BLUETEAM ACADEMY – PHISHING-AWARENESS FIELD GUIDE Microsoft 365 / Entra, Google Workspace und KI-Bedrohungen Kursausgabe: Oktober 2026. Folgen Sie den genehmigten Verfahren Ihrer Organisation. 1. ANHALTEN UND ANFRAGE PRÜFEN Was soll ich ändern, offenlegen, autorisieren, bezahlen, herunterladen oder ausführen? Habe ich mit dieser Arbeit gerechnet? Hat der Absender die Befugnis für diese Handlung? Ein vertrauter Name, ein Logo, bestehende Korrespondenz, korrekte Grammatik, HTTPS, Stimme oder Video Beantwortet diese Fragen nicht. Ein legitimes Konto kann kompromittiert sein. 2. OHNE DIE ROUTE DER NACHRICHT VERIFIZIEREN Verwenden Sie ein etabliertes Lesezeichen, den Unternehmensstarter, den Service-Desk oder einen gespeicherten Kontakt. Für Zahlungen und Bankkontoänderungen gelten Rückruf- und Doppelgenehmigungsregeln. Rufen Sie keine Nummer an, die in einer verdächtigen Anfrage genannt wird, und genehmigen Sie keine Ausnahmen. weil die Anfrage Dringlichkeit, Geheimhaltung oder Seniorität geltend macht. 3. LINKS UND QR-CODES Wenn Ihr Client eine sichere Vorschau anbietet, prüfen Sie das vollständige Ziel ohne Öffnen. Es. Der Host ist kein Markenname, der früher in einer Subdomain oder später in einem Pfad. Eine verkürzte URL oder ein QR-Code kann das Ziel verbergen. Öffnen Sie keinen Link zu testen, ob es sicher ist. Verwenden Sie direkt den bekannten Geschäftsdienst. 4. MICROSOFT-GERÄTE-CODES UND ZUSTIMMUNG Eine echte Microsoft-Seite kann eine vom Angreifer gestartete Anfrage autorisieren. Geben Sie keinen Gerätecode aus einer unerbetenen Besprechung, Bewerber- oder Supportnachricht ein. Nur einen Gerätefluss abschließen, den Sie absichtlich für eine bekannte, genehmigte App initiiert haben. Die Anmeldung ist nicht dasselbe wie einer Anwendung eine Berechtigung für Mails oder Dateien zu gewähren. Überprüfen Sie die Identität der App, angeforderte Berechtigungen, Geschäftszweck und Freigabestatus. Genehmigen Sie niemals eine unerwartete MFA-Anfrage – auch nicht auf Verlangen am Telefon. 5. GOOGLE WORKSPACE Eine echte Drive-Freigabebenachrichtigung beweist nicht, dass das Dokument sicher ist. Ein externes Dokument oder eine Kalendereinladung kann einen unsicheren Link oder eine unzulässige Anfrage enthalten. Verwenden Sie den bekannten Drive-/Kalenderweg und prüfen Sie den Geschäftszweck separat. Überprüfen Sie Drittanbieter-App-Berechtigungen mit der IT. Nachträgliches Entfernen des Zugriffs macht nichts rückgängig. Daten bereits kopiert. Google unterstützt auch die Autorisierung legitimer Geräte; behandeln Sie unerwartete Geräteanweisungen als Autorisierungsfrage, nicht als Markenfrage. 6. KI, ZUSAMMENARBEIT UND ANHÄNGE Überzeugende Sprach-/Videowiedergabe ersetzt keine Kontrollmechanismen für Identitäts- und Zahlungsfreigabe. Eine KI-Zusammenfassung kann bösartige Anweisungen aus einem von ihr zusammengefassten Dokument wiederholen. Externe Teams- oder Chat-Nachrichten erfordern die gleichen Prüfungen wie E-Mails. Öffnen Sie keine passwortgeschützten Archive, um Scans zu umgehen, führen Sie keine ausführbaren Dateien aus oder ... Aktivieren Sie Makros nicht nur, um ein Dokument zu lesen. Ein gefälschtes CAPTCHA oder eine gefälschte Besprechungsanfrage kann fragen Sie dazu auffordern, einen Befehl einzufügen und auszuführen. Anhalten: Führen Sie ihn nicht aus. Installieren Sie keine nicht genehmigten Browser-Erweiterungen oder Remote-Support-Tools. 7. VIRUSTOTAL-ENTSCHEIDUNGSBAUM — VOR JEDER ABFRAGE ODER ÜBERMITTLUNG A. Erlauben die Unternehmensrichtlinie und die Nutzungsbedingungen des Dienstes diese Verwendung? NEIN / UNSICHER -> Interner Sicherheitskanal verwenden. B. Enthält die Datei oder ein Indikator vertrauliche, personenbezogene oder Zugriffs-Informationen? JA / UNSICHER -> nicht in öffentliche Scan-Dienste hochladen oder einfügen. Beispiele: Lohnabrechnung, Verträge, Patienten-/Kundendaten, private Freigabelinks, Passwort-Reset-Links, signierte Download-URLs, Zugriffstoken und interne Details. C. Für eine bereits sicher gespeicherte, zulässige Datei: Ist ein genehmigter SHA-256 verfügbar? Fragen Sie Security oder verwenden Sie ein zugelassenes lokales Tool, ohne die Datei auszuführen. Laden Sie keinen verdächtigen Anhang herunter, nur um seinen Hash zu berechnen. D. Durchsuchen Sie den zugelassenen Hash nach einem VORHANDENEN Bericht. Dadurch werden nicht die Daten des Files hochgeladen, aber dennoch die Anfrage an einen Dritten offengelegt Partei. Ein fehlender Bericht bedeutet unbekannt; er berechtigt nicht zum Datei-Upload. E. Bei einer erlaubten öffentlichen URL prüfen Sie, dass der vollständige String keine sensiblen Daten enthält. Information vor einer Anfrage prüfen. URL-Suchvorgänge können gescannt und weitergegeben werden; bitte annehmen, dass eine Suche privat ist oder das Entfernen eines Tokens dasselbe Objekt prüft. F. Überprüfen Sie den analysierten Bezeichner, Dateityp, Analysedatum und die einzelnen Ergebnisse. Keine Funde sind kein Beweis für Sicherheit. Ein alter Bericht bildet den aktuellen Stand möglicherweise nicht ab. Inhalt. Eine Erkennung kann Interpretation erfordern; überschreiben Sie Unternehmenswerkzeuge nicht. G. Ein Bericht genehmigt keine Zahlung, keine Einwilligung, keine Anmeldung und keine Freigabe von Daten. Befolgen Sie das genehmigte Untersuchungs- und Eskalationsverfahren. WARUM VERTRAULICHE DATEIEN AUSSERHALB BLEIBEN MÜSSEN Gewöhnliche VirusTotal-Einsendungen und -Berichte können innerhalb ihres Sicherheitsbereichs geteilt werden Ökosystem, einschließlich Partner und Kunden. Öffentliches Scanning kann eine neue Datenweitergabe. Private Scanning ist ein separater Dienst, der genehmigt werden muss und für Ihr Unternehmen konfiguriert. Nur einloggen oder bezahlen reicht nicht aus. Wenn Sie versehentlich sensibles Material eingereicht haben, melden Sie diese Offenlegung umgehend. Nehmen Sie nicht an, dass das Löschen einer lokalen Kopie oder das Ändern des Dateinamens dies rückgängig macht. 8. VORFALLBERICHTSVORLAGE — NUR FREIGEGEBENE INTERNE KANÄLE NUTZEN Konto / betroffenes Gerät: Ungefähre Uhrzeit und Zeitzone: Kanal und angegebener Absender: Was ich beobachtet habe: Was ich tatsächlich gemacht habe (angesehen / geklickt / Passwort eingegeben / MFA abgeschlossen / eingegebener Gerätecode / App-Zugriff gewährt / Inhalt ausgeführt / Daten gesendet / bezahlt): Alle festgestellten Downloads, Eingabeaufforderungen oder Änderungen: Was ich nicht mehr tue: Wo Originalbelege mit dem zugelassenen Meldetool archiviert werden: Bekannter Service-Desk- oder Sicherheitsweg verwendet: Melden Sie schnell, auch bei Unsicherheit. Wiederholen Sie die Aktion nicht zur Überprüfung. Geben Sie keine Passwörter, Wiederherstellungscodes oder Geheimnisse im Bericht an. Sicherheitsmaßnahmen können erforderlich machen, Sitzungen und App-Berechtigungen zu widerrufen, Postfachregeln zu prüfen und überprüfen Sie Geräte; eine Passwortänderung allein ist nicht in jedem Fall eine vollständige Reaktion. Melden Sie Zahlungen sofort über bestehende Kanäle an Buchhaltung und Informationssicherheit. Befolgen Sie die Anweisungen des Incident-Response-Teams, anstatt eigenmächtig Geräte zu löschen oder Änderungen vorzunehmen. QUELLEN https://www.microsoft.com/en-us/security/blog/2025/02/13/storm-2372-conducts-device-code-phishing-campaign/ https://support.google.com/mail/answer/8253 https://support.google.com/accounts/answer/14012355 https://docs.virustotal.com/docs/how-it-works https://docs.virustotal.com/docs/searching https://docs.virustotal.com/docs/results-reports https://docs.virustotal.com/docs/private-scanning Verwenden Sie fiktive oder bereinigte Beispiele in Ihren Kursantworten. Fügen Sie keine tatsächlichen verdächtige Dateien, private Links oder Unternehmensgeheimnisse in die Lernplattform.