Social Engineering gegen den Helpdesk steht im Zentrum der Angriffe auf britische Einzelhändler

Was passiert ist

Im Mai 2025 deuteten von Reuters aufgegriffene Berichte darauf hin, dass die Angriffe auf Marks & Spencer und Co-op darauf beruhten, sich gegenüber dem Support als Mitarbeitende auszugeben, um Passwörter zurücksetzen oder neue Authentifizierungsfaktoren registrieren zu lassen. Das britische Centro Nacional de Ciberseguridad (NCSC) forderte Organisationen auf, ihre Helpdesk-Prozesse zu überprüfen.

Das beschriebene Vorgehen nutzt keine Softwareschwachstelle aus: Die Angreifer geben sich als berechtigte Mitarbeitende aus und überzeugen den Support davon, dass ihr Zugang wiederhergestellt werden muss, wobei nicht immer eine ausreichend strenge Identitätsprüfung erfolgt.

Was das für ein mittelständisches Unternehmen bedeutet

Der Fall zeigt, dass die Zwei-Faktor-Authentifizierung keinen Schutz bietet, wenn der Prozess zum Zurücksetzen unsicher ist: Es bringt nichts, beim täglichen Zugriff MFA zu verlangen, wenn ein überzeugender Anruf genügt, um sie zu deaktivieren oder ein neues Gerät zu registrieren.

Für jedes Unternehmen bedeutet dies, das schwächste Glied in der Identitätskette zu überprüfen, das häufig gerade der Prozess zur Wiederherstellung des Zugangs ist, nicht der Authentifizierungsmechanismus selbst.

Was Sie überprüfen sollten

Kontrollmaßnahmen zum Schutz der Zugangswiederherstellung vor Identitätsvortäuschung:

• Verstärkte Identitätsprüfung (über leicht beschaffbare Daten hinaus) vor dem Zurücksetzen von Passwörtern oder MFA-Faktoren.
• Rückruf unter einer zuvor hinterlegten Nummer, statt der Rufnummer zu vertrauen, von der aus die anfragende Person das Zurücksetzen beantragt.
• Protokollierung und Auditierung jeder beim Helpdesk eingegangenen Anfrage zur Wiederherstellung des Zugangs.
• Regelmäßige Schulung des Supportpersonals zu bekannten Social-Engineering-Techniken.

Häufig gestellte Fragen

Wozu hat das NCSC Organisationen aufgefordert?

Die Abläufe ihrer Helpdesk-Dienste zu überprüfen, um das Risiko zu verringern, dass Angreifer sich als Mitarbeitende ausgeben und so Zugänge ohne ausreichende Verifizierung wiederherstellen lassen.

Reicht MFA also nicht aus?

MFA bleibt notwendig, gleicht aber Schwächen bei der Kontowiederherstellung nicht aus: Beim Zurücksetzen von Passwörtern oder beim Registrieren eines neuen Faktors müssen dieselben strengen Prüfungen gelten wie beim regulären Zugriff.

Was sollte ein kleines Unternehmen mit ausgelagertem Support tun?

Vom Supportanbieter ein dokumentiertes Verfahren zur Identitätsprüfung verlangen und die bearbeiteten Anfragen zur Wiederherstellung von Zugängen regelmäßig auditieren.