Brain Security · Sensibilisierung für Cybersicherheit und KI
Katalog
Der voll anpassbare Cyber-Wettbewerb: maßgeschneiderter Ablauf, Boss Fights und öffentliche Rangliste.
Entdecken→
Automat
Der Arcade-Automat für Cyber-Sensibilisierung. Online konfigurierbar, schlüsselfertig geliefert.
Entdecken→
Spiel
Das Ventil für CISOs: ein einziger Handgriff, ~2 Minuten, und Schreien ins Mikro vervielfacht die Punkte.
Entdecken→
Wettbewerb
Der voll konfigurierbare Reflex-Wettbewerb: Minispiele auf Zeit, Thema Cyber, KI oder gemischt, Arcade-Modus.
Entdecken→
Erlebnis
Der Deepfake-Fotoautomat: Webcam freigeben, sich live von einer KI verwandeln lassen, und Bilder nie wieder mit denselben Augen sehen.
Entdecken→
Enzyklopädie
Die visuelle Cyber-Enzyklopädie, generiert von KI: Erkunden Sie jedes Thema grenzenlos.
Entdecken→
Bot
Der Bot, der in Ihrem Chat sensibilisiert: Mikro-Lektionen, die von selbst kommen, signiert von Jack.
Entdecken→
Schulung
Der Cyber-Lernpfad als Fortschrittskarte: kurze Kapitel und ein eingebettetes Arcade-Quiz, ohne Konto anzulegen.
Entdecken→
Simulation
Der Phishing-Simulator, der Ihre Teams auf reale Angriffe trainiert, von der gefälschten E-Mail bis zum präparierten QR-Code, in einem kontrollierten Rahmen, der niemals ein Passwort erfasst.
Entdecken→
Coming soon
Der Werkzeugkasten für CISOs, bald verfügbar.
Das narrative Spiel, das Cybersicherheit spielerisch beibringt: zehn Kapitel, eine Levelkarte, ohne etwas zu installieren.
Entdecken→
Erkennen Sie Typosquatting und Homoglyphen-Angriffe zuverlässig. Trainieren Sie Ihre Teams im Entlarven gefälschter URLs gegen Phishing.
Diese Szene wiederholt sich wöchentlich in Security Operations Centern. Eine Mitarbeiterin unter Zeitdruck erhält eine scheinbar dringende Benachrichtigung der internen IT-Abteilung, klickt auf den enthaltenen Link, gibt ihre Zugangsdaten ein und bestätigt die Zwei-Faktor-Authentifizierung. Optisch glich die Seite exakt dem vertrauten SSO-Portal des Unternehmens. In der Realität wies die Domain jedoch eine winzige Abweichung auf, die mit bloßem Auge kaum auffiel. Aus einer flüchtigen Morgenroutine entstand so ein kritisches Sicherheitsrisiko.
Für CISOs, Sicherheitsverantwortliche und IT-Leitungen liegt die Herausforderung längst nicht mehr allein im technischen Filtern von E-Mails. E-Mail-Sicherheitsgateways fangen einen Großteil der Massenangriffe ab, doch Cyberkriminelle investieren gezielt in manipulierte Domains, die speziell darauf ausgelegt sind, das menschliche Auge zu täuschen. Die nachhaltigste Gegenmaßnahme besteht darin, alle Mitarbeitenden zu befähigen, die anatomische Struktur einer Webadresse routiniert zu prüfen, bevor sie Vertrauen schenken.
Auf den Punkt gebracht: Um gefälschte Domains zu erkennen, prüfen Sie die Stammdomain direkt vor dem ersten einfachen Schrägstrich, achten Sie auf Buchstabenkombinationen wie "rn" statt "m" und identifizieren Sie fremde Alphabete über das Punycode-Präfix "xn--" in der Adresszeile.
Domain-Spoofing nutzt kognitive Abkürzungen unseres Gehirns aus. Beim schnellen Überfliegen eines bekannten Begriffs lesen wir selten jeden Buchstaben einzeln, sondern erfassen ein ganzheitliches Wortbild. Angreifer machen sich diese Schwachstelle zunutze und setzen vor allem auf zwei Methoden:
Auf den Punkt gebracht: Angreifer schachteln Subdomains mit vertrauenswürdigen Markennamen, um die tatsächliche Zieladresse zu verschleiern. Die wirksame Faustregel lautet: Suchen Sie den ersten einfachen Schrägstrich nach dem Protokoll und lesen Sie die Domain direkt links davon.
Eine weitere raffinierte Taktik ist die Manipulation der Subdomain-Architektur. Cyberkriminelle registrieren eine unscheinbare Domain wie "sicherer-server.de" und erstellen darauf basierend Subdomains, die bekannte Dienste imitieren.
Im Browserfenster der Beschäftigten erscheint dann beispielsweise: https://login.microsoft.com.sicherer-server.de/auth.
Das ungeübte Auge liest von links nach rechts, erblickt "login.microsoft.com" und stuft den Link als sicher ein. Um diese Manipulation wirksam abzuwehren, hilft eine einfache Prüfregel für den Arbeitsalltag:
| Strategic Dimension | Detailed CISO Recommendation |
|---|---|
| Klassisches Typosquatting | Diese Methode basiert auf häufigen Tippfehlern, Buchstabendrehern, ausgelassenen Zeichen oder visuellen Täuschungen. Ein besonders verbreitetes… (Wie lassen sich Typosquatting und Homoglyphen-Angriffe…) |
| Den ersten Schrägstrich finden | Suchen Sie den ersten einzelnen Schrägstrich ("/") hinter dem einleitenden "https://". (Warum tappen Mitarbeitende so leicht in die Subdomain-Falle?) |
| Homoglyphen-Angriffe (IDN Homograph Attacks) | Hierbei werden Zeichen aus internationalen Zeichensätzen verwendet, die lateinischen Buchstaben täuschend ähnlich sehen, etwa aus dem kyrillischen… (Wie lassen sich Typosquatting und Homoglyphen-Angriffe…) |
| Unmittelbar nach links blicken | Die tatsächliche Stammdomain besteht ausschließlich aus dem Begriff direkt vor diesem Schrägstrich und der zugehörigen Endung (wie .de oder .com). (Warum tappen Mitarbeitende so leicht in die Subdomain-Falle?) |
Reine Theorie reicht selten aus: IT-Sicherheit verankert sich durch klare Routinen und alltagstaugliche Prozesse. Um Angriffsflächen für Social Engineering zu minimieren, sollten feste Gewohnheiten etabliert werden.
Der zuverlässigste Schutz vor Typosquatting besteht darin, Links zu sensiblen Systemen niemals direkt aus E-Mails oder Chatnachrichten heraus aufzurufen. Richten Sie für Ihre Belegschaft einen strukturierten Lesezeichen-Ordner im Standardbrowser ein. Ob Kollaborationstools, Personalportale, Online-Banking oder Cloud-Management-Konsolen: Der Zugriff sollte stets über verifizierte Favoriten oder manuell gespeicherte Einstiegspunkte erfolgen.
Damit diese Erkennungsregeln im Gedächtnis bleiben, eignen sich interaktive, spielerische Lernformate besonders gut. Kurze Einheiten ermöglichen es den Mitarbeitenden, das genaue Prüfen von URLs an realitätsnahen Szenarien ohne theoretischen Ballast zu trainieren.
Genau auf diesen Ansatz setzt die Cyber Cup, ein Arcade-Quiz-Wettbewerb für Teams im Cybersicherheitsbereich. Mit schnellen Runden von 3 Minuten Dauer und einer Live-Rangliste bietet dieses Tool im Self-Service (inklusive 5 kostenfreien Zugängen ohne Kreditkarte) die ideale Möglichkeit, den Blick für manipulierte Adressen zu schärfen und gleichzeitig den Teamgeist zu stärken.
Typosquatting und Homoglyphen-Attacken bleiben eine dauerhafte Bedrohung, da die Registrierungskosten minimal sind, während der Schaden eines erfolgreichen Zugriffs enorm sein kann. Verstehen Teams jedoch das methodische Zerlegen einer URL, verpufft die Wirkung solcher Köder fast vollständig.
Durch das Zusammenspiel robuster technischer Standards wie phishing-resistenter Authentifizierung und regelmäßigen, motivierenden Trainingseinheiten schaffen Sie eine widerstandsfähige menschliche Sicherheitslinie. Möchten Sie das Sicherheitsbewusstsein in Ihrem Unternehmen mit zeitgemäßen Lernformaten nachhaltig stärken? Sprechen Sie mit uns über Ihre Anforderungen, um unsere interaktiven Ansätze kennenzulernen.
