Tailgating und Piggybacking: ohne Badge ins Gebäude

Der Eindringling wählt einen Vorwand, der seine Anwesenheit erklärt. Die CISA nennt den neuen Mitarbeiter, die mit einer Reparatur beauftragte Person und den Forscher¹. Er kann auch schrittweise vorgehen: Erhält er von einer Person nicht genug Informationen, kontaktiert er eine andere in derselben Organisation und stützt sich auf das, was die erste gesagt hat, um glaubwürdiger zu wirken¹. Ein Empfang, ein Sicherheitsmitarbeiter oder ein vorbeikommender Kollege können so, ohne es zu wissen, für den Nächsten bürgen.

Das Ziel ist unterschiedlich. Es kann darum gehen, Hardware zu platzieren: MITRE nennt Werkzeuge wie den Bash Bunny oder den Raspberry Pi sowie günstige Laptops, die von der Gruppe DarkVishnya an das lokale Netzwerk der Organisation angeschlossen wurden². Es kann auch darum gehen, einen Wechseldatenträger abzulegen, ein Fall, der weiter unten ausführlich beschrieben wird³.

In diesem Szenario gibt es keinen verdächtigen Bildschirm: Entscheidend ist die Situation selbst. Die folgende Illustration ist erfunden und gibt keinen realen Fall wieder.

Illustration (fiktive Szene, kein realer Fall)
[Eine unbekannte, freundliche Person mit vollen Armen kommt hinter Ihnen
 an eine Tür mit Badge-Leser und bittet darum, durchgelassen zu werden.]
[Sie erklärt, dass sie erwartet wird oder ihren Badge vergessen hat.]

Was Beschäftigte zuerst bemerken, ist gewöhnliche Höflichkeit. Die nützlichen Signale liegen woanders: Die Person kann nicht belegen, wer sie ist, kann keine interne Kontaktperson nennen oder drängt. Die CISA empfiehlt, bei unaufgeforderten Besuchen, Anrufen oder E-Mails von Personen misstrauisch zu sein, die sich für Beschäftigte oder interne Informationen interessieren, und die Identität einer Person, die sich auf eine Organisation beruft, direkt bei dieser Organisation zu überprüfen¹. In der Praxis verlässt man sich nicht auf die Kontaktdaten, die die Person selbst angibt.

Der erste Reflex ist, höflich abzulehnen und die Person dann zum Empfang zu schicken. Das NCSC empfiehlt, wichtige Anfragen, die per E-Mail eingehen, über einen zweiten Kommunikationsweg zu prüfen, auch durch eine persönliche Bestätigung⁵. Auf die Tür übertragen heißt das: Eine Person, die sagt, sie werde erwartet, kann von ihrer internen Kontaktperson angekündigt werden.

Danach folgt die Meldung. Das NCSC beschreibt eine Kultur, in der Nutzer Versuche melden, auch solche, auf die sie hereingefallen sind, was der Organisation Aufschluss über laufende Angriffe gibt⁵. Die CISA verlangt, die zuständigen Personen in der Organisation, darunter die Netzwerkadministratoren, zu informieren, wenn man glaubt, sensible Informationen preisgegeben zu haben, damit sie auf ungewöhnliche Aktivitäten achten¹.

Die Zutrittskontrolle beruht auf mehreren Schichten: Schleuse, Badge, Empfang. Jede lässt sich umgehen, wenn eine berechtigte Person den Weg öffnet. Die hier zitierten Quellen beschreiben diese Mechanismen nicht im Einzelnen. Sie nennen aber die Abwehrmaßnahmen, die zählen, sobald ein Eindringling im Gebäude ist.

MITRE empfiehlt Regeln zur Netzwerkzugangskontrolle, etwa Gerätezertifikate und den Standard 802.1x, sowie DHCP auf registrierte Geräte zu beschränken, damit ein unbekanntes Gerät nicht mit vertrauenswürdigen Systemen kommunizieren kann². Außerdem empfiehlt MITRE, unbekannte Geräte und Zubehör über die Konfiguration der Arbeitsplatzrechner und einen Überwachungsagenten zu blockieren².

Zu Wechseldatenträgern erklärt MITRE, dass ein per USB angeschlossenes Mobiltelefon, auch über manche Ladekabel, einen Computer infizieren kann, vor allem wenn die Autorun-Funktion aktiviert ist³. MITRE rät, die Nutzung von USB-Geräten und Wechseldatenträgern in einem Netzwerk einzuschränken³.

Scattered Spider, gemeinsame Warnung vom 16. November 2023, aktualisiert am 29. Juli 2025

Diese Warnung wurde vom FBI, der CISA und mehreren Partnerbehörden veröffentlicht, darunter das britische NCSC⁴. Sie beschreibt eine kriminelle Gruppe, die große Unternehmen und deren ausgelagerte IT-Helpdesks ins Visier nimmt⁴. Der Fall betrifft keinen physischen Einbruch, sondern eine Täuschung per Telefon und SMS. Er zeigt dennoch denselben Hebel wie das Tailgating, nämlich die Vortäuschung einer vertrauenswürdigen Identität. Die Gruppe gab sich als IT- oder Support-Personal aus, um Zugangsdaten zu erhalten oder Fernzugriffswerkzeuge starten zu lassen⁴. Die Aktualisierung vom Juli 2025 ergänzt, dass sich Mitglieder auch als Beschäftigte ausgaben, um das Zurücksetzen eines Passworts zu erreichen⁴.

FIN7 und per Post verschickte USB-Sticks

MITRE berichtet, dass Akteure von FIN7 USB-Sticks per Post an mögliche Opfer verschickten. Sie enthielten Schadsoftware, die verschiedene Hintertüren installiert, teils für Ransomware-Operationen³. Einige Sticks verhielten sich wie eine virtuelle Tastatur³. Die Quelle nennt für diesen Fall kein Datum. Er zeigt, dass ein physisches Gerät ankommen kann, ohne dass ein Eindringling das Gebäude betritt.