Ein Softwareentwickler erhielt kürzlich eine SMS von einer unbekannten Nummer. Der Absender gab sich als Kundenservice einer großen Geschäftsbank aus und forderte ihn auf, eine Telefonnummer zurückzurufen, die in keinem offiziellen Verzeichnis auffindbar war. Um seine Identität zu bestätigen, sollte er am Telefon vertrauliche Sicherheitsnummern von der Rückseite seiner Kreditkarte vorlesen. Das Kuriose daran: Die Kurznachricht war vollkommen echt – eine legitime Warnung seiner eigenen Bank. Doch die operative Vorgehensweise glich bis ins kleinste Detail den Methoden organisierter Telefonbetrüger.
Wenn legitime Logins über ein Dutzend Domains führen
Sicherheitsexperten predigen der Öffentlichkeit unermüdlich das Standardgebot: Niemals auf verdächtige Links klicken. Doch in der alltäglichen Unternehmenspraxis wird genau diese Sicherheitsregel seit Jahren systematisch untergraben. Der Entwickler maurycyz analysierte kürzlich einen typischen Anmeldevorgang moderner Unternehmen: Ein Nutzer öffnet die Haupt-Website einer Organisation. Doch anstatt auf der gesicherten Stammdomain zu verbleiben, wird er augenblicklich auf eine externe Anmeldeseite eines Drittanbieters umgeleitet.
Auf dieser Seite muss der Browser zunächst eine Authentifizierungsstelle passieren, deren Domainname aus einer langen hexadezimalen UUID-Zeichenkette besteht. Anschließend erfolgt die nächste Weiterleitung zu einem weiteren, völlig unabhängigen Dienstleister zur Abwicklung der Zwei-Faktor-Authentifizierung (2FA). Nach dieser Odyssee wird der Datenverkehr möglicherweise noch über eine Datenerfassungsdomäne („Experience Center“) geschleust, bevor der Nutzer schließlich wieder auf der ursprünglichen Unternehmensdomain landet.
Am Ende dieses Weiterleitungsmarathons befindet sich kein einziges Eingabefeld für Benutzername, Passwort oder SMS-Bestätigungscode auf der offiziellen Domain des eigentlichen Unternehmens. Wenn reguläre Geschäftsabläufe wie ein undurchsichtiges Spiel aus endlosen Weiterleitungen aufgebaut sind, müssen Angreifer keine komplexen Sicherheitslücken aufspüren. Es genügt, für wenige Euro eine Domain mit einem leichten Tippfehler des Firmennamens zu registrieren, ein simples HTML-Formular mit Firmenlogo und Passwortfeld bereitzustellen und Zugangsdaten im großen Stil abzugreifen. In einem Arbeitsalltag, in dem abgelaufene Sitzungstoken regelmäßig unerwartete Login-Fenster aufpoppen lassen, kann kein Mensch mehr zwischen Original und Fälschung unterscheiden.
Abb.: Screenshot einer offiziellen SMS eines Paketdienstes. Quelle: Troy Hunt / troyhunt.com
Wie die alltägliche Unternehmenspraxis das Vertrauen in URLs zerstörte
Das Domain Name System (DNS) des Internets wurde einst mit bemerkenswerter Klarheit konzipiert. Die hierarchische Struktur von der Top-Level-Domain über die Organisation bis hin zu spezifischen Servernamen sollte im digitalen Raum als verlässlichstes Echtheitszertifikat fungieren. Durch jahrzehntelanges Outsourcing und Wildwuchs bei Cloud-Diensten liegt die prägnanteste Kennung – die Second-Level-Domain – heute jedoch meist tief vergraben inmitten chaotischer Weiterleitungsketten.
Heutige Nutzer müssen auf ihren Smartphones täglich hunderte Autorisierungs- und Bestätigungsklicks bewältigen. Von erschöpften Menschen zu verlangen, kryptografische Zertifikate und verschachtelte Domainpfade manuell auf Plausibilität zu prüfen, ist eine bequeme Ausrede von Systemarchitekten. Wenn Banken und Finanzinstitute routinemäßig Marketing-SMS mit unübersichtlichen Kurz-URLs versenden und offizielle Kundendienst-E-Mails auf externe Umfrageplattformen verlinken, trainieren Unternehmen ihre Kunden tagtäglich darauf, die Adresszeile des Browsers schlicht zu ignorieren.
Abb.: Eine Folgevormerkung desselben Absenders am Folgetag – ebenso unüberprüfbar. Quelle: Troy Hunt / troyhunt.com
Die ständige Ermahnung, gefährliche Links zu meiden, ist zu einer hohlen Floskel verkommen. Offizielle Unternehmenslinks wirken inzwischen oft dubioser als professionell gestaltete Phishing-Köder. IT-Sicherheitsexperten berichten, dass sie legitime E-Mails von Microsoft mitunter als Junk klassifizieren müssen, weil die mit zahllosen Tracking-Parametern und externen Verweisen überladenen Nachrichten sämtliche Merkmale moderner Phishing-Mails aufweisen. In Entwicklerforen geben Sicherheitspraktiker offen zu, offizielle E-Mails ihrer eigenen Banken gezielt als Phishing zu melden, um den internen Sicherheitsabteilungen die Absurdität ihrer Betriebspraxis vor Augen zu führen.
Abb.: In einer E-Mail drei Tage später verschwimmt die Grenze zwischen offiziellem Geschäftsablauf und Betrugsmustern endgültig. Quelle: Troy Hunt / troyhunt.com
Vier technische Leitplanken für ein verlässliches System
Frustriert von scheinheiligen Sicherheitsschulungen fordert die Entwickler-Community verbindliche technische Standards, die sich an bewährten RFC-Protokollrichtlinien orientieren, um das Systemvertrauen architektonisch wiederherzustellen.
An erster Stelle steht die Bündelung unter einer einheitlichen Stammdomain. Große Organisationen MÜSSEN (MUST) sämtliche Kernprozesse auf einer einzigen, klar erkennbaren Hauptdomain betreiben. Alle internen Authentifizierungs- und Sicherheitsdienste MÜSSEN zwingend auf Subdomains dieser Hauptdomain angesiedelt sein. Willkürliche Marketing-Domains in Verbindung mit Drittanbieter-Plattformen – der Nährboden für die Normalisierung dubioser URLs – MÜSSEN aus der Systemarchitektur verbannt werden.
Ebenso strikte Vorgaben gelten für E-Mail- und SMS-Kommunikation. Wenn eine Nachricht einen Nutzer auffordert, Daten auf einer externen Plattform einzugeben, MUSS das technische Team eine lokale Weiterleitungsschicht auf den eigenen Servern einrichten. Der vom Nutzer angeklickte Link MUSS auf der verifizierten Unternehmensdomain verbleiben und erst serverseitig transparent an den Dienstleister weiterleiten.
Dieses Prinzip greift auch im Telefonnetz: Unternehmen DÜRFEN NICHT (MUST NOT) per SMS oder E-Mail dazu auffordern, unüberprüfbare Kurznummern anzurufen. Erforderliche Kontaktdaten MÜSSEN stets auf einer geschützten, über die Stammdomain erreichbaren Webseite aufgeführt sein und dürfen nicht freistehend im ungesicherten Klartext einer Nachricht platziert werden.
Wie Indien das Chaos innerhalb von sechs Monaten beendete
Angesichts der weltweiten Phishing-Welle ist der Versuch, menschliche Verhaltensweisen durch endlose Belehrungen zu verändern, von vornherein zum Scheitern verurteilt. Die einzige wirksame Lösung liegt in der infrastrukturellen Isolation. Indien hat im vergangenen Jahr ein bemerkenswertes Vorbild geschaffen, indem die Regierung eine strikte Domain- und Telefonsegmentierung für den Finanzsektor durchsetzte.
Gemäß den neuen regulatorischen Vorgaben dürfen indische Banken für ihre Dienste ausschließlich dedizierte Banken-Top-Level-Domains nutzen, während Nichtbanken-Finanzdienstleister auf eigene Finanz-TLDs verpflichtet wurden. Ob Webportal, monatlicher E-Mail-Kontoauszug oder interne Authentifizierungsschnittstelle: Sämtliche Dienste müssen zwingend unter diesem geschützten Namensraum gebündelt werden.
Noch konsequenter griff die indische Telekommunikationsbehörde im Telefonnetz durch: Ausgehende Anrufe von Banken und Finanzdienstleistern wurden ausnahmslos auf den geschützten Vorwahlbereich „1600“ umgestellt. Dieser Rufnummernblock wird direkt vom Telekommunikationsministerium verwaltet und steht ausschließlich Banken, Finanzinstituten, Versicherern und ausgewählten Behörden offen. Ziel ist es, finanzbezogene Transaktions- und Serviceanrufe auf dem Telefondisplay physisch von herkömmlichen Werbeanrufen abzugrenzen. Nicht autorisierte Dritte haben keinerlei Zugriff auf diesen Nummernkreis. Die Regierung gewährte eine Übergangsfrist von lediglich sechs Monaten – und der gesamte Bankensektor vollzog den Wechsel nahezu über Nacht.
Das Systemversagen auf Nutzer abzuwälzen ist eine Pflichtverletzung der Sicherheit
Eine solche, direkt auf Infrastrukturebene verankerte Trennung erzielt mehr Wirkung als Millionenbudgets für unzählige Aufklärungskampagnen. Nutzer müssen keine DNS-Konzepte mehr verstehen, keine verschachtelten Autorisierungspfade prüfen und kein Expertenwissen mitbringen. Gehört eine Webadresse nicht zur offiziellen Banken-TLD oder stammt ein Anruf nicht aus dem regulierten Vorwahlbereich, kann die Kommunikation ohne langes Nachdenken als Betrug eingestuft werden. Nutzer weltweit stehen vor demselben Problem: Legitime Mitteilungen von Banken und raffinierte Phishing-Wellen nutzen dieselben Kanäle, und der Unterschied hängt oft nur davon ab, ob eine Rufnummer bereits in einer Datenbank für Telekommunikationsbetrug gelistet ist.
Die renommierte Sicherheitsingenieurin Kelly Shortridge wies treffend darauf hin, dass die IT-Sicherheitsbranche einer realitätsfernen Fixierung auf eine sogenannte „Sicherheitskultur“ erlegen ist. Diese Geisteshaltung wälzt die Verantwortung auf den Menschen ab, verlangt ununterbrochene Wachsamkeit über winzige technische Nuancen in fehlerträchtigen Systemen und erwartet fehlerfreie Entscheidungen bei hunderten täglichen Klicks.
Von gewöhnlichen Verbrauchern zu verlangen, legitime Identitätsanbieter inmitten dutzender Weiterleitungen zu erkennen, ist so absurd, wie von Hotelgästen zu erwarten, die kryptografischen RFID-Protokolle ihrer elektronischen Zimmerschlüssel zu auditieren. Indiens konsequentes Durchgreifen liefert den Beweis: Den Trümmerhaufen mangelhafter Systemarchitekturen beim Nutzer abzuladen, ist das größte Versäumnis der Sicherheitsbranche. Wenn Unternehmen nicht einmal in der Lage sind, ihre eigenen Authentifizierungszugänge sauber zu bündeln, bleibt jede Anti-Betrugs-Schulung reine Augenwischerei.
Referenzen:
- maurycyz.com Originalartikel
- Lobsters-Diskussion
- Verwandter Artikel von Troy Hunt
- HN-Diskussion
