Vertrauensketten-Angriffe in Messengern

Die eigentliche Schwachstelle ist Vertrauen

Bei einem Vertrauensketten-Angriff kommt die betrügerische Nachricht nicht von einem offensichtlich fremden Absender, sondern scheinbar von einer Person, die man kennt. Das Prinzip ist älter als WhatsApp: Schon zu ICQ-Zeiten waren Köder wie „Bist du das auf dem Bild?“ verbreitet.

Heute kann der Köder eine angebliche Abstimmung, ein Foto, eine Veranstaltung, ein Gewinn oder eine dringende Bitte sein. Der Link selbst ist dabei häufig nur der Einstieg.

Wie die Kette entsteht

Wird ein Konto übernommen oder ein fremdes Gerät mit dem Messenger-Konto verknüpft, kann der Angreifer die Identität des Betroffenen gegenüber dessen Kontakten missbrauchen. Die nächste Nachricht wirkt glaubwürdiger, weil Absendername und bisherige Beziehung echt sind. Fällt ein weiterer Kontakt darauf herein, kann sich die Kette fortsetzen.

Was kann auf der Zielseite passieren?

Je nach Kampagne werden beispielsweise Anmeldedaten, Registrierungs- oder Bestätigungscodes abgefragt oder Nutzer dazu gebracht, eine Geräteverknüpfung zu bestätigen. Das bloße Öffnen eines Links ist deshalb nicht mit einer Kontoübernahme gleichzusetzen – entscheidend ist, was anschließend eingegeben, bestätigt, installiert oder verknüpft wird.

Was wollen die Täter?

Ein übernommenes Konto ist oft nicht das Endziel, sondern ein Werkzeug. Es kann zur weiteren Verbreitung, für Geldforderungen gegenüber bekannten Kontakten, für Phishing, Spam oder zur Vorbereitung weiterer Betrugsversuche verwendet werden. Der sichtbare Schaden kann deshalb erst später entstehen.

Warum Communitys besonders interessant sind

In Communitys existiert bereits ein dichtes Netz gegenseitigen Vertrauens. Nachrichten zu Treffen, Abstimmungen, Fotos oder gemeinsamen Projekten wirken dort völlig normal. Genau dieser Kontext kann missbraucht werden. Eine bekannte Person ist deshalb kein Beweis dafür, dass ein unerwarteter Link tatsächlich von ihr stammt.

Was hilft?

Bei ungewöhnlichen Links lohnt sich ein kurzer Plausibilitätscheck – besonders, wenn anschließend Codes, Zugangsdaten oder Bestätigungen verlangt werden. Im Zweifel lässt sich der vermeintliche Absender über einen zweiten Weg fragen. Nach einer Kontoübernahme reicht „Account wieder da“ nicht als vollständige Nachsorge; verknüpfte Geräte und Sicherheitseinstellungen sollten ebenfalls geprüft werden.