Thought Leadership
Mit dem Diebstahl von Daten ist ein Cyberangriff nicht zwangsläufig beendet. Besonders problematisch wird es, wenn Kriminelle die erbeuteten Informationen anschließend für glaubwürdige Phishing-Nachrichten und weitere Attacken einsetzen.
Der aktuelle Sicherheitsvorfall im Umfeld von Käufern der Steam-Hardware verdeutlicht dieses Risiko: Offenbar war nicht Valve selbst betroffen, sondern ein externer Anbieter innerhalb der Lieferkette. Ein Vorfall bei einem Geschäftspartner kann dadurch weitere Angriffe auf dessen Kunden ermöglichen.
Für Cyberkriminelle können entwendete Kundeninformationen deshalb vor allem als Ausgangsmaterial dienen. Je mehr sie über eine Person und deren Bestellung wissen, desto genauer können sie weitere Angriffe auf das potenzielle Opfer zuschneiden. Im Folgenden erfahren Sie, weshalb solche Daten für Phishing wertvoll sind, wie künstliche Intelligenz deren Nutzung erleichtert und warum Unternehmen auch die Informationssicherheit ihrer Dienstleister berücksichtigen müssen.
Wenn die Schwachstelle außerhalb des Unternehmens liegt
Nach bisherigem Kenntnisstand wurden nicht die Systeme von Valve kompromittiert. Betroffen war vielmehr ein Logistikdienstleister, der Informationen von Käufern der Steam-Hardware verarbeitete.
Der Fall verdeutlicht ein grundsätzliches Problem: Selbst gut geschützte eigene Systeme verhindern nicht, dass Daten bei einem externen Partner in falsche Hände geraten. Unternehmen arbeiten etwa mit Logistik-, Cloud-, CRM- oder Supportanbietern zusammen und geben dafür Informationen weiter. Dadurch wächst jedoch auch die mögliche Angriffsfläche.
Beim Steam-Vorfall sollen keine Passwörter oder Kreditkartendaten abgeflossen sein. Betroffen sind vielmehr Namen, Anschriften, Telefonnummern, E-Mail-Adressen und Informationen zur bestellten Hardware. Mit diesen Daten allein können Angreifer zwar noch nicht auf ein Steam-Konto zugreifen – sie können die Informationen jedoch nutzen, um weitere Angriffe gezielt vorzubereiten.
Reale Informationen erhöhen die Glaubwürdigkeit
Gewöhnliche Phishing-Kampagnen arbeiten häufig mit allgemeinen Behauptungen. Eine Nachricht informiert beispielsweise darüber, dass ein Paket nicht zugestellt werden konnte und der Empfänger nun seine Angaben bestätigen müsse. Wer gerade keine Lieferung erwartet, erkennt den Betrugsversuch meist schnell.
Anders sieht es aus, wenn Kriminelle echte Bestelldaten besitzen. Wissen sie, dass eine Person tatsächlich Steam-Hardware erwartet, und kennen zusätzlich ihren Namen und ihre Adresse, können sie die Nachricht genau auf diese Situation abstimmen. Der angebliche Hinweis auf ein Zustellproblem passt dann zu einem realen Vorgang.
Gerade diese Übereinstimmung schafft Vertrauen. Kennt der Absender Details, die scheinbar nur Händler oder Logistikunternehmen wissen dürften, wirkt die Nachricht erheblich glaubwürdiger. Der erste Datendiebstahl liefert damit das Material für den nächsten Angriff.
KI ermöglicht personalisiertes Phishing in großem Maßstab
Generative KI verschärft dieses Risiko. Was früher bei umfangreicher Personalisierung viel manuellen Aufwand erforderte, lässt sich inzwischen weitgehend automatisieren.
Angreifer können beispielsweise anhand des Landes die passende Sprache wählen, einen dort verbreiteten Paketdienst berücksichtigen und ihre Texte an typische Versandnachrichten anlehnen. Namen, Bestellinformationen und weitere bekannte Angaben lassen sich anschließend automatisch in zahlreiche individuelle Nachrichten einbauen.
Gleichzeitig verlieren klassische Warnsignale an Bedeutung. Schlechte Übersetzungen, Rechtschreibfehler oder unpersönliche Formulierungen müssen bei modernen Phishing-Mails nicht mehr auftreten. Stattdessen können sprachlich überzeugende Nachrichten entstehen, die zusätzlich zur tatsächlichen Situation des Empfängers passen.
Der eigentliche Schaden kann später entstehen
Die Tragweite eines Datenlecks zeigt sich deshalb möglicherweise erst im nächsten Schritt. Zunächst gelangen Kriminelle bei einem Dienstleister an Kundendaten. Anschließend verwenden sie diese Informationen für personalisierte E-Mails oder SMS.
Folgt ein Empfänger einem Link zu einer manipulierten Website, können dort genau jene Angaben abgefragt werden, die beim ursprünglichen Angriff nicht erbeutet wurden. Dazu gehören beispielsweise Zugangsdaten oder Zahlungsinformationen.
Deshalb wäre es falsch, aus dem Steam-Fall zu schließen, dass sich mit den entwendeten Informationen unmittelbar Accounts übernehmen lassen. Die Gefahr liegt im Folgeangriff: Echte Kundendaten erhöhen dessen Glaubwürdigkeit und können Betroffene dazu bringen, weitere sensible Informationen selbst preiszugeben.
Auch Dienstleister gehören zur Angriffsfläche
Für Unternehmen bedeutet das, dass Informationssicherheit nicht an der eigenen IT enden darf. Sobald externe Anbieter Daten verarbeiten, werden deren Schutzmaßnahmen ebenfalls relevant.
Verantwortliche sollten daher wissen, welche Dienstleister Informationen erhalten, welche Daten tatsächlich weitergegeben werden und ob sie für den jeweiligen Zweck notwendig sind. Ebenso wichtig ist, wie lange die Informationen gespeichert bleiben und welche Prozesse bei einem Sicherheitsvorfall greifen.
Dabei gilt ein einfacher Grundsatz: Daten, die ein Dienstleister nicht besitzt, können dort auch nicht gestohlen werden. Werden notwendige Informationen zudem nur so lange aufbewahrt, wie sie tatsächlich gebraucht werden, lässt sich das mögliche Schadensausmaß reduzieren.
Der Steam-Fall zeigt damit, weshalb ein Datenleck nicht isoliert betrachtet werden sollte. Selbst Informationen, die zunächst keinen direkten Zugriff auf Konten oder Zahlungsmittel ermöglichen, können für Kriminelle wertvoll sein. Sie liefern die Glaubwürdigkeit für einen weiteren Angriff und können damit aus einem einzelnen Sicherheitsvorfall eine ganze Angriffskette entstehen lassen.
