Sie hacken nicht mehr, sie loggen sich ein“ ist ein oft zitierter Satz zu zeitgenössischen Infiltrationsmethoden von Hackern – und das mit Recht: Im Juni verkaufte ein Mitarbeiter eines Software-Dienstleisters für Banken seine Logindaten für 920 Dollar an Cyberkriminelle. Die Hacker wussten genau, wen sie bestechen mussten, denn mit seinen Zugangsdaten und der Verbindungen der Firma zu diversen Finanzhäusern waren sie in der Lage, sechs Banken auf einmal zu infiltrieren und dabei 140 Millionen Dollar zu entwenden.
Foto: Omada
Thomas Müller-Martin, Field Strategist DACH bei Omada
Ein lukratives Tauschgeschäft für die Drahtzieher, das keinen Bankraub mit Skimasken und Schusswaffen erforderte. Für den Raubzug selbst mussten sie kaum vor die Tür gehen; lediglich einmal, um den Mitarbeiter vor einer Bar abzufangen und ihn für den Coup einzuspannen.
Der Fall bringt den Strategiewandel von Hackern auf den Punkt: Banküberfälle und Cyberangriffe sind heute keine filmreifen Einbrüche mehr, bei denen Firewalls umgangen, virtuelle Schlösser geknackt oder Bankangestellte am Schalter bedroht werden. Stattdessen bestechen Angreifer Mitarbeiter, erbeuten legitime Zugänge und arbeiten mit den Berechtigungen, die ihnen Unternehmen unbewusst zur Verfügung stellen.
Trotzdem sorgen sich viele Unternehmen vordergründig um den Schutz von Anwendungen, Netzwerken und Endpunkten. Das ist unabdinglich, doch dabei vernachlässigen sie das, was aus Sicht der Angreifer am einfachsten und effektivsten ist: Identitäten und Konten.
Noch vor wenigen Jahren bestand ein typischer Angriff oft darin, Schwachstellen in einer Webanwendung oder einem Betriebssystem auszunutzen. Über offene Sicherheitslücken (auch Exploits genannt) gelangten Angreifer in interne Systeme, bewegten sich dann lateral durch die Netzwerkumgebung und suchten nach sensiblen Daten oder kompromittierten weitere Systeme.
Diese Methode war aufwendig: Sie erforderte technisches Know-how, Zeit und das ständige Risiko, entdeckt zu werden. Moderne Infrastrukturen mit Intrusion Detection, Segmentierung und Patching haben diese Wege zwar nicht unmöglich gemacht, aber zumindest deutlich erschwert. Doch Angreifer entdeckten alsbald einen neuen Pfad und der führt über den Menschen.
Warum also komplizierte Hintertüren aufbrechen, wenn ein einziger Account genügt? Aus Hackersicht gibt es mehrere gute Gründe, den Weg über Benutzerkonten von Mitarbeitern zu wählen:
Ein besonders perfides Beispiel ist der Missbrauch von HR-Systemen. Angreifer schleusen dabei fiktive Mitarbeiterprofile ein, die von der Organisation als echte Neueinstellungen behandelt und automatisch mit Zugriffsrechten ausgestattet werden.
Auch Drittdienstleister und Partnernetzwerke bieten eine ideale Angriffsfläche: Externe Konten mit internen Rechten, deren Nutzung oft nicht ausreichend überwacht wird.
Geschäftsanwendungen, Netzwerke und Server sind inzwischen gut bewacht. Sie werden regelmäßig gepatcht, überwacht und durch Security-Layer wie WAFs (Web Application Firewalls) geschützt. Außerdem greifen hier ausgefeilte Anomalieerkennungen und Log-Analysen.
Identitäts- und Berechtigungsmanagement hingegen hinkt oft hinterher. Noch immer sind Konten mit „temporären“ Rechten jahrelang aktiv. Nicht-menschliche Identitäten — Geräte, Bots, APIs — verschwinden aus dem Blickfeld. Entzieht man einem Server das letzte Sicherheitsupdate, schrillen die Alarmglocken und Sicherheitsteams reagieren. Vergisst man jedoch einen Admin-Account auf einem stillgelegten System, passiert oft nichts – keine Glocken, keine Reaktion. Genau hier setzen Angreifer an.
Die Angreifer von heute sind nicht nur geduldiger und raffinierter geworden, sie sind auch besser ausgerüstet. Mit Künstlicher Intelligenz generieren sie täuschend echte Phishing-Mails, fälschen Identitäten in Bild und Ton oder analysieren Zugriffs- und Bewegungsmuster, um unbemerkt zu bleiben. Wer diesem Tempo standhalten will, kann nicht allein auf manuelle Kontrollen und statische Regeln setzen.
Auch Verteidiger müssen die Möglichkeiten von KI konsequent nutzen: um riesige Mengen an Berechtigungs- und Zugriffsdaten auszuwerten, abnormales Verhalten in Echtzeit zu erkennen und Muster zu finden, die dem menschlichen Auge entgehen. Dabei bleibt die Verantwortung trotzdem beim Menschen — aber ohne die Unterstützung von Maschinen lässt sich die Dynamik moderner Angriffe nicht mehr beherrschen. KI ist kein Allheilmittel. Aber wer sie ignoriert, verzichtet auf ein wertvolles Werkzeug, das Hacker längst nutzen.
Der Ausweg liegt in einem Umdenken und einer konsequenten Identitätsstrategie:
Der gefährlichste Angreifer muss heute nicht mehr durch Sicherheitslücken schleichen oder Firewalls überwinden. Er tritt durch den Haupteingang, mit einem echten Firmenausweis in der Hand. Solange digitale Identitäten nicht als primäre Angriffsfläche verstanden und systematisch gesichert werden, bleibt jeder andere Schutz nur Stückwerk. Sicherheitsverantwortliche, die es schwer haben, die Bedeutsamkeit von Identitätsmanagement auf der Führungsebene kommunizieren, sollten Vorstände zum Perspektivwechsel ermutigen: Denn Identitäten zu schützen, ist keine reine Sicherheitsmaßnahme mehr, sondern auch Enabler für Produktivität, zeitgemäße Cloud-Nutzung und digitale Transformation. Wer über Sicherheit spricht, muss endlich über Konten sprechen und die Identität in den Mittelpunkt der Cybersicherheit rücken.
