Mein Kampf von 2026: Bots & Authentifizierung durch soziale Ingenieurtechnik

Hallo zusammen, Pat Reeves hier, zurück auf botsec.net. Wir sind im März 2026, und ich habe das Gefühl, dass wir uns in einem ständigen Tauziehen mit bot-basierten Bedrohungen befinden. Gerade wenn man denkt, man hat einen Winkel gemeistert, taucht ein anderer auf. Heute möchte ich über etwas sprechen, das mich nachts nicht schlafen lässt: die zunehmend ausgeklügelte Verwendung von Bots in der Social Engineering, insbesondere was die Aushebelung von Authentifizierungsabläufen betrifft. Es geht nicht mehr nur um simples Credential Stuffing. Wir sprechen von Bots, die seltsam geschickt darin werden, menschliche Interaktionen zu imitieren, um das MFA (Multi-Factor Authentication) zu umgehen. Nennen wir das „Social Bot-neering.“

Über brute force hinaus: Der Aufstieg des Social Bot-neering in der Authentifizierung

Jahrelang, wenn wir von Bots sprachen, die die Authentifizierung angreifen, dachten wir direkt an Brute-Force-Angriffe, Credential Stuffing oder vielleicht an clevere CAPTCHA-Umgehungen. Diese Bedrohungen existieren immer noch, das ist klar. Aber in letzter Zeit habe ich einen beunruhigenden Trend bemerkt, der über diese rein technischen Exploits hinausgeht. Wir erleben die Entwicklung von Bots, die dafür gemacht sind, mit Nutzern zu interagieren oder sogar mit dem technischen Support zu sprechen, um sie dazu zu bringen, den Zugang aufzugeben oder Sicherheitsmaßnahmen zu umgehen.

Denken Sie darüber nach. Wir haben viel in die Multi-Faktor-Authentifizierung (MFA) investiert. Wir haben TOTP, Push-Benachrichtigungen, FIDO-Schlüssel – das ist alles großartig. Aber was passiert, wenn das schwächste Glied nicht die Technologie ist, sondern der Mensch auf der anderen Seite, der von einem Bot überzeugt wird, dass er etwas „überprüfen“ muss, oder schlimmer noch, dass er mit einem legitimen Support-Mitarbeiter spricht?

Mein eigener Kontakt mit einem intelligenten Bot

Vor einigen Monaten hatte ich eine persönliche Erfahrung, die mir wirklich die Augen geöffnet hat. Ich erhielt eine SMS, angeblich von meiner Bank. Sie sagte so etwas wie: „Dringend: Ungewöhnliche Aktivitäten auf Ihrem Konto festgestellt. Bitte überprüfen Sie die letzten Transaktionen unter [böser Link].“ Nun, ich bin normalerweise ziemlich gut darin, Phishing zu erkennen. Der Link schien verdächtig, und ich habe nicht darauf geklickt. Aber dann, etwa 20 Minuten später, klingelte mein Telefon. Unbekannte Nummer. Ich antwortete, und es war eine erstaunlich überzeugende, ruhige und professionelle KI-Stimme, die vorgab, aus der Betrugsabteilung meiner Bank zu kommen und auf die exakte „ungewöhnliche Aktivität“ aus der Nachricht Bezug nahm.

Sie bat mich, meine Identität zu bestätigen, nicht durch die Angabe eines Passworts, sondern indem ich einen „Code, der an mein Telefon gesendet wurde, überprüfe.“ Ich erhielt eine authentische SMS von meiner Bank mit einem legitimen MFA-Code, als ob ich mich einloggen würde. Der Bot am Telefon bat mich dann, diesen Code vorzulesen. In diesem Moment wurde mir klar, dass dies nicht nur ein Phishing-Versuch war. Es war ein koordinierter Angriff. Der Bot hatte einen Anmeldeversuch für mein Konto initiiert, das MFA ausgelöst und versuchte nun, mich sozial zu manipulieren, um mir den Code zu entlocken. Hätte ich diesen Code laut vorgelesen, wären sie eingedrungen. Es war schrecklich effektiv.

Das war nicht die Arbeit eines Script-Kiddies. Es war eine ausgeklügelte Operation, wahrscheinlich von einer Bot-Farm gesteuert, die in der Lage war, Anmeldeversuche zu initiieren, gezielte SMS zu senden und dann einen AI-gesteuerten Sprachbot einzusetzen, um das MFA zu extrahieren. Das umging all meine technischen Schutzmaßnahmen, weil es mein Vertrauen und meine Dringlichkeit ausnutzte.

Wie soziale Bots das MFA umgehen

Lassen Sie uns einige der Vektoren aufschlüsseln, die ich beobachte:

1. MFA-Phishing mit einer anderen Abwandlung

So etwas ist mir passiert. Die Bots initiieren eine echte Verbindung und lösen eine legitime MFA-Anfrage aus (SMS, Push-Benachrichtigung, TOTP-Anfrage). Gleichzeitig kontaktiert der Bot den Nutzer über einen anderen Kanal (SMS, E-Mail, Sprachanruf) und gibt sich als vertrauenswürdige Instanz (Bank, IT-Support, soziale Medienplattform) aus. Der Bot überzeugt dann den Nutzer, den MFA-Code bereitzustellen, die Push-Benachrichtigung zu genehmigen oder sogar einen bösartigen QR-Code zu scannen.

# Vereinfachter Pseudo-Code für einen bot-gesteuerten MFA-Phishing-Versuch
function bot_orchestrate_mfa_phishing(target_user_id, bank_url, phishing_sms_template, ai_voice_script):
 # Schritt 1: Einen Anmeldeversuch für den legitimen Dienst starten
 login_session = initiate_login(bank_url, target_user_id, known_password_or_stolen_credential)
 
 if login_session.requires_mfa():
 mfa_challenge_id = login_session.get_mfa_challenge_id()
 
 # Schritt 2: Gezielt eine Phishing-SMS senden
 send_sms(target_user_id.phone_number, phishing_sms_template.format(bank_name="Ihre Bank"))
 
 # Schritt 3: Einen AI-Sprachanruf initiieren
 ai_call_session = make_ai_voice_call(target_user_id.phone_number, ai_voice_script)
 
 # Schritt 4: Während des Anrufs, falls der Nutzer den MFA-Code angibt
 if ai_call_session.user_provides_mfa_code():
 mfa_code = ai_call_session.get_provided_mfa_code()
 
 # Schritt 5: Den Login mit dem gestohlenen MFA-Code abschließen
 if login_session.verify_mfa(mfa_challenge_id, mfa_code):
 log_compromise_and_access_account(login_session)
 else:
 log_failed_mfa_attempt()
 else:
 log_user_did_not_provide_mfa()
 else:
 log_no_mfa_required()

Es geht nicht mehr nur um eine statische Phishing-Seite. Es ist dynamisch, interaktiv und nutzt das bestehende Vertrauen des Nutzers in seine MFA-Mechanismen.

2. Identitätsdiebstahl von technischem Support und Social Engineering

Bots werden jetzt eingesetzt, um Anrufe oder Unterhaltungen mit Support-Teams zu automatisieren. Der Bot, der sich als legitimer Nutzer ausgibt, kann vorgeben, sein Telefon verloren zu haben, sein Passwort vergessen zu haben oder aus seinem Konto ausgesperrt zu sein. Er hat gerade genug persönliche Informationen (oft aus Datenpannen), um glaubwürdig zu erscheinen. Ihr Ziel? Einen menschlichen Support-Mitarbeiter davon zu überzeugen, das MFA zurückzusetzen, ein neues Gerät zu registrieren oder vorübergehenden Zugang zu gewähren. Ich habe Berichte gesehen, in denen Bots sogar „tragische Geschichten“ generierten oder „Frustration“ äußerten, um Mitgefühl bei den Agenten zu wecken.

# Hypothetisches Bot-Skript für das Social Engineering im technischen Support (verkürzt)
def bot_helpdesk_interaction(target_user_info):
 dialogue_flow = [
 {"bot": "Hallo, ich kann anscheinend nicht auf mein Konto mit der ID {user_id} zugreifen. Mein Telefon ist beschädigt, und ich kann keine MFA-Codes erhalten."},
 {"human_agent": "Ich verstehe. Können Sie mir bitte einige Details bestätigen?"},
 {"bot": "Natürlich. Mein vollständiger Name ist {full_name}, und mein Geburtsdatum ist {dob}."},
 {"human_agent": "Okay, das stimmt überein. Wie möchten Sie fortfahren?"},
 {"bot": "Könnten Sie bitte das MFA vorübergehend deaktivieren oder einen neuen Registrierungscode an meine Backup-E-Mail {backup_email} senden?"},
 # ... weitere Dialoge, um den Agenten zu überzeugen ...
 ]
 
 for turn in dialogue_flow:
 if "bot" in turn:
 send_message_to_helpdesk(turn["bot"].format(**target_user_info))
 wait_for_response()
 elif "human_agent" in turn:
 # Dieser Teil würde die Verarbeitung natürlicher Sprache zur Verständigung der Antwort des Agenten erfordern
 # und die nächste passende Antwort des Bots auswählen
 pass 

Das ist besonders gefährlich, da die Support-Mitarbeiter darauf trainiert sind, den Nutzern zu helfen, und es schwierig ist, einen in Not befindlichen Menschen von einem gut programmierten Bot zu unterscheiden, insbesondere wenn der Bot eine gute Geschichte und genaue persönliche Details (gestohlen) hat.

3. Automatisierter Account-Kontrollübernahme über „Passwort zurücksetzen“-Flows

Obwohl dies nicht strikt ein Umgehen des MFA ist, ist es oft ein Vorläufer davon. Bots nutzen schlecht konfigurierte „Passwort vergessen“-Flows aus. Wenn ein System zu viele Versuche zur Passwortzurücksetzung erlaubt oder die Sicherheitsfragen leicht zu erraten sind (oder die Antworten aus Datenpannen stammen), können Bots diesen Prozess automatisieren. Sobald sie das Passwort zurückgesetzt haben, können sie sich dann anmelden und der MFA-Herausforderung stellen, wobei sie möglicherweise auf eine der oben genannten Social Bot-neering-Taktiken umschalten.

Abwehr gegen Social Bot-neer

Also, was tun wir? Es ist nicht nur ein technisches Problem; es ist ein menschliches Problem, das durch Technologie verschärft wird.

1. Schulen, Schulen, Schulen (Ihre Nutzer UND Ihr Personal)

• Für die Nutzer: Verstärken Sie das Mantra „teilen Sie niemals Ihren MFA-Code“. Betonen Sie, dass legitime Dienste Sie *nie* auffordern werden, einen MFA-Code am Telefon vorzulesen oder ihn in einen Link einzugeben, den sie Ihnen gesendet haben. Push-Benachrichtigungen sollten immer mit dem legitimen Anmeldeversuch, den Sie initiiert haben, abgeglichen werden. Lassen Sie sie klar verstehen, dass sie die Anfrage ablehnen sollten, wenn sie keine Anmeldung initiiert haben.
• Für das technische Supportpersonal: Das ist entscheidend. Schulen Sie sie gründlich zu den Taktiken der sozialen Ingenieurskunst. Stellen Sie klare und nicht verhandelbare Protokolle für MFA-Rücksetzungen oder Kontoänderungen bereit. Implementieren Sie eine mehrstufige Überprüfung für diese sensiblen Aktionen (z. B. Rückruf einer registrierten Telefonnummer, persönliche Überprüfung für hochwertige Konten). Betonen Sie, dass eine „Notsituation“ oder „Dringlichkeit“ eines Nutzers niemals über den Sicherheitsprotokollen stehen sollte.

2. Stärkere Bot-Erkennung an der Peripherie und in den Authentifizierungsflüssen implementieren

• Verhaltensanalytik: Suchen Sie nach ungewöhnlichen Mustern. Initiiert ein Nutzer eine Anmeldung von einer neuen IP-Adresse, gefolgt von einem Anruf beim Support, um eine MFA-Rücksetzung zu beantragen? Gibt es mehrere fehlgeschlagene Anmeldeversuche, gefolgt von einem erfolgreichen, nachdem es eine „Support“-Interaktion gab?
• Rate-Limiting und Regulation: Das hilft weiterhin. Begrenzen Sie die Anzahl der Anmeldeversuche, der Passwort-Rücksetzungen oder der MFA-Herausforderungen, die von einer einzelnen IP oder für einen einzelnen Nutzer innerhalb eines bestimmten Zeitrahmens initiiert werden können.
• Gerätefingerabdruck: Wird ein Anmeldeversuch von einem nicht erkkannten Gerät unternommen, sollte dies selbst dann, wenn MFA bereitgestellt wird, ein bedeutender Warnhinweis ausgelöst werden.
• Challenge-Response-Mechanismen: Über den CAPTCHA hinaus sollten Sie darüber nachdenken, ausgefeiltere Bot-Herausforderungen zu integrieren, bevor Sie überhaupt einen Anmeldeversuch zulassen oder eine MFA-Herausforderung ausgeben.

3. MFA-Optionen modernisieren (und die schwächeren eliminieren)

• Über SMS-OTP hinaus entwickeln: SMS sind notorisch anfällig für SIM-Kartenwechsel und Abfangen. Push-Benachrichtigungen mit kontextbezogenen Informationen (z. B. „Anmeldeversuch aus New York, iPhone 15 Pro“) sind besser, aber weiterhin anfällig für soziale Ingenieurskunst.
• Sichere Hardware-Tokens (FIDO2/WebAuthn): Diese sind deutlich widerstandsfähiger gegen Phishing und soziale Ingenieurskunst, da der Token die Quelle der Anmeldeanforderung kryptografisch überprüft. Der Nutzer gibt keinen Code ein; er bestätigt einfach seine Anwesenheit auf der richtigen Website. Dies ist meine persönliche Wahl für kritische Konten.
• Biometrie: Obwohl es keine Allheilmittel ist, trägt die Kombination von Biometrie mit einer soliden Geräteauthentifizierung dazu bei, eine zusätzliche Friktion für Angreifer zu schaffen.

4. Strikte Richtlinien zur Kontowiederherstellung

Bewerten Sie Ihre Kontowiederherstellungsprozesse neu. Sind die Sicherheitsfragen zu einfach? Ist es zu einfach für jemanden, seine Identität telefonisch nachzuweisen? Implementieren Sie eine mehrstufige Überprüfung für die Kontowiederherstellung, die möglicherweise Dokumente, Videoanrufe oder eine physische Präsenz für sensible Konten erfordert.

Der Weg nach vorn

Das Wettrüsten zwischen Sicherheitsfachleuten und bösartigen Bots beschleunigt sich. Während sich unsere technischen Verteidigungen verbessern, verlagern Angreifer einfach ihre Aufmerksamkeit auf das menschliche Element und nutzen ausgeklügelte Bots, um ihre Bemühungen um soziale Ingenieurskunst zu verstärken. Es reicht nicht mehr aus, IPs zu blockieren oder das Ausfüllen von Krediten zu erkennen. Wir müssen wie die Angreifer denken, ihre sich entwickelnden Taktiken verstehen und widerstandsfähige Verteidigungen gegen sowohl technische als auch soziale Ausnutzung aufbauen.

Mein Rat? Gehen Sie davon aus, dass die Bots intelligenter werden. Gehen Sie davon aus, dass sie in der Lage sind, überzeugende Gespräche zu führen. Und bauen Sie dann Ihre Verteidigungen – sowohl technologische als auch menschliche – mit dieser Annahme im Hinterkopf auf. Bleiben Sie wachsam, bleiben Sie sicher!

Pat Reeves beendet.

🕒 Published: March 28, 2026