Google warnt: Falsche IT-Techniker betreten Bueros
Eine Warnweste, ein Laptop und ein freundliches «Hallo, ich bin von der IT.» reichen, um an Firewall, EDR und MFA vorbeizukommen. Wasacon zeigt, wie der Angriff laeuft – und wie KMU ihn stoppen.
Angreifer geben sich gezielt als IT-Techniker oder Dienstleister aus, um physisch in Bueros, Serverraeume und Technikraeume zu gelangen. Google warnt 2026 explizit vor dieser Welle: Mit Warnweste, Laptop und Selbstbewusstsein wird der Mensch zur Firewall – und faellt oft. Schutz braucht klare Prozesse fuer externe Besucher, aktive Identitaetspruefung, Zutrittskontrolle und Videoueberwachung sensibler Bereiche.
Cyberangriffe finden laengst nicht mehr nur online statt
Phishing, Malware, Zero-Days – das sind die Schlagzeilen, die jeder kennt. Doch 2026 berichtet Google ueber eine Welle physischer Social-Engineering-Angriffe: Taeter geben sich als IT-Techniker, externe Dienstleister oder Support-Mitarbeiter aus, um in Buerogebaeude, Technikraeume oder sensible Unternehmensbereiche zu gelangen. Der Trick funktioniert erschreckend oft.
Viele Unternehmen investieren massiv in Firewalls, EDR-Loesungen, MFA und Netzwerksicherheit. Die groesste Schwachstelle bleibt der Mensch – insbesondere dann, wenn Angreifer mit psychologischen Tricks arbeiten. Mitarbeitende moechten hoeflich sein, niemanden aufhalten oder denken sich: «Der wird schon dazugehoeren.»
Die Angriffskette – Schritt fuer Schritt
Sechs Stationen, alle ohne einen einzigen Phishing-Klick. So laeuft ein professioneller On-Site-Angriff heute in mittelstaendischen Unternehmen ab.
LinkedIn, Google Maps, Mitarbeiterfotos. Wer arbeitet wo, welcher Dienstleister wartet die IT?
Logo-Poloshirt vom Online-Druck, Lanyard, gefaelschte Visitenkarte – fertig ist der vertraute Look.
Mit Kabel-Rolle und Kaffee am Eingang. Jemand haelt die Tuer auf – Zutritt ohne Frage.
'Routinewartung am Switch.' Kein Mitarbeiter will Verantwortung uebernehmen, wenn etwas ausfaellt.
Mini-PC am LAN-Port, USB-Keylogger an einer ungesperrten Workstation, Funk-Bridge versteckt hinter dem Rack.
Daten fliessen aus dem Netz – vorbei an Firewall und EDR. Die Person ist laengst wieder weg.
Die Kette zeigt einen realen On-Site-Angriff. In allen sechs Schritten wird keine einzige Firewall-Regel oder MFA umgangen – sondern menschliches Vertrauen.
Physischer Zugang ist der Jackpot
Sobald ein Angreifer im Gebaeude ist, vervielfachen sich seine Moeglichkeiten. Was online aufwendig und auffaellig waere, geht vor Ort in wenigen Minuten – oft sogar unbeobachtet.
Was Mitarbeitende denken – und was wirklich passiert
Social Engineering nutzt keine Schwachstelle im Code, sondern Reflexe und Gewohnheiten. Diese fuenf Sekunden-Gedanken sind die meistgenutzten Einfallstore – und genau auf sie zielen Profis.
«Der wird schon dazugehoeren.»
Vielleicht ein bezahlter Pentester – vielleicht ein Angreifer mit Implant in der Tasche.
«Ich will nicht unhoeflich sein.»
Hoeflichkeit ist ein Social-Engineering-Vektor. Ein Profi setzt genau darauf.
«Die Eingangstuer schliesst doch automatisch.»
Tailgating schlaegt jedes Schloss. Mit einem Kabel auf dem Arm haelt jeder die Tuer auf.
«Im Serverraum ist eh alles verschluesselt.»
Ein LAN-Implant am Switch hoert Klartext-Traffic vor jeder Verschluesselung mit.
«Wir haben Kameras, das reicht.»
Aufzeichnung ohne Auswertung ist nur Forensik. Erst Alarmierung verhindert den Schaden.
Awareness, die wirklich schuetzt
Klassische Security-Trainings konzentrieren sich auf Phishing und Passwoerter. Beides wichtig – aber unvollstaendig. Effektive Awareness 2026 deckt auch den physischen Raum ab:
- Identitaeten aktiv pruefen – nicht nur sichtbar tragen, sondern aktiv abgleichen.
- Unbekannte Personen freundlich, aber konsequent ansprechen und melden.
- Kein Tailgating: jede Person zieht ihre eigene Karte – auch der Chef.
- Besucher zentral registrieren, Begleitung in sensiblen Bereichen verpflichtend.
- Serverraum, Patch-Schrank und Netzwerkverteilung getrennt absichern.
- Verdaechtiges Verhalten ernst nehmen – ohne Schuldgefuehl beim Melden.
Zutrittskontrolle & Videoueberwachung als zweite Verteidigungslinie
Klassische Cybersecurity allein reicht 2026 nicht mehr aus. Wer den physischen Raum nicht absichert, laesst die einfachste Tuer offen. Sechs Bausteine, die wir bei Wasacon im Kreis Heinsberg routinemaessig einsetzen:
Selbstcheck: Sind Ihre Mitarbeitenden vorbereitet?
Fuenf Fragen, ehrlich beantworten. Anklicken, was bei Ihnen heute wirklich umgesetzt ist:
Wasacon-Perspektive: Cybersicherheit ist kein reines IT-Thema
Hochentwickelte Malware ist oft gar nicht noetig. Menschen, Prozesse und physische Sicherheit spielen eine mindestens genauso wichtige Rolle wie Firewalls und EDR. Im Kreis Heinsberg sehen wir regelmaessig, wie offene Buerostrukturen, Produktionsumgebungen und kombinierte Empfangs-Pausenraeume fremden Personen unfreiwillig den Weg ebnen.
Unser Ansatz: Awareness, Prozesse und Technik verzahnen. Klare Ankuendigung jedes Vor-Ort-Termins per Ticket, EDR und Netzwerk-Monitoring fuer alles, was sich neu im LAN meldet, plus Zutritts- und Kameraloesungen mit echter Alarmierung. Damit ein freundliches «Ich bin von der IT.» nicht der Anfang eines Cyberangriffs wird.
UNC3753: Tarnt sich als IT-Support – und steckt USB-Sticks direkt in Firmen-PCs
Cyberangriffe entwickeln sich weiter – und zwar in eine Richtung, die viele Unternehmen bisher kaum auf dem Schirm hatten. Nicht mehr nur Phishing-Mails, nicht mehr nur Malware-Downloads oder klassische Ransomware: Sicherheitsforscher warnen jetzt vor einer Gruppe, die ihre Opfer telefonisch manipuliert, Fernzugriff erschleicht und im Zweifel sogar physisch vor der Bürotür steht. Laut Google Mandiant und FBI hat die Gruppe bereits zahlreiche Unternehmen in den USA angegriffen – mit Fokus auf Kanzleien, Finanzdienstleister und professionelle Service-Unternehmen.
Der Angriff beginnt oft harmlos
Die Täter starten häufig mit simplen E-Mails ohne Malware oder Anhänge – Rechnungen, angebliche Sicherheitsprobleme, vermeintliche Datenmigrationen. Ziel ist nicht die direkte Infektion, sondern Verunsicherung. Kurz darauf folgt der eigentliche Angriff: ein Anruf. Die Angreifer geben sich als interne IT-Abteilung oder Security-Team aus und überzeugen Mitarbeiter, an Screen-Sharing-Sitzungen teilzunehmen oder legitime Fernwartungssoftware zu installieren. Keine „Hacker-Tools“, sondern völlig normale Programme:
Genau das macht die Erkennung so schwierig: Viele Sicherheitslösungen schlagen nicht an, weil technisch zunächst nur legitime Software genutzt wird.
Die gefährlichste Schwachstelle sitzt nicht im System
UNC3753 setzt nicht auf spektakuläre Zero-Days oder komplexe Exploits, sondern auf Psychologie. Mandiant berichtet von Tätern, die über mehrere Tage hinweg wiederholt Teams-Calls mit denselben Opfern führten, um Vertrauen aufzubauen und Widerstände abzubauen. Viele Unternehmen investieren massiv in Firewalls und EDR – trainieren ihre Mitarbeiter aber nicht ausreichend gegen Social Engineering.
Eskalation: Fake-IT-Techniker tauchen physisch im Büro auf
Besonders brisant ist die neu beobachtete Eskalationsstufe: Wenn der Fernzugriff scheitert, schicken die Täter Personen direkt zum Firmenstandort. Laut FBI geben sich diese als IT-Techniker oder externe Dienstleister aus, betreten Büros und schließen USB-Sticks oder externe Festplatten an Rechner an. Typische Vorwände:
- ▸Backup erstellen
- ▸Sicherheitsproblem untersuchen
- ▸Gerät neu synchronisieren
- ▸Daten für eine Migration sichern
In Wahrheit werden sensible Daten kopiert und später zur Erpressung genutzt.
Warum gerade Kanzleien und Dienstleister im Visier sind
Mandiant beobachtet einen klaren Fokus auf Unternehmen mit hochsensiblen Dokumenten: Verträge, M&A-Unterlagen, Finanzdaten, Personaldaten, Steuerunterlagen, Kundendatenbanken. Gerade Kanzleien sind extrem attraktive Ziele – ein Leak vertraulicher Mandantendaten verursacht massive Reputationsschäden und erhöht den Zahlungsdruck.
Selbsttest: Wären Sie vorbereitet?
- ?Gibt es eine echte Zutrittskontrolle für externe Personen?
- ?Werden Identitäten von „IT-Technikern“ vor Ort verifiziert?
- ?Dürfen Mitarbeiter unkontrolliert USB-Geräte anschließen?
- ?Existieren dokumentierte Prozesse zur Identitätsprüfung?
- ?Wissen Mitarbeiter, an wen sie verdächtige Anrufe melden?
Moderne Cybersecurity endet nicht an der Firewall
Der Fall UNC3753 macht deutlich: Sicherheitsstrategien müssen weit über klassische IT hinausgehen. Wirksame Maßnahmen kombinieren Technik, Prozesse und physische Sicherheit:
Fazit: Cyberkriminelle verlassen zunehmend den rein digitalen Raum. Der Angriff beginnt mit einem Telefonat – und endet möglicherweise mit einem fremden „IT-Techniker“ direkt am Arbeitsplatz. Für Unternehmen im Kreis Heinsberg heißt das: Cybersecurity ist längst keine reine IT-Aufgabe mehr, sondern eine Kombination aus Technik, Psychologie, Mitarbeiterschulung und physischer Sicherheit.
Haeufige Fragen
Wasacon in Ihrer Region
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sicherheits-Check & Zutritts-Audit?
Wasacon prueft Awareness, Prozesse, Zutrittskontrolle und Videoueberwachung in einem kompakten Vor-Ort-Audit – mit konkreten Massnahmen fuer Ihren Standort im Kreis Heinsberg.
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
