Phishing und Schulung
Phishing ist einer der sechs Angriffstypen des Kartenduells, und Schulung ist die Verteidigung, die ihn kontert. Hier erfährst du, wofür sie in der echten Sicherheit stehen, wie sie sich im Spiel gegenüberstehen, und findest alle 17 Karten.
Der Angriff: Phishing
Phishing zielt auf Menschen statt auf Computer: Eine Nachricht (E-Mail, SMS, Anruf, Chat) gibt sich als Bank, Paketdienst oder Kollege aus, um jemanden dazu zu bringen, einen Link anzuklicken, einen Anhang zu öffnen oder ein Passwort herauszugeben. Es ist das Einfallstor für die meisten echten Vorfälle, denn es braucht keine technische Lücke: Ein Moment der Eile oder falsch platzierten Vertrauens genügt.
Die Verteidigung: Schulung
Schulung macht Menschen zu einem Teil der Verteidigung: Awareness-Kurse, Phishing-Simulationen und klare Regeln, etwa den Absender prüfen, keine unerwarteten Links öffnen und Verdächtiges sofort melden. Eine geschulte Person erkennt den Köder, bevor er Schaden anrichtet, und eine Organisation, in der Melden einfach ist, entdeckt Angriffe in Minuten statt in Wochen.
Was was stoppt
- Schulung gegen Phishing: halber Schaden. Wer eine verdächtige Nachricht erkennt, klickt nicht und meldet sie: Der Köder fängt niemanden.
- Phishing gegen Firewall: doppelter Schaden. Die E-Mail kommt über normale, erlaubte Kanäle, und es ist ein Mensch, der den Angreifer von innen hereinlässt: Die Portregeln sehen nichts Auffälliges.
- Phishing gegen Patch: doppelter Schaden. Es gibt keinen Softwarefehler zu beheben: Die Schwachstelle ist das Vertrauen dessen, der liest.
- Exploit gegen Schulung: doppelter Schaden. Der Exploit trifft einen Dienst, ohne dass jemand etwas anklicken muss: Die Aufmerksamkeit der Menschen hält ihn nicht auf.
- Malware gegen Schulung: doppelter Schaden. Läuft die Malware einmal, handelt und verbreitet sie sich von selbst: Sie fragt niemanden mehr um Erlaubnis.
In allen anderen Paarungen ist der Schaden normal.
Kombos mit Phishing
- Zustellung (Phishing → Malware, +2 Schaden): Die Köder-Nachricht bringt die Malware herein, wie bei den meisten echten Infektionen.
- Diebstahl von Zugangsdaten (Phishing → Brute force, +2 Schaden): Per Phishing erbeutete Passwörter machen Anmeldeversuche viel wirksamer.
- Aufklärung (Scan → Phishing, +2 Schaden): Zu wissen, wer wo mit welchen Systemen arbeitet, macht Phishing glaubwürdig.
Angriffskarten Phishing (12)
Köder-Mail
Eine allgemeine Nachricht, die dich auf einen Link klicken lassen will. Klappt bei Unaufmerksamen.
Smishing
Phishing per SMS: „Dein Paket liegt zur Abholung bereit, tippe hier“. Wenig Schaden, aber du ziehst eine Karte.
Massen-Spam
Kostet nichts, macht wenig Schaden.
Vishing
Der Gegner wirft 1 zufällige Karte ab.
Spear phishing
Phishing maßgeschneidert für eine bestimmte Person, mit echten Details aus sozialen Netzwerken.
Evil Twin
Ein falscher WLAN-Zugangspunkt mit dem Namen des echten: Wer sich verbindet, gibt seine Zugangsdaten preis. Gestoppt durch WPA3 Enterprise, Zertifikate und VPN. Du ziehst eine Karte.
ARP-Spoofing
Der Angreifer gibt sich als Router aus, damit der Datenverkehr über seine Hände läuft (Man-in-the-Middle). Gestoppt durch ARP-Inspektion und verwaltete Switches. In seinem nächsten Zug kann der Gegner keine Unterstützungskarten spielen.
CEO fraud
Gefälschte Mail vom Chef, die eine dringende Überweisung verlangt. Kostet Firmen Milliarden.
Watering hole
2 Schaden an allen gegnerischen Verteidigungen.
DNS-Poisoning
Fälscht DNS-Antworten, um Nutzer auf falsche Seiten umzuleiten. Die stärkste gegnerische Verteidigung geht zurück auf die Hand des Gegners.
Phishing as a Service
Fertige Kits zur Miete: Selbst wer nichts weiß, kann eine Kampagne starten. Deine Angriffe machen in diesem Zug +2 Schaden.
Stimmen-Deepfake
Die geklonte Stimme einer Führungskraft verlangt eine dringende Handlung. Beantwortet mit einem Codewort und einem Rückruf auf eine bekannte Nummer. 2 Züge lang zieht der Gegner eine Karte weniger.
Verteidigungskarten Schulung (5)
Awareness-Schulung
Grundschulung: verdächtige Mails und seltsame Links erkennen.
Phishing-Simulation
Fingierte Phishing-Kampagnen, um die Leute praxisnah zu trainieren.
Internes Red Team
Gegenangriff: Wer sie trifft, verliert 2 Integrität.
Elite-Blue-Team
Die besten Verteidiger: gut vorbereitet, eingespielt, gewohnt, unter Druck zu reagieren. Gegenangriff: Wer sie trifft, verliert 2 Integrität. Repariert Verbündete: +1 Widerstand für deine anderen Verteidigungen zu Zugbeginn.
Cyber Range
Ein virtuelles Übungsgelände, auf dem Teams realistische Angriffe trainieren. Gegenangriff: Wer sie trifft, verliert 2 Integrität. Regeneriert: +1 Widerstand zu Zugbeginn. Zermürbung: Zu Zugbeginn verliert die stärkste gegnerische Verteidigung 1.
Passende Guides (auf Englisch)
Für die technische Seite gibt es die simulierten Labore: