Der Servicedesk hilft jeden Tag Kolleginnen und Kollegen, die sich nicht anmelden können. Ein Passwort zurücksetzen oder ein neues Gerät für MFA verknüpfen ist Routine. Aber wie weiß der Servicedesk sicher, dass der Anrufer wirklich dieser Kollege ist? Gelingt das nicht, kann ein einziger Anruf genügen, um einen Account zu übernehmen. Das nennt man Account Takeover über den Servicedesk.
Was ist Account Takeover?
Bei einem Account Takeover (ATO), auch Kontoübernahme genannt, erhält ein Angreifer Zugang zum Account einer anderen Person. Er kann sich dann anmelden, E-Mails lesen und Systeme nutzen, als wäre er diese Person. Mit allen Rechten dieses Accounts.
Es gibt mehrere Wege zu einem Account. Dieser Artikel behandelt den Weg über den Servicedesk: Der Angreifer ruft an, gibt sich als Mitarbeiter aus und lässt das Passwort zurücksetzen oder MFA neu einrichten. Das ist eine Form von Voice Phishing, auch Vishing genannt.
Warum über den Servicedesk?
Der Servicedesk ist dafür da, Kolleginnen und Kollegen schnell wieder arbeitsfähig zu machen. Deshalb muss ein Angreifer nichts hacken: Ein normaler Prozess verschafft ihm den Zugang. Für den Servicedesk sieht es aus wie normale Arbeit. Ein Ticket, ein Reset, ein zufriedener Anrufer.
Das liegt nicht an den Mitarbeitenden. Sie müssen feststellen, wer anruft, ohne diese Person zu sehen, und oft unter Zeitdruck. Das Risiko liegt im Prozess, nicht bei den Menschen.
Warum MFA das nicht verhindert
MFA schützt die Anmeldung. Aber MFA muss auch neu eingerichtet werden können, zum Beispiel wenn jemand ein neues Telefon hat. Wer den Servicedesk dazu bringt, das zu tun, umgeht MFA. Ihre MFA ist damit so stark wie das Zurücksetzen.
Passiert das wirklich?
Ja. Die US-amerikanischen Behörden CISA und FBI beschreiben in einer gemeinsamen Warnung zur Gruppe Scattered Spider, wie Angreifer sich beim Helpdesk als Mitarbeiter ausgeben. So lassen sie Passwörter zurücksetzen und MFA auf ein Gerät übertragen, das sie selbst kontrollieren.
In den Niederlanden ist es zudem ein Thema für die Geschäftsleitung. Seit dem 15. August 2026 gilt das Cyberbeveiligingswet (das niederländische Cybersicherheitsgesetz). Die Geschäftsleitung trägt die Gesamtverantwortung für das Management von Cyberrisiken, und NIS2 nennt Zugriffsmanagement und Multi-Faktor-Authentifizierung bei den verpflichtenden Maßnahmen.
Woher wissen Sie, ob Ihr Servicedesk das verhindert?
Ein Verfahren auf dem Papier sagt wenig darüber aus, was am Telefon passiert. Um das zu wissen, müssen Sie es testen. In einem Account-Takeover-Assessment ruft DeepCalls Ihren Servicedesk so an, wie ein Angreifer es tun würde. Immer innerhalb unterzeichneter Autorisierung und vorab festgelegter Vereinbarungen.
Was können Sie tun?
- Testen Sie die Praxis. Ein Account-Takeover-Assessment zeigt, ob Ihr Servicedesk einen Account an jemanden freigibt, der anruft.
- Betrachten Sie den Prozess. Eine Prozessanalyse zeigt, wo Richtlinie und Praxis auseinanderlaufen.
- Erwägen Sie technische Verifizierung. Technische Maßnahmen ersetzen das Urteil eines einzelnen Mitarbeiters durch eine Kontrolle, die der Anrufer selbst bestehen muss.
