Erklärung
Ein Account Takeover liegt vor, wenn jemand ein bestehendes Konto unbefugt kontrolliert. Wege dahin sind erbeutete Zugangsdaten durch Phishing, wiederverwendete Passwörter aus Datenlecks, systematisches Ausprobieren (Credential Stuffing) oder das Abfangen von Sitzungen und Bestätigungscodes. Danach werden Nachrichten gelesen, Weiterleitungen eingerichtet, Zahlungsdaten verändert oder weitere Täuschungen im Namen des Kontoinhabers ausgeführt.
Im Unternehmen ist die Übernahme eines E-Mail-Kontos der Klassiker, weil es Zugang zu Kommunikation und zu Passwort-Zurücksetzungen anderer Dienste gibt. Es ist ein häufiger Bestandteil von Business E-Mail Compromise, aber nicht Voraussetzung für diesen Betrug.
Typisches Beispiel (schematisch)
Im Postfach eines Mitarbeiters existiert plötzlich eine Regel, die Nachrichten mit bestimmten Stichwörtern verschiebt. Anmeldungen aus einem ungewöhnlichen Land haben kurz zuvor stattgefunden. Die Regel verhindert, dass der Kontoinhaber Rückfragen sieht.
Bedeutung für Forensik und Ermittlungen
Die Analyse konzentriert sich auf Anmeldeereignisse (Zeit, Ort, Gerät, Methode), Änderungen an Sicherheitsangaben, Postfachregeln, Zugriffe auf Dateien und Weiterleitungen. Ob solche Protokolle vorhanden sind und wie lange sie aufbewahrt werden, hängt von den eingesetzten Diensten ab (Logdateien).
Erkennung und Prävention
Phishing-resistente Anmeldeverfahren (Passkeys, Sicherheitsschlüssel), Zwei-Faktor-Authentifizierung, Warnungen bei ungewöhnlichen Anmeldungen und regelmäßige Prüfungen auf unbekannte Postfachregeln sind die wichtigsten Maßnahmen.
Auch gesucht als Kontoübernahme, Account-Takeover, ATO, Konto-Übernahme, Accountübernahme, Kontokompromittierung