Was passiert, wenn ein Programm versucht, auf Identitätsdaten zuzugreifen, auf die es keinen Zugriff haben sollte?
Kurze Antwort: Es hängt davon ab, ob das Programm vertrauenswürdig ist und ob es kompromittiert wurde. Eine legitime Anwendung, die lediglich über ihre Befugnisse hinausgeht, erhält gefälschte Daten oder wird stillschweigend abgewiesen. Eine unbekannte oder kompromittierte Anwendung wird abgelehnt oder suspendiert. Die echten Anmeldedaten werden in keinem dieser Fälle preisgegeben.
Warum eine einzige Reaktion falsch wäre
Der naheliegende Ansatz lautet: „Alles blockieren, was einen Credential Store berührt.“ In der Praxis scheitert dies sofort, denn legitime Software greift ständig auf solche Speicher zu — Browser, Passwort-Manager, VPN-Clients, Sync-Tools und Backup-Agenten haben allesamt echte Gründe, dort präsent zu sein.
Alles zu blockieren würde das System lahmlegen. Alles Vertrauenswürdige zuzulassen bedeutet, dass ein ausgenutzter Browser bekommt, was er anfordert. Die entscheidende Frage ist enger gefasst: Verhält sich dieses Programm so, wie es sollte?
Die vier möglichen Ergebnisse
1. Zugelassen. Eine bekannte, nicht kompromittierte Anwendung greift auf das zu, was sie legitimerweise benötigt. Es ändert sich nichts.
2. Gefälschte Daten werden zurückgegeben. Eine bekannte, nicht kompromittierte Anwendung überschreitet ihren zulässigen Zugriffsbereich. Es gelten die Verhaltensregeln zum Datenschutz: Das Programm erhält plausible, aber falsche Daten. Es läuft normal weiter, und die echten Anmeldedaten verlassen niemals den Speicher. Aus Sicht des Programms ist nichts fehlgeschlagen — genau deshalb funktioniert dies, ohne Arbeitsabläufe zu stören.
3. Zugriff verweigert. Dieselbe Situation, in der die Rückgabe gefälschter Daten nicht angemessen ist. Die Anfrage wird abgelehnt; die Anwendung läuft weiter.
4. Abgelehnt oder suspendiert. Das Programm ist unbekannt, oder ein bekanntes Programm zeigt in seinem Prozess oder seinen Bibliotheken Anzeichen einer Kompromittierung. Hier geht es nicht um Überschreitung von Befugnissen, sondern darum, dass das Programm nicht mehr wie es selbst agiert. Ob es abgelehnt oder suspendiert wird, hängt von der Einschätzung der Verhaltens-Engine und Ihren konfigurierten Einstellungen ab.
Warum Täuschung statt Blockierung
Die Rückgabe gefälschter Daten ist eine bewusste Entscheidung. Eine blockierte Anfrage signalisiert einem Angreifer, dass er entdeckt wurde, und veranlasst ihn, einen anderen Weg zu versuchen. Gefälschte Daten, die echt aussehen, tun dies nicht — das eingesetzte Tool arbeitet mit Anmeldedaten weiter, die nichts entsperren, und der Angreifer bemerkt möglicherweise über längere Zeit nicht, dass etwas nicht stimmt.
Dies ist dasselbe Prinzip, das auch Canary-Dateien in der Ransomware-Abwehr zugrunde liegt: dem Angreifer etwas Überzeugendes zum Ergreifen geben, das Sie selbst nichts kostet.
Konfigurierbarkeit
Die Grenze zwischen Ablehnung und Suspendierung ist einstellbar. Umgebungen mit geringer Toleranz gegenüber Unterbrechungen — klinische Systeme, Produktionslinien — können stärker auf Verweigerung und gefälschte Daten anstelle von Suspendierung setzen, während hochsichere Umgebungen aggressiver vorgehen können.