Erklärung
Das Prinzip ist einfach: Wird eine Anweisung über einen Kanal erteilt, der kompromittiert oder nachgeahmt sein kann, wird sie über einen zweiten Kanal bestätigt, der dem Täter nicht zur Verfügung steht. Eine per E-Mail gemeldete Änderung der Bankverbindung wird zum Beispiel durch einen Rückruf unter einer bereits gespeicherten Telefonnummer geprüft, nicht unter der Nummer aus der Nachricht.
Entscheidend ist die Unabhängigkeit des zweiten Kanals. Eine Rückfrage an dieselbe E-Mail-Adresse oder an die in der Nachricht genannte Nummer bestätigt nur, dass der Täter erreichbar ist. Das gilt auch bei Deepfake-Szenarien: Ein vertrautes Gesicht oder eine vertraute Stimme ist kein ausreichender Nachweis, solange die Anweisung nicht über einen etablierten Weg bestätigt wird.
Typisches Beispiel (schematisch)
Per E-Mail kommt die Bitte, eine eilige Zahlung auszulösen. Die Buchhaltung ruft die Geschäftsführung über die im internen Verzeichnis hinterlegte Nummer an und lässt sich die Anweisung bestätigen. Wird sie nicht bestätigt, gilt der Vorgang als verdächtig und wird gemeldet.
Bedeutung für Forensik und Ermittlungen
Die Validierung ist selbst ein Beleg: Ob und wie sie erfolgt ist, wird in einer Untersuchung wichtig. Dokumentierte Rückbestätigungen zeigen, wer sich auf welche Information gestützt hat, und erleichtern die Abgrenzung von organisatorischen und technischen Ursachen.
Erkennung und Prävention
Die Regel muss im Alltag praktikabel sein: feste Verzeichnisse mit verifizierten Kontaktdaten, klare Schwellenwerte, ab denen bestätigt wird, und eine ausdrückliche Rückendeckung der Leitung für Beschäftigte, die auch bei Zeitdruck nachfragen.
Auch gesucht als Out-of-Band-Verifikation, Out of Band, Rückbestätigung, Rückruf-Verfahren, unabhängige Rückbestätigung, OOB