ReliaQuest-Angriff: Vishing scheitert an Device-Trust-Kontrollen
Veröffentlicht am: 24.08.2026 um 20:34 Uhr | Redaktion boerse-global.de
Das auf Cyber-Sicherheit spezialisierte Unternehmen ReliaQuest ist am 22. August 2026 zum Ziel einer gezielten Vishing- und Social-Engineering-Kampagne geworden. Wie aus Berichten über den Vorfall hervorgeht, versuchten Angreifer durch die gezielte Manipulation eines Mitarbeiters, Zugriff auf die interne Infrastruktur zu erlangen.
Trotz eines Teilerfolgs der Täter beim Diebstahl von Anmeldedaten konnten die Sicherheitsmechanismen des Unternehmens eine Kompromittierung von Kundendaten oder tiefergehende Systemzugriffe verhindern.
Vorgehensweise durch psychologische Manipulation
Die Angreifer gingen bei ihrem Versuch hochprofessionell vor und nutzten Methoden des Social Engineering, um die internen Hürden zu umgehen. Dabei gaben sich die Akteure am Telefon als Mitglieder des hauseigenen Sicherheitspersonals aus (Vishing). Parallel dazu setzten sie eine gefälschte Single-Sign-On-Seite (SSO) ein, um die Identität des Unternehmens vorzutäuschen.
Infolge dieser Täuschung gab ein Mitarbeiter sein Passwort preis. Die Angreifer gingen daraufhin einen Schritt weiter und veranlassten den Mitarbeiter dazu, eine Aufforderung zur Multi-Faktor-Authentisierung (MFA) per Push-Benachrichtigung zu bestätigen. Damit gelang es den Tätern, die erste Hürde der Identitätsprüfung zu nehmen.
Sicherheitskontrollen verhindern Eskalation
Trotz der erfolgreichen Erlangung der Zugangsdaten blieb der Radius der Angreifer stark eingeschränkt. Nach vorliegenden Informationen erhielten die Täter lediglich einen reinen Lese-Zugriff (View-only) auf das Identity-Dashboard des betroffenen Mitarbeiters. Ein weiterführender Zugriff auf Anwendungen oder die Übernahme administrativer Funktionen sei durch sogenannte Device-Trust-Kontrollen unterbunden worden.
Der aktuelle Vorfall zeigt, wie leicht klassische Passwörter und Identitätsprüfungen durch gezielte Täuschung ausgehebelt werden können. Ein kostenloser Report erklärt die neue Passkey-Technologie, die solche Angriffe durch passwortlose Anmeldung technisch unmöglich macht. Sicher, bequem und passwortlos – Passkey-Report gratis herunterladen
Diese spezifischen Sicherheitsmechanismen prüfen, ob ein Gerät, das auf das Netzwerk zugreifen möchte, als vertrauenswürdig eingestuft und vom Unternehmen autorisiert ist.
Da die Angreifer über keine verifizierten Endgeräte verfügten, blockierten die Systeme den Zugang zu produktiven Anwendungen und verhinderten so eine Ausweitung des Angriffs. Den Berichten zufolge gelang es den Akteuren zudem nicht, eine dauerhafte Präsenz (Persistenz) im System zu etablieren.
Wer sich mit professionellen Social-Engineering-Methoden befasst, erkennt schnell das enorme Risiko für die digitale Identität. Erfahren Sie in diesem kostenlosen Leitfaden, wie Sie Ihre Konten bei Amazon, WhatsApp und Co. mit modernen Sicherheitsstandards effektiv vor unbefugtem Zugriff schützen. Kostenlosen Ratgeber für maximale Konten-Sicherheit anfordern
Keine Auswirkungen auf Kundensysteme
ReliaQuest bestätigte im Nachgang des Ereignisses, dass der versuchte Datendiebstahl fehlgeschlagen sei. Es seien zu keinem Zeitpunkt Kundendaten oder operative Systeme von dem Vorfall betroffen gewesen. Die internen Schutzwälle hätten den unautorisierten Zugriff auf der Ebene der Identitätsverwaltung isoliert.
Die Hackergruppe ShinyHunters beanspruchte den Angriff für sich. Branchenanalysen und vorliegende Beweise widersprachen jedoch den Behauptungen der Gruppe über einen erweiterten Zugriff. Es gebe keine Anhaltspunkte dafür, dass die Angreifer über die bloße Ansicht des Dashboards hinaus agieren konnten.
Der Vorfall unterstreicht die Relevanz von Device-Trust-Architekturen in modernen Sicherheitskonzepten. Selbst wenn menschliches Fehlverhalten zur Preisgabe von Passwörtern und MFA-Token führt, können gerätebasierte Verifikationsschritte verhindern, dass ein lokaler Vorfall zu einer umfassenden Datenpanne eskaliert.
ReliaQuest habe durch die zeitnahe Identifizierung und blockierung des Angriffs den Nachweis erbracht, dass mehrstufige Verteidigungsstrategien auch bei gezielten Social-Engineering-Attacken wirksam bleiben.
