Während Unternehmen enorme Summen in die Absicherung von Anmeldeprozessen durch Multi-Faktor-Authentifizierung (MFA) und Richtlinien für bedingten Zugriff investieren, bleibt eine Hintertür bestehen, die all diese Abwehrmechanismen aushebeln kann: der Prozess der Zugriffswiederherstellung über den technischen Support (Service Desks). Das Problem liegt darin, dass die Verifizierungsstandards bei Zugriffsverlust oft weitaus schwächer sind als die üblichen Anmeldestandards, was ein weites Tor für Social Engineering öffnet.
Zusammenbruch des wissensbasierten Verifizierungsmodells
Viele technische Support-Abteilungen verlassen sich bis heute auf traditionelle Methoden zur Identitätsprüfung, wie etwa wissensbasierte Fragen (Knowledge-based verification), die den Namen des direkten Vorgesetzten, die Abteilung oder andere persönliche Details abfragen. Dieses Modell ist im heutigen digitalen Zeitalter unsicher geworden; Angreifer können diese Informationen problemlos von Plattformen wie LinkedIn, offiziellen Unternehmenswebsites oder sogar aus geleakten Datensätzen sammeln.
Sobald der Angreifer diese Details erlangt hat, kann er die Identität des Mitarbeiters vortäuschen und den Support-Mitarbeiter dazu bewegen, das Passwort zurückzusetzen oder ein neues Authentifizierungsgerät zu registrieren. Dadurch wird der MFA-Schutz umgangen, ohne dass das ursprüngliche Konto technisch gehackt werden muss.
Künstliche Intelligenz: Eine neue Waffe für Social Engineering
Angriffe beschränken sich nicht mehr nur auf traditionelle Phishing-E-Mails, sondern haben dank generativer KI ein komplexeres Niveau erreicht. Die Daten deuten auf eine gefährliche Verschiebung in den Methoden der Angreifer hin:
- Deepfakes: Angreifer können Sprachsynthese-Technologien nutzen, um die Stimme eines Mitarbeiters zu imitieren, was es für Support-Mitarbeiter sehr schwierig macht, zwischen dem echten Anrufer und einem Betrüger zu unterscheiden.
- Erhöhte Erfolgsrate von Angriffen: Laut dem Verizon-Bericht 2026 verzeichneten Social-Engineering-Operationen über Textnachrichten und Sprachanrufe eine um 40 % höhere Erfolgsquote im Vergleich zu E-Mail-Phishing.
- Skalierung: Eine Umfrage von Gartner ergab, dass 62 % der Unternehmen im vergangenen Jahr von Deepfake-Angriffen oder automatisierten Social-Engineering-Operationen betroffen waren.
Was ändert sich in der Praxis?
Die Überwindung dieser Lücke erfordert nicht nur die Schulung der Mitarbeiter, sondern eine grundlegende Änderung der Struktur von Kontowiederherstellungsprozessen. Es reicht nicht mehr aus, sich auf die Intuition oder die Fähigkeit eines Mitarbeiters zu verlassen, eine Stimme oder einen Stil zu erkennen; der Verifizierungsprozess muss in einen obligatorischen und nicht verhandelbaren technischen Schritt umgewandelt werden.
Der Wandel hin zur sicheren digitalen Verifizierung umfasst:
- Den Ersatz wissensbasierter Fragen durch digitale Verifizierungsmethoden wie Codes, die per E-Mail, SMS oder über externe Authentifizierungs-Apps (wie Duo) gesendet werden.
- Die Integration von Verifizierungsprozessen in den Workflow des technischen Supports, sodass keine sensible Aktion (wie das Zurücksetzen eines Passworts) ohne erfolgreiche digitale Verifizierung durchgeführt wird.
- Die Verringerung der Abhängigkeit vom menschlichen Faktor bei der Entscheidung „Ist diese Person wirklich der Mitarbeiter?“ und die Umwandlung in eine technische Entscheidung, die auf digitalen Beweisen basiert.
Die Vernachlässigung der Absicherung des Wiederherstellungspfades stellt nicht nur ein Sicherheitsrisiko dar, sondern verursacht auch hohe Betriebskosten; die Kosten für ein einzelnes Passwort-Reset werden auf etwa 70 Dollar geschätzt, ganz zu schweigen von der Beeinträchtigung der Mitarbeiterproduktivität und den Ausfallzeiten, die durch Hackerangriffe oder sogar unstrukturierte Supportanfragen entstehen.