In jedem Betrieb gibt es eine Regel, die alle kennen: Dateien von Unbekannten nicht öffnen. Sie steht in jeder Schulung, und sie ist richtig.
Es gibt genau eine Stelle im Betrieb, an der sie nicht durchzuhalten ist.
Wer eine Stelle ausschreibt, bekommt Unterlagen von Menschen, die er nicht kennt. Er kann sie nicht abweisen — das Ansehen dieser Dokumente ist die Aufgabe. Und «schauen Sie sich meine Unterlagen an» ist in diesem einen Vorgang kein Alarmzeichen, sondern der Zweck der Übung.
Genau dort setzen die Angreifer an.
Was das Bundesamt beschreibt
Im Halbjahresbericht vom 24. August führt das Bundesamt für Cybersicherheit einen eigenen Abschnitt unter dem Titel «Das ‹Dream Job Playbook›». Dort steht:
«Stellensuchende standen in dieser Berichtsperiode unterschiedlich im Fokus. Nebst grossflächigen Kampagnen im Kontext typischer Betrugsmaschen nahmen Angreifer Schweizer Privatpersonen und Unternehmen ins Visier, um mithilfe eines fingierten Bewerbungsprozesses Kryptogelder zu stehlen.»
Der Ablauf: Angebliche Headhunter sprechen auf LinkedIn Leute an, die eine Stelle suchen oder offen dafür wären. Es folgt ein aufwendig inszenierter Bewerbungsprozess — Gespräche, Unterlagen, eine Aufgabe zum Lösen. Irgendwo darin steckt die Schadsoftware.
Bemerkenswert ist, wer am Ende zahlt. Das Amt schreibt, gestohlen worden seien Kryptogelder «von den Opfern und ihren Arbeitgebern in Millionenhöhe». Wer glaubt, das sei ein Problem des Mitarbeitenden, liegt daneben: Der Rechner, auf dem die vermeintliche Bewerbungsaufgabe gelöst wird, steht oft im Betrieb.
Die Richtung, die für ein KMU gefährlicher ist
Die Variante oben trifft Ihre Leute. Es gibt eine zweite, die Ihren Betrieb direkt trifft — und die ist weniger bekannt, weil sie umgekehrt läuft: Der Angreifer gibt sich als Bewerber aus.
Sicherheitsforscher haben im März eine Kampagne dokumentiert, die seit über einem Jahr läuft und sich gezielt an Personalabteilungen richtet. Die Beschreibung dort trifft den Alltag genau:
«Eine Person in der Personalabteilung erhält, was wie ein völlig normaler Lebenslauf aussieht. Das Bewerberprofil passt. Der Link zeigt auf einen bekannten Cloud-Speicher. Nichts fühlt sich verdächtig an.»
Warum ausgerechnet die Personalabteilung? Die Forscher nennen den Grund unumwunden: Dort arbeitet man unter Zeitdruck, hat routinemässig mit fremden Dateien zu tun — und verfügt selten über die Absicherung einer IT-Abteilung.
Kein Anhang, und das ist der Punkt
Hier lohnt sich eine Korrektur an der naheliegenden Vorstellung. Die schädliche Bewerbung kommt in den dokumentierten Fällen nicht als E-Mail-Anhang.
Sie kommt als Link auf einen bekannten Cloud-Dienst. In einer anderen Kampagne verzichten die Angreifer sogar auf einen klickbaren Link und schreiben die Adresse so, dass der Empfänger sie von Hand abtippen muss.
Der Grund dafür ist unangenehm einleuchtend: Anhänge und Links werden gefiltert. Was durch keinen Filter läuft, ist eine höfliche Nachricht ohne Anhang, in der eine Adresse steht.
Wer also die Abwehr auf «keine verdächtigen Anhänge öffnen» stützt, sichert genau den Weg ab, den die Angreifer längst gemieden haben.
Wer auslöst
Beim Veranstaltungskalender letzte Woche war es der Angreifer, der auslöste — ohne Konto, ohne Zutun des Betreibers. Hier ist es umgekehrt, und das ist die gute Nachricht.
In allen dokumentierten Fällen löst das Opfer aus, per Doppelklick. Es gibt keine ausgenutzte Lücke im Dokument, keinen Angriff, der einfach beim Ansehen der Mail läuft. Der Ablauf ist immer: herunterladen, doppelklicken, und erst dann beginnt es.
Was sich öffnet, ist meist eine Datei, die nach einem Dokument aussieht und keines ist — ein Archiv, ein Datenträgerabbild, eine Verknüpfung, ein Programm. Manchmal öffnet sich zur Ablenkung sogar ein echtes Bewerbungsschreiben, während im Hintergrund etwas anderes startet. In einem dokumentierten Fall schaltet das Programm als erstes den Virenschutz ab.
Dass das funktioniert, liegt an einer Windows-Voreinstellung: Bekannte Dateiendungen werden ausgeblendet. Eine Datei namens «Lebenslauf.pdf.exe» erscheint im Explorer als «Lebenslauf.pdf», mit passendem Symbol daneben.
Was zu tun ist
Blenden Sie die Dateiendungen ein. Im Windows-Explorer unter Ansicht das Häkchen bei «Dateinamenerweiterungen» setzen. Das kostet zwei Minuten, nichts an Geld, und Sie sehen ab sofort, was eine Datei wirklich ist. Diese eine Einstellung ist der grösste Einzeleffekt in diesem ganzen Beitrag.
Vereinbaren Sie eine Hausregel für Bewerbungen: Geöffnet wird nur, was auf .pdf endet. Alles andere — Archive, Datenträgerabbilder, Verknüpfungen, Programme — wird nicht geöffnet, sondern mit einer freundlichen Standardantwort zurückgewiesen: «Bitte senden Sie uns Ihre Unterlagen als PDF direkt per Mail.»
Das Schöne an dieser Regel ist, dass sie niemanden ausschliesst. Ein echter Bewerber schickt ein PDF und wundert sich höchstens kurz. Ein Angreifer kann es nicht, weil sein Angriff genau diese anderen Formate braucht.
Und eine Stufe grösser gedacht: Das Postfach für Bewerbungen gehört nicht auf den Rechner, auf dem Buchhaltung und Zahlungsfreigaben laufen. Wenn es sich einrichten lässt, bearbeitet eine andere Person die Bewerbungen — oder wenigstens ein anderes Gerät.
Was wir nicht behaupten
Für die Schweiz ist behördlich bisher nur die eine Richtung dokumentiert: Stellensuchende als Opfer. Die Gegenrichtung — der Betrieb empfängt die gefälschte Bewerbung — ist international gut belegt, aber uns ist dazu keine Schweizer Meldung bekannt.
Das heisst nicht, dass es hier nicht passiert. Es heisst, dass wir es nicht belegen können, und deshalb sagen wir es so.
Kurz
Die Regel «keine fremden Dateien öffnen» hat in jedem Betrieb eine Ausnahme, und die Angreifer kennen sie. Zwei Minuten für die Dateiendungen und ein Satz zur Hausregel schliessen den grössten Teil davon — ohne Software, ohne Kosten, ohne dass jemand einen Kurs besuchen muss.
Wenn Sie nicht sicher sind, wie Ihre Postfächer und Geräte in dieser Hinsicht stehen, sehen wir uns das an.