Die Wall Street gilt als einer der technologisch am besten ausgestatteten Finanzplätze der Welt. Milliarden werden in Handelssysteme, Cyberabwehr, künstliche Intelligenz und hochkomplexe Sicherheitssoftware investiert. Doch offenbar braucht es für einen Angriff manchmal weder Supercomputer noch spektakuläre Schadsoftware. Ein Telefon, eine überzeugende Stimme und ein freundliches „Hallo, hier ist die IT-Abteilung“ können völlig ausreichen.

Genau mit dieser erstaunlich bodenständigen Methode haben Hacker in den vergangenen Wochen versucht, in die Netzwerke zahlreicher großer US-Finanzunternehmen einzudringen. Zu den Zielen gehörten laut einem Bericht von Google und von Reuters ausgewerteten Daten unter anderem Schwergewichte wie Blackstone, KKR und Apollo Global Management.

Die Angreifer setzen dabei auf sogenanntes Social Engineering – also auf die uralte Erkenntnis, dass der Mensch gelegentlich leichter zu überlisten ist als die Technik.

Das Vorgehen ist denkbar einfach: Mitarbeiter erhalten einen Anruf von angeblichen Kollegen aus der eigenen IT-Abteilung. Dort wird ihnen erklärt, dass aus Sicherheitsgründen dringend ein Passwort geändert, ein Zugang bestätigt oder ein Sicherheitsmerkmal aktualisiert werden müsse. Praktischerweise gibt es dafür natürlich auch gleich eine passende Website.

Der kleine Haken: Die Website gehört nicht zur eigenen Firma, sondern zu den Hackern.

Wer seine Zugangsdaten dort eingibt, übermittelt Passwort, Sicherheitscodes und weitere Informationen direkt an die Angreifer. Damit können diese im schlimmsten Fall Konten übernehmen, interne Systeme durchsuchen und anschließend Lösegeld fordern.

Mit anderen Worten: Während Unternehmen aufwendig versuchen, digitale Tresore mit immer dickeren Türen auszustatten, stehen die Hacker manchmal einfach davor und fragen höflich nach dem Schlüssel.

Wie erfolgreich die aktuelle Angriffswelle tatsächlich war, ist bislang unklar. Reuters konnte nicht feststellen, bei welchen Unternehmen die Angreifer tatsächlich Zugang zu internen Systemen erhielten. Sicher ist jedoch, dass die Methode weiterhin funktioniert – sonst würden Kriminelle sie kaum in diesem Umfang einsetzen.

Für Sicherheitsexperten ist das wenig überraschend. Technische Schutzsysteme können noch so ausgefeilt sein: Wenn ein Mitarbeiter überzeugt wird, seine Zugangsdaten freiwillig herauszugeben, wird selbst die beste Firewall plötzlich zum ausgesprochen teuren Hintergrundbild.

Besonders pikant ist dabei, dass ausgerechnet einige der mächtigsten Finanzkonzerne der Welt ins Visier geraten sind. Unternehmen also, die täglich Risiken bewerten, Milliarden bewegen und komplizierte Investments analysieren – und deren größte Gefahr am Ende womöglich ein höflicher Anrufer mit erfundener Durchwahl ist.

Die Hacker verlassen sich dabei weniger auf technische Genialität als auf menschliche Gewohnheiten: Autorität wirkt, Zeitdruck wirkt noch besser, und wenn angeblich die IT-Abteilung anruft, möchte kaum jemand derjenige sein, der das vermeintlich dringende Sicherheitsupdate blockiert.

Das Ganze zeigt eine gewisse Ironie moderner Cybersicherheit: Je komplizierter die technischen Systeme werden, desto attraktiver wird offenbar der einfachste Angriffspunkt.

Der Mensch.

Oder anders gesagt: Die Wall Street kann Hochfrequenzhandel in Mikrosekunden betreiben, globale Kapitalströme analysieren und mit komplexen Algorithmen Milliarden verwalten. Aber gegen „Bitte klicken Sie auf diesen Link und geben Sie kurz Ihr Passwort ein“ ist die Finanzwelt offenbar weiterhin nicht vollständig immun.