, und sie wird auch nie nach einem Code fragen. Kommt beides zusammen, ist das die Bestätigung des Angriffs, nicht seine Auflösung.
Verweise
Passt dazu.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.