Von Frank Roidl, Senior VP Sales bei Getronics.
Beim Angriff auf den Online-Händler ASOS verschafften sich Kriminelle Zugang zum Mitarbeiterkonto eines Beschäftigten, indem sie sich als vertrauenswürdiger Kontakt ausgaben und so dessen Login-Daten erbeuteten. Mit diesem Zugang zu einem angebundenen Dienst luden sie umfangreiche Kundendaten herunter, Namen, Adressen, Telefonnummern, E-Mails, Geburtsdaten, Kundennummern und sogar die Suchanfragen der Nutzer. Zahlungsdaten und Passwörter waren nach Angaben des Unternehmens nicht betroffen. Besonders perfide: Die Angreifer nutzten das eigene App-System von ASOS, um potenziell Millionen Kunden eine Push-Benachrichtigung über den Hack zu senden.
Dieser Fall verdient Aufmerksamkeit, weil er gleich zwei Muster sichtbar macht, die weit über den Handel hinausreichen. Das erste: Der Angriff begann nicht an einer technischen Schwachstelle, sondern am Menschen. Eine einzige, per Social Engineering erbeutete Identität genügte, um an sensible Kundendaten zu gelangen. Das zweite: Die eigentlichen Daten lagen nicht im Kernsystem von ASOS, sondern auf einer angebundenen Drittanbieter-Plattform. Die eigenen Systeme blieben intakt, der Weg hinein führte über eine kompromittierte Identität und die Lieferkette.
Dass die Täter anschließend die vertrauenswürdige Kommunikationsschiene des Unternehmens kaperten, zeigt die eigentliche Dimension. Ein Angriff endet heute nicht bei der Datenabfrage. Er kann bis in die Kanäle durchschlagen, über die ein Unternehmen mit seinen Kunden spricht, wenn die dahinterliegenden Systeme und Berechtigungen nicht abgesichert sind.
Was folgt daraus?
- Identität muss als zentrale Sicherheitskontrolle behandelt werden.
Ein gestohlenes Passwort darf nicht ausreichen, um auf kritische Systeme zuzugreifen. Phishing-resistente Multi-Faktor-Authentifizierung und der Grundsatz, dass kein Zugriff allein aufgrund einer einmaligen Anmeldung dauerhaft als vertrauenswürdig gilt, sind heute Pflicht. - Drittanbieter gehören ins eigene Risikomanagement.
Plattformen, über die Daten verarbeitet oder Kunden kontaktiert werden, müssen mit derselben Sorgfalt abgesichert und überwacht werden wie die eigene Infrastruktur. Die Angriffsfläche endet nicht an den eigenen Systemgrenzen. - Erkennung und Reaktion müssen rund um die Uhr laufen.
Social Engineering, missbrauchte Identitäten und dutzende angebundene Dienste lassen sich nicht im Tagesgeschäft nebenbei überwachen. Ein kompromittierter Zugang muss sofort auffallen und automatisch entzogen werden, bevor Daten abfließen, und das jederzeit, nicht nur zu Bürozeiten.
Genau hier liegt die eigentliche Herausforderung. Identitätssicherheit, Drittanbieter-Überwachung und eine durchgängige Erkennung sind keine einmaligen Projekte, sondern eine Daueraufgabe, die Expertise und einen durchgehenden Betrieb verlangt. Für die meisten Unternehmen ist das intern kaum noch zu leisten, die Zahl der Identitäten, Dienste und Angriffswege wächst schneller als die eigenen Sicherheitsteams. Wer diese Aufgabe nicht dauerhaft abdecken kann, braucht einen Partner, der Erkennung, Reaktion und Zugriffskontrolle als kontinuierlichen Managed Service übernimmt.
Die Lehre aus dem ASOS-Angriff ist klar. Cyberresilienz beginnt nicht an der Netzgrenze, sondern bei der Frage, wer sich hinter einer Anmeldung verbirgt und welche Systeme im Hintergrund mit welchen Rechten laufen. Wer Identität, Drittanbieter und die eigene Lieferkette nicht als durchgehend überwachte Angriffsfläche begreift, hat das eigentliche Risiko nicht verstanden.
