Digital Exposure: Wie aus harmlosen Informationen glaubwürdige Angriffe entstehen

Ein Name im Organigramm, ein Foto von einer Veranstaltung oder ein Hinweis auf einen Dienstleister wirkt für sich genommen wenig kritisch. Aus Sicht eines Angreifers sind diese Informationen jedoch Bausteine. Sie beantworten Fragen wie: Wer entscheidet? Wer kennt wen? Welche Sprache klingt intern? Welche Situation erzeugt Zeitdruck?

Die eigentliche Angriffsfläche entsteht durch Kombination. Ein öffentlich angekündigtes Projekt liefert den Anlass, ein berufliches Profil die Rolle, ein Foto die beteiligten Personen und ein Abwesenheitshinweis den passenden Zeitpunkt. Dadurch kann eine Kontaktaufnahme spezifisch wirken, obwohl der Absender keinerlei internen Zugang besitzt.

Glaubwürdiges Social Engineering lässt sich als Kette verstehen. Je mehr Glieder öffentlich rekonstruierbar sind, desto weniger muss ein Angreifer improvisieren.

1. 01
   Identität

   Namen, Rollen und Verantwortlichkeiten zeigen, wer als Absender oder Zielperson plausibel ist.

2. 02
   Beziehung

   Kontakte, Teams, Partner und gemeinsame Termine liefern einen glaubwürdigen sozialen Kontext.

3. 03
   Situation

   Projekte, Reisen, Personalwechsel oder Veranstaltungen erzeugen einen nachvollziehbaren Anlass.

4. 04
   Handlung

   Zeitdruck und eine kleine, scheinbar logische Bitte führen zu Freigabe, Zahlung, Download oder Datenweitergabe.

Viele Schutzmaßnahmen betrachten ausschließlich offizielle Unternehmenskanäle. Die reale Exposure verteilt sich jedoch über Karriereportale, Social Media, Veranstaltungsseiten, Partnerwebsites, öffentliche Register, Präsentationen, Dateimetadaten und private Beiträge von Mitarbeitenden.

Das bedeutet nicht, dass Menschen unsichtbar werden sollen. Sichtbarkeit ist für Recruiting, Vertrieb, Wissenschaft und persönliche Positionierung oft gewollt. Entscheidend ist, ob die Organisation ihre exponierten Rollen kennt, vermeidbare Details reduziert und passende Verifikationswege etabliert.

• Führungskräfte und Assistenzfunktionen mit öffentlich erkennbarem Reise- oder Terminmuster.
• Finanz-, HR- und Beschaffungsrollen, deren Zuständigkeiten leicht zuzuordnen sind.
• Technische Teams, die konkrete Produkte, interne Architektur oder Dienstleister offen benennen.
• Standorte und Veranstaltungen, deren Zugang, Routinen oder Ansprechpartner öffentlich dokumentiert sind.
• Familienangehörige und private Profile exponierter Personen, die ungewollt Kontext ergänzen.

Eine reine Liste öffentlich gefundener Daten erzeugt schnell Alarm, aber wenig Priorität. Besser ist ein szenariobasierter Ansatz: Welche realistische Handlung könnte mit den sichtbaren Informationen vorbereitet werden? Welche Rolle wäre betroffen? Welche bestehende Kontrolle würde den Versuch stoppen?

Damit wird aus Datensammlung eine Risikoanalyse. Ein vollständiger Review dokumentiert die Quellen, bewertet Aktualität und Verknüpfbarkeit, grenzt zulässige Maßnahmen ab und priorisiert nur jene Funde, die einen plausiblen Angriffsweg tatsächlich verstärken.

Die stärksten Maßnahmen sind oft organisatorisch: sensible Freigaben über einen bekannten zweiten Kanal bestätigen, Zahlungs- und Stammdatenänderungen nie allein aufgrund einer Nachricht ausführen und für exponierte Rollen abgestimmte Eskalationswege schaffen.

• Öffentliche Rollen und Informationsquellen regelmäßig inventarisieren.
• Nicht notwendige Details, alte Dokumente und Metadaten gezielt entfernen.
• Exponierte Personen mit konkreten, rollenbezogenen Szenarien statt Standardphishing schulen.
• Verifikationsregeln für dringende oder ungewöhnliche Anforderungen festlegen.
• Exposure nach personellen Veränderungen, Großveranstaltungen oder neuen Partnerschaften erneut prüfen.