Der Helpdesk erhält einen dringenden Anruf, der die sofortige Passwortzurücksetzung für eine Führungskraft verlangt, ohne Identitätsprüfung und mit viel Zeitdruck. Was sollte der Mitarbeiter tun?
Kurzantwort
Dringlichkeit, Autorität und das Überspringen der Prüfung sind lehrbuchhafter Social-Engineering-Druck, der auf ein hochwertiges Konto zielt. Der Mitarbeiter muss den definierten Identitätsprüfungsprozess befolgen, bevor er irgendetwas zurücksetzt, und eskalieren, falls er nicht erfüllt werden kann. Auf Verlangen zurückzusetzen, eine erratbare „Sicherheitsfrage“ wie die Lieblingsfarbe zu nutzen oder das neue Passwort per E-Mail an den Anrufer zu senden, übergibt einem Angreifer die Kontrolle über das Konto der Führungskraft.
Ein dringender Anruf, der die sofortige Passwortzurücksetzung für eine Führungskraft verlangt, ohne Prüfung und mit starkem Zeitdruck, ist kein Kundendienstproblem — es ist ein Social-Engineering-Angriff im Gange, bis das Gegenteil bewiesen ist. Die richtige Handlung ist, das Identitätsprüfungsverfahren vor jeder Zurücksetzung zu befolgen und zu eskalieren, falls es nicht abgeschlossen werden kann.
Die Warnsignale lesen
Angreifer konstruieren genau dieses Szenario mit Absicht. Der Anruf kombiniert mehrere klassische Pretexting-Hebel:
- Autorität — eine hochrangige Führungskraft anführen, damit der Mitarbeiter zögert, Nein zu sagen.
- Dringlichkeit / Zeitdruck — „sofort, es ist ein Notfall", um sorgfältiges Nachdenken zu umgehen.
- Ein hochwertiges Ziel — ein Führungskräftekonto, dessen Übernahme Zugriff auf E-Mails, Freigaben und das Vertrauen verschafft, um andere anzugreifen.
- Überspringen der Prüfung — den Mitarbeiter drängen, die eine Kontrolle zu umgehen, die den Angriff stoppt.
Wenn mehrere davon zusammen auftreten, ist der richtige Instinkt mehr Prüfung, nicht weniger.
Die richtige Handlung
Wenden Sie den Identitätsnachweis-Prozess der Organisation für eine privilegierte Zurücksetzung an — idealerweise out-of-band (die Führungskraft unter ihrer bekannten Nummer zurückrufen, über eine Führungskraft prüfen oder einen Verifizierungs-/MFA-Workflow nutzen). Lässt sich die Identität nicht bestätigen, setzen Sie nicht zurück und eskalieren Sie an die Sicherheit, denn einer abgelehnten, aber legitimen Führungskraft kann in Minuten ordentlich geholfen werden, während ein erfolgreicher Angreifer die Schlüssel zum Königreich erhält.
Warum die anderen Antworten gefährlich sind
- „Es sofort zurücksetzen, um zu helfen" ist genau das Versagen, mit dem der Angreifer rechnet — Hilfsbereitschaft als Waffe.
- „Nach der Lieblingsfarbe der Führungskraft fragen" ist Theater: eine erratbare, öffentlich auffindbare oder schlicht vom Angreifer gelieferte „Antwort" prüft nichts.
- „Zurücksetzen und das neue Passwort per E-Mail an den Anrufer senden" liefert die Anmeldedaten direkt an den Angreifer — vielleicht die schlechteste Option, da sie die Kontoübernahme vollendet.
Der Interviewer prüft, ob ein Junior-Analyst erzeugte Dringlichkeit erkennen, bei der Prüfung standhaft bleiben und eskalieren kann, statt unter Druck nachzugeben.
Wahrscheinliche Anschlussfragen
- Welche konkreten Pretexting-Techniken nutzt der Anrufer hier, und wie benennen Sie sie?
- Wie sähe ein guter Out-of-Band-Prüfschritt für die Zurücksetzung eines privilegierten Kontos aus?
- Wann sollte der Helpdesk-Mitarbeiter an die Sicherheit eskalieren, und was sollte er melden?