Phishing-Angriff auf Signal: CII-Research Director Prof. Dr. Dennis-Kenji Kipker im Interview bei ZDFheute live
Der Angriff auf Signal nutzte keine technische Schwachstelle in der Ende-zu-Ende-Verschlüsselung des Dienstes, sondern bediente sich regulärer App-Funktionen und der Gutgläubigkeit der Nutzer. Eine vollständige Kompromittierung der betroffenen Geräte konnte nicht festgestellt werden. Es gehe den Tätern laut Prof. Dr. Kipker in erster Linie darum, „Zugriff auf vertrauliche Daten, vertrauliche Informationen und Chats zu erhalten, die im Rahmen der Signalumgebung benutzt und verschickt worden sind."
Das Ausmaß des Angriffs reicht weit über den Einzelfall hinaus. Bislang sind etwa 300 betroffene Personen bekannt, darunter Abgeordnete verschiedener Bundestagsfraktionen sowie Journalistinnen und Journalisten. Prof. Dr. Kipker spricht von einem „erheblichen Ausmaß" mit einer wesentlich höheren Dunkelziffer. Auch das BSI warnt vor den Risiken, die mit der breiten Nutzung von Signal für sicherheitsrelevante Kommunikation einhergehen. Die hohe Verbreitung des Dienstes mache solche Angriffe besonders wirkungsvoll und erhöhe die Gefahr für weitere Betroffene, auch über Deutschland hinaus.
Die Verantwortung für den Angriff liegt Prof. Dr. Kipker zufolge vermutlich bei staatlichen Akteuren. Russische Nachrichtendienste sind dabei nicht auszuschließen, da sie bereits 2014 und 2015 erfolgreiche Phishing-Angriffe auf Bundestagsabgeordnete und Mitarbeiter durchführten. Auch andere Staaten verfügen über entsprechende Fähigkeiten, darunter die Volksrepublik China, die mit weitreichenden Cyberfähigkeiten auch aufwendige Operationen über Softwareschwachstellen durchführen kann. Ziel solcher Angriffe ist in der Regel aktive politische und Industriespionage.
Als Schutz vor dem Social Engineering hinter Phishing-Angriffen nennt Prof. Dr. Kipker drei Grundregeln:
- Angebliche Support-Nachrichten im Messenger sollten grundsätzlich ignoriert werden, da Dienste wie Signal oder WhatsApp ihre Nutzer nicht über Chats kontaktieren.
- Pins und geheime Nummern dürfen nie als Textnachricht eingegeben werden, da echte Abfragen die Zeichen stets verdeckt anzeigen.
- QR-Codes sollten nur dann gescannt werden, wenn man selbst gerade aktiv ein Gerät koppeln möchte.
Das vollständige Interview ist hier abrufbar.
