Brain Security · Sensibilisierung für Cybersicherheit und KI
Katalog
Der voll anpassbare Cyber-Wettbewerb: maßgeschneiderter Ablauf, Boss Fights und öffentliche Rangliste.
Entdecken→
Automat
Der Arcade-Automat für Cyber-Sensibilisierung. Online konfigurierbar, schlüsselfertig geliefert.
Entdecken→
Spiel
Das Ventil für CISOs: ein einziger Handgriff, ~2 Minuten, und Schreien ins Mikro vervielfacht die Punkte.
Entdecken→
Wettbewerb
Der voll konfigurierbare Reflex-Wettbewerb: Minispiele auf Zeit, Thema Cyber, KI oder gemischt, Arcade-Modus.
Entdecken→
Erlebnis
Der Deepfake-Fotoautomat: Webcam freigeben, sich live von einer KI verwandeln lassen, und Bilder nie wieder mit denselben Augen sehen.
Entdecken→
Enzyklopädie
Die visuelle Cyber-Enzyklopädie, generiert von KI: Erkunden Sie jedes Thema grenzenlos.
Entdecken→
Bot
Der Bot, der in Ihrem Chat sensibilisiert: Mikro-Lektionen, die von selbst kommen, signiert von Jack.
Entdecken→
Schulung
Der Cyber-Lernpfad als Fortschrittskarte: kurze Kapitel und ein eingebettetes Arcade-Quiz, ohne Konto anzulegen.
Entdecken→
Simulation
Der Phishing-Simulator, der Ihre Teams auf reale Angriffe trainiert, von der gefälschten E-Mail bis zum präparierten QR-Code, in einem kontrollierten Rahmen, der niemals ein Passwort erfasst.
Entdecken→
Coming soon
Der Werkzeugkasten für CISOs, bald verfügbar.
Das narrative Spiel, das Cybersicherheit spielerisch beibringt: zehn Kapitel, eine Levelkarte, ohne etwas zu installieren.
Entdecken→
Erfahren Sie, wie Quishing Spamfilter austrickst, indem es Angriffe auf private Smartphones verlagert, und wie Sie Ihre Teams schützen.
Stellen Sie sich folgendes Szenario vor: Ihr Unternehmen setzt auf erstklassige Secure Email Gateways, moderne EDR-Lösungen auf jedem Endgerät und eine lückenlose Multi-Faktor-Authentifizierung. Dennoch sind an einem Montagmorgen die Zugangsdaten eines Controllers kompromittiert, ohne dass ein einziger technischer Alarm ausgelöst wurde. Der Angriffsvektor war weder ein bösartiger E-Mail-Anhang noch ein verdächtiger Link im Text. Es war ein scheinbar harmloses schwarz-weißes Quadrat in einer PDF-Datei mit der Aufforderung, den Sicherheitszugang zu erneuern.
Quishing, ein Kofferwort aus QR-Code und Phishing, stellt Sicherheitsverantwortliche vor eine erhebliche operative Herausforderung. Indem der Angreifer das Opfer dazu bringt, den grafischen Code mit dem privaten Smartphone zu scannen, durchbricht er gezielt die von der IT-Sicherheit errichtete Verteidigungslinie und verlässt den Kontrollbereich Ihrer Monitoring-Tools.
Auf den Punkt gebracht: Quishing nutzt QR-Codes, um schädliche URLs in Bilddateien zu verstecken. Da viele E-Mail-Gateways vorrangig reinen Text scannen, erreicht der bösartige Link den Posteingang, ohne vom Spamfilter blockiert zu werden.
Bei einem klassischen Angriff analysiert das Secure Email Gateway Hyperlinks im Text, gleicht sie mit Threat-Intelligence-Datenbanken ab und prüft Anhänge in einer Sandbox. Beim Quishing bleibt dieser Mechanismus oft wirkungslos. Die Ziel-URL liegt nicht als lesbare Zeichenkette vor, sondern ist als zweidimensionale Pixelmatrix grafisch kodiert, häufig eingebettet in ein PNG-Bild oder eine PDF-Datei.
Um eine solche Bedrohung abzufangen, müssen Filtersysteme eine optische Zeichenerkennung (OCR) ausführen oder Bilddateien in Echtzeit dekodieren. Dieses Verfahren erfordert erhebliche Rechenkapazitäten und führt zu Verzögerungen bei der Zustellung, die viele Infrastrukturen im Produktivbetrieb nicht bewältigen können.
Zudem manipulieren Angreifer die Grafiken geschickt: Sie verändern minimale Kontraste, fügen Firmenlogos in das Zentrum des Codes ein oder nutzen bedingte Weiterleitungen, die nur dann anschlagen, wenn der Aufruf über einen mobilen Browser erfolgt. Das Gateway stuft die Nachricht daher als unbedenklich ein.
Auf den Punkt gebracht: Durch das Scannen mit der Handykamera umgeht der Angreifer das EDR des Firmenrechners und verlagert das Geschehen auf ungesicherte Mobilgeräte ohne unternehmenseigene DNS-Filter.
Die eigentliche Gefahr des Quishings liegt in diesem gezielten Medienbruch, dem sogenannten Cross-Device-Angriff. Während der Mitarbeiter seine E-Mails an einem strikt überwachten Arbeitsplatzrechner liest, fordert die Nachricht ihn ausdrücklich dazu auf, das Smartphone zu nutzen: etwa zur Synchronisation einer Authentifizierungs-App, zur Aktualisierung von Zugangsdaten oder zur Freigabe administrativer Prozesse.
Sobald der Mitarbeiter die Kamera seines privaten Endgeräts (BYOD) auf den Bildschirm richtet, greifen die Schutzschilde nicht mehr:
Dieser Angriffsvektor beschränkt sich längst nicht mehr auf digitale Postfächer. Angreifer nutzen zunehmend den physischen Raum. Manipulierte QR-Codes finden sich an Ladesäulen auf dem Unternehmensparkplatz, auf fingierten Briefen der Personalabteilung oder als Aushang in der Kaffeeküche, der scheinbar zu einem neuen internen Tool führt.
| Strategic Dimension | Detailed CISO Recommendation |
|---|---|
| Die EDR-Isolierung entfällt | Auf privaten Geräten existieren in der Regel keine Telemetrie-Agenten oder unternehmensweiten Schutzprogramme. (Die Cross-Device-Falle: Vom geschützten PC zum privaten…) |
| Eindeutige interne Richtlinien definieren | Legen Sie verbindlich fest, dass legitime Abteilungen wie IT, HR oder Finance niemals dazu auffordern, einen QR-Code für Passwort-Resets oder… (Wie schützen Sie Ihre Teams wirksam vor QR-Code-Phishing?) |
| Netzwerkfilter werden umgangen | Die Verbindung läuft über das Mobilfunknetz des Providers an den firmeninternen Proxyservern und DNS-Sperrlisten vorbei. (Die Cross-Device-Falle: Vom geschützten PC zum privaten…) |
| Mobile Absicherung stärken | Sofern Diensthandys im Einsatz sind, sollten diese über Mobile Device Management (MDM) verfügen, das URLs beim Scannen über die Kamera automatisch… (Wie schützen Sie Ihre Teams wirksam vor QR-Code-Phishing?) |
Gegen Angriffe, die technische Schutzschilde gezielt aushebeln, hilft nur eine aufmerksame Belegschaft mit klaren Verhaltensmustern. Sie können Mitarbeitern die Nutzung ihres privaten Smartphones nicht verbieten, aber Sie können das automatische Scannen durch gesunde Skepsis ersetzen.
Um Ihr Unternehmen wirksam gegen Quishing abzusichern, sollten Sie konkrete Maßnahmen etablieren:
Moderne Informationssicherheit verbietet praktische Technologien nicht pauschal, sondern schärft das Urteilsvermögen der Mitarbeiter, damit diese nicht zum Einfallstor für Angriffe werden.
Möchten Sie überprüfen, wie gut Ihre Organisation gegen neuartige Social-Engineering-Taktiken aufgestellt ist? Sprechen Sie mit uns, um gemeinsam eine zielgerichtete Awareness-Strategie für Ihre Sicherheitsanforderungen zu entwickeln.
