Conversation Hijacking: Wenn Angreifer laufende Kommunikation übernehmen

Einordnung

Conversation Hijacking beschreibt eine besonders gefährliche Form moderner Cyberangriffe: Angreifer klinken sich unbemerkt in bestehende Kommunikationsverläufe ein und übernehmen diese teilweise oder vollständig. Für Unternehmen ist diese Methode besonders kritisch, da sie auf bestehendem Vertrauen aufbaut, technisch kaum auffällt und häufig erst bemerkt wird, wenn bereits finanzieller oder organisatorischer Schaden entstanden ist.

Was Conversation Hijacking bedeutet

Beim Conversation Hijacking übernehmen Angreifer keine Systeme im klassischen Sinne, sondern bestehende Kommunikationskontexte. Sie nutzen kompromittierte E-Mail-Postfächer, Chat-Accounts oder Kollaborationsplattformen, um sich in reale Gespräche einzuschalten.

Der Angriff wirkt glaubwürdig, weil:

• echte Absender verwendet werden
• laufende Gespräche fortgeführt werden
• Inhalte kontextuell korrekt sind
• keine neuen Kommunikationskanäle eröffnet werden

Wie Conversation Hijacking in der Praxis abläuft

1. Kompromittierung eines Kommunikationskontos

Der Einstieg erfolgt meist über:

• Credential-Harvesting
• Phishing
• Session-Übernahme
• missbrauchte OAuth-Zugriffe

Der Angreifer erhält Zugriff auf ein legitimes Postfach oder Benutzerkonto.

2. Analyse bestehender Gespräche

Statt sofort zu handeln, beobachten Angreifer zunächst:

• aktive E-Mail-Verläufe
• Projektkommunikation
• Zahlungs- oder Vertragsprozesse
• Lieferanten- und Kundenkontakte

Ziel ist es, den richtigen Moment für den Eingriff zu wählen.

3. Übernahme der Kommunikation

Der Angreifer antwortet im bestehenden Verlauf oder leitet Gespräche subtil um:

• Änderung von Zahlungsinformationen
• neue Bankverbindungen
• angebliche Korrekturen oder Rückfragen
• Weiterleitung sensibler Dokumente

Für die Empfänger wirkt alles vollständig legitim.

4. Schaden durch korrekte, aber falsche Entscheidungen

Der eigentliche Schaden entsteht nicht technisch, sondern prozessual:

• Überweisungen werden ausgelöst
• Verträge angepasst
• Daten weitergegeben
• Freigaben erteilt

Warum Conversation Hijacking so schwer zu erkennen ist

Legitime Absender, legitime Inhalte

Die Kommunikation stammt aus echten Postfächern. Spamfilter, E-Mail-Gateways und klassische Security-Lösungen schlagen nicht an.

Kein Bruch im Kommunikationsfluss

Da bestehende Konversationen fortgeführt werden, fehlt der typische „Alarmmoment“.

Hoher Vertrauensvorschuss

Vertrauen ist bereits etabliert. Inhalte werden nicht mehr kritisch hinterfragt.

Typische Schadensszenarien

• Business E-Mail Compromise (BEC)
• Manipulation von Rechnungen
• Lieferantenbetrug
• Abfluss sensibler Unternehmensdaten
• Reputationsschäden

Warum Awareness hier entscheidend ist

Conversation Hijacking kann technisch oft nicht verhindert werden – aber organisatorisch erkannt werden. Awareness-Training befähigt Mitarbeitende, auch innerhalb vertrauter Kommunikation aufmerksam zu bleiben.

Was Awareness-Training konkret vermitteln sollte

1. Sensibilität für ungewöhnliche Änderungen

Auch in bekannten Gesprächen sollten folgende Punkte auffallen:

• plötzliche Bankdatenänderungen
• neue Dringlichkeit
• abweichende Formulierungen
• unerwartete Prozessänderungen

2. Klare Verifikationsregeln

Kritische Änderungen müssen immer:

• über einen zweiten Kanal bestätigt werden
• prozesskonform erfolgen
• dokumentiert sein

3. Sicherheit im Umgang mit „vertrauten Absendern“

Vertrauen ersetzt keine Verifikation – auch nicht bei bekannten Kontakten.

4. Niedrigschwellige Meldewege

Verdachtsmomente müssen ohne Hürden gemeldet werden können.

Was Unternehmen organisatorisch tun sollten

• Vier-Augen-Prinzip bei Zahlungs- und Kontodatenänderungen
• klare Prozesse für Lieferanten- und Bankwechsel
• regelmäßige Awareness-Impulse zu realen Szenarien
• Überwachung von Kontoaktivitäten und Anomalien

Fazit

Conversation Hijacking nutzt bestehendes Vertrauen als Einfallstor. Angreifer übernehmen Kommunikation, nicht Systeme – und verursachen dadurch erheblichen Schaden. Unternehmen, die Awareness gezielt stärken und klare Verifikationsprozesse etablieren, reduzieren dieses Risiko erheblich.

Sicherheit endet nicht bei der Technik – sie beginnt in der Kommunikation.