Thread-Hijacking: die Phishing-Mail, die auf Ihre eigene Nachricht antwortet

Thread-Hijacking gehört zu den glaubwürdigsten Formen von Phishing: Die schädliche Mail kommt nicht als neue Nachricht von einem Fremden, sondern als Antwort in einem echten E-Mail-Verlauf, den Sie selbst kennen. Möglich wird das, weil Angreifer zuvor ein Postfach kompromittiert und die dort liegenden Konversationen ausgelesen haben, oft das eines Kunden, Lieferanten oder Geschäftspartners. Absender, Betreff mit „AW:" und zitierter Verlauf wirken vertraut, nur der Anhang ist neu und verseucht. Die wirksamste Gegenregel ist einfach: Taucht in einem älteren Gespräch unerwartet ein Anhang oder Link auf, öffnen Sie nichts, sondern rufen Sie den Absender unter einer Ihnen bereits bekannten Nummer an.

Wie Angreifer in echte Mail-Verläufe gelangen

Am Anfang steht ein übernommenes Postfach. Die Zugangsdaten stammen aus klassischem Phishing, aus Datenlecks oder von Schadsoftware auf einem infizierten Rechner. Bekannt gemacht hat die Masche die Schadsoftware Emotet: Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) las Emotet per „Outlook-Harvesting" Kontaktbeziehungen und E-Mail-Inhalte aus den Postfächern infizierter Systeme aus und verschickte damit authentisch aussehende Mails. Die Verbraucherzentrale beschreibt die Wirkung aus Empfängersicht: Die Nachricht sieht aus wie die Antwort auf eine E-Mail, die Sie selbst kürzlich an die betroffene Person geschickt haben. Emotet stahl sogar echte Anhänge aus der Korrespondenz und versendete sie erneut, um noch glaubwürdiger zu wirken.

Die Technik ist nicht an eine einzelne Schadsoftware gebunden. Auch der Trojaner QakBot verbreitete sich nach Angaben des Canadian Centre for Cyber Security häufig über Antworten in bestehende E-Mail-Konversationen und lud anschließend weitere Schadprogramme bis hin zu Ransomware nach. Besonders wirksam ist der Ansatz demnach, weil die Mails von einer vertrauten Person zu kommen scheinen, mit der der Empfänger erst kürzlich in Kontakt stand. Sobald irgendwo in Ihrem Umfeld ein Postfach übernommen wurde, lässt sich der Trick beliebig wiederholen.

Warum die üblichen Prüfregeln hier versagen

Die gängigen Phishing-Ratschläge greifen bei Thread-Hijacking kaum. Der Absender ist kein Unbekannter, der Betreff ist Ihr eigener, der zitierte Text stammt aus einem realen Gespräch. Wird die Antwort tatsächlich aus dem übernommenen Konto verschickt, sind auch die Absenderadresse und die technischen Absenderprüfungen unauffällig.

Verdächtig ist stattdessen der Kontextbruch. Typische Anzeichen: Ein Gespräch, das seit Wochen ruhte, wird plötzlich mit einem Anhang fortgesetzt. Der Begleittext ist auffällig knapp, etwa „siehe Anhang" oder „wie besprochen", und passt nicht recht zum bisherigen Ton. Der Anhang ist ein passwortgeschütztes ZIP-Archiv, eine HTML-Datei oder ein Office-Dokument, das zum Aktivieren von Inhalten auffordert. Genau solche Verpackungen wählen Angreifer, damit automatische Filter den Inhalt schlechter prüfen können.

Die Gegenregel: erst anrufen, dann öffnen

Das BSI empfiehlt, Dateianhänge und Links auch bei vermeintlich bekannten Absendern im Zweifel erst nach Rücksprache mit dem Absender zu öffnen. Für den Arbeitsalltag heißt das konkret: Bei einem unerwarteten Anhang in einer alten Konversation greifen Sie zum Telefon. Nutzen Sie dafür eine Nummer aus Ihrem eigenen Adressbuch oder von der Website des Partners, nicht die Angaben aus der verdächtigen Mail. Und fragen Sie niemals per Antwortmail nach, denn diese Antwort landet im übernommenen Postfach, und der Angreifer bestätigt freundlich die Echtheit. Etablieren Sie die telefonische Rückfrage als feste Teamregel. Sie kostet zwei Minuten und ist kein Misstrauen gegenüber dem Partner, sondern Schutz für beide Seiten.

Technische Schutzschichten für Ihr Unternehmen

Die menschliche Prüfregel braucht technische Rückendeckung. Eine mehrstufige E-Mail-Sicherheit analysiert Anhänge in einer isolierten Umgebung und erkennt viele gekaperte Konversationen an Details wie abweichenden Antwortadressen oder verdächtigen Dateitypen. Ebenso wichtig ist die andere Richtung: Multi-Faktor-Authentifizierung macht die Übernahme Ihrer eigenen Postfächer deutlich schwerer und verhindert damit, dass Ihr Unternehmen zum Ausgangspunkt solcher Angriffe auf Ihre Kunden wird.

Häufige Fragen

Die Mail kam wirklich vom Konto unseres Lieferanten. Sind wir dann überhaupt betroffen?

Zunächst ist das Postfach des Partners übernommen, nicht Ihres. Gefährlich wird es in dem Moment, in dem jemand bei Ihnen den Anhang öffnet oder Zugangsdaten eingibt. Informieren Sie den Partner auf einem anderen Weg als per E-Mail über den Vorfall, damit er sein Konto absichern kann, und löschen Sie die Nachricht.

Was tun, wenn ein Mitarbeiter den Anhang bereits geöffnet hat?

Trennen Sie das Gerät vom Netzwerk und informieren Sie sofort Ihren IT-Verantwortlichen oder IT-Dienstleister. Passwörter der auf dem Gerät genutzten Konten sollten geändert und Anmeldeprotokolle geprüft werden. Schnelles Handeln zählt, denn solche Infektionen dienen Angreifern häufig als Türöffner für weitere Schritte bis hin zur Ransomware.

Erkennen Spamfilter solche Mails nicht von selbst?

Moderne E-Mail-Sicherheitslösungen erkennen einen großen Teil dieser Angriffe, etwa über Anhang-Analysen und Auffälligkeiten im Absenderverhalten. Eine Restlücke bleibt trotzdem, gerade bei passwortgeschützten Archiven, die sich automatisch nicht öffnen lassen. Deshalb gehört die telefonische Rückfrage als organisatorische Regel fest dazu.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH betreut kleine und mittlere Unternehmen im Raum Karlsruhe und bundesweit bei der Absicherung ihrer E-Mail-Kommunikation und Microsoft-365-Umgebung. Wir richten mehrstufige E-Mail-Sicherheit und Multi-Faktor-Authentifizierung ein und machen Ihr Team in einem Awareness-Training mit genau solchen Angriffsmustern vertraut, bevor es der Ernstfall tut. Kurze Wege, direkter Ansprechpartner.

Quellen

• BSI: Maßnahmen zum Schutz vor Emotet und gefährlichen E-Mails im Allgemeinen
• Verbraucherzentrale: Emotet, Trojaner beantwortet empfangene E-Mails und klaut Anhänge
• Canadian Centre for Cyber Security: Ongoing reports of Qakbot malware incidents