Warum du jetzt ein Ziel bist

Drei Ebenen

Der Text trennt deshalb zwischen belegter Entwicklung, Analogie und eigener Schlussfolgerung.

Belegte Entwicklungen zeigen, was bereits beobachtet oder demonstriert wurde. Analogien aus anderen Deliktfeldern zeigen Mechanismen, die für Identitätsangriffe relevant sein könnten. Darauf baut die eigentliche These dieses Textes auf.

Wo die vorhandenen Belege eine Aussage nicht direkt tragen, wird sie nicht als bereits eingetretene Entwicklung dargestellt, sondern als mögliche Folge oder ausdrücklich als Schlussfolgerung des Modells gekennzeichnet.

Sechs Begriffe werden dabei durchgehend in derselben Bedeutung verwendet:

Ein durchschnittlicher Haushalt war für einen gezielten Identitätsangriff nicht deshalb uninteressant, weil seine Konten technisch besonders gut geschützt gewesen wären.

Entscheidend war vielmehr eine wirtschaftliche Rechnung: Was verspricht ein erfolgreicher Angriff - und was kostet es, genau dieses Ziel anzugreifen? Solange der erwartete Nutzen den notwendigen Aufwand nicht rechtfertigt, bleibt ein Ziel uninteressant. Sinkt dieser Aufwand, verschiebt sich die Schwelle: Auch Ziele mit geringerem möglichen Ertrag können sich zu lohnen beginnen.

Dabei fällt ein Teil des Aufwands für jedes Ziel erneut an. Der Angreifer muss herausfinden, wer die Person ist, welche Dienste sie nutzt, welche Zugangswege existieren und welcher davon erfolgversprechend ist. Genau dieser zielbezogene Aufwand ist für die weitere Argumentation entscheidend.

Denn der technische Schutz eines Kontos richtet sich nicht automatisch danach, wie wertvoll ein erfolgreicher Zugriff wäre. Passwörter können zurückgesetzt werden, Telefonnummern dienen als Faktor oder Wiederherstellungsweg, und Konten brauchen Verfahren für Menschen, die ihr Passwort vergessen oder ihr Telefon verloren haben.

Diese Verfahren gelten grundsätzlich für gewöhnliche Nutzer ebenso wie für Personen, bei denen ein unbefugter Zugriff erheblich größere Folgen hätte - etwa aufgrund ihrer Rechte, ihres Wissens oder ihrer Entscheidungsbefugnisse. Der Wert eines Kontos und die Stärke seiner Schutzmechanismen wachsen also nicht zwangsläufig gemeinsam.

Strengere Verfahren existieren. Sie müssen jedoch häufig zusätzlich aktiviert, bewusst gewählt oder organisatorisch vorgeschrieben werden. Sie sind nicht automatisch deshalb vorhanden, weil ein bestimmtes Konto für einen Angreifer besonders wertvoll wäre.

Warum ein Teil des Aufwands für jedes Ziel neu anfällt

Wenn die eine Person gezielt angegriffen wird und die andere nicht, liegt das nicht allein an der Technik. Entscheidend ist auch die Rechnung des Angreifers. Einen bestimmten Menschen aus verfügbaren Informationen zu rekonstruieren, seine Konten und Beziehungen zu finden, glaubwürdig in seinem Umfeld aufzutreten und mögliche Prüfungen zu überwinden, kostet Zeit, Arbeit und Mittel.

Nicht alle diese Kosten entstehen für jedes Ziel neu. Werkzeuge, Infrastruktur und allgemeine Angriffsmethoden lassen sich wiederverwenden. Der personenspezifische Teil des Angriffs dagegen nur begrenzt. Was über eine Person recherchiert wurde, lässt sich nicht einfach auf die nächste übertragen. Wer sich in einem Telefonat als jemand anderes ausgibt, muss dessen Verhältnisse kennen und auf unerwartete Rückfragen reagieren können.

Genau darin liegt bisher eine Grenze der Skalierung: Mit jedem zusätzlichen Ziel entsteht zusätzlicher Aufwand für Recherche, Zuordnung und Anpassung. Der Stückpreis fällt deshalb nicht automatisch nur dadurch, dass mehr Menschen angegriffen werden.

Für einen gewöhnlichen Haushalt bedeutet das nicht, dass ein gezielter Angriff unmöglich wäre. Er kann schlicht zu teuer sein im Verhältnis zu dem, was sich damit gewinnen lässt.

Ändert sich jedoch, wie stark dieser personenspezifische Aufwand mit der Zahl der Ziele wächst, ändert sich die gesamte Rechnung. Welche zwei Formen dabei gegenüberstehen, zeigt ABB. 2 am Ende dieses Kapitels.

Die Annahme dahinter

Alles bisher Gesagte setzt voraus, dass der Angreifer wirtschaftlich handelt. Gemeint ist derjenige, der die Kosten eines Angriffs selbst trägt und den möglichen Ertrag selbst erhält. Für ihn entscheidet die Rechnung unmittelbar darüber, welche Ziele sich lohnen.

Für andere Angreifer sieht diese Rechnung anders aus. Wer aus persönlichen oder ideologischen Motiven handelt, muss keinen finanziellen Gewinn erzielen. Wer im Auftrag arbeitet, bewertet nicht die Beute des Opfers, sondern die eigene Vergütung im Verhältnis zu Aufwand und Risiko. Die bisher beschriebene Schwelle gilt für diese Gruppen deshalb nicht in derselben Form.

Auch für den wirtschaftlich handelnden Angreifer ist das Modell eine Vereinfachung. Ein Angriff kann scheitern, und er kann zur Identifizierung oder Strafverfolgung des Täters führen. Beides gehört in eine vollständige Rechnung hinein.

Dabei kann sich auch das Angreiferrisiko zwischen Zielen unterscheiden. Ein Angriff auf besonders exponierte Personen oder bedeutende Organisationen kann stärkere Schutzmaßnahmen und größere Aufmerksamkeit auslösen. Viele einzelne Angriffe auf Privatpersonen können dagegen zunächst wie voneinander unabhängige Fälle erscheinen.

Das bedeutet jedoch nicht, dass zusätzliche Angriffe ohne zusätzliches Risiko bleiben. Mit der Zahl der Angriffe können auch Spuren, Meldungen und Möglichkeiten wachsen, einen Zusammenhang zu erkennen. Entscheidend ist deshalb, ob Ermittler einzelne Vorfälle betrachten müssen oder einen gemeinsamen Ursprung identifizieren können.

LabHost zeigt, warum dieser Unterschied wichtig ist. Die Ermittlungen richteten sich nicht nur gegen einzelne Phishing-Fälle, sondern gegen die Infrastruktur, die zahlreiche Angreifer gemeinsam nutzten. Wird ein gemeinsames Werkzeug oder ein gemeinsamer Dienst ausgeschaltet, kann Verteidigung auf einmal viele Angriffe verteuern.

Dasselbe Prinzip wirkt in die andere Richtung: Wird Verteidigung billiger und leichter verfügbar, kann sie einen billigeren Angriff wieder unrentabel machen. Entscheidend ist allerdings, ob diese Verteidigung tatsächlich eingesetzt wird.

Woher dieser Gedanke kommt

Neu ist dieser Gedanke nicht. Ross Anderson zeigte 2001 in „Why Information Security is Hard - An Economic Perspective“, dass Informationssicherheit nicht allein ein technisches Problem ist. Entscheidend ist auch, wer die Kosten einer Sicherheitsentscheidung trägt und wer von ihr profitiert.

Cormac Herley beschrieb 2010 einen weiteren Unterschied: Manche Angriffe skalieren, weil ein großer Teil ihrer Kosten unabhängig von der Zahl der Opfer anfällt. Gezielte Angriffe dagegen verursachen zusätzlichen Aufwand für jedes einzelne Ziel. Damit sich dieser Aufwand lohnt, muss der erwartete Wert eines Ziels entsprechend hoch sein.

Dieser Text setzt genau an dieser Stelle an. Er fragt, was geschieht, wenn ausgerechnet jener Teil des Angriffs billiger wird, der bisher für jedes Ziel erneut anfiel - und damit die Schwelle sinkt, ab der sich ein gezielter Angriff lohnt.

Was mit dem Nutzen eines Ziels gemeint ist

Der erwartete Nutzen hat in diesem Modell zwei Seiten. ABB. 1 zeigt sie deshalb als getrennte Balken.

Kapital und Ertrag bezeichnet alles, was ein Angreifer unmittelbar oder mittelbar wirtschaftlich verwerten kann: Geld, Kryptowerte oder andere übertragbare Vermögenswerte. Dazu gehört auch ein finanzieller Ertrag, der erst durch Betrug, Erpressung oder den Weiterverkauf erlangter Informationen entsteht.

Besonders attraktiv sind Werte, die sich schnell übertragen und nur schwer zurückholen lassen. Selbst verwahrte digitale Vermögenswerte sind dafür ein klares Beispiel: Der Besitzer kontrolliert selbst den notwendigen Schlüssel. Wird eine Übertragung autorisiert und ausgeführt, lässt sie sich grundsätzlich nicht einfach rückgängig machen. Bei einzelnen digitalen Vermögenswerten können Herausgeber allerdings zusätzliche Eingriffsmöglichkeiten besitzen.

Zugang und Wirkung bezeichnet dagegen den Wert dessen, was eine kompromittierte Identität ermöglicht. Dazu gehören Systeme, auf die eine Person zugreifen kann, Freigaben, die sie erteilen darf, Informationen in ihrem Postfach und Kontakte, die einer Nachricht vertrauen, weil sie scheinbar von dieser Person stammt.

Dieser Wert kann weit über das eigentliche Konto hinausreichen. Wer über besondere Rechte, Wissen, Entscheidungsbefugnisse oder Reichweite verfügt, kann als Zugang zu einem größeren Ziel interessant werden - etwa innerhalb eines Unternehmens, einer Verwaltung, der Politik oder des Journalismus.

Auch Daten gehören in diese zweite Kategorie, wenn sie weitere Angriffe ermöglichen. Kontakte, interne Abläufe, Kommunikationsmuster oder bereits bestätigte Informationen können helfen, andere Personen oder Systeme gezielter anzugreifen. Ein Zugriff kann deshalb wertvoll sein, obwohl beim unmittelbar betroffenen Konto selbst kaum Vermögen zu holen ist.

Die beiden Formen können gleichzeitig auftreten. Ein Ziel kann wegen seines Vermögens interessant sein, wegen seines Zugangs - oder wegen beidem. Welche Seite für die Rechnung entscheidend ist, hängt davon ab, was der Angreifer erreichen will.

Warum der Nutzen steigt und der Aufwand sinkt

Die beiden Seiten dieser Rechnung können sich gleichzeitig verändern: Bei einem Teil der Haushalte steigt der mögliche Ertrag, während der personenspezifische Aufwand eines gezielten Angriffs sinken kann.

Ein Grund für die erste Entwicklung sind selbst verwahrte digitale Vermögenswerte. Wer größere Kryptowerte selbst hält, besitzt etwas, das sich bei einem erfolgreichen Angriff unmittelbar übertragen lässt. Im rechten Feld von ABB. 1 wächst deshalb der Balken für Kapital und Ertrag.

Hinzu kommt eine Besonderheit öffentlicher Blockchains: Transaktionen und Bestände sind grundsätzlich einsehbar. Gelingt es, eine Adresse einer Person zuzuordnen, kann damit auch sichtbar werden, welche digitalen Vermögenswerte diese Adresse hält. Nach einer Erhebung der Europäischen Zentralbank vom November 2024 hält knapp jeder zehnte Haushalt im Euroraum Kryptowerte. Die Bestände sind überwiegend klein, und gegenüber 2022 ist dieser Anteil nicht gestiegen. Die Aussage ist deshalb nicht, dass jeder Haushalt plötzlich ein wertvolles Ziel wird. Bei einem Teil der Haushalte kann jedoch der mögliche Ertrag eines erfolgreichen Angriffs steigen.

Auf der anderen Seite kann der personenspezifische Aufwand sinken. Informationen über Menschen sind bereits heute aus vielen Quellen verfügbar. Teuer ist nicht nur ihre Beschaffung, sondern ihre Zuordnung: Welche Adresse, welches Konto, welcher Datensatz und welcher Kontakt gehören tatsächlich zu derselben Person?

Genau diese Arbeit lässt sich zunehmend automatisieren. Maschinen können große Mengen an Informationen durchsuchen, Gemeinsamkeiten erkennen und Angaben miteinander verknüpfen. Was früher für jedes Ziel erhebliche Recherche und manuelle Zuordnung erforderte, kann dadurch schneller und günstiger werden. Kapitel 4 untersucht diese Entwicklung genauer.

Besonders deutlich wird der Effekt, wenn bereits strukturierte Kundendaten nach außen gelangen. Ein Hersteller einer Hardware-Wallet kennt nicht automatisch die Adressen oder Bestände, die mit seinem Gerät verwaltet werden. Er kann aber wissen, wer ein Gerät gekauft hat, wohin es geliefert wurde und wie der Käufer erreichbar ist.

Geraten solche Daten in falsche Hände, muss ein Angreifer nicht mehr völlig zufällig nach möglichen Zielen suchen. Er erhält eine Vorauswahl von Menschen, bei denen der Besitz digitaler Vermögenswerte wahrscheinlicher ist als in der Gesamtbevölkerung - möglicherweise bereits verbunden mit Namen, Anschrift oder Kontaktmöglichkeiten.

Damit verändert sich genau die Rechnung aus ABB. 1: Der mögliche Ertrag kann bei einzelnen Haushalten steigen, während gleichzeitig der Aufwand sinkt, diese Haushalte überhaupt als interessante Ziele zu erkennen.

Zwei Arten von Angreifern

Diese Rechnung wirkt nicht bei jedem Angreifer an derselben Stelle.

Der erste handelt auf eigene Rechnung. Für ihn ist die Logik unmittelbar: Rechtfertigt der erwartete Ertrag Aufwand und Risiko, kann sich ein Angriff lohnen. Tut er das nicht, bleibt das Ziel uninteressant. Steigt der mögliche Ertrag oder sinkt der Aufwand, verschiebt sich seine Schwelle.

Der zweite arbeitet im Auftrag eines anderen. Für ihn muss nicht das Ziel selbst profitabel sein. Entscheidend ist, ob seine Bezahlung Aufwand und Risiko rechtfertigt. Den Wert des Ziels bestimmt dagegen der Auftraggeber. Ein Unternehmen soll ausgespäht, ein Betrieb gestört oder Zugang zu bestimmten Informationen erlangt werden. Wie viele Mittel dafür eingesetzt werden, hängt davon ab, welchen Wert dieses Ergebnis für den Auftraggeber hat.

Das erklärt, warum ein Ziel auch dann wertvoll sein kann, wenn dort unmittelbar wenig Vermögen zu holen ist. Bei Personen mit weitreichender Stellung kann der Nutzen gerade in ihrem Zugang, ihrer Entscheidungsbefugnis oder ihrer Wirkung auf andere liegen.

Ein solcher Auftrag muss außerdem nicht vollständig digital bleiben. Manche Schritte erfordern jemanden vor Ort: etwas fotografieren, abholen, platzieren oder an ein Gerät anschließen. Auch einzelne analoge Aufgaben können ausgelagert werden, ohne dass die ausführende Person den gesamten Zweck kennen muss. Wie weit dieses Prinzip der Arbeitsteilung trägt und was dafür dokumentiert ist, zeigt Kapitel 6.

Dasselbe ökonomische Prinzip wird relevant, wenn nicht Vermögen, sondern Reichweite und Vertrauen das eigentliche Ziel sind. Wer öffentlich spricht und von vielen Menschen gehört oder als glaubwürdig wahrgenommen wird, besitzt einen Zugang, der sich nicht in seinem Kontostand ausdrückt. Der Wert liegt in den Menschen, die auf diese Person reagieren.

Um diesen Zugang zu nutzen, muss ein Angreifer nicht zwingend das Konto der Person übernehmen. Er kann versuchen, ihre Identität nachzuahmen oder ihre tatsächliche Kommunikation zu beeinflussen. Stimme, Bild und Video lassen sich zunehmend synthetisch erzeugen. Eine andere Möglichkeit besteht darin, einer Person gezielt falsche Informationen zuzuspielen, damit sie diese selbst weiterverbreitet. In diesem Fall wird nicht ihre Anmeldung überwunden, sondern ihr Vertrauen ausgenutzt.

Die Alternative des Angreifers

Wer auf eigene Rechnung arbeitet, hat noch eine andere Möglichkeit: statt viel Aufwand in eine einzelne Person zu investieren, kann er Angriffe breit streuen.

Ein gezielter Angriff konkurriert deshalb mit dem Massengeschäft. Solange sich mit demselben Einsatz durch tausende standardisierte Versuche mehr verdienen lässt, besteht wenig wirtschaftlicher Grund, einen gewöhnlichen Haushalt aufwendig einzeln vorzubereiten.

Beide Modelle sind jedoch nicht vollständig getrennt. Bei breit angelegten Angriffen, Datenlecks und großen Datensammlungen entstehen Informationen über einzelne Menschen. Werden diese Daten zusammengeführt und ausgewertet, können daraus Personen herausgefiltert werden, die für einen gezielten Angriff besonders interessant erscheinen.

Das Massengeschäft kann damit einen Teil jener Arbeit übernehmen, die einen gezielten Angriff bisher teuer gemacht hat: überhaupt herauszufinden, wer den zusätzlichen Aufwand wert sein könnte.

Was sich an dieser Rechnung inzwischen verschiebt

LabHost, der Fall aus ABB. 2, senkte die technische Einstiegshürde erheblich. Wer dort zahlte, musste eine Phishing-Seite weder selbst programmieren noch die notwendige Infrastruktur aufbauen. Er bekam eine fertige Nachbildung einer Anmeldeseite und den Server, auf dem sie lief. Angeboten wurden auch Vorlagen für Nachrichten, mit denen mögliche Opfer auf diese Seiten gelockt werden konnten.

Wer dort seinen Benutzernamen und sein Passwort eingab, übermittelte die Daten nicht seiner Bank oder seinem Mailanbieter, sondern dem Angreifer. Der konnte anschließend in einer Oberfläche sehen, welche Daten er erhalten hatte.

Vieles davon musste er nicht selbst bauen. Für rund 250 US-Dollar im Monat konnte die notwendige Infrastruktur eingekauft werden. Europol beschreibt solche Phishing-as-a-Service-Angebote als besonders relevant für Akteure am unteren Ende krimineller Strukturen. Was zuvor eigenes technisches Können erforderte, konnte damit zumindest teilweise durch eine Zahlung ersetzt werden.

Das macht ein einzelnes Ziel nicht wertvoller. Es senkt zunächst die Hürde dafür, überhaupt einen Angriff durchführen zu können.

Billiger wird dadurch allerdings nicht jeder Teil des Angriffs. Europol unterscheidet zwischen Zugangsdaten, die ungeprüft in großen Mengen gehandelt werden, und bereits überprüften Zugängen, die gezielt angeboten und teilweise versteigert werden. Für inserierten Zugang verweist Europol auf CrowdStrike, wonach dessen Preis 2024 um fast 50 Prozent gestiegen ist.

Billig und skalierbar kann also das rohe Material sein. Wertvoll bleibt die Arbeit, daraus einen funktionierenden Zugang zu einem konkreten Ziel zu machen.

Genau dort setzt die weitere Frage dieses Textes an: Was geschieht, wenn auch diese bisher teure Arbeit zunehmend automatisiert werden kann?

Moderne Systeme können Anmeldungen sehr stark absichern: mit Passkeys, Hardware-Schlüsseln, Authenticator-Apps oder Biometrie. Wer ein Konto schützen will, beginnt meist dort. Doch die Anmeldung ist nur einer von mehreren Wegen, über die ein System Zugang gewährt oder wiederherstellt.

Fünf Begriffe werden im Folgenden immer wieder gebraucht:

Wenn der Authentifikator verloren geht

Menschen verlieren Authentifikatoren. Telefone gehen kaputt, Sicherheitsschlüssel werden verlegt, Recovery-Codes verschwinden und Mitarbeiter verlassen Unternehmen. Massentaugliche Dienste brauchen deshalb in der Regel einen Weg zurück ins Konto.

Das ist kein Konstruktionsfehler. Ohne Wiederherstellung könnte der Verlust eines einzigen Authentifikators zum dauerhaften Verlust des Kontos führen. Für den rechtmäßigen Nutzer ist dieser zweite Weg deshalb notwendig.

Sicherheitstechnisch hat er jedoch eine wichtige Folge: Die Wiederherstellung ist ein eigener Zugangspfad. Sie führt in dasselbe Konto, kommt aber ohne den Authentifikator aus, den die reguläre Anmeldung verlangt. Zum Problem wird sie dann, wenn nicht der Eigentümer, sondern ein Angreifer die dafür vorgesehenen Prüfungen besteht.

Damit gibt es mindestens zwei Wege in dasselbe Konto - und für die Rechnung des Angreifers ist das entscheidend:

Ein Angreifer bezahlt nicht den Durchschnitt aller Wege. Er sucht den günstigsten, der ihn hineinbringt.

Ein starkes Anmeldeverfahren verteuert zunächst die reguläre Anmeldung. Es macht einen anderen Zugangspfad aber nicht automatisch ebenso teuer. Wird beispielsweise ein verlorener Authentifikator durch eine erneute Identitätsprüfung ersetzt, hängt die Sicherheit davon ab, was diese Prüfung tatsächlich nachweist.

Ausweis, Selfie oder Videoanruf können dabei unterschiedlich starke Nachweise liefern. Ein kryptografisch ausgelesener Chip eines Ausweises kann die Echtheit bestimmter gespeicherter Daten technisch bestätigen. Ein Bild eines Ausweises kann diesen kryptografischen Nachweis nicht liefern. Bei bild- oder videobasierten Verfahren müssen deshalb andere Merkmale geprüft werden.

Dass solche Verfahren angreifbar sein können, wurde praktisch demonstriert. 2022 gelang es Sicherheitsforschern, sechs untersuchte Video-Ident-Verfahren mit manipuliertem Material zu täuschen. Das zeigt nicht, dass jede Identitätsprüfung auf dieselbe Weise überwunden werden kann. Es zeigt, dass die tatsächliche Stärke des Wiederherstellungswegs von der konkreten Prüfung abhängt.

ILLUSTRATION

Was hier Unterhaltung ist, läuft live: Der Filter verändert das Kamerabild, während es entsteht - auf einem gewöhnlichen Telefon, ohne Vorkenntnisse, millionenfach benutzt. Der Kasten darüber fragt, was daraus wird, wenn am anderen Ende eine Identitätsprüfung sitzt.

Warum bestimmte Formen dieser Täuschung billiger werden könnten, kommt später.

Das ist kein Argument gegen starke Anmeldeverfahren.

Wie viele Wege es tatsächlich gibt

Mehrere Wege in dasselbe Konto verändern auch die Frage des Angreifers. Nicht: Wie stark ist die Anmeldung? Sondern: Welche Wege führen in dieses Konto - und welcher davon verursacht den geringsten Aufwand?

Neben der regulären Anmeldung können Wiederherstellung, bereits bestehende Sitzungen, berechtigte Anwendungen, weitere Nutzer oder der Anbieter selbst Zugang ermöglichen. Sie erfüllen unterschiedliche Zwecke und sind unterschiedlich abgesichert, führen aber letztlich in dasselbe System.

Für die Rechnung des Angreifers zählt deshalb nicht allein die stärkste Barriere. Entscheidend ist der günstigste Zugangspfad, der für sein Ziel ausreicht.

ILLUSTRATION

Ein Tor, ein Schlüsselbund. Es geht nicht darum, wie gut das Schloss ist, sondern wie viele Möglichkeiten es gibt, hinter die Tür zu kommen.

Zwei dieser Wege verdienen eine genauere Betrachtung: die bestehende Sitzung und der delegierte Zugriff. Sie unterscheiden sich technisch, teilen aber Eigenschaften, die für die Rechnung des Angreifers wichtig sind.

Der entscheidende Unterschied zur regulären Anmeldung liegt damit nicht darin, dass diese Wege grundsätzlich schwächer wären. Sie verlagern den Sicherheitsnachweis in die Zeit nach der Anmeldung. Ein Angreifer, der einen bereits gewährten Zugriff übernehmen kann, muss die ursprüngliche Anmeldebarriere unter Umständen nicht mehr überwinden.

Wie ein solcher Zugang in fremde Hände gerät

Bisher blieb offen, wie jemand überhaupt an eine bestehende Sitzung oder einen delegierten Zugriff gelangt. Ein möglicher Weg führt nicht über den Dienst selbst, sondern über das Gerät des Nutzers.

Browser und Anwendungen speichern dort Informationen, die dafür sorgen, dass ein Nutzer nicht bei jeder Aktion erneut seine Identität nachweisen muss: Sitzungsdaten, gespeicherte Anmeldedaten oder Token bereits verbundener Dienste. Schadsoftware mit ausreichenden Rechten auf diesem Gerät kann versuchen, solche Informationen auszulesen oder ihre Nutzung zu übernehmen. Welche Daten tatsächlich erreichbar sind, hängt vom Betriebssystem, Browser und jeweiligen Schutzmechanismus ab.

Wie Schadsoftware oder manipulierter Code auf ein Gerät gelangt, ist eine eigene Frage. Mögliche Wege führen über alltägliche Vorgänge: einen Anhang, einen Download von einer nachgebauten Seite, eine Browser-Erweiterung, ein manipuliertes Update oder einen Softwarebaustein, den ein anderes Programm automatisch einbindet.

Gerade die letzten Beispiele führen zu einem größeren Problem. Software besteht fast nie ausschließlich aus Code ihres eigentlichen Herstellers. Programme verwenden Bibliotheken, Erweiterungen und andere Komponenten, die wiederum eigene Abhängigkeiten besitzen können. Wer ein Programm nutzt, verlässt sich deshalb auf eine ganze Kette von Beteiligten.

Solche externen Abhängigkeiten sind kein weiterer Zugangspfad. Wer sie kompromittiert, greift nicht einen vorgesehenen Weg ins Konto an, sondern die Umgebung, in der diese Wege funktionieren.

Solcher fremder Code findet sich sowohl auf dem Gerät des Nutzers als auch in den Systemen eines Anbieters. An beiden Stellen verändert sich seine mögliche Wirkung.

Beim Anbieter können das Bibliotheken, Zahlungs- oder Analysedienste und Skripte sein, die in eine Anwendung eingebunden werden. Enthält eine solche Komponente einen ausnutzbaren Fehler oder wurde sie absichtlich manipuliert, kann daraus ein gemeinsamer Angriffspunkt entstehen.

Was dadurch möglich wird, hängt davon ab, wo die Komponente eingesetzt wird und welche Rechte sie besitzt. Manipulierter Code könnte beispielsweise Inhalte verändern, Eingaben erfassen oder auf Daten zugreifen, die für ihn erreichbar sind.

Der entscheidende Unterschied zum Angriff auf ein einzelnes Gerät liegt in der Reichweite: Wird eine gemeinsam genutzte Abhängigkeit an zentraler Stelle kompromittiert, kann ein einziger Eingriff potenziell viele Nutzer oder Systeme erreichen.

ILLUSTRATION

Jeder neue Stein fällt in ein Bauwerk, das schon steht. In einem Programm geschieht genau das täglich: Updates, Bibliotheken, nachgezogene Pakete kommen in etwas hinein, das bereits funktioniert. Ein Unterschied bleibt - im Spiel steht rechts, welcher Stein als Nächstes kommt.

Auf dem eigenen Gerät ist die Richtung eine andere. Während eine kompromittierte Komponente beim Anbieter potenziell viele Nutzer erreichen kann, konzentriert sich auf dem Gerät der digitale Zugang eines einzelnen Menschen. Dort laufen Browser, Mailprogramme und andere Anwendungen, in denen bereits gewährte Zugriffe bestehen.

Fremder oder manipulierter Code, der dort mit ausreichenden Rechten ausgeführt wird, kann deshalb versuchen, auf genau diese Zugriffe zuzugreifen oder ihre Nutzung zu übernehmen. Auf der einen Seite stehen viele Menschen hinter einem gemeinsamen System. Auf der anderen stehen viele Konten hinter einem einzelnen Gerät.

Beim delegierten Zugriff entsteht noch eine dritte Form der Konzentration - und dafür muss das Gerät des Nutzers nicht kompromittiert werden.

Erteilt ein Nutzer einer Anwendung Zugriff auf sein Postfach, seinen Kalender oder einen anderen Dienst, erhält diese Anwendung dafür eine digitale Berechtigung, typischerweise in Form eines Tokens. Diese Berechtigung wird anschließend von der Anwendung verwaltet und kann - je nach Architektur - auf deren Systemen gespeichert sein.

Damit verlagert sich ein Teil der Sicherheit. Der Nutzer hat die Berechtigung einmal erteilt, doch geschützt werden muss sie anschließend auch dort, wo die Anwendung sie verwaltet.

Wird dieses System kompromittiert, muss ein Angreifer die betroffenen Nutzer nicht zwingend noch einmal einzeln über deren Geräte oder reguläre Anmeldung angreifen. Er greift stattdessen eine Stelle an, an der bereits erteilte Zugriffe vieler Nutzer zusammenlaufen können. Welche Zugriffe er tatsächlich übernehmen könnte, hängt von der Speicherung, den Schutzmechanismen und den jeweiligen Berechtigungen ab.

Hinzu kommen die eigenen Abhängigkeiten dieser Anwendung. Kaum ein Dienst erledigt jede Aufgabe selbst: Andere Anbieter können Daten speichern, Nachrichten versenden, Analysen durchführen oder Infrastruktur bereitstellen. Werden Zugangsdaten oder Berechtigungen an solche Systeme weitergegeben, entsteht eine weitere Stelle, deren Sicherheit für denselben Zugriff relevant wird.

Der Nutzer hat seine Zustimmung möglicherweise einer Anwendung gegeben. Technisch kann die Sicherheit dieses Zugriffs anschließend jedoch von mehreren beteiligten Systemen abhängen.

Es geht auch ohne Zugriff auf das Gerät - und ohne dass der Anbieter selbst kompromittiert wurde. Ein Angreifer kann sich zwischen Nutzer und echten Dienst schieben.

Dazu führt er den Nutzer über einen Link auf eine nachgebaute Anmeldeseite unter einer fremden Adresse. Was der Nutzer dort eingibt, wird an den echten Dienst weitergereicht. Auch ein Einmalcode kann auf diese Weise unmittelbar weitergeleitet werden. Der echte Dienst sieht damit grundsätzlich einen gültigen Anmeldeversuch, während der Angreifer versucht, den daraus entstehenden Zugriff zu übernehmen.

Ein zusätzliches Passwort oder ein klassischer Einmalcode verhindert einen solchen Angriff nicht zwingend, weil beide vom Nutzer eingegeben und weitergereicht werden können. Phishing-resistente Verfahren wie Passkeys oder FIDO2-Sicherheitsschlüssel funktionieren anders: Der kryptografische Nachweis ist an den echten Dienst beziehungsweise dessen Domain gebunden. Auf einer nachgebauten Seite kann deshalb nicht einfach ein gültiger Nachweis für die echte Domain erzeugt werden.

Für die Rechnung sind daran zwei Dinge bemerkenswert.

Das erste: Keiner der bisher beschriebenen Wege muss die eigentliche Anmeldung brechen. Beim kompromittierten Gerät kann ein bereits gewährter Zugriff übernommen werden. Beim delegierten Zugriff existiert die Berechtigung bereits. Und beim beschriebenen Phishing-Angriff wird die echte Anmeldung vom Nutzer selbst durchgeführt.

Eine starke Authentifizierung ist deshalb keineswegs wertlos. Sie verteuert bestimmte Angriffswege erheblich und kann andere vollständig verhindern. Sie schützt aber nicht automatisch jeden bereits gewährten oder auf anderem Weg erlangten Zugriff.

Das zweite betrifft die Kostenform. Schadsoftware und breit gestreutes Phishing können zunächst skalierbar eingesetzt werden. Der wesentliche Aufwand steckt in Werkzeug, Infrastruktur und Verteilung; zusätzliche potenzielle Opfer verursachen nicht denselben zusätzlichen Aufwand wie bei einem von Anfang an individuell vorbereiteten Angriff.

Damit erscheint wieder die untere Kurve aus Kapitel 1. Ein breit gestreuter Angriff kann zunächst viele Menschen erreichen und erst anschließend zeigen, bei wem etwas Verwertbares gefunden wurde.

Auch Teile dieses Aufwands können sinken. Texte lassen sich automatisiert erzeugen und übersetzen, Varianten von Webseiten schneller erstellen und vorhandener Code leichter verändern oder wiederverwenden. Europol beschreibt daneben einen Markt für fertige Werkzeuge und Dienstleistungen, über den technische Fähigkeiten eingekauft werden können.

Der Angreifer muss damit nicht jeden Bestandteil seines Angriffs selbst beherrschen. Er kann einen wachsenden Teil der notwendigen Arbeit automatisieren, übernehmen oder als Dienstleistung einkaufen.

ILLUSTRATION

Wer ein Netz auswirft, sucht sich die Fische nicht aus. Das trifft die Rechnung genauer als die Vorstellung vom gezielten Zugriff. Einen Unterschied gibt es aber: Einen echten Fang müsste man durchwühlen, diesen nicht - er ist durchsuchbar. Wer ein bestimmtes Ziel verfolgt, fragt danach.

Was das Netz einbringt, wird gehandelt. Und das ändert die Rechnung für einen gezielten Angriff. Der beginnt nämlich damit, dass jemand etwas über seine Zielperson wissen muss: wo sie Kunde ist, wie sie erreichbar ist, was sie benutzt. Genau solche Informationen können in dem stecken, was zuvor breit gesammelt wurde. Beim Sammeln waren sie ein Nebenprodukt, für den gezielten Angriff sind sie der Anfang - und der Angreifer kann sie kaufen, statt sie selbst zu erarbeiten. Voraussetzung ist, dass er weiß, wo so etwas angeboten wird. Dafür gibt es spezialisierte Händler und Marktplätze, die gestohlene Daten und Zugänge vermitteln.

Was hinter einem einzelnen Zugriff liegt

Wie weit ein Zugriff reicht, hängt davon ab, was jemand erlangt hat. Zwischen einem Konto und einem Gerät liegt dabei mehr als ein Schritt.

Bleibt es bei einem Konto, ist schon das mehr als ein einzelner Zugang. Ein Postfach ist eine Materialquelle: Es verrät, bei welchen Anbietern jemand Kunde ist, wie er schreibt, wen er kennt und welche Rechnungen offen sind. Recherche und Vorbereitung bilden bei gezielten Angriffen einen wesentlichen Kostenblock, und ein Postfach kann einen Teil dieser Informationen bereits gebündelt enthalten. Dazu kommt, dass die Wiederherstellung vieler anderer Dienste über die Mailadresse läuft. Ein Postfach ist deshalb nicht einfach ein Konto unter vielen, sondern kann selbst zum Ausgangspunkt für den Zugriff auf weitere Konten werden.

Geht es um das Smartphone, ist die Konzentration noch größer. Auf einem Gerät, das ständig am Netz hängt, laufen zahlreiche angemeldete Anwendungen und bestehende Sitzungen zusammen. Dort kann auch der Authentifikator liegen, mit dem ein zweiter Faktor erzeugt oder eine Anmeldung bestätigt wird. Und zunehmend übernimmt dasselbe Gerät Funktionen für digitale Identitätsnachweise, die früher stärker von anderen Trägern oder Dokumenten getrennt waren.

Damit wird das Smartphone zu einem besonderen Punkt in der Rechnung: Auf einem einzigen Gerät können Kommunikation, bestehende Zugriffe, Authentifizierung und Identitätsfunktionen zusammenlaufen.

Das ist kein theoretischer Randbereich. ENISA beschreibt mobile Geräte als relevantes Angriffsziel und dokumentiert Schadsoftware, die darauf ausgelegt ist, Zugangsdaten oder bestehende Kontozugriffe direkt auf dem Gerät zu erlangen.

Für die Rechnung heißt das: Ein Zugangsweg kann vergleichsweise günstig sein und trotzdem weit führen. Was ein Zugriff einbringt, entscheidet sich nicht daran, wie schwer er zu erlangen war, sondern daran, wo er endet.

Wo solche Zugriffe im Alltag vorkommen

Erteilt wird ein delegierter Zugriff, damit eine Anwendung ihre Arbeit tun kann: Termine eintragen, Rechnungen sortieren, Post durchsuchen. Dafür braucht sie entsprechende Rechte. Und wer einen solchen Zugriff übernimmt, kann innerhalb dieser Rechte ebenfalls handeln.

Eine erteilte Berechtigung kann dabei weiter reichen, als für eine einzelne Handlung notwendig wäre. Was sie umfasst, entscheidet sich beim Erteilen, nicht bei jeder einzelnen Nutzung.

Dieselbe Grundidee - einen bereits gewährten Zugang weiterzuverwenden - gibt es auch ohne fremden Dienst. Bei Signal lässt sich beispielsweise ein weiteres Gerät über einen QR-Code mit einem Konto verbinden. Das ist kein delegierter Zugriff, sondern ein zusätzlicher gleichberechtigter Zugang zum selben Konto: Ein weiteres Gerät erhält Zugriff.

Ein dokumentierter Fall zeigt, wie dieser vorgesehene Mechanismus missbraucht werden kann. Wer einen Nutzer dazu bringt, einen dafür präparierten QR-Code zu scannen, kann unter bestimmten Umständen ein vom Angreifer kontrolliertes Gerät mit dem Konto verknüpfen. Dafür muss weder das Passwort gestohlen noch Schadsoftware auf dem Gerät des Opfers installiert werden.

Daraus folgt nicht, nichts mehr anzubinden. Es folgt, dass bereits erteilte Zugriffe ähnlich bewusst verwaltet werden sollten wie die Anmeldung selbst: Sie sollten sichtbar und widerrufbar sein und dort, wo es sinnvoll und technisch vorgesehen ist, zeitlich oder in ihrem Umfang begrenzt werden.

Was davon in eigener Hand liegt

Über die Beschaffenheit der aufgezählten Wege entscheidet allerdings meist nicht der Kontoinhaber, sondern der Anbieter: wie lange eine Sitzung gilt, ob ein Passwortwechsel sie beendet, wie die Wiederherstellung aufgebaut ist und was ein Supportmitarbeiter im Kundenkonto sehen oder zurücksetzen darf.

In der eigenen Hand liegen vor allem vier Dinge: welches Anmeldeverfahren man wählt, soweit der Anbieter eine Wahl lässt; welche einmal erteilten Zugriffe man bestehen lässt; ob nicht mehr benötigte Schlüssel, Token und Berechtigungen widerrufen oder erneuert werden; und was auf dem eigenen Gerät läuft.

Der dritte Punkt wiegt schwerer, als er klingt. Einen bekannten Zugriff zu entziehen, beendet genau diesen Zugriff. Regelmäßiges Überprüfen und Erneuern kann dagegen auch Berechtigungen sichtbar machen, die längst vergessen wurden: das alte App-Passwort im Mailprogramm, den API-Schlüssel eines Werkzeugs, das seit zwei Jahren niemand mehr benutzt, oder eine Anwendung, deren Zugriff niemand mehr benötigt. Entscheidend ist dabei, dass die alten Berechtigungen tatsächlich ungültig werden.

Einen besonderen Fall bilden selbst verwahrte digitale Werte. Bei einer klassischen Wallet ohne Wiederherstellungs- oder Verwaltungsinstanz liegt die entscheidende Kontrolle beim Inhaber selbst. Es gibt keinen Anbieter, der einen vergessenen Schlüssel zurücksetzt, keinen Support, der den Zugang wiederherstellt - und damit auf dieser Ebene auch niemanden, den ein Angreifer zur Herausgabe eines neuen Zugangs bewegen könnte.

Bleibt der Inhaber selbst.

Er kann dazu gebracht werden, seinen Schlüssel oder dessen Wiederherstellungsdaten preiszugeben. Oder er kann mit dem Schlüssel selbst eine Transaktion oder Berechtigung freigeben, deren tatsächliche Wirkung eine andere ist, als er annimmt. Der Angreifer muss den Schlüssel dann nicht brechen. Er bringt seinen Besitzer dazu, ihn selbst zu benutzen.

Genau darin liegt die Besonderheit der Selbstverwahrung: Sie entfernt bestimmte Angriffswege über Anbieter und Wiederherstellung, verlagert deren Verantwortung aber auf den Inhaber. Und der Preis dafür steht auf derselben Rechnung: Wo keine Wiederherstellungsinstanz existiert, kann sie im Verlustfall auch niemand zurückholen.

ILLUSTRATION

Wer freigibt, entscheidet nach dem, was der Schirm zeigt. Etwas anderes hat er nicht. Bei Bybit sah die Oberfläche aus wie immer - nur was dabei tatsächlich unterschrieben wurde, stand nicht darauf.

Dieselben Wege beim Anbieter

Diese Wege gibt es nicht nur beim Einzelnen. Auch ein Anbieter oder Dienstleister besitzt Anmeldungen, Wiederherstellungen, bestehende Sitzungen, delegierte Zugriffe, mitberechtigte Zugänge und Supportkonten - und verwendet fremden Programmcode.

Wird dort einer dieser Wege übernommen, kann die Reichweite wesentlich größer sein als beim einzelnen Nutzer. Angegriffen wird dann nicht jedes Kundenkonto für sich, sondern eine Stelle, die bereits berechtigt ist, für viele Kunden zu arbeiten (ABB. 6). Wie viele tatsächlich erreichbar sind, hängt davon ab, welche Rechte der kompromittierte Zugang besitzt.

Die meisten dokumentierten Fälle dieses Kapitels folgen diesem Muster - Okta, Uber, LastPass, British Airways, Polyfill: Angegriffen wurde nicht unmittelbar der Kunde, sondern eine Stelle, von der seine Sicherheit mit abhing. Eine Ausnahme ist der Signal-Fall. Dort wurde der Nutzer selbst dazu gebracht, einen vorgesehenen Zugang zu erteilen.

Und es bleibt nicht bei Zugängen. Eine solche Stelle führt auch Bestände. Darin können zwei grundsätzlich verschiedene Dinge liegen.

Das eine sind Angaben über Kunden: Verträge, Verläufe, Nachrichten oder bereits geprüfte Stammdaten. Sie öffnen für sich genommen kein Konto. Ihr Wert entsteht dort, wo sie für einen späteren Angriff verwendet werden können.

Manche Prüfungen beruhen darauf, Angaben über einen Kunden abzufragen: eine Sicherheitsfrage oder ein Supportmitarbeiter am Telefon, der feststellen will, mit wem er spricht. Wer die zugrunde liegenden Angaben bereits besitzt, muss sie nicht mehr selbst recherchieren. Wo andere Nachweise verlangt werden, bleiben dieselben Daten zumindest Vorarbeit für weitere Schritte.

Darin steckt ein ökonomischer Unterschied: Die Kosten für Erhebung, Zuordnung und teilweise auch Prüfung dieser Angaben hat ursprünglich das Unternehmen getragen. Wer den daraus entstandenen Datenbestand später erlangt, muss diese Arbeit nicht noch einmal leisten. Und weil sich Informationen kopieren lassen, können dieselben Daten anschließend mehrfach weitergegeben werden.

Was ein solcher Bestand tatsächlich wert ist, hängt allerdings davon ab, wie teuer es bleibt, ihn mit anderem Material einer konkreten Person zuzuordnen. Davon handelt Kapitel 4.

Ein einmal erhobener und zugeordneter Datenbestand kann damit die Vorbereitungskosten mehrerer späterer Angriffe senken. Wird er mehrfach verkauft, können außerdem unterschiedliche Akteure unabhängig voneinander dasselbe Opfer ins Visier nehmen.

Das andere sind Zugangsnachweise, die in solchen Beständen eigentlich nichts verloren haben. Bei Okta enthielten von Kunden hochgeladene Dateien im Supportsystem beispielsweise Sitzungstoken.

Der Unterschied zählt, weil beide Arten von Material unterschiedlich altern. Ein Token besitzt eine begrenzte technische Gültigkeit. Personenbezogene Angaben können dagegen wesentlich länger brauchbar bleiben. Eine Passwortänderung oder Abmeldung macht Name, Geburtsdatum, Adresse, Anbieterbeziehungen oder andere bereits bekannte Angaben nicht wieder unbekannt.

Damit ist beschrieben, worüber ein Angriff hereinkommen kann und was er dort vorfindet. Bleibt die Frage, was ein einzelner gelungener Schritt wert ist - und die Antwort ist unbequem für alle, die sich eine einfache Kette vorstellen.

Am häufigsten wird diese Kette am SIM-Swapping durchgespielt - dem Vorgang, bei dem ein Angreifer den Mobilfunkanbieter dazu bringt, eine fremde Rufnummer auf eine eigene SIM-Karte zu übertragen. Wer die Telefonnummer hat, hat angeblich alles Weitere. Genau dort lässt sich zeigen, warum das so nicht stimmt.

Eine Telefonnummer lässt sich nämlich nicht automatisch übernehmen, nur weil jemand Name, Mailadresse und Geburtsdatum kennt. Mobilfunkanbieter können Kundenkennwörter, bestehende Zugänge, Dokumente oder andere Nachweise verlangen.

Dasselbe gilt für Mailkonten, Banken und Unternehmenszugänge. Gut abgesicherte Systeme verlangen für kritische Änderungen zusätzliche, voneinander unabhängige Nachweise: ein bereits registriertes Gerät, einen starken Authentifikator oder eine erneute Prüfung. Genau solche unabhängigen Hürden unterbrechen die Kette. Der Verlust eines einzelnen Kanals führt dann nicht automatisch zum nächsten Konto.

Wie viel davon abhängt, zeigt die Übernahme des X-Kontos der US-Börsenaufsicht SEC am 9. Januar 2024. In diesem Fall genügte die Kontrolle über die zugehörige Telefonnummer, um schließlich auch Kontrolle über das Konto zu erlangen – die Mehrfaktor-Authentifizierung war nach Darstellung der Behörde Monate zuvor deaktiviert und nicht wieder aktiviert worden.

Der Ablauf nach Darstellung der Behörde, alle Zeiten in der Zeitzone New York:

Der Beitrag von 16:11 lautete, übersetzt: „Heute erteilt die SEC die Zulassung für #Bitcoin-ETFs zur Notierung an allen registrierten nationalen Wertpapierbörsen. Die zugelassenen Bitcoin-ETFs unterliegen fortlaufender Überwachung und Konformitätsprüfung, um den Anlegerschutz weiterhin zu gewährleisten.“ Dazu erschien ein Bild mit einem Zitat, das dem damaligen Vorsitzenden zugeschrieben wurde.

Fünfzehn Minuten lang blieb die Falschmeldung auf dem Konto einer Aufsichtsbehörde ohne öffentliche Richtigstellung. Nach Darstellung des US-Justizministeriums stieg der Bitcoin-Kurs unmittelbar danach um mehr als 1.000 Dollar je Einheit und fiel nach der Richtigstellung um mehr als 2.000.

REKONSTRUKTION, KEIN SCREENSHOT

So sah aus, was am 9. Januar 2024 über das Konto der Börsenaufsicht erschien: Siegel, Verifizierungshaken, Behördenname. Nichts daran wirkte falsch, weil nichts daran falsch war - außer dem Absender. Der Nachbau gibt das Erscheinungsbild wieder, nicht den belegten Wortlaut und nicht die belegte Uhrzeit; beides steht oben im Text.

Entscheidend für die Rechnung ist nicht nur, dass eine Telefonnummer übernommen wurde. Entscheidend ist, was hinter ihr lag: In diesem Fall führte der erfolgreiche erste Schritt bis zu einem Konto, dessen Veröffentlichungen unmittelbar den Markt bewegten.

Dem steht ein zweiter Fall gegenüber. Cloudflare beschrieb im August 2022 öffentlich, wie ein Phishing-Angriff, der mehrere Unternehmen gleichzeitig traf, an den dort eingesetzten Hardware-Sicherheitsschlüsseln scheiterte.

Die beiden Fälle zeigen dieselbe Rechnung von zwei Seiten, an zwei verschiedenen Wegen: Der eine funktionierte, weil eine entscheidende Kontrolle fehlte, der andere endete, weil eine gebundene Kontrolle griff.

Damit zurück zum SIM-Swapping, mit dem dieser Abschnitt begonnen hat - der SEC-Fall war selbst einer. Dass eine Telefonnummer allein nicht genügt, ist ausdrücklich keine Entwarnung. Mailkonto und Telefonnummer bleiben besonders wertvoll, weil viele Dienste sie gleichzeitig für Kommunikation, Wiederherstellung und Bestätigung verwenden. Wird einer dieser Kanäle kompromittiert, kann seine Reichweite deshalb weit über den ersten Zugriff hinausgehen.

Der Domino fällt nicht von selbst. Was passiert, ist banaler: Jeder gelungene Schritt kann den nächsten billiger machen. Bereits bestätigte Angaben, bestehende Sitzungen und delegierte Zugriffe lassen sich für weitere Schritte verwenden. Wer eine Rechnungsadresse aus einem Postfach hat, muss sie beim nächsten Anbieter nicht mehr recherchieren. Wer bereits einen bestätigten Kommunikationskanal kontrolliert, muss diesen Nachweis nicht erst beschaffen.

Der nächste Schritt wird dadurch nicht automatisch erfolgreich. Aber sein Aufwand kann sinken. Und je weniger ein weiterer Versuch kostet, desto mehr weitere Versuche werden wirtschaftlich vertretbar - und desto größer wird die Wahrscheinlichkeit, irgendwann auf einen Prozess zu treffen, dessen verbleibende Hürde niedrig genug ist.

Eine Identität war nie zwingend ein Geheimnis. Teuer war immer das Zuordnen.

Arbeitgeber, Telefonnummer, Mailadressen, Anbieterbeziehungen, Familienmitglieder, Schreibstil, Daten aus alten Leaks - vieles davon ließ sich auch früher finden. Die eigentliche Arbeit eines gezielten Angriffs bestand darin, verstreute Informationen zusammenzuführen: zu erkennen, dass eine Zeile aus dem einen Bestand und eine aus dem anderen dieselbe Person meinen - und daraus ein brauchbares Bild des Ziels zu bauen.

Ein Teil dieses Materials muss heute nicht einmal mehr selbst gesucht werden, sondern lässt sich kaufen; Kapitel 2 beschreibt, wie solche Bestände entstehen und weitergegeben werden. Damit verändert sich vor allem der Aufwand, der nötig ist, um aus verstreuten Informationen ein konkretes Ziel zu machen.

Genau dieser Posten steht in der folgenden Aufstellung an erster Stelle.

Ein gezielter Angriff besteht aus mehreren Kostenposten. Keiner davon verschwindet vollständig, aber nicht jeder bleibt gleich teuer.

Die Schlussfolgerung daraus ist nicht, dass sich ein gezielter Identitätsangriff vollständig automatisieren ließe. Entscheidend ist, wie viele seiner personenspezifischen Kostenposten sinken - und wie stark. Je weniger menschliche Arbeit für ein zusätzliches Ziel erforderlich ist, desto stärker sinkt dessen Stückpreis, auch wenn einzelne Schritte weiterhin einen Menschen verlangen.

Bisher ging es vor allem um die Wege, die unmittelbar zu einem Konto oder einer Berechtigung führen. Der Weg zu einem Ziel muss aber nicht unmittelbar sein. Das erste Angriffsziel muss nicht das eigentliche Endziel sein.

Andere Stellen können dabei auf zwei unterschiedliche Arten relevant werden: Sie besitzen etwas, das für einen späteren Schritt fehlt - oder sie liegen zwischen zwei Seiten und bestimmen mit, was von der einen bei der anderen ankommt.

Ein System muss deshalb keinen Zugriff auf ein bestimmtes Konto besitzen, um für einen Angreifer wertvoll zu sein. Manchmal reicht es, dass es etwas weiß, etwas bestätigt oder bereits geprüft hat, das an anderer Stelle sonst erst beschafft oder geprüft werden müsste.

Bei einem direkten Angriff fällt ein Teil der Vorbereitung für jedes Ziel neu an - so stand es in der Rechnung von Kapitel 1. Bei einem gemeinsam genutzten Zwischenziel kann dieselbe Arbeit dagegen einmal anfallen und anschließend mehrere mögliche Endziele betreffen.

Genau darin liegt der Konzentrationseffekt: Ein Anbieter, der für viele Nutzer Postfachzugriffe oder andere Berechtigungen hält, bündelt an einer Stelle etwas, das sonst bei jedem Nutzer einzeln erreicht werden müsste. Wird diese Stelle erfolgreich angegriffen, kann sich der einmalige Aufwand auf mehrere mögliche Endziele verteilen - der Stückpreis je erreichbarem Ziel sinkt.

Das Postfach des Einzelnen muss dann nicht über den Einzelnen selbst erreicht werden. Der relevante Weg kann über einen Dienst führen, dem der Nutzer vor zwei Jahren Zugriff erteilt und den er danach vergessen hat.

Die Stelle dazwischen

Ein Zwischenziel liefert einen Baustein, und danach folgt ein weiterer Schritt. Daneben gibt es einen zweiten Mechanismus, der anders funktioniert.

Viele Vorgänge laufen nicht unmittelbar von einer Stelle zur anderen. Die eine Seite stellt etwas aus oder gibt etwas frei, die andere nimmt es entgegen und verarbeitet es weiter. Dazwischen kann eine Stelle liegen, über die dieser Vorgang läuft und die mitbestimmt, was am Ende ankommt: ein Portal, eine Schnittstelle, eine Oberfläche oder ein Dienstleister.

Wird diese Stelle beeinflusst, muss der Angreifer nicht unbedingt die beiden Endpunkte verändern. Es kann genügen, das zu verändern, was zwischen ihnen übertragen, verarbeitet oder angezeigt wird.

Die empfangende Seite bekommt dann etwas, das von der erwarteten Quelle zu stammen scheint, aber nicht mehr dem entsprechen muss, was die andere Seite ursprünglich beabsichtigt oder dargestellt hat. Wird ausschließlich über dieselbe dazwischenliegende Stelle geprüft, kann die Veränderung schwer zu erkennen sein.

Bei Bybit zeigte sich dieses Muster besonders deutlich: Zwischen den Unterzeichnern und der tatsächlich signierten Transaktion lag eine Oberfläche, deren Darstellung manipuliert worden war. Die Unterzeichner bestätigten dadurch eine Transaktion, deren tatsächliche Wirkung nicht dem entsprach, was ihnen die Oberfläche vermittelte.

Ein verwandtes Muster zeigen zwei Fälle aus Kapitel 2: Bei British Airways wurde die Bezahlseite so verändert, dass Kundendaten zusätzlich an die Angreifer übertragen wurden. Beim Polyfill-Fall konnte über eine gemeinsam eingebundene externe Abhängigkeit veränderter Code auf zahlreichen Webseiten ausgeliefert werden, ohne dass die Betreiber dieser Seiten ihren eigenen Code dafür ändern mussten.

Gemeinsam ist den Fällen nicht derselbe technische Angriff. Gemeinsam ist die Position des Eingriffs: Verändert wurde eine Stelle oder Komponente zwischen dem, was eine Seite beabsichtigte, und dem, was auf der anderen Seite angezeigt, verarbeitet oder ausgeführt wurde.

Beide Rollen kommen vor, und sie schließen einander nicht aus. Dieselbe Stelle kann etwas beitragen und zugleich etwas durchreichen. Was sie als Zwischenziel beiträgt, öffnet für sich genommen noch nichts - es liefert etwas, das an anderer Stelle fehlt. Der einfachste Fall davon ist eine Kennung.

Wann eine Kennung zur Person wird

Eine Kennung muss keinen Namen enthalten, um für einen Angreifer wertvoll zu sein. Sie kann zunächst nur dafür stehen, dass mehrere Vorgänge zum selben Nutzer, Gerät oder Konto gehören. Erst zusätzliche Informationen können daraus die Verbindung zu einer konkreten Person machen.

Der entscheidende Punkt ist deshalb nicht die Kennung allein, sondern die Stelle, an der Kennung und Identität miteinander verbunden werden. Dasselbe Grundmuster findet sich bei Geräte- und Werbekennungen ebenso wie bei Adressen in einer öffentlichen Blockchain: Die Kennung kann lange sichtbar oder gespeichert sein, ohne dass bekannt ist, zu wem sie gehört. Kommt diese Verbindung später hinzu, werden auch frühere Vorgänge zuordenbar.

Daraus folgt eine zeitliche Eigenschaft, die der statischen Rechnung aus Kapitel 1 fehlt: Der Aufwand für Recherche und Zuordnung muss nicht zum Zeitpunkt des Angriffs entstehen. Er kann Jahre vorher angefallen und von jemand anderem getragen worden sein.

Gespeicherte Kennungen sind in dieser Lesart eine mögliche Vorleistung für spätere Angriffskosten. Solange die Verbindung zur Person fehlt, bleibt ihre Aussage begrenzt. Entsteht diese Verbindung später, kann auch bereits vorhandenes Material rückwirkend an Wert gewinnen.

Damit wird auch die Dauer, über die verknüpfbare Kennungen erhalten bleiben, zu einem Faktor der Rechnung: Je länger Material verfügbar und später noch zuordenbar ist, desto weniger davon muss ein Angreifer zum Zeitpunkt des Angriffs neu beschaffen.

Der Assistent als Konzentrationspunkt

Eine Kennung ist einer der kleinsten Beiträge, die ein Zwischenziel leisten kann. Am anderen Ende steht ein Punkt, an dem sich sehr viel gleichzeitig sammeln kann.

Ein isoliertes Sprachmodell - im Englischen „Large Language Model“, kurz LLM - ohne Zugriff auf persönliche oder betriebliche Systeme verändert diese Rechnung nur begrenzt; was künstliche Intelligenz bei Recherche, Zuordnung und Personalisierung verbilligen kann, steht in Kapitel 4.

Anders wird es bei einem Assistenten, der für seine Arbeit auf Mail, Kalender, Dateien, Kontakte oder interne Systeme zugreifen darf. Dort können sich drei Dinge an einem Punkt bündeln. Die Einteilung ist eine Beschreibung dieses Textes, keine etablierte Taxonomie.

Nicht jeder Assistent besitzt alle drei Ebenen. Je mehr davon jedoch zusammenkommen, desto größer wird die Bedeutung dieses einen Punktes.

Damit entsteht eine Reihe von Vertrauensbeziehungen: Der Nutzer vertraut dem Assistenten, der Assistent verwendet Werkzeuge, und diese Werkzeuge besitzen wiederum Berechtigungen gegenüber weiteren Systemen. Ein Sicherheitsproblem muss deshalb nicht im Sprachmodell selbst liegen. Es kann an jeder Stelle dieses Verbunds entstehen.

Hinzu kommt eine Besonderheit: Ein Assistent verarbeitet Inhalte, die er nicht selbst erzeugt hat - Dokumente, Mails oder Webseiten. Für ein Sprachmodell können solche Inhalte nicht nur Daten sein, sondern sein Verhalten beeinflussen. Genau darin liegt das Problem der indirekten Prompt Injection: Eine Anweisung kann in Material stecken, das der Nutzer den Assistenten lediglich lesen oder verarbeiten lässt.

Gefährlich wird das vor allem dort, wo Lesen und Handeln miteinander verbunden sind. Kann der Assistent aufgrund des Gelesenen Werkzeuge verwenden, treffen fremder Inhalt, delegierte Berechtigung und Handlungsmöglichkeit an derselben Stelle zusammen.

Damit ähnelt seine Position der Stelle dazwischen aus ABB. 7, ohne technisch derselbe Fall zu sein. Bei Bybit musste eine Oberfläche kompromittiert werden, um die Darstellung zwischen Absicht und Freigabe zu verändern. Bei einem Assistenten kann bereits kontrollierter externer Inhalt versuchen, dessen weiteren Ablauf zu beeinflussen. Ob daraus tatsächlich eine Handlung entsteht, hängt davon ab, welche Rechte, Werkzeuge und Freigabeschritte das System besitzt.

Der delegierte Zugriff ist dabei derselbe Grundmechanismus wie in Kapitel 2: Der Nutzer hat einem System Rechte gegenüber anderen Systemen eingeräumt. Neu ist die zusätzliche Frage, wodurch innerhalb dieses Systems entschieden wird, wann und wofür diese Rechte eingesetzt werden.

Ein System wird also nicht deshalb zu einem interessanteren Ziel, weil es KI verwendet. Es kann interessanter werden, weil sich dort Kontext, Berechtigungen und Handlungsmöglichkeiten bündeln. Der Konzentrationspunkt ist dann nicht das Modell allein, sondern der gesamte Verbund, der ihm ermöglicht zu handeln.

Wenn Vertrauen sich bündelt

Eine besondere Form des Zwischenziels verdient einen eigenen Abschnitt: eine Stelle, deren Prüfergebnis von anderen übernommen wird.

Wo Systeme einem signierten oder institutionell bestätigten Nachweis vertrauen, prüfen sie nicht jede zugrunde liegende Tatsache selbst. Sie verlassen sich darauf, dass eine andere Stelle diese Prüfung bereits vorgenommen hat. Ein Identitätsanbieter, eine Zertifizierungsstelle, eine Behörde oder das interne Identitätssystem eines Unternehmens kann damit zum Vertrauensanker werden.

Das Grundmuster ist nicht neu. Seine Bedeutung wächst dort, wo viele weitere Systeme dasselbe Prüfergebnis übernehmen. Die Kosten der Prüfung fallen dann einmal an, ihr Ergebnis wirkt aber an mehreren Stellen weiter.

Eine kryptografische Prüfung kann zeigen, ob ein Nachweis von der erwarteten Quelle stammt und seit seiner Ausstellung unverändert geblieben ist. Sie beantwortet nicht automatisch, ob die zugrunde liegende Aussage ursprünglich richtig war. Ein Nachweis kann echt und trotzdem falsch sein.

Angreifbar ist deshalb nicht nur der Nachweis selbst. Relevant sind auch die Prüfung, auf der er beruht, die Stelle, die ihn ausstellt, und die Systeme, über die er geprüft und verwendet wird.

Dagegen steht eine bekannte Maxime: nicht vertrauen, sondern prüfen - im Englischen „don’t trust, verify“. Als Haltung ist sie richtig, als vollständige Beschreibung greift sie zu kurz. Auch eine Prüfung braucht Voraussetzungen: ein Verfahren, ein Gerät, Software, Schlüssel, Daten oder eine Stelle, deren Ergebnis akzeptiert wird.

Wer prüft, beseitigt Vertrauen deshalb nicht vollständig. Er entscheidet, worauf seine Prüfung beruht.

Der Bybit-Fall zeigt die praktische Bedeutung dieses Unterschieds: Die Unterzeichner wollten eine Transaktion kontrollieren, aber die Oberfläche, über die ihnen deren Inhalt vermittelt wurde, war manipuliert. Eine Prüfung ist deshalb nur so aussagekräftig wie die Eigenschaften, die sie tatsächlich unabhängig überprüft.

Die entscheidende Frage lautet damit nicht nur, ob vertraut wird, sondern wem, worauf und an welcher Stelle der Kette.

Das ist kein Argument gegen zentrale Prüfstellen. Spezialisierte Stellen können Prüfungen vereinheitlichen und konsistent durchführen. Konzentration kann dadurch die Qualität einer Prüfung erhöhen und gleichzeitig die Reichweite eines Fehlers vergrößern.

Wie weit dessen Wirkung reicht, hängt von den nachgelagerten Systemen ab: von Reichweite, Berechtigungen, Widerrufsmöglichkeiten und zusätzlichen Kontrollen. Ein Fehler an einem Vertrauensanker bedeutet deshalb keinen automatischen Totalausfall - aber je mehr Systeme sein Ergebnis übernehmen, desto größer kann seine Wirkung werden.

Wer diese Folgen trägt, ist schließlich keine rein technische Frage. Pflichten, Verantwortlichkeiten und Fehlerfolgen können vertraglich oder regulatorisch verteilt werden. Mit eIDAS existiert in Europa beispielsweise ein rechtlicher Rahmen für elektronische Identifizierung und Vertrauensdienste, der solche Vertrauensbeziehungen nicht nur technisch, sondern auch rechtlich einordnet.

Vieles von dem bisher Beschriebenen lässt sich als Information weitergeben: ein Baustein, eine Berechtigung, ein fertiges Prüfergebnis. Information lässt sich kopieren, speichern und weiterreichen. Nicht alles, was ein Angriff überwinden muss, besitzt diese Eigenschaft.

Am Ende kann ein letzter Meter bleiben, der an etwas gebunden ist: an ein Gerät, einen Authentifikator, eine Person, einen zweiten Kanal oder einen bestimmten Vorgang.

Die Vorstellung eines vollständig autonomen Agenten, der selbstständig eine Identität übernimmt, greift deshalb zu kurz. Nicht weil Software grundsätzlich zu schwach wäre, sondern weil manche Prozesse mehr verlangen als die richtigen Informationen: einen Nachweis, der an etwas gebunden ist, das der Angreifer nicht einfach aus einem Datenbestand kopieren kann.

In vielen alltäglichen Verfahren spielen weiterhin Informationen über eine Person eine wichtige Rolle: Name, Geburtsdatum, Adresse, Nummer, Stimme oder Gesicht. Informationen haben aber eine entscheidende Eigenschaft: Sie können reproduziert werden.

Eine Information über einen Menschen beweist deshalb für sich genommen nicht, dass gerade dieser Mensch handelt oder einen bestimmten Authentifikator kontrolliert.

Dargestellt oder überprüfbar

Üblicherweise wird die Grenze zwischen physisch und digital gezogen: das Dokument in der Hand gegen die Datei auf dem Bildschirm. Für die Sicherheit ist eine andere Grenze entscheidender: Wird etwas lediglich dargestellt oder lässt sich seine Echtheit und Bindung unabhängig überprüfen?

Bilder, Dokumentdarstellungen, Stimmen und Videos lassen sich synthetisch erzeugen. Das überwindet nicht ohne Weiteres eine Prüfung, die Echtheit und Bindung tatsächlich überprüft. Es setzt vor allem Verfahren unter Druck, deren Beweiskraft wesentlich davon abhängt, ob etwas plausibel aussieht oder klingt.

Ein technisch, kryptografisch oder institutionell überprüfbarer Nachweis funktioniert anders: Seine Aussage soll nicht allein daraus entstehen, dass seine Darstellung überzeugend wirkt.

Was einen Angriff aus dem rein Informationsbasierten zwingt

Aufwendig bleibt, was an etwas gebunden ist, das ein Angreifer nicht einfach aus vorhandenen Informationen reproduzieren kann: die Kontrolle über ein registriertes Gerät oder einen Authentifikator, physische Präsenz, ein belastbares Legitimationsmittel, eine unabhängige Entscheidung durch einen Menschen, ein zweiter Kanal oder eine Wartefrist.

Diese Barrieren sind nicht gleich stark und auch nicht unüberwindbar. Aber sie verändern die Rechnung: Informationen allein genügen an diesen Stellen nicht mehr.

Was sich abgeben lässt und was nicht

Damit stellt sich die Frage, ob sich auch solche gebundenen Schritte billiger organisieren lassen. Teilweise.

Bloße Anwesenheit, eine lokale Beobachtung oder eine Zustellung können grundsätzlich von einer anderen Person übernommen werden, ohne dass diese den gesamten Zusammenhang kennen muss. Je stärker eine Handlung dagegen an eine bestimmte Person, ein bestimmtes Gerät oder ein bestimmtes Legitimationsmittel gebunden ist, desto weniger austauschbar wird ihre Ausführung.

Nicht jede Aufgabe lässt sich deshalb gleich leicht delegieren.

Gleichzeitig kann die Koordination selbst getrennt bleiben: Eine Stelle entscheidet, welche Informationen zusammengehören, welche Aufgabe als Nächstes erforderlich ist und wie einzelne Ergebnisse zusammengeführt werden.

Dass komplexe Vorhaben arbeitsteilig organisiert werden können, ist nicht hypothetisch. Dokumentiert ist dieses Organisationsprinzip allerdings bislang vor allem aus anderen Deliktfeldern, nicht als allgemeines Modell wirtschaftlich motivierter Identitätsangriffe.

Die Übertragung auf solche Angriffe ist deshalb eine analytische Annahme dieses Textes, keine belegte Praxis.

Entscheidend daran ist weder die politische Herkunft einzelner dokumentierter Beispiele noch ein bestimmter Kommunikationsdienst. Entscheidend ist das Organisationsprinzip: Digitale Koordination kann Auftraggebung, Vermittlung, Ausführung und Zusammenführung voneinander trennen.

Ein großes Vorhaben verlangt einen Akteur, der vieles gleichzeitig kann und weiß. Viele kleine Aufgaben können dagegen auf mehrere Beteiligte verteilt werden, von denen keiner den gesamten Zusammenhang kennen muss.

Damit stehen beide Seiten der Rechnung: Auf der Angriffsseite können einzelne Kosten sinken. Gleichzeitig können sich Informationen, Berechtigungen und Vertrauen an Stellen konzentrieren, von denen viele weitere Systeme abhängen.

Die Entwicklung lässt sich auf drei Mechanismen verdichten.

Dieselbe technische Entwicklung, die Recherche und Koordination verbilligt, kann zugleich neue Konzentrationspunkte innerhalb legitimer Systeme schaffen. Je tiefer ein Assistent in Arbeitsprozesse eingebunden ist, desto mehr Kontext, Berechtigungen und Handlungsmöglichkeiten können an einem Punkt zusammenkommen. Das ist eine Schlussfolgerung dieses Textes, keine gemessene Regel.

Für die Abwehr folgt daraus vor allem eine Blickrichtung: Sie muss dort ansetzen, wo die Rechnung beeinflusst werden kann - und nicht nur an der sichtbarsten Barriere.

Wiederherstellung gehört dann zur Sicherheit der Anmeldung. Delegierte Zugriffe und bestehende Sitzungen sind eigene Vertrauensbeziehungen. Externe Prüfstellen gehören zur Angriffsfläche, auch wenn sie keinen direkten Kontozugang besitzen. Und ein Merkmal, das sich leicht recherchieren oder reproduzieren lässt, besitzt für sich genommen nur begrenzte Beweiskraft.

Abwehr kann dabei auf beide Seiten der Rechnung wirken. Eine zusätzliche unabhängige Kontrolle, ein gebundener Authentifikator oder eine Wartefrist kann den Aufwand des Angreifers erhöhen. Erkennung, Widerruf und Umkehrbarkeit können dagegen begrenzen, was ein erfolgreicher Zugriff überhaupt einbringt.

Keine dieser Maßnahmen muss einen Angriff unmöglich machen, um wirksam zu sein. Für die Sicherheitsökonomie zählt, ob sie die Rechnung weit genug verschiebt: den notwendigen Aufwand nach oben oder den erwarteten Nutzen nach unten.

Das hat einen Preis. Maßnahmen, die einen Angriff verteuern, können auch den legitimen Gebrauch aufwendiger machen. Eine Wartefrist bei kritischen Änderungen trifft den Angreifer ebenso wie den Kunden, der es eilig hat. Ein zweiter unabhängiger Kanal kostet Geräte, Zeit oder Support. Eine Wiederherstellung mit besonders hohen Anforderungen kann Menschen den legitimen Zugang erschweren.

Bequeme Wiederherstellungswege sind deshalb nicht automatisch ein Versäumnis. Sie sind Teil einer Abwägung zwischen Sicherheit, Verfügbarkeit und Benutzbarkeit. Sicherheit wird damit auch zu einer Verteilungsfrage: Wer trägt die zusätzliche Reibung - und wer trägt den Schaden, wenn sie fehlt?

In diese Abwägung gehört eine zweite Größe. Kapitel 1 nannte Werte dann besonders attraktiv, wenn sie sich schnell übertragen und schwer zurückholen lassen. Das lässt sich verallgemeinern: Ein erfolgreicher Zugriff ist für einen Angreifer weniger wert, wenn seine Folgen schnell erkannt, begrenzt, widerrufen oder rückgängig gemacht werden können.

Erkennung, Widerruf und Umkehrbarkeit wirken deshalb ebenfalls auf die Rechnung - nur auf der anderen Seite. Sie erhöhen nicht zwingend den Aufwand des Angriffs. Sie können seinen erwarteten Nutzen senken.

Ein Einwand bleibt, und er ist zentral für dieses Modell: Die bisherige Rechnung betrachtet vor allem, was geschieht, wenn einzelne Kosten auf der Angriffsseite sinken. Sie bedeutet nicht, dass die Verteidigung stehen bleibt.

Auch Verteidigungstechniken entwickeln sich weiter. Phishing-resistente Authentifizierung, stärker gebundene Nachweise, bessere Erkennung und restriktivere Wiederherstellungsprozesse können ihrerseits den Aufwand erhöhen oder den möglichen Schaden begrenzen.

Welche Seite sich schneller entwickelt, beantwortet dieser Text nicht. Seine Aussage ist enger: Die Kosten auf der Angriffsseite sind keine konstante Größe. Wenn sie sinken, muss eine technisch unveränderte Barriere deshalb nicht mehr dieselbe wirtschaftliche Schutzwirkung besitzen wie zuvor.

Bleibt die Frage aus dem Titel.

Wer bisher kein lohnendes Ziel war, kann allein deshalb verschont geblieben sein, weil sich der personenspezifische Aufwand nicht rechnete. Das ist keine feste Eigenschaft des Ziels, sondern eine wirtschaftliche Schwelle - und diese Schwelle kann sich verschieben, ohne dass sich an seiner technischen Sicherheit etwas ändert.

Sinkt der Aufwand weit genug, verändert sich deshalb nicht zwingend die Mauer. Es verändert sich, für wen es sich lohnt, bis zu ihr zu gehen.

Die Menge wirtschaftlich interessanter Ziele kann dadurch wachsen. Nach der Logik dieses Modells kommen dabei gerade jene Ziele hinzu, deren erwarteter Nutzen zuvor knapp unter den Kosten eines gezielten Angriffs lag. Von innen ist diese Veränderung kaum zu erkennen: Am eigenen Konto, am Passwort oder am Authentifikator muss sich nichts geändert haben. Geändert hat sich die Rechnung auf der anderen Seite.

Nichts davon verlangt, dass ein Angreifer von Anfang an einen bestimmten Menschen auswählt.

Informationen können zunächst breit gesammelt, kopiert, zusammengeführt oder gehandelt werden. Die Auswahl kann erst danach stattfinden: wenn erkennbar wird, welche der vorhandenen Identitäten, Konten oder Zugänge einen weiteren personenspezifischen Aufwand rechtfertigen.

Damit kehrt sich die Reihenfolge um. Nicht immer wird zuerst ein Ziel gewählt und anschließend nach den nötigen Informationen gesucht. Informationen können bereits vorhanden sein - und erst danach wird entschieden, für welche Ziele sich der nächste Schritt rechnet.