Nachdem Hacker die Landes-IT von Berlin angegriffen haben, hat das BSI die angewandte Angriffsmethode analysiert und publiziert eine Warnung für Betriebe und Behörden. Der entscheidende Einstiegsvektor war demnach nicht ein klassischer Exploit oder Phishing-Mail, sondern manipulierte Captcha-Formulare auf legitim wirkenden Webseiten.
Solche gefälschten Captchas funktionieren nach einem einfachen, aber wirksamen Prinzip: Nutzer werden auf eine präparierte Seite gelockt, sehen dort scheinbar normale Sicherheitschecks und geben unwissentlich ihre Anmeldedaten oder Zwei-Faktor-Codes ein. Die Angreifer erfassen diese Informationen in Echtzeit und nutzen sie, um sich in die echten Systeme einzuloggen. Dies ist besonders tückisch, weil viele Mitarbeitende Captchas als Vertrauenssignal wahrnehmen und damit rechnen, dass diese Formulare von Sicherheitsmechanismen stammen.
Das BSI betont, dass dieser Angriffstyp nicht auf Berlins Verwaltung beschränkt ist. Auch andere Organisationen könnten über ähnliche Methoden kompromittiert worden sein. Die Warnung richtet sich daher gezielt an IT-Verantwortliche in Unternehmen und Behörden.
Für KMU-Umgebungen ergibt sich daraus eine wichtige Erkenntnis: Mitarbeitende müssen sensibilisiert werden, dass echte Systeme niemals Passwörter oder Authentifizierungscodes über zusätzliche Prompts anfordern, selbst wenn diese wie offizielle Sicherheitsmechanismen wirken. Besonders kritisch sind Situationen, in denen Nutzer unerwartet zu einer erneuten Anmeldung aufgefordert werden. Eine moderne Multi-Faktor-Authentifizierung, die Push-Benachrichtigungen auf verifizierte Geräte setzt, bietet besseren Schutz als Code-basierte Systeme, die kopiert werden können.
IT-Teams sollten zudem regelmässig testen, ob Mitarbeitende verdächtige Anmeldeprompts melden. Schulungen zur Phishing- und Social-Engineering-Erkennung sollten diesen Angriffstyp explizit behandeln.