Ein Anrufer meldet sich beim IT-Support: Er sei Herr Weber aus dem Vertrieb, sein Handy sei gestern ins Wasser gefallen, er komme nicht mehr in sein Konto und habe gleich einen wichtigen Kundentermin; ob man die Mehrfaktor-Anmeldung kurz auf sein neues Telefon umstellen könne. Das klingt alltäglich, und genau deshalb ist es der typische Social-Engineering-Angriff auf den Helpdesk. Dieser Beitrag zeigt, wie Angreifer Helpdesks und IT-Dienstleister gezielt ausnutzen und welche Regeln einen Passwort- oder MFA-Reset sicher machen; er richtet sich an Geschäftsführung, IT-Verantwortliche und alle, die intern Support leisten.
Warum der Social-Engineering-Angriff auf den Helpdesk zielt
Social Engineering heißt, dass Angreifer nicht die Technik überlisten, sondern Menschen: Sie bauen eine glaubwürdige Geschichte, erzeugen Zeitdruck und appellieren an Hilfsbereitschaft oder Respekt vor Hierarchie. Bekannte Beispiele sind Phishing per E-Mail, der gefälschte Anruf vom Chef beim CEO-Fraud oder das Hereinschlüpfen durch die Tür hinter einem Mitarbeiter. Der Anruf beim Helpdesk mit erfundener Identität ist eine besonders wirksame Form, weil er genau die Stelle trifft, deren Aufgabe das Helfen ist.
Unternehmen investieren in starke Passwörter und Mehrfaktor-Authentifizierung (MFA), also eine zweite Bestätigung zusätzlich zum Passwort, etwa per App oder Sicherheitsschlüssel. Für Angreifer wird es dadurch mühsam, ein Konto direkt zu übernehmen. Der bequemere Weg führt über die Menschen, deren Aufgabe es ist, Kollegen bei Anmeldeproblemen zu helfen. Der Helpdesk darf genau das, was ein Angreifer braucht: Passwörter zurücksetzen, MFA-Geräte entfernen oder neu registrieren, Konten entsperren. Gelingt die Täuschung, übernimmt der Angreifer ein vollständig gültiges Konto, und die Sicherheitsmaßnahmen arbeiten ab diesem Moment für ihn.
Dass dies kein theoretisches Szenario ist, zeigt eine gemeinsame Warnung mehrerer Sicherheitsbehörden, darunter die US-Behörden CISA und FBI sowie das britische NCSC, zur Gruppe „Scattered Spider“, zuletzt aktualisiert im Juli 2025. Darin beschreiben die Behörden, dass die Täter sich als Mitarbeiter ausgeben, um Helpdesk-Personal zum Zurücksetzen von Passwörtern und zum Übertragen der MFA auf ein Gerät der Angreifer zu bewegen. Sie rufen auch mehrfach an, um den Ablauf eines Resets zu erkunden, und nutzen das Vertrauen in externe IT-Dienstleister aus. Nach öffentlichen Berichten begann auch der Angriff auf MGM Resorts im September 2023 mit einem Anruf beim Helpdesk.
So bereiten sich Angreifer vor
Ein überzeugender Anruf braucht Hintergrundwissen, und das ist oft leicht zu bekommen:
- Namen, Funktionen und Abteilungen aus Website, Pressemeldungen und Karrierenetzwerken
- das Format von E-Mail-Adressen und Benutzernamen
- Personalnummern oder Geburtsdaten aus früheren Datenlecks
- interne Begriffe, Namen von Vorgesetzten und laufende Projekte aus Social-Media-Beiträgen
- der Ablauf beim Helpdesk selbst, erfragt in einem harmlosen ersten Anruf
Mit diesem Wissen beantwortet der Anrufer typische Kontrollfragen problemlos. Daraus folgt die wichtigste Erkenntnis: Fragen nach Informationen, die irgendwo stehen oder gestanden haben könnten, sind keine Identitätsprüfung.
Identitätsprüfung, die ihren Namen verdient
Eine sichere Prüfung stützt sich auf etwas, das der Anrufer nur haben kann, wenn er wirklich die Person ist. Bewährt haben sich, je nach Größe des Unternehmens, diese Verfahren:
Rückruf über die hinterlegte Nummer. Der Helpdesk legt auf und ruft die Person unter der Nummer zurück, die vorher im Verzeichnis oder Personalsystem gespeichert war. Nicht unter der Nummer, die der Anrufer nennt. Hat der Anrufer angeblich ein neues Telefon, ist genau das der Fall für die nächste Stufe.
Bestätigung durch den Vorgesetzten. Der Helpdesk ruft die Führungskraft unter deren bekannter Nummer an und lässt sich bestätigen, dass Herr Weber tatsächlich ein Problem hat. Das ist in kleineren und mittleren Unternehmen meist der praktikabelste Weg.
Persönliches Erscheinen. Für besonders sensible Fälle, etwa MFA-Neueinrichtung bei Administratoren: Die Person kommt mit Ausweis vorbei oder zeigt sich in einer Videokonferenz, die über einen bekannten Kontakt angestoßen wird. Bei Video ist Vorsicht geboten, da auch Gesichter gefälscht werden können; der Termin sollte deshalb immer vom Helpdesk aus initiiert werden.
Prüfung über ein zweites, noch funktionierendes Merkmal. Hat der Nutzer noch Zugriff auf einen registrierten Sicherheitsschlüssel oder ein zweites Gerät, kann er damit die Änderung bestätigen.
Passwort-Reset und MFA zurücksetzen: den Vorgang selbst sicher gestalten
Auch nach erfolgreicher Prüfung kommt es auf die Details an:
- Kein Passwort am Telefon diktieren. Besser ist ein einmaliges, kurz gültiges Startpasswort, das an einen bekannten Kanal geht. In Microsoft Entra ID gibt es dafür den befristeten Zugriffspass (Temporary Access Pass), mit dem ein Nutzer neue Anmeldemethoden selbst registrieren kann.
- MFA nicht einfach auf eine neue Nummer umschreiben. Das Entfernen eines MFA-Geräts ist sensibler als ein Passwort-Reset und braucht die strengere Prüfung.
- Benachrichtigung an den echten Nutzer. Nach jedem Reset geht eine Nachricht an die bisher hinterlegten Kontaktwege: „Ihr Passwort wurde soeben zurückgesetzt. Waren Sie das nicht? Melden Sie sich sofort.“
- Erhöhte Aufmerksamkeit danach. Ungewöhnliche Anmeldungen in den Stunden nach einem Reset, etwa aus dem Ausland oder von unbekannten Geräten, sollten automatisch auffallen.
Wer Anmeldungen mit Passkeys oder Sicherheitsschlüsseln absichert, reduziert die Zahl der Reset-Anfragen und erschwert zugleich den Missbrauch. Wie leicht sich klassische Push-Bestätigungen aushebeln lassen, beschreiben wir im Beitrag Mehrfaktor-Anmeldung ausgehebelt.
Vier-Augen-Prinzip bei Admin-Konten
Für Administratorkonten und Konten der Geschäftsführung gelten verschärfte Regeln. Ein Reset wird hier nie von einer einzelnen Person allein ausgeführt. Eine zweite Person aus der IT prüft und gibt frei. Zusätzlich gilt:
- Admin-Konten sind von normalen Benutzerkonten getrennt und haben eigene, starke Anmeldemethoden. Mehr dazu unter Rollen und Admin-Konten.
- Für den Fall, dass wirklich alle Administratoren ausgesperrt sind, gibt es einen dokumentierten Notfallzugang, nicht einen spontanen Anruf. Siehe Notfallzugang, wenn alle Administratoren ausgesperrt sind.
- Anrufe, die mit besonderer Dringlichkeit einen Admin-Reset fordern, werden grundsätzlich eskaliert.
Protokollierung: nachvollziehbar statt Bauchgefühl
Jeder Reset wird als Ticket dokumentiert: wer angerufen hat, wie die Identität geprüft wurde, wer den Reset durchgeführt und wer bei Admin-Konten freigegeben hat. Das hat zwei Vorteile. Erstens lässt sich im Verdachtsfall rekonstruieren, was passiert ist. Zweitens fallen Muster auf, etwa mehrere Anfragen zum selben Konto oder gehäufte Anrufe mit derselben Geschichte.
Ebenso wichtig: Mitarbeiter am Helpdesk müssen Nein sagen dürfen, ohne Ärger zu bekommen. Wer mit Zeitdruck, Hierarchie oder Ärger konfrontiert wird („Ich bin der Geschäftsführer, machen Sie das jetzt“), braucht die schriftliche Rückendeckung, dass der Prozess immer Vorrang hat.
Was das für Ihren IT-Dienstleister bedeutet
Wenn ein externer Dienstleister Ihren Support übernimmt, gilt das alles auch für ihn. Fragen Sie konkret nach: Wie prüft der Dienstleister die Identität eines Anrufers? Woher kommt die Telefonliste, gegen die er prüft, und wer pflegt sie? Wer in Ihrem Unternehmen darf Resets für Admin-Konten anfordern? Am besten legen Sie das gemeinsam schriftlich fest und benennen feste Ansprechpartner.
Checkliste: erste Schritte
- Schriftlich festlegen, welche Prüfung für Passwort-Reset, MFA-Reset und Admin-Konten jeweils gilt.
- Eine gepflegte Liste mit verifizierten Rückrufnummern bereitstellen, die nur über das Personal- oder Verzeichnissystem geändert werden kann.
- Kontrollfragen mit öffentlich oder leicht auffindbaren Antworten abschaffen.
- Vier-Augen-Freigabe für alle Resets von Administrator- und Geschäftsführungskonten einführen.
- Automatische Benachrichtigung des Nutzers nach jedem Reset aktivieren.
- Jeden Reset als Ticket mit Prüfweg dokumentieren und regelmäßig auf Auffälligkeiten durchsehen.
- Helpdesk-Mitarbeiter mit realistischen Anrufszenarien schulen und ausdrücklich zum Nein-Sagen ermächtigen.
- Mit dem externen IT-Dienstleister die Prüfregeln und berechtigten Ansprechpartner abstimmen.
Wie DAVINCI unterstützt
Wir legen mit Ihnen klare Regeln für Identitätsprüfung und Resets fest und setzen sie in unserem Helpdesk und Ihrer Anmeldeinfrastruktur um. Wie wir Anmeldungen grundsätzlich absichern, finden Sie unter Zugangssicherheit. Für ein Gespräch über Ihren aktuellen Ablauf erreichen Sie uns über die Kontaktseite.
Häufige Fragen
Woran erkennt man einen Social-Engineering-Angriff am Telefon?
An der Kombination aus Dringlichkeit, Ausnahmewunsch und Druck: Der Anrufer hat es eilig, bittet darum, den üblichen Ablauf „nur dieses eine Mal“ abzukürzen, beruft sich auf Vorgesetzte oder reagiert gereizt auf Rückfragen. Oft will er zudem den Kanal wechseln, etwa den Rückruf auf eine neue Nummer lenken. Dass er viele interne Details kennt, beweist nichts; das ist Teil der Vorbereitung.
Reicht es, die Personalnummer abzufragen?
Nein. Personalnummern stehen auf Gehaltsabrechnungen, in E-Mails und manchmal in geleakten Daten. Sie sind ein Hinweis, aber kein Nachweis. Ein Rückruf unter einer hinterlegten Nummer oder die Bestätigung durch den Vorgesetzten ist deutlich robuster.
Macht ein Self-Service-Reset das Problem kleiner?
Ja, wenn er gut abgesichert ist. Kann der Nutzer sein Passwort mit einer bereits registrierten starken Methode selbst zurücksetzen, muss der Helpdesk seltener eingreifen. Für den Fall, dass alle Methoden verloren sind, braucht es trotzdem den manuellen Prozess mit strenger Prüfung.
Ist das nicht zu umständlich für den Alltag?
Ein Rückruf dauert ein bis zwei Minuten. Für die meisten Anfragen ist das ein vertretbarer Aufwand. Die strengsten Stufen betreffen nur wenige Konten und seltene Fälle, etwa den Verlust aller MFA-Geräte eines Administrators.
Was tun, wenn ein verdächtiger Reset schon durchgeführt wurde?
Konto sofort sperren, alle aktiven Sitzungen beenden, neu registrierte MFA-Geräte entfernen und die Anmeldeprotokolle prüfen. Danach mit dem echten Nutzer über einen bekannten Kanal Kontakt aufnehmen und den Vorfall als Sicherheitsvorfall behandeln.
Verwandte Themen: Wer hier weiterdenkt, liest bei Phishing, Deepfake erkennen und Mehrfaktor-Authentifizierung weiter.
