Cloud-Sicherheit Phishing-Abwehr in der Cloud: Warum der Kontext ent­scheidend ist

Phishing-Angriffe beschränken sich längst nicht mehr auf verdächtige E-Mails. In modernen Cloud- und SaaS-Umgebungen steckt das Risiko häufig in legitimen Freigaben, kompromittierten Konten oder ungewöhnlichen Zugriffen. Unternehmen müssen den gesamten Kontext einer Anfrage bewerten, um riskante Abweichungen früher zu erkennen und Geschäftsprozesse wirksamer zu schützen.

Cloud-Plattformen haben zentrale Geschäftsprozesse aus dem Posteingang heraus in SaaS-Anwendungen, Identitätssysteme, gemeinsame Speicher und Kollaborationstools verlagert. Phishing wird in vielen Unternehmen aber noch immer als klar abgrenzbares E-Mail-Risiko behandelt. Eine verdächtige Nachricht landet im Posteingang. Ein Link wirkt ungewöhnlich. Ein Anhang passt nicht zum Absender. Anschließend greifen technische Filter oder manuelle Prüfprozesse.

Phishing verlagert sich vom Posteingang in Cloud-Workflows

In modernen Arbeitsumgebungen reicht diese Perspektive nicht mehr aus. Kommunikation läuft heute nicht mehr nur über E-Mail. Geschäftsprozesse laufen über SaaS-Anwendungen und Cloud-Speicher. Hinzu kommen Projektplattformen und Kollaborationstools. Dokumente werden geteilt, Freigaben digital erteilt, externe Partner in Workflows eingebunden. Damit verlagert sich auch der Angriffspunkt: weg von der einzelnen Nachricht, hinein in den Arbeitskontext.

Phishing beginnt heute nicht zwingend mit einer offensichtlich verdächtigen Nachricht. Häufig entsteht der Angriff innerhalb eines scheinbar normalen Arbeitsprozesses. Eine Anfrage fügt sich in eine laufende Abstimmung ein. Ein Link fällt nicht auf, weil Cloud-Freigaben zum Alltag gehören. Eine Nachricht erscheint unkritisch, weil sie über eine bekannte Plattform oder einen vertrauten Cloud-Dienst kommt. Für Sicherheitsteams bedeutet das einen Perspektivwechsel. Die einzelne E-Mail bleibt wichtig, reicht als Bewertungsgrundlage aber nicht mehr aus. Entscheidend ist der Kontext: ob Absender und Empfänger normalerweise miteinander kommunizieren, ob die Anfrage zur Rolle passt und ob parallel Auffälligkeiten bei Identität oder Zugriff auftreten.

Das ist relevant, weil Cloud-Plattformen grundlegend verändert haben, wo die riskante Handlung stattfindet. Bei vielen Angriffen enthält die E-Mail selbst nichts offensichtlich Verdächtiges. Der Schaden entsteht nachgelagert: wenn ein Nutzer auf ein in der Cloud gehostetes Dokument klickt, eine Freigabeeinladung von einem kompromittierten Konto akzeptiert oder eine Anfrage genehmigt, die sich nahtlos in einen bestehenden Workflow einfügt. Auf der E-Mail-Ebene schien alles in Ordnung. Das Risiko lag im umgebenden Kontext.

Warum einzelne Warnsignale moderne Phishing-Angriffe nicht stoppen

Viele klassische Schutzmechanismen bewerten Nachrichten anhand einzelner Merkmale. Sie prüfen etwa, woher eine Nachricht kommt, wohin ein Link führt oder ob ein Anhang auffällig ist. Diese Signale bleiben relevant. Sie helfen, bekannte Muster zu erkennen und offensichtliche Angriffe zu blockieren.

Moderne Phishing-Angriffe sind jedoch häufig nicht mehr offensichtlich – KI hat es einfacher gemacht, überzeugende Nachrichten in großem Maßstab zu erzeugen und Sprache sowie Ton auf bestimmte Rollen oder Situationen zuzuschneiden. Sie wirken glaubwürdig, weil sie Timing und Geschäftslogik ausnutzen. Angreifer zielen auf Situationen, in denen Menschen unter Zeitdruck handeln oder sich auf vertraute Abläufe verlassen.

Eine gefälschte Zahlungsfreigabe ist leichter zu erkennen, wenn sie isoliert und schlecht formuliert eintrifft. Schwieriger wird es, wenn sie sich auf einen realen Vorgang bezieht und kurz vor einer erwarteten Entscheidung erscheint. Kritisch wird es, wenn der Angriff über ein kompromittiertes Konto erfolgt. Dann ist der Absender technisch gesehen nicht gefälscht. Die Nachricht kommt aus einer vertrauenswürdigen Umgebung, ist aber Teil eines schädlichen Ablaufs.

Damit verändert sich die Logik der Verteidigung. Es reicht nicht, nur nach verdächtigen Links oder Anhängen zu suchen. Viele Angriffe enthalten keine klassische Malware. Manche nutzen legitime Cloud-Dienste. Andere bauen schrittweise Vertrauen auf, bevor sie eine kritische Handlung auslösen. Nicht jedes ungewöhnliche Signal ist automatisch ein Angriff. Mehrere kleine Abweichungen können zusammen jedoch ein klares Risikobild ergeben.

Toms Wochentipp: Web of Trust (WOT) für Browser

Sicher surfen: Webseiten-Reputation prüfen

Drei typische Angriffsszenarien in SaaS- und Cloud-Umgebungen

Diese Entwicklung zeigt sich besonders deutlich in drei Szenarien, die zunehmend häufiger auftreten:

Kompromittierte Partnerkonten missbrauchen vertrauenswürdige Plattformen
Ein externer Kontakt – ein Lieferant, eine Anwaltskanzlei, ein Logistikdienstleister – verliert die Kontrolle über sein Cloud-Konto. Der Angreifer nutzt es, um eine schädliche Datei über eine legitime Plattform zu teilen: Google Drive, SharePoint oder OneDrive. Der Absender ist bekannt. Die Plattform ist vertrauenswürdig. Die Datei kommt im Kontext eines laufenden Projekts an. Auf der E-Mail-Ebene löst nichts einen Filter aus. Das Risiko wird erst sichtbar, wenn man prüft, ob dieses Konto Dateien bisher auf diese Weise geteilt hat, ob das Timing zur etablierten Beziehung passt und ob die Dateianfrage dem tatsächlichen Projektstand entspricht.

Gefälschte Freigaben tarnen sich als legitime Geschäftsprozesse
Ein Finanzteam erwartet die Genehmigung eines Vertrags. Ein Angreifer – der Kommunikationsmuster beobachtet oder Zugang zu einem Postfach erlangt hat – sendet eine Zahlungs- oder Freigabeanfrage, die auf die reale Transaktion verweist, zum richtigen Zeitpunkt eintrifft und die korrekte interne Terminologie verwendet. Die Anfrage ist nicht schlecht formuliert. Sie kommt nicht von einem unbekannten Absender. Was sie schädlich macht, ist die subtile Abweichung: ein anderes Zahlungskonto, ein leicht veränderter Freigabeweg, ein neuer Dokumentenlink. Diese Details sind unter Zeitdruck leicht zu übersehen.

Legitime Cloud-Konten zeigen plötzlich ungewöhnliches Verhalten
Nicht jedes Phishing arbeitet mit einem gefälschten Absender. Wenn ein Konto kompromittiert ist, agiert der Angreifer in einer vertrauens­würdigen Umgebung. Die E-Mail-Adresse ist legitim. Die Plattform ist legitim. Aber das Verhalten ist es nicht: Login von einem ungewöhnlichen Standort, Zugriff auf Dateien außerhalb des normalen Bereichs des Nutzers, eine Freigabeaktion, die nicht zur Rolle oder Kommunikationshistorie des Nutzers passt. Der Absender ist technisch gesehen real. Das Risiko liegt im Muster.

Podcast: Digitale Beweissicherung, Cybercrime im Visier

Cloud-Forensik: Auf Spurensuche im digitalen Raum

Warum Security Awareness allein nicht schützt

Security Awareness bleibt wichtig. Mitarbeitende sollten wissen, wie Phishing funktioniert und welche Warnsignale sie ernst nehmen müssen. Trotzdem darf die Verantwortung nicht allein bei einzelnen Mitarbeitenden liegen. Viele moderne Angriffe sind so gestaltet, dass sie wie legitime Aktivitäten aussehen. Sie nutzen vertraute Dienste und plausible Abläufe. Wer unter Zeitdruck arbeitet, kann nicht jede Anfrage im Detail überprüfen. Unternehmen müssen deshalb Schutz­mechanismen so ausrichten, dass riskante Abweichungen früher sichtbar werden.

Auch klassische Filter haben ihre Grenzen. Sie können bekannte Bedrohungen blockieren und offensichtliche Auffälligkeiten erkennen. Wenn ein Angriff über legitime Infrastruktur läuft oder sich in bestehende Kommunikation einfügt, stoßen statische Regeln häufig an Grenzen.

Scam in der Cloud

So nutzen Betrüger Google Cloud Storage für betrügerische Kampagnen aus

Cloud-Sicherheit braucht Transparenz über alle Kanäle hinweg

Cloud-Sicherheit muss Kommunikationskontext, Identitätsverhalten und Zugriffsaktivitäten stärker zusammenführen. Eine Anfrage lässt sich erst dann sinnvoll bewerten, wenn klar ist, ob sie zur Rolle des Absenders und zum bisherigen Kommunikationsverhalten passt. Ebenso relevant ist, ob der verwendete Cloud-Dienst erwartbar ist oder ob zeitgleich auffällige Login-Muster auftreten. Damit verschiebt sich der Blick vom isolierten Objekt auf den gesamten Ablauf. Eine einzelne Nachricht kann unauffällig wirken. Im Zusammenhang mit einem ungewöhnlichen Login oder einer neuen Kommunikationsbeziehung kann sie jedoch sicherheitsrelevant werden.

Dafür brauchen Unternehmen Transparenz darüber, wie digitale Arbeitsprozesse tatsächlich ablaufen. Sie müssen verstehen, wie Beschäftigte mit Anwendungen interagieren und wie externe Kontakte eingebunden sind. Nur dann lassen sich Abweichungen sinnvoll bewerten. Verhaltensbasierte KI kann hier helfen, wenn ihre Entscheidungen nachvollziehbar bleiben. Sie kann lernen, was in einer Umgebung normal ist, und Abweichungen im Kontext sichtbar machen – einschließlich der Aktionen automatisierter Systeme, die über SaaS-Plattformen hinweg agieren.

Fraunhofer-Institut bietet praxisnahe Qualifizierung

Lernlabor Cybersicherheit: Hier werden Ihre IT-Fachkräfte fit für Cloud und KI

Wirksame Phishing-Abwehr passt sich dem Anwenderverhalten an

Phishing bleibt ein zentraler Angriffsvektor – aber wo er ansetzt, hat sich verändert. Da immer mehr Geschäftsprozesse in Cloud-Plattformen stattfinden, haben sich Angriffe von verdächtigen Einzel-E-Mails hin zu Anfragen verlagert, die in legitim wirkende Workflows eingebettet sind.

Die E-Mail kann jeden Filter passieren. Das Risiko liegt in dem, was sie umgibt: der Identität hinter der Anfrage, dem Zugriffsmuster, der SaaS-Aktivität, der Kommunikationshistorie und der Frage, ob die Handlung zur normalen Rolle und zum normalen Verhalten des Nutzers passt. Die wirksamste Phishing-Abwehr beginnt heute nicht beim verdächtigen Link. Sie beginnt mit einem klaren Verständnis davon, was normal ist – im gesamten Kontext der tatsächlichen Arbeitsprozesse.

(ID:50913485)