Phishing-Angriffe beschr\u00e4nken sich l\u00e4ngst nicht mehr auf verd\u00e4chtige E-Mails. In modernen Cloud- und SaaS-Umgebungen steckt das Risiko h\u00e4ufig in legitimen Freigaben, kompromittierten Konten oder ungew\u00f6hnlichen Zugriffen. Unternehmen m\u00fcssen den gesamten Kontext einer Anfrage bewerten, um riskante Abweichungen fr\u00fcher zu erkennen und Gesch\u00e4ftsprozesse wirksamer zu sch\u00fctzen.<\/p>\n
In modernen Arbeitsumgebungen reicht die traditionelle E-Mail-Perspektive nicht mehr aus. Kommunikation l\u00e4uft heute nicht mehr nur \u00fcber den Posteingang. Gesch\u00e4ftsprozesse spielen sich in SaaS-Anwendungen, Cloud-Speichern, Projektplattformen und Kollaborationstools ab. Dokumente werden geteilt, Freigaben digital erteilt, externe Partner in Workflows eingebunden. Damit verlagert sich auch der Angriffspunkt: weg von der einzelnen Nachricht, hinein in den Arbeitskontext.<\/p>\n
Phishing beginnt heute nicht zwingend mit einer offensichtlich verd\u00e4chtigen Nachricht. H\u00e4ufig entsteht der Angriff innerhalb eines scheinbar normalen Arbeitsprozesses. Eine Anfrage f\u00fcgt sich in eine laufende Abstimmung ein. Ein Link f\u00e4llt nicht auf, weil Cloud-Freigaben zum Alltag geh\u00f6ren. Eine Nachricht erscheint unkritisch, weil sie \u00fcber eine bekannte Plattform oder einen vertrauten Cloud-Dienst kommt. F\u00fcr Sicherheitsteams bedeutet das einen Perspektivwechsel. Die einzelne E-Mail bleibt wichtig, reicht als Bewertungsgrundlage aber nicht mehr aus. Entscheidend ist der Kontext: ob Absender und Empf\u00e4nger normalerweise miteinander kommunizieren, ob die Anfrage zur Rolle passt und ob parallel Auff\u00e4lligkeiten bei Identit\u00e4t oder Zugriff auftreten.<\/p>\n
Das ist relevant, weil Cloud-Plattformen grundlegend ver\u00e4ndert haben, wo die riskante Handlung stattfindet. Bei vielen Angriffen enth\u00e4lt die E-Mail selbst nichts offensichtlich Verd\u00e4chtiges. Der Schaden entsteht nachgelagert: wenn ein Nutzer auf ein in der Cloud gehostetes Dokument klickt, eine Freigabeeinladung von einem kompromittierten Konto akzeptiert oder eine Anfrage genehmigt, die sich nahtlos in einen bestehenden Workflow einf\u00fcgt. Auf der E-Mail-Ebene schien alles in Ordnung. Das Risiko lag im umgebenden Kontext.<\/p>\n
Viele klassische Schutzmechanismen bewerten Nachrichten anhand einzelner Merkmale. Sie pr\u00fcfen etwa, woher eine Nachricht kommt, wohin ein Link f\u00fchrt oder ob ein Anhang auff\u00e4llig ist. Diese Signale bleiben relevant. Sie helfen, bekannte Muster zu erkennen und offensichtliche Angriffe zu blockieren.<\/p>\n
Moderne Phishing-Angriffe sind jedoch h\u00e4ufig nicht mehr offensichtlich. KI hat es einfacher gemacht, \u00fcberzeugende Nachrichten in gro\u00dfem Ma\u00dfstab zu erzeugen und Sprache sowie Ton auf bestimmte Rollen oder Situationen zuzuschneiden. Sie wirken glaubw\u00fcrdig, weil sie Timing und Gesch\u00e4ftslogik ausnutzen. Angreifer zielen auf Situationen, in denen Menschen unter Zeitdruck handeln oder sich auf vertraute Abl\u00e4ufe verlassen.<\/p>\n
Eine gef\u00e4lschte Zahlungsfreigabe ist leichter zu erkennen, wenn sie isoliert und schlecht formuliert eintrifft. Schwieriger wird es, wenn sie sich auf einen realen Vorgang bezieht und kurz vor einer erwarteten Entscheidung erscheint. Kritisch wird es, wenn der Angriff \u00fcber ein kompromittiertes Konto erfolgt. Dann ist der Absender technisch gesehen nicht gef\u00e4lscht. Die Nachricht kommt aus einer vertrauensw\u00fcrdigen Umgebung, ist aber Teil eines sch\u00e4dlichen Ablaufs.<\/p>\n
Damit ver\u00e4ndert sich die Logik der Verteidigung. Es reicht nicht, nur nach verd\u00e4chtigen Links oder Anh\u00e4ngen zu suchen. Viele Angriffe enthalten keine klassische Malware. Manche nutzen legitime Cloud-Dienste. Andere bauen schrittweise Vertrauen auf, bevor sie eine kritische Handlung ausl\u00f6sen. Nicht jedes ungew\u00f6hnliche Signal ist automatisch ein Angriff. Mehrere kleine Abweichungen k\u00f6nnen zusammen jedoch ein klares Risikobild ergeben.<\/p>\n
Diese Entwicklung zeigt sich besonders deutlich in drei Szenarien, die zunehmend h\u00e4ufiger auftreten:<\/p>\n
Kompromittierte Partnerkonten missbrauchen vertrauensw\u00fcrdige Plattformen.<\/strong> Ein externer Kontakt \u2013 ein Lieferant, eine Anwaltskanzlei, ein Logistikdienstleister \u2013 verliert die Kontrolle \u00fcber sein Cloud-Konto. Der Angreifer nutzt es, um eine sch\u00e4dliche Datei \u00fcber eine legitime Plattform zu teilen: Google<\/a> Drive, SharePoint oder OneDrive. Der Absender ist bekannt. Die Plattform ist vertrauensw\u00fcrdig. Die Datei kommt im Kontext eines laufenden Projekts an. Auf der E-Mail-Ebene l\u00f6st nichts einen Filter aus. Das Risiko wird erst sichtbar, wenn man pr\u00fcft, ob dieses Konto Dateien bisher auf diese Weise geteilt hat, ob das Timing zur etablierten Beziehung passt und ob die Dateianfrage dem tats\u00e4chlichen Projektstand entspricht.<\/p>\n Gef\u00e4lschte Freigaben tarnen sich als legitime Gesch\u00e4ftsprozesse.<\/strong> Ein Finanzteam erwartet die Genehmigung eines Vertrags. Ein Angreifer \u2013 der Kommunikationsmuster beobachtet oder Zugang zu einem Postfach erlangt hat \u2013 sendet eine Zahlungs- oder Freigabeanfrage, die auf die reale Transaktion verweist, zum richtigen Zeitpunkt eintrifft und die korrekte interne Terminologie verwendet. Die Anfrage ist nicht schlecht formuliert. Sie kommt nicht von einem unbekannten Absender. Was sie sch\u00e4dlich macht, ist die subtile Abweichung: ein anderes Zahlungskonto, ein leicht ver\u00e4nderter Freigabeweg, ein neuer Dokumentenlink. Diese Details sind unter Zeitdruck leicht zu \u00fcbersehen.<\/p>\n Legitime Cloud-Konten zeigen pl\u00f6tzlich ungew\u00f6hnliches Verhalten.<\/strong> Nicht jedes Phishing arbeitet mit einem gef\u00e4lschten Absender. Wenn ein Konto kompromittiert ist, agiert der Angreifer in einer vertrauensw\u00fcrdigen Umgebung. Die E-Mail-Adresse<\/a> ist legitim. Die Plattform ist legitim. Aber das Verhalten ist es nicht: Login von einem ungew\u00f6hnlichen Standort, Zugriff auf Dateien au\u00dferhalb des normalen Bereichs des Nutzers, eine Freigabeaktion, die nicht zur Rolle oder Kommunikationshistorie des Nutzers passt. Der Absender ist technisch gesehen real. Das Risiko liegt im Muster.<\/p>\nWarum Security Awareness allein nicht sch\u00fctzt<\/h3>\n