Im April erschien die Analyse \u201eDoxing in the corporate sector\u201c vom Sicherheitsanbieter Kaspersky. Durch diese Analyse wird deutlich, dass es f\u00fcr Kriminelle noch nie so leicht war wie heute, Informationen \u00fcber ihre Opfer auszuforschen und diese Informationen f\u00fcr Cyberattacken zu verwenden. Im heutigen Beitrag kl\u00e4ren wir Sie \u00fcber Doxing auf und zeigen Zusammenh\u00e4nge zu BEC sowie CEO-Fraud. Weiter erkl\u00e4ren wir Ihnen, wie Sie Ihre pers\u00f6nlichen Informationen vor Doxing sch\u00fctzen k\u00f6nnen.<\/p>\n
<\/p>\n
Doxing \u2013 zuweilen auch Doxxing geschrieben \u2013 steht f\u00fcr \u201eDropping Dox\u201c. Im Englischen wird der Begriff \u201eDox\u201c umgangssprachlich f\u00fcr Dokument verwendet. Beim Doxing \u00fcbt ein Hacker eine b\u00f6swillige Handlung gegen Personen aus, indem identifizierbare Informationen \u00fcber die angegriffene Person im Internet offengelegt werden. Diese Informationen k\u00f6nnen neben dem Namen der Person auch deren Wohnanschrift sein, aber auch der Arbeitsplatz, die Telefonnummer, finanzielle Informationen oder andere personenbezogene Daten. Ohne die Einwilligung des Opfers gelangen diese sehr intimen Informationen also an die \u00d6ffentlichkeit. Auch Sozialversicherungsnummern, private Korrespondenzen, etwaige Vorstrafen oder pers\u00f6nliche Informationen, die peinlich sind, k\u00f6nnen durch Doxing unfreiwillig ver\u00f6ffentlicht werden.<\/p>\n
In den 1990er Jahren galt die Anonymit\u00e4t gerade in der Welt der Hacker als heilig \u2013 und in dieser Zeit tauchte der Begriff \u201eDoxing\u201c erstmals auf: Gab es Fehden zwischen rivalisierenden Hackern, entschied sich der Rivale, auf seinen Gegner \u201eDocs abzuwerfen\u201c. Der bislang nur unter seinem Alias bekannte Hacker stand sodann mit seinem Namen in der \u00d6ffentlichkeit. Mit der Zeit wurde aus \u201eDocs\u201c \u201eDox\u201c \u2013 und schlie\u00dflich verschwand das Wort \u201eabwerfen\u201c komplett, sodass man heute auch vom \u201eDoxxen\u201c spricht.<\/p>\n
Urspr\u00fcnglich verstand man in der Hackerszene das Doxing also als \u201eDemaskierung\u201c anonymer Anwendenden. Heute wird der Begriff dann verwendet, wenn pers\u00f6nliche Informationen unfreiwillig preisgegeben werden.<\/p>\n
Warum doxxen Hacker Dritte? Der Ursprung des Doxings zeigt, dass es einst um das Ver\u00f6ffentlichen von rivalisierenden Namen ging \u2013 eine Fehde von Hacker-Gruppierungen. Heute kann auch Cyber-Mobbing dahinterstecken, also der Wunsch, einer dritten Person aus Antipathie oder anderen Gr\u00fcnden zu schaden. Man m\u00f6chte sein Opfer bestrafen, einsch\u00fcchtern und dem\u00fctigen.<\/p>\n
H\u00e4ufig geht es heutzutage beim Doxing jedoch um etwas ganz anderes, n\u00e4mlich um den Missbrauch von Informationen. Informationen k\u00f6nnen wertvoll sein: L\u00f6segelder lassen sich erpressen oder die Kriminellen nutzen die vorhandenen Informationen, um an weitere zu kommen. Informationen k\u00f6nnen jedoch auch verkauft werden, sodass sie zu Barem umgewandelt werden.<\/p>\n
<\/p>\n
Erinnern Sie sich noch an das Einrichten Ihrer privaten Facebook- oder Twitter-Accounts? Man sieht sich mit diversen Fragen konfrontiert \u2013 etwa die nach dem Lieblingsbuch, der besten Band oder die nach dem Familienstand \u2013 und gibt flei\u00dfig entsprechende Informationen preis. Da es sich um ein privates Profil handelt, landet das eine oder andere Urlaubsbild mit der Familie online, auf den Seiten verschiedener Medien wird das politische Tagesgeschehen mitdiskutiert. Alles ganz harmlos?<\/p>\n
Leider nein, denn genau hier greifen Kriminelle Informationen ab. Zum Zeitpunkt der Eingabe dieser Informationen m\u00f6gen sie harmlos wirken: Nat\u00fcrlich geben Sie ein, dass die T\u00fcrkei Ihr Lieblingsreiseland ist, nat\u00fcrlich bewerten Sie Ihre Hausbank gut und genauso nat\u00fcrlich geben Sie Ihr Statement zu einer \u00f6ffentlichen Diskussion in der Chronik eines Freundes.<\/p>\n
Beim Doxing k\u00f6nnen nun all diese Informationen gegen Sie verwendet werden. Im Zeitalter von Social Media bleiben Informationen nicht privat. Zu oft werden Informationen dieser Art, aus denen sich beachtliche Profile erstellen lassen, freiwillig \u00f6ffentlich geteilt \u2013 so harmlos erschienen diese Informationen zum Zeitpunkt der Ver\u00f6ffentlichung. Aber – haben Sie wirklich die Kontrolle \u00fcber all die Daten, die Sie online \u00fcber sich bereits eingegeben haben? Werfen wir einen Blick darauf, wie sich Kriminelle die von ihnen gew\u00fcnschten Informationen beschaffen, um Ihre Sensibilit\u00e4t diesbez\u00fcglich weiter zu erh\u00f6hen:<\/p>\n
Nutzernamen entsprechen in den seltensten F\u00e4llen dem Klarnamen von Nutzenden. Allerdings verwenden zahlreiche Nutzende ein- und denselben Nutzernamen in s\u00e4mtlichen Internetportalen, in denen sie angemeldet sind. So gelingt es Kriminellen, sich ein genaues Bild \u00fcber Nutzende zu machen: Sie k\u00f6nnen die Interessen sowie Internetgewohnheiten ihrer Opfer kinderleicht herausfinden.<\/p>\n
Wie oben bereits dargelegt, kann jeder Mensch s\u00e4mtliche Informationen \u00fcber Sie herausfinden, die Sie \u00f6ffentlich ins Internet bzw. auf soziale Plattformen stellen. Neben Wohnort und Arbeitsplatz lassen sich bei \u00f6ffentlichen Profilen auch Freunde, die Fotos sowie \u201eLikes\u201c und Bewertungen abrufen. Besuchte Orte, Namen von Familienangeh\u00f6rigen und langj\u00e4hrigen Freunden \u2013 all diese Informationen lassen sich einfach abgreifen und f\u00fcrs Doxing missbrauchen. Informationen wie diese erlauben es zuweilen sogar, die Antworten auf Sicherheitsfragen wie sie Zahlungsdienstleister verwenden, herauszufinden, sodass in weitere Online-Konten eingebrochen werden kann.<\/p>\n
Nutzen die Opfer unsichere E-Mail-Accounts oder klicken diese auf Phishing-Links in E-Mails, k\u00f6nnen Kriminelle nicht nur sensible E-Mails abrufen, sondern diese Inhalte auch online ver\u00f6ffentlichen. Beim Spoofing verschleiern Angreifende zudem ihre eigentliche E-Mail-Adresse, sodass sie es so aussehen lassen k\u00f6nnen, als sei die E-Mail von einem Bekannten. Mit der Kenntnisnahme der E-Mail-Adresse aus sozialen Netzwerken ist dies ein Leichtes. So kann es gelingen, an weitere Informationen zu kommen oder den Empfangenden der E-Mail falsche Tatsachen vorzut\u00e4uschen.<\/p>\n
Datenbroker sind Verk\u00e4ufer von Informationen \u00fcber Personen. Bezogen werden diese Informationen auf verschiedene Art: \u00d6ffentlich zug\u00e4ngliche Unterlagen werden genauso genutzt wie Informationen, die durch Treuekarten auftauchen. Auch \u00fcber den Online-Suchverlauf lassen sich Informationen abgreifen und selbstredend k\u00f6nnen auch andere Datenbroker Quelle der Informationen sein. Denn gerade Werbeagenturen sind beliebte Kunden von Datenbrokern. Personensuchseiten bieten zudem umfassende Informationen \u00fcber Einzelpersonen gegen kleines Geld. Zahlt ein Doxer diese eher geringen Geb\u00fchren, hat er alles, was er ben\u00f6tigt, um zu doxxen.<\/p>\n
\u00dcber all diese Kan\u00e4le kann der Doxer Informationen beschaffen. Diese Informationen f\u00fcgen sich zu einem Ganzen \u2013 zu einem Bild, mit dem sich die wahren Identit\u00e4ten hinter Pseudonymen ermitteln lassen, einschlie\u00dflich aller dazugeh\u00f6rigen Daten wie Anschrift, Telefonnummern, E-Mail-Adressen, etc.<\/p>\n
<\/p>\n
In der eingangs erw\u00e4hnten Kaspersky-Analyse \u201eDoxing in the corporate sector\u201c<\/a> zeigen die Sicherheitsexperten von Kaspersky auf, dass sie derzeit viele Attacken \u00fcber gef\u00e4lschte E-Mails (Business Email Compromise, BEC oder Corporate Doxing) beobachten. Auff\u00e4llig seien dabei vor allem die ausgefeilten Tricks, die zum Vort\u00e4uschen falscher Identit\u00e4ten verwendet werden: So werden Stimmen t\u00e4uschend echt mit K\u00fcnstlicher Intelligenz (KI) imitiert. So k\u00f6nnte ein Krimineller die Stimme hochrangiger F\u00fchrungskr\u00e4fte vort\u00e4uschen, um Mitarbeitende dazu zu verleiten, vertrauliche Informationen herauszugeben. Nur im Februar dieses Jahres z\u00e4hlten die Kaspersky-Experten weltweit 1.646 BEC-Angriffe.<\/p>\n Die T\u00e4uschungen beim Doxing werden nahezu perfekt durch neue Technologien wie Deepfakes. So k\u00f6nnte es Angreifenden gelingen, ein Deepfake-Video zu erstellen, welches von Mitarbeitenden zu stammen scheint und dem Image des Unternehmens schaden k\u00f6nnte. Alles, was daf\u00fcr notwendig w\u00e4re, w\u00e4re ein \u00f6ffentlich zug\u00e4ngliches Video mit den Zielmitarbeitenden sowie grundlegende Informationen, die sich auf oben genannten Wegen beschaffen lassen.<\/p>\n Christian Funk erkl\u00e4rt als Leiter des Forschungs- und Analyseteams in der DACH-Region bei Kaspersky: \u201eDie neue M\u00f6glichkeit, mithilfe von K\u00fcnstlicher Intelligenz t\u00e4uschend echte Deepfakes zu generieren, sei es als Audio oder Video, macht Corporate Doxing f\u00fcr Cyberkriminelle noch vielversprechender. Erfolgreiche Attacken dieser Art gab es bereits. Unternehmen und andere Institutionen m\u00fcssen sich rasch auf diese neuartigen Betrugsversuche einstellen und ihre Mitarbeiter sensibilisieren.\u201c<\/p>\n Roman Dedenok, Kaspersky-Sicherheitsforscher, erg\u00e4nzt: \u201eWar Doxing bislang eher ein Thema f\u00fcr private Nutzer und Celebrities [\u2026] stellt dieses Ph\u00e4nomen als Corporate Doxing inzwischen auch f\u00fcr vertrauliche Unternehmensdaten eine reale Gefahr dar, die nicht untersch\u00e4tzt werden darf. Wie bei Privatpersonen kann das Doxing von Unternehmen finanzielle und Reputationsverluste nach sich ziehen. Je sensibler das erbeutete vertrauliche Informationsmaterial, desto gr\u00f6\u00dfer der Schaden. Gleichzeitig k\u00f6nnen aber strenge Sicherheitsvorkehrungen der Unternehmen Doxing verhindern oder zumindest massiv eind\u00e4mmen.\u201c<\/p>\n <\/p>\n Wie Sie sehen, kann jede Person Opfer einer Doxing-Attacke werden. Achten Sie jedoch darauf, welche Informationen Sie wo im Internet preisgeben, erschweren Sie es Angreifenden immerhin, an f\u00fcr sie n\u00fctzliche Informationen zu gelangen. Seien Sie zudem skeptisch, wenn Sie irritierende Nachrichten von Bekannten, Kolleg:innen oder Vorgesetzten erhalten \u2013 vor allem, wenn es um Geld- oder Informationsanweisungen geht. Folgende Tipps sch\u00fctzen dar\u00fcber hinaus vor Doxing:<\/p>\n <\/p>\n <\/p>\n Gender-Disclaimer:Der Schutz pers\u00f6nlicher Informationen sch\u00fctzt auch vor Doxing<\/h2>\n
\n
\nZur besseren Lesbarkeit und zur Vermeidung von Gender-Sternchen verwenden wir das generische Maskulinum f\u00fcr Substantive und meinen damit alle nat\u00fcrlichen Personen unabh\u00e4ngig ihres Geschlechts.<\/p>\n