Cybersicherheits-Glossar
20 wichtige Begriffe der Cybersicherheit, verständlich erklärt. Erfahren Sie mehr über Phishing, Smishing, Social Engineering und vieles mehr.
B
BEC (Business E-Mail Compromise)
Eine ausgeklügelte Betrugsmasche, die auf Unternehmen abzielt, die Überweisungen tätigen. Kriminelle kompromittieren oder fälschen geschäftliche E-Mail-Konten, um betrügerische Zahlungen zu veranlassen. BEC hat weltweit Schäden von über 50 Milliarden US-Dollar verursacht.
Beispiel
Ein Angreifer verschafft sich Zugriff auf die E-Mail eines Lieferanten und sendet dem geschädigten Unternehmen Rechnungen mit geänderten Bankdaten.
C
CEO-Betrug
Eine Form von BEC, bei der Angreifer sich als CEO oder andere hochrangige Führungskraft eines Unternehmens ausgeben, um Mitarbeiter dazu zu bringen, Geld zu überweisen oder sensible Daten weiterzugeben.
Beispiel
Eine E-Mail des „CEO“ an einen Buchhalter: „Ich brauche, dass Sie diese Zahlung sofort ausführen. Behandeln Sie sie vertraulich.“
D
DMARC
Domain-based Message Authentication, Reporting, and Conformance: ein E-Mail-Authentifizierungsprotokoll, das auf SPF und DKIM aufbaut, um E-Mail-Spoofing zu verhindern. Es ermöglicht Domain-Inhabern festzulegen, wie mit nicht authentifizierten E-Mails verfahren wird.
DKIM
DomainKeys Identified Mail: eine E-Mail-Authentifizierungsmethode, mit der der Absender seine E-Mails digital signieren kann. Der empfangende Server kann die Signatur prüfen, um sicherzustellen, dass die E-Mail beim Transport nicht verändert wurde.
E
E-Mail-Spoofing
Das Erstellen von E-Mail-Nachrichten mit gefälschter Absenderadresse. Spoofing wird häufig bei Phishing-Angriffen eingesetzt, damit E-Mails von vertrauenswürdigen Quellen wie Banken, Arbeitgebern oder Behörden zu stammen scheinen.
I
IOC (Kompromittierungsindikator)
Ein Nachweis dafür, dass eine Sicherheitsverletzung stattgefunden hat. IOCs umfassen schädliche IP-Adressen, Domainnamen, URLs, Datei-Hashes und bei Angriffen verwendete E-Mail-Adressen. Tools wie Luminir nutzen IOC-Datenbanken, um bekannte Bedrohungen zu erkennen.
M
Malware (Schadsoftware)
Schadsoftware, die darauf ausgelegt ist, ein Computersystem zu beschädigen, zu stören oder unbefugt darauf zuzugreifen. Zu den Arten gehören Viren, Ransomware, Trojaner, Spyware und Würmer. Phishing-E-Mails sind ein primärer Verbreitungsweg.
P
Phishing
Ein Cyberangriff, bei dem Kriminelle sich per E-Mail, SMS oder über Websites als legitime Organisationen ausgeben, um sensible Informationen wie Passwörter, Kreditkartennummern oder persönliche Daten zu stehlen. Phishing ist die häufigste Form des Social Engineering.
Beispiel
Eine E-Mail, die vorgibt, von Ihrer Bank zu stammen, und Sie auffordert, Ihr Konto über einen Link zu „bestätigen“, der zu einer gefälschten Website führt.
Pretexting (Vorwand)
Eine Social-Engineering-Technik, bei der der Angreifer ein erfundenes Szenario (einen Vorwand) schafft, um das Opfer einzubinden und Informationen zu stehlen. Der Angreifer recherchiert sein Ziel, um eine glaubwürdige Geschichte aufzubauen.
Beispiel
Jemand ruft einen Mitarbeiter an, gibt sich als Personalabteilung aus und bittet um dessen Sozialversicherungsnummer zur „Gehaltsabrechnungsprüfung“.
Q
Quishing
QR-Code-Phishing: eine Phishing-Technik, bei der schädliche URLs in QR-Codes eingebettet werden. Beim Scannen leitet der QR-Code die Opfer auf gefälschte Websites weiter, die Zugangsdaten stehlen sollen.
Beispiel
Ein gefälschter Aufkleber an einer Parkuhr mit einem QR-Code, der zu einer Zahlungsseite führt, die Ihre Kreditkartendaten stehlen soll.
R
Ransomware (Erpressersoftware)
Eine Art von Schadsoftware, die die Dateien des Opfers verschlüsselt und ein Lösegeld für den Entschlüsselungsschlüssel fordert. Sie wird oft über Phishing-E-Mails mit schädlichen Anhängen oder Links verbreitet.
Beispiel
Ein E-Mail-Anhang, der beim Öffnen alle Dateien auf dem Computer verschlüsselt und eine Lösegeldforderung in Bitcoin anzeigt.
S
Spear-Phishing
Ein gezielter Phishing-Angriff auf eine bestimmte Person oder Organisation. Anders als beim Massen-Phishing nutzt Spear-Phishing persönliche Informationen über das Ziel, um die Nachricht überzeugender zu machen.
Beispiel
Eine E-Mail, die Sie mit Namen anspricht, Ihr Unternehmen und Ihre Position nennt und Sie bittet, eine gefälschte Rechnung freizugeben.
Smishing
Phishing per SMS: eine Form des Phishings, die Textnachrichten (SMS) nutzt, um Opfer zum Anklicken schädlicher Links oder zur Preisgabe persönlicher Informationen zu verleiten. Der Begriff verbindet „SMS“ und „Phishing“.
Beispiel
Eine SMS, die angeblich von einem Lieferdienst stammt: „Ihr Paket konnte nicht zugestellt werden. Verfolgen Sie es hier: [schädlicher Link]“.
SPF (Sender Policy Framework)
Eine E-Mail-Authentifizierungsmethode, die festlegt, welche Mailserver berechtigt sind, E-Mails im Namen einer Domain zu versenden. SPF hilft, E-Mail-Spoofing zu verhindern, indem empfangende Server den Absender überprüfen können.
T
Threat Intelligence (Bedrohungsanalyse)
Informationen über aktuelle und potenzielle Cyberbedrohungen, die gesammelt und analysiert werden, um Organisationen zu helfen, Risiken zu verstehen und fundierte Sicherheitsentscheidungen zu treffen. Dazu gehören Angriffsmethoden, böswillige Akteure und Kompromittierungsindikatoren.
V
Vishing
Voice-Phishing: ein Social-Engineering-Angriff per Telefonanruf. Die Angreifer geben sich als legitime Stellen wie Banken, Behörden oder technischer Support aus, um sensible Informationen zu erlangen.
Beispiel
Ein Anruf von jemandem, der sich als Betrugsabteilung Ihrer Bank ausgibt und Sie bittet, Ihre Kontonummer zu bestätigen.
W
Whaling (CEO-Betrug)
Ein Spear-Phishing-Angriff, der gezielt auf Führungskräfte (CEO, CFO usw.) abzielt. Diese Angriffe sind stark personalisiert und beinhalten oft gefälschte dringende Aufforderungen im Zusammenhang mit dem Geschäftsbetrieb.
Beispiel
Eine E-Mail, die scheinbar vom CEO stammt und den CFO auffordert, dringend Geld an das Konto eines „neuen Lieferanten“ zu überweisen.
Z
Zwei-Faktor-Authentifizierung (2FA)
Eine Sicherheitsmethode, die zwei verschiedene Verifizierungsformen für den Kontozugriff erfordert: etwas, das Sie wissen (Passwort), und etwas, das Sie besitzen (Telefon, Sicherheitsschlüssel). Die 2FA verringert das Risiko einer Kontokompromittierung durch Phishing erheblich.
Zero-Day-Angriff
Ein Angriff, der eine bislang unbekannte Software-Schwachstelle ausnutzt. „Zero-Day“ heißt er, weil die Entwickler null Tage Zeit hatten, einen Patch zu erstellen. Diese Angriffe sind besonders gefährlich, da noch keine Abwehr existiert.
Social Engineering
Die psychologische Manipulation von Menschen, um sie zu Handlungen oder zur Preisgabe vertraulicher Informationen zu bewegen. Sie nutzt die menschliche Natur (Vertrauen, Angst, Dringlichkeit, Neugier) aus statt technischer Schwachstellen.
Beispiel
Ein Anrufer gibt sich als IT-Support aus und bittet einen Mitarbeiter um sein Passwort, um ein „Systemproblem zu beheben“.