Laut den US-amerikanischen Behörden CISA und FBI richtet sich die Gruppe Scattered Spider gegen große Unternehmen und deren beauftragte IT-Helpdesks. Ihre Warnung zu der Gruppe ist einer der deutlichsten Hinweise darauf, dass der Servicedesk ein Einfallstor sein kann. Was steht darin, und was bedeutet es für Ihre Organisation?
Was ist Scattered Spider?
Scattered Spider ist der Name einer Gruppe von Cyberkriminellen, die mit Social Engineering arbeitet. CISA und FBI veröffentlichten im November 2023 eine gemeinsame Warnung zu der Gruppe. Am 29. Juli 2025 wurde die Warnung aktualisiert, gemeinsam mit Partnern unter anderem aus Kanada, Australien und dem Vereinigten Königreich.
Was sagt die Warnung über den Helpdesk?
Die Warnung beschreibt, wie Angreifer sich als Mitarbeiter ausgeben und den IT-Helpdesk dazu bringen, Passwörter oder MFA-Token zurückzusetzen. So erhalten sie Zugang zum Account dieses Mitarbeiters. Das nennt man Account Takeover über den Servicedesk.
Die Warnung nennt auch den umgekehrten Fall: Angreifer, die sich gegenüber Mitarbeitenden als Helpdesk ausgeben. In beiden Fällen geht es um dieselbe Frage. Wissen Sie sicher, mit wem Sie sprechen?
Warum das auch für niederländische Organisationen gilt
Die Warnung stammt aus den Vereinigten Staaten, aber der Weg, den sie beschreibt, ist nicht an ein Land gebunden. Jede Organisation, in der der Servicedesk auf Anfrage eines Anrufers Passwörter oder MFA zurücksetzen kann, hat denselben Weg. Haben Sie Ihren Servicedesk ausgelagert, gilt das auch für diesen Dienstleister.
Hinzu kommt, dass es in den Niederlanden ein Thema für die Geschäftsleitung ist. Seit dem 15. August 2026 gilt das Cyberbeveiligingswet (das niederländische Cybersicherheitsgesetz). Die Geschäftsleitung trägt die Gesamtverantwortung für das Management von Cyberrisiken, und NIS2 nennt Zugriffsmanagement und Multi-Faktor-Authentifizierung bei den verpflichtenden Maßnahmen.
Was die Warnung empfiehlt
- Phishing-resistente MFA. Die Warnung empfiehlt, wo möglich phishing-resistente MFA zu verwenden, etwa FIDO/WebAuthn oder MFA auf Basis von PKI.
- Weiter testen. Die Warnung empfiehlt, das Sicherheitsprogramm zu üben, zu testen und zu validieren, und zwar fortlaufend in der Produktivumgebung.
Eine bestimmte Vorgehensweise für die Identitätsprüfung am Helpdesk gibt die Warnung nicht vor. Und auch phishing-resistente MFA muss neu eingerichtet werden können, wenn jemand ein Gerät verloren hat. Dann landet die Frage wieder beim Servicedesk: Wer ruft an?
Was können Sie tun?
- Testen Sie, ob Ihr Servicedesk standhält. Ein Account-Takeover-Assessment zeigt, ob Ihr Servicedesk einen Account an jemanden freigibt, der anruft. Immer innerhalb unterzeichneter Autorisierung.
- Prüfen Sie, wo der Prozess Spielraum lässt. Eine Prozessanalyse zeigt, wo Richtlinie und Praxis auseinanderlaufen.
- Wählen Sie technische Verifizierung. Technische Maßnahmen ersetzen das Urteil eines einzelnen Mitarbeiters durch eine Kontrolle, die der Anrufer selbst bestehen muss.
