Gefälschte Dateifreigaben und E-Signaturen: Die B2B-Phishing-Falle

Im modernen Arbeitsalltag gehört das Klicken auf eine Benachrichtigung zur SharePoint-Dateifreigabe, das Öffnen eines OneDrive-Links oder das Bestätigen einer DocuSign-Signatur zu den automatisierten Reflexen. Mitarbeitende bearbeiten dutzende dieser Benachrichtigungen pro Woche, oft ohne jedes Zögern. Cyberkriminelle haben das genau verstanden: Sie setzen längst nicht mehr auf plumpe Betrugsversuche, sondern klonen akribisch die täglichen Kollaborationsprozesse.

Für CISOs und Security-Teams stellt dieser Wandel eine kritische Herausforderung dar. Die Grenze zwischen einer legitimen Nachricht und einer technischen Falle verschwimmt zunehmend. Durch die perfekte Nachahmung von Kollaborationsplattformen zielen Angreifer nicht mehr nur auf Kennwörter ab: Sie umgehen die Multi-Faktor-Authentifizierung (MFA), indem sie aktive Benutzersitzungen Ihrer Teams direkt abfangen.

Warum täuschen gefälschte Dateifreigaben Geschäftsleute so effektiv?#

Auf den Punkt gebracht: Gefälschte Dateifreigaben funktionieren, weil sie legitime Arbeitsroutinen imitieren und geschäftlichen Zeitdruck ausnutzen. Die Nutzung kompromittierter Cloud-Infrastrukturen zur Bereitstellung dieser Köder senkt das Misstrauen der Mitarbeitenden und umgeht häufig traditionelle E-Mail-Filter.

Der Erfolg dieser Methode beruht auf kontextbezogenem Social Engineering. Angreifer erfinden keine neuen Szenarien, sondern klinken sich nahtlos in die tatsächlichen Abläufe Ihres Unternehmens ein.

• Perfekte visuelle Nachahmung: Layouts, Schriftarten, offizielle Logos und rechtliche Hinweise bekannter Cloud-Anbieter werden pixelgenau reproduziert. Der gestresste Mitarbeiter findet gewohnte visuelle Signale vor und wiegt sich in falscher Sicherheit.
• Aushebelung gängiger E-Mail-Filter: Angreifer verwenden häufig legitime, kostenlose Cloud-Dienste oder gehackte Unternehmensaccounts, um Trägerdokumente (wie echte OneNote- oder PDF-Dateien) abzulegen, die den eigentlichen Schadlink enthalten. Secure Email Gateways (SEG) stufen die Domain als vertrauenswürdig ein und stellen die E-Mail ungehindert zu.
• Administrative Dringlichkeit: Eine angebliche Mahnung, ein Nachtrag zum Arbeitsvertrag oder eine Vertraulichkeitsvereinbarung vor einem wichtigen Strategie-Meeting: Solche Vorwände verleiten zum schnellen Klick, um Arbeitsabläufe nicht zu blockieren.

AiTM-Angriffe und Session Hijacking: Wie MFA ausgehebelt wird#

Auf den Punkt gebracht: Adversary-in-the-Middle-Angriffe (AiTM) fangen Zugangsdaten und Session-Tokens in Echtzeit ab, indem sie sich zwischen das Opfer und den echten Cloud-Dienst schalten. Selbst bei bestätigtem zweitem Faktor stiehlt der Angreifer das Session-Cookie und greift unbemerkt auf das Konto zu.

Lange Zeit galt die Einführung der Multi-Faktor-Authentifizierung (MFA) als ultimative Schutzmauer gegen Identitätsdiebstahl. Gegenüber AiTM-Architekturen stößt dieser Schutz jedoch an klare Grenzen, sofern er nicht phishing-resistent implementiert ist.

Der Mechanismus des bösartigen Reverse-Proxys

Klickt ein Mitarbeiter auf einen gefälschten Signatur-Link, landet er oft nicht auf einem statischen Phishing-Formular, sondern wird auf einen bösartigen Reverse-Proxy umgeleitet:

1. Die gefälschte Anmeldeseite leitet die Login-Anfrage in Echtzeit an die echten Server des Anbieters (zum Beispiel Microsoft 365) weiter.

2. Das Opfer gibt Benutzername und Passwort auf dieser gespiegelten Benutzeroberfläche ein.

3. Der legitime Server sendet eine MFA-Aufforderung (Push-Nachricht oder SMS-Code) an das Endgerät des Nutzers, der diese gutgläubig bestätigt.

4. Der Server validiert die Sitzung und generiert ein Session-Token (Session Cookie).

5. Der Proxy-Server des Angreifers fängt dieses Token beim Rückkanal ab und leitet das Opfer auf ein harmloses Dokument weiter, um den Vorfall zu verschleiern.

Mit diesem erbeuteten Session-Token loggt sich der Angreifer direkt in den Unternehmensaccount ein, ganz ohne erneute Abfrage von Passwort oder zweitem Faktor.

Konkrete Handlungsmuster zur Erkennung im Betriebsalltag#

Rein technische Schutzmaßnahmen genügen nicht, wenn menschliche Routinen gezielt ausgenutzt werden. Einige fundierte Gewohnheiten wehren jedoch den Großteil dieser Versuche zuverlässig ab:

• Prüfen der finalen URL in der Adresszeile: Auch wenn die E-Mail täuschend echt wirkt, muss der Domainname der Anmeldeseite genau geprüft werden. Eine abweichende Domain oder verdächtige Subdomains entlarven den Reverse-Proxy sofort.
• Out-of-Band-Verifikation bei unklarem Kontext: Sendet ein bekannter Geschäftspartner unangekündigt ein dringendes Dokument zur Unterschrift, verhindert ein kurzer Anruf oder eine Nachricht über einen etablierten internen Chatkanal Schlimmeres.
• Einsatz physischer Sicherheitsschlüssel: Hardware-Token nach dem FIDO2-Standard bieten kryptografischen Schutz gegen AiTM-Angriffe, da der Schlüssel die Authentifizierung fest an die tatsächliche Webdomain bindet.
• Einfache Meldewege etablieren: Wenn Mitarbeitende verdächtige Nachrichten mit einem einzigen Klick ohne Vorwürfe melden können, kann das Security Operations Center (SOC) reagieren, bevor der gesamte Tenant kompromittiert wird.

BRAIN SECURITY IN DER PRAXIS · Super Phisher

Wie trainieren Sie Ihre Teams auf realistische Kollaborationsszenarien?#

Reine Theorie nützt wenig, wenn ein Mitarbeiter mitten im Tagesgeschäft eine überzeugend gestaltete Benachrichtigung erhält. Um robuste Routinen aufzubauen, ist die kontinuierliche Praxis mit lebensnahen Szenarien unverzichtbar.

Genau hier setzt Super Phisher an, unser Trainingssimulator für gezielte Phishing-Kampagnen. Das Werkzeug wird Hand in Hand mit dem Team von Brain Security implementiert und schult Ihre Mitarbeitenden anhand moderner Angriffsmuster: von gefälschten OneDrive-Freigaben über dringende Signaturanfragen bis hin zu Cloud-Synchronisationswarnungen. Ziel ist nicht das bloße Überführen, sondern die Umwandlung reflexhafter Klicks in unmittelbare und motivierende Lernerfolge.

Da Angreifer den modernen Arbeitsalltag gezielt gegen Unternehmen verwenden, müssen Teams befähigt werden, solche Fallen sicher zu durchschauen. Vereinbaren Sie ein Gespräch mit uns, um ein Trainingsprogramm zu entwickeln, das exakt auf Ihre Tools und Ihr Risikoprofil abgestimmt ist.

Weiterführende Artikel und Lösungen von Brain Security#

Verwandte Artikel zu diesem Thema

• AiTM Phishing: Warum selbst eingegebene 2FA Codes gestohlen werden (Phishing & Social Engineering) : Erfahren Sie, wie AiTM Phishing die Multi-Faktor-Authentifizierung durch Session Hijacking umgeht und wie Sie Ihr Unternehmen wirksam schuetzen.
• Social Engineering auf Business-Netzwerken: Wenn Fake-Jobs zum Einfallstor werden (Phishing & Social Engineering) : Erfahren Sie, wie Angreifer Business-Netzwerke nutzen, um Mitarbeiter über fingierte Jobangebote zu täuschen und Netzwerkzugänge zu kapern.
• Passwörter, Passwortmanager und Passkeys: Moderne Sicherheit ohne Frust (Phishing & Social Engineering) : Warum 90-Tage-Wechselregeln schaden: BSI- und NIST-Standards für Passphrasen und Passkeys im Unternehmen praxistauglich etablieren.
• HR-Cybersicherheit und Recruiting: Schadhafte Lebensläufe und KI-Fake-Bewerber erkennen (Branchen & Rollen) : Schützen Sie HR-Teams vor manipulierten Bewerbungs-PDFs, bösartigen Portfolios und Video-Deepfakes bei Vorstellungsgesprächen im Recruiting.

Lösungen von Brain Security entdecken

• Passende Lösung : Super Phisher : Der Phishing-Simulator, der Ihre Teams auf reale Angriffe trainiert, von der gefälschten E-Mail bis zum präparierten QR-Code, in einem kontrollierten Rahmen, der niemals ein Passwort erfasst.
• Anwendungsfälle nach Bedarf und Branche ansehen
• Unsere Formate für Cyber- und KI-Sensibilisierung vergleichen
• Den gesamten interaktiven Katalog von Brain Security entdecken
• Sprechen Sie mit unserem Team über Ihren Bedarf (Demo & Beratung)