In einer aktuellen Warnung hat das FBI eine alarmierende Entwicklung bekannt gegeben: Cyberkriminelle missbrauchen gefälschte Notfalldatenanforderungen, um an sensible persönliche Informationen von Nutzern zu gelangen. Dieses Vorgehen gefährdet nicht nur Privatpersonen, sondern stellt auch für Unternehmen und Strafverfolgungsbehörden eine ernsthafte Bedrohung dar.
Was ist passiert?
Seit 2023 beobachtet das FBI eine zunehmende Anzahl von Fällen, in denen kompromittierte E-Mail-Adressen von Regierungsbehörden genutzt werden, um gefälschte Notfalldatenanforderungen an Unternehmen zu senden. Über solche Anforderungen versuchen Kriminelle, schnell und ohne die übliche Prüfung an vertrauliche Informationen wie Benutzernamen, Telefonnummern oder E-Mail-Adressen zu gelangen.
Beispiele aus dem Bericht zeigen die kreative und erschreckende Raffinesse dieser Angriffe:
- Im August 2024 wurde in Foren mit kompromittierten E-Mail-Adressen gehandelt, die für Spionage, Erpressung oder das Einholen gefälschter Subpoenas genutzt werden können.
- Im März 2024 wurden staatliche E-Mail-Konten aus über 25 Ländern angeboten, um gezielt Social-Media-Konten auszuspähen.
- Kriminelle verwenden detailliert gefälschte Dokumente, wie etwa gefälschte Subpoenas oder Schreiben auf behördlichem Briefkopf, um den Eindruck von Legitimität zu erzeugen.
Die Gefahren solcher Angriffe
Die Auswirkungen sind weitreichend:
- Verlust von PII (persönlich identifizierbaren Informationen): Diese Daten können für Identitätsdiebstahl, Phishing oder andere kriminelle Zwecke verwendet werden.
- Schäden für Unternehmen: Ein Verstoß gegen den Datenschutz kann zu rechtlichen Konsequenzen und Vertrauensverlust bei Kunden führen.
- Gefährdung der öffentlichen Sicherheit: Angriffe auf Strafverfolgungsbehörden oder kritische Infrastrukturen gefährden die gesellschaftliche Sicherheit.
Empfehlungen des FBI
Um solchen Angriffen vorzubeugen, rät das FBI Unternehmen und Behörden zu verstärkten Sicherheitsmaßnahmen:
- Sorgfalt bei Notfalldatenanforderungen: Kritische Prüfung eingehender Anfragen, insbesondere auf gefälschte Signaturen, Logos oder unplausible rechtliche Referenzen.
- Stärkung der Passwortsicherheit:
- Verwendung von Passwörtern mit mindestens 16 Zeichen.
- Implementierung von Multifaktor-Authentifizierung.
- Keine häufigen, aber sinnvollen Passwortänderungen.
- Netzwerksicherheit:
- Segmentierung von Netzwerken zur Eindämmung von Schadsoftware.
- Einschränkung des Zugriffs über Remote-Desktop-Protokolle (RDP).
- Regelmäßige Überprüfung von Benutzerkonten und Zugriffsrechten.
- Überprüfung von Drittanbietern: Sicherstellen, dass externe Dienstleister robuste Sicherheitsvorkehrungen implementieren.
Ausblick
Die Entwicklung solch gefälschter Notfalldatenanforderungen zeigt, wie kreativ und gefährlich Cyberkriminelle vorgehen. Insoweit sind diese Geschehnisse ein herausragendes Beispiel für die Art und Weise, wie sich Cybercrime weiterentwickelt und in Zukunft nicht mehr „Cybercrime“ und „Cybersecurity“ getrennt oder nur notwendig verknüpft betrachtet werden, sondern als notwendiger Gesamtkomplex.
Es ist darum entscheidend, dass Unternehmen und Behörden proaktiv bleiben, ihre Sicherheitsstrategien kontinuierlich verbessern und gerade auch Ermittler verstehen, wie wichtig die Sicherheit der eigenen Infrastruktur ist!
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (IT-Strafprozessrecht, digitale Beweismittel). Überdies beschäftigt er sich mit den rechtsstaatlichen Grundlagen moderner Arbeit und moderner Technologie – insbesondere mit der Frage, wie Bewusstsein, Verantwortung und Cybersecurity-Awareness im KI-geprägten Alltag Freiheitsräume und europäische Rechtsprinzipien sichern.
Wir übernehmen im IT-Recht und Strafrecht nur bestimmte Bereiche. So im IT-Recht allein im Softwarerecht mit darauf bezogenem IT‑Vertragsrecht und Lizenzrecht sowie rund um Cybersicherheit. Im Strafrecht übernehmen wir ausschiesslich Strafverteidigungen in Bereichen, auf die wir uns spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht
- Ende des Blogs. – 15. August 2026
- KI-Kennzeichnungspflicht nach Art. 50 KI-VO: Pflichten, Fristen, Bußgelder – 1. August 2026
- Der Spion im Labor: Wissenschaft als strafbares Sicherheitsrisiko – 31. Juli 2026