Schritt-für-Schritt-Anleitungen
Was nach jedem Ojava-Alarm zu tun ist: was passiert ist, wie ernst es ist, die genauen Schritte in Microsoft 365, Google Workspace oder Windows, und wann Sie Ihren IT-Dienstleister rufen.
Der E-Mail-Schutz Ihrer Domain wurde schwächer
Der SPF- oder DMARC-Eintrag Ihrer E-Mail-Domain wurde entfernt oder abgeschwächt. Diese Einträge sagen anderen Mailservern, welche E-Mails wirklich von Ihnen stammen; ohne sie kann jeder E-Mails senden, die wie Ihre aussehen (gefälschte Rechnungen, geänderte Bankdaten).
Microsoft 365 · Google Workspace
Anmeldungen von zwei zu weit entfernten Orten
Dasselbe Konto hat sich von zwei Orten angemeldet, zwischen denen in dieser Zeit niemand reisen kann. Meist hat jemand anderes das Passwort.
Microsoft 365 · Google Workspace
Wiederholt gescheiterte Bestätigungen
Jemand hat das richtige Passwort eingegeben, ist aber mehrmals am zweiten Schritt gescheitert. Das Passwort ist wohl einem Angreifer bekannt; nur der zweite Schritt hat ihn gestoppt.
Microsoft 365 · Google Workspace
E-Mails nach aussen weitergeleitet
Eine Regel oder Einstellung schickt die E-Mails dieser Person jetzt an eine externe Adresse. Angreifer tun das, um Rechnungen und Zahlungen mitzulesen und in ihrem Namen zu antworten.
Microsoft 365 · Google Workspace
Admin-Rechte vergeben
Jemand hat eine Admin-Rolle erhalten. Damit kann er in Ihrem Microsoft 365 oder Google Workspace alles ändern, auch Passwörter anderer.
Microsoft 365 · Google Workspace
Eine App darf E-Mails oder Dateien lesen
Jemand hat einer fremden App erlaubt, E-Mails zu lesen oder zu senden oder Dateien zu lesen. Schädliche Apps kopieren so alles ohne Passwort.
Microsoft 365 · Google Workspace
Jemand versucht ein Passwort zu erraten
Viele falsche Passwörter wurden in kurzer Zeit an einem Konto versucht. Solange die Bestätigung in zwei Schritten aktiv ist, ist das Konto meist sicher; ein schwaches oder wiederverwendetes Passwort macht es dringend.
Microsoft 365 · Google Workspace
Viele Dateien auf einmal heruntergeladen
Ein Konto hat in kurzer Zeit ungewöhnlich viele Dateien heruntergeladen. Das kann legitim sein (ein neuer Laptop) oder jemand kopiert Ihre Daten.
Microsoft 365 · Google Workspace
Eine neue Bestätigungsmethode wurde hinzugefügt
Ein Telefon, eine App oder ein Schlüssel wurde zur Bestätigung in zwei Schritten eines Kontos hinzugefügt. Normal, wenn jemand ein neues Telefon einrichtet; gefährlich, wenn es jemand anderes tat oder direkt nach einer Anmeldung aus einem neuen Land: So behält ein Angreifer den Zugang.
Microsoft 365 · Google Workspace
Jemand hat Zugriff auf ein Postfach erhalten
Eine Person (oder eine externe Adresse) kann jetzt das Postfach einer anderen öffnen oder in ihrem Namen senden. Assistenzen brauchen das; Angreifer lesen und senden so unbemerkt.
Microsoft 365 · Google Workspace
Eine Regel versteckt E-Mails
Eine Regel löscht Nachrichten, markiert sie als gelesen oder verschiebt sie in einen Ordner, den niemand öffnet. Angreifer verstecken so Antworten von Kunden oder Warnungen der Bank.
Microsoft 365 · Google Workspace
Viele Dateien nach aussen geteilt
Eine Person hat innert einer Stunde viele Dateien mit externen Adressen geteilt oder öffentlich gemacht. Das kann ein Projekt sein oder jemand, der Ihre Daten mitnimmt.
Microsoft 365 · Google Workspace
Eine gestohlene Anmeldesitzung
Das Konto wurde von einem gemieteten Server oder aus zwei Ländern in derselben Sitzung genutzt. Phishing-Seiten kopieren die Sitzung nach der Anmeldung und umgehen so auch die Bestätigung in zwei Schritten.
Microsoft 365 · Google Workspace
Ein Konto wird übernommen
Mehrere Zeichen kamen zusammen: eine Anmeldung aus einem neuen Land, gefolgt von einer neuen Bestätigungsmethode, einer Postfachregel, Postfachzugriff oder Massenfreigaben. So sichern Angreifer ein gestohlenes Konto, bevor sie damit betrügen.
Microsoft 365 · Google Workspace
Anmeldung aus einem ungewohnten Land
Jemand hat sich aus einem Land angemeldet, aus dem Ihr Team sich sonst nicht anmeldet. Oft eine Reise; manchmal ein gestohlenes Passwort. Unterwegs? Nutzen Sie «Ich bin auf Reisen» in Ojava, damit diese Anmeldungen tiefer eingestuft werden.
Microsoft 365 · Google Workspace
Passwort-Rateversuche auf einem PC
An diesem PC wurden viele falsche Windows-Passwörter versucht. Jemand an der Tastatur oder ein Programm im Netz versucht hineinzukommen.
Windows-PC
Ein Windows-Werkzeug hat Code geladen oder ausgeführt
Ein eingebautes Windows-Werkzeug (PowerShell o. Ä.) hat Code auf eine für Angriffe typische Weise geladen oder ausgeführt. Oft nach einem schädlichen Anhang oder Link.
Windows-PC
Windows Defender ausgeschaltet
Der Virenschutz des PCs ist aus. Angreifer schalten ihn zuerst aus; manchmal war es ein anderes Antivirenprogramm oder eine Einstellung.
Windows-PC
Windows-Firewall ausgeschaltet
Die Firewall des PCs ist aus: Programme im Netz erreichen ihn direkt.
Windows-PC
Ein Programm startet von selbst
Ein neuer Autostart-Eintrag, eine geplante Aufgabe oder ein Dienst wurde angelegt. Installationen tun das auch; Angreifer kommen so nach einem Neustart zurück.
Windows-PC
Ransomware-ähnliche Aktivität
Viele Dateien wurden sehr schnell geändert, umbenannt oder gelöscht, Sicherungen wurden gelöscht, oder eine von Ojava abgelegte versteckte Köderdatei wurde verändert. So verschlüsselt Ransomware Dateien, bevor sie Geld verlangt.
Windows-PC
Ein bekanntes Schadprogramm oder eine Verbindung
Ein für Angriffe bekanntes Programm lief, oder der PC hat sich mit einer Adresse von Angreifern verbunden.
Windows-PC
USB-Speicher angeschlossen
Ein USB-Stick oder eine Platte wurde angeschlossen. Meist harmlos; damit kann Schadsoftware herein- oder Daten hinausgelangen.
Windows-PC
Ein Werkzeug wollte Windows-Passwörter stehlen
Ein Programm hat den Teil von Windows gelesen, der Passwörter enthält. Angreifer tun das, um von einem PC zu den anderen zu gelangen.
Windows-PC
Sicherheitsprotokollierung ausgeschaltet
Die Sicherheitsprotokolle von Windows wurden ausgeschaltet oder gelöscht, manchmal gefolgt von Datenabfluss. Angreifer verwischen so ihre Spuren.
Windows-PC
Jemand intern nimmt vielleicht Daten mit
Ojava sah eine Kombination von Zeichen (Schutz aus, USB-Speicher, viele kopierte Dateien), die zu jemandem passt, der Daten mitnimmt. Sprechen Sie mit der Person, bevor Sie Schlüsse ziehen.
Windows-PC