Der Identitätslebenszyklus kennt mehrere Punkte, an denen Vertrauen hergestellt oder erneuert wird – und genau dort setzen Angreifer an, statt sich an gehärteten Anmeldeverfahren die Zähne auszubeißen. Der Druck verlagert sich damit vom Login auf die Prozesse rund um Kontoerstellung und -wiederherstellung.
Die gemeinsame Warnung des US-Außenministeriums und verbündeter Staaten beschreibt, wie nordkoreanische IT-Kräfte Identitätsdokumente fälschen und etwa Bilder verwenden, die ihnen von Dritten aus einem anderen Land bereitgestellt werden, um damit Konten zu registrieren. Die eigentliche Arbeit erledigt anschließend die nordkoreanische Person. Ziel sind typischerweise Technologieunternehmen – entscheidend ist jedoch nicht, dass jede Organisation mit exakt dieser Kampagne rechnen muss, sondern dass das Onboarding jener Moment ist, in dem Vertrauen erstmals entsteht. Scheitert die Identitätsprüfung hier, betritt der Angreifer die Umgebung mit Zugriffsrechten, die legitim aussehen.
Dasselbe Muster wiederholt sich bei der Wiederherstellung. Scattered Spider gilt als versiert im Social Engineering: Die Gruppe gibt sich als Beschäftigte aus, ruft beim Service-Desk an und lässt Passwörter zurücksetzen – womit der Kontozugang faktisch verschenkt wird. Der M&S-Ransomware-Vorfall aus dem Jahr 2025 wird dieser Vorgehensweise zugeschrieben; der Einzelhändler verlor durch entgangene Verkäufe schätzungsweise 400 Millionen Dollar operativen Gewinn.
Dass gestohlene Zugangsdaten weiterhin eine zentrale Rolle spielen, belegt der Data Breach Investigations Report von Verizon: Sie sind an 44,7 Prozent der untersuchten Sicherheitsvorfälle beteiligt.
Die Prüfmechanismen am Service-Desk hinken dieser Bedrohungslage vielerorts hinterher. Häufig genügen eine Mitarbeiternummer oder eine Telefonnummer; auch klassische Sicherheitsfragen nach dem ersten Haustier oder der besuchten Schule sind weiterhin verbreitet. Solche Merkmale lassen sich recherchieren, stehlen oder manipulieren – über Datenlecks ebenso wie über soziale Netzwerke. Und selbst dort, wo strengere Kontrollen greifen, zeigen die nordkoreanischen Kampagnen, dass Dokumente und andere Identitätsnachweise verändert oder komplett fabriziert werden können.
Künstliche Intelligenz verschärft die Lage zusätzlich. Synthetische Profile, manipulierte Bilder, geklonte Stimmen und Deepfake-Videos stützen falsche Identitäten und machen Social-Engineering-Versuche glaubwürdiger. Für Service-Desk-Mitarbeiter wird es dadurch schwerer, mit Sicherheit zu entscheiden.
Als Antwort darauf verweist Specops auf die eigene Lösung Verified ID, die Identitätsprüfungen vor sensiblen Aktionen absichern soll. Sie kombiniert das Scannen und Validieren staatlicher Ausweisdokumente mit biometrischer Lebenderkennung: Die Dokumentenprüfung soll bestätigen, dass der vorgelegte Ausweis echt ist, die Lebenderkennung, dass eine reale, anwesende Person den Vorgang durchführt – und nicht ein statisches Bild oder ein anderweitig wiedereingespielter Nachweis.
Beim Onboarding soll dies neue Beschäftigte verifizieren, bevor sie Zugriff auf Unternehmenssysteme erhalten, und so das Risiko durch betrügerische Bewerber und Identitätsvortäuschung senken – einschließlich der aus den nordkoreanischen Kampagnen bekannten Taktiken. Derselbe Ansatz lässt sich dort anwenden, wo besonders hohe Sicherheit gefragt ist, etwa bei Passwort-Zurücksetzungen für privilegierte Konten. Statt jeden Identitätsvorgang zu verkomplizieren, greift die stärkere Prüfung laut Anbieter gezielt dort, wo eine Fehlentscheidung die schwersten Folgen hätte.
Der Beitrag wurde von Specops Software gesponsert und verfasst.