Tailgating-Angriffe in der Cybersecurity: Herausforderungen & Prävention

Was ist ein Tailgating-Angriff?

Eine fremde Person mit zwei Kartons Druckerpapier nähert sich Ihrem Mitarbeiter am Eingang mit Kartenleser. Ihr Mitarbeiter hält die Tür auf. In diesen drei Sekunden der Höflichkeit werden sämtliche Firewall-Regeln, Richtlinien zur Netzwerksegmentierung und Perimeterschutzmaßnahmen umgangen. Der Angreifer ist im Gebäude. Nur mehrstufige physische Sicherheitsmaßnahmen und Endpoint-Schutz können die folgende Angriffskette stoppen.

Ein Tailgating-Angriff ist eine physische Social-Engineering-Technik, bei der eine unbefugte Person einer berechtigten Person dicht durch einen gesicherten Zugang folgt und so in einen geschützten Bereich gelangt. Der Angreifer nutzt menschliches Verhalten statt technischer Schwachstellen aus, um physische Zugangskontrollen vollständig zu umgehen.

Eine eng verwandte Technik, Piggybacking, unterscheidet sich in einem entscheidenden Punkt: Die berechtigte Person lässt die unbefugte Person wissentlich eintreten. Beim Tailgating bemerkt sie den Vorgang nicht. Beim Piggybacking bringen sozialer Druck oder Täuschung sie dazu, aktiv mitzuwirken, etwa indem sie die Tür aufhält oder Zugang gewährt.

Diese Unterscheidung ist wichtig für Ihre Verteidigungsstrategie. Ein raumhohes Drehkreuz verhindert Tailgating, kann aber nicht verhindern, dass zwei Personen gemeinsam eine Schleuse betreten. Eine Kultur des Hinterfragens wirkt Piggybacking entgegen, schützt aber nicht vor unbemerktem Tailgating in einer belebten Lobby.

Warum Tailgating-Angriffe für die Cybersecurity relevant sind 

Ein Tailgating-Angriff umgeht sämtliche digitalen Kontrollen, die Sie eingerichtet haben. Hinter dem Kartenleser befindet sich der Angreifer in unmittelbarer Nähe interner Netzwerkanschlüsse, unbeaufsichtigter Arbeitsplätze, Serverräume und Verteilerräume. Perimeter-Firewalls, Netzwerksegmentierung und Zugriffsrichtlinien sind wirkungslos, wenn jemand direkt neben dem geschützten System steht.

MITRE ATT&CK berücksichtigt dieses Risiko ausdrücklich. Die Taktik TA0043 (Reconnaissance) umfasst das Sammeln von Daten zum physischen Standort des Opfers durch Gegner zur Vorbereitung eines Angriffs. Von dort aus führt die Kill Chain zu Techniken wie T1200 (Hardware Additions) und T1091 (Replication Through Removable Media). So kann ein einziger physischer Zutritt zu einer umfassenden Kompromittierung der IT führen.

Im Gebäude verfügt der Angreifer über dieselben Zugangsmöglichkeiten wie ein böswilliger Insider. Ihr Endpoint-Schutz ist dann die letzte wirksame Verteidigungslinie. Weil physische und digitale Risiken hier zusammenkommen, erfordert Tailgating dieselbe konsequente Abwehr wie ein netzwerkbasierter Angriffsweg.

Kernelemente eines Tailgating-Angriffs

Jeder Tailgating- oder Piggybacking-Vorfall beruht auf denselben ausnutzbaren Elementen. Wenn Sie diese kennen, erkennen Sie Lücken in Ihrer eigenen Verteidigung.

• Eine Zugangskontrollstelle mit Personenverkehr. Gesicherte Türen, Eingänge mit Kartenlesern, Lobbys mit Drehkreuzen und Laderampen bieten Angriffsmöglichkeiten. Je höher der Personenverkehr, desto leichter geht ein Angreifer in der Menge unter.
• Eine berechtigte Person, die unwissentlich den Zutritt verschafft. Der Angreifer braucht jemanden mit legitimer Zutrittsberechtigung, der die Tür öffnet, sich mit seiner Karte am Lesegerät ausweist oder einfach vorausgeht. Beim Piggybacking wird diese Person durch soziale Manipulation zur aktiven Mithilfe gebracht.
• Ein psychologischer Hebel. CISA-Leitlinien beschreiben mehrere davon: Hilfsbereitschaft, Respekt vor vermeintlicher Autorität, Vermeidung von Konfrontationen und Zeitdruck. Angreifer kombinieren diese Hebel. Eine Person in Technikeruniform, die schweres Gerät trägt und auf einen knappen Termin verweist, nutzt drei psychologische Auslöser gleichzeitig aus.
• Ein Vorwand oder eine Tarnung. Häufige Vorwände sind ein neuer Mitarbeiter ohne aktivierten Ausweis, ein Lieferfahrer, ein Wartungstechniker oder ein Besucher, dessen Begleitperson sich verspätet. Requisiten wie Klemmbretter, Werkzeugtaschen und geliehene Schlüsselbänder verstärken die Täuschung.
• Eine Lücke in physischen oder organisatorischen Kontrollen. Das kann eine Schwenktür sein, die nicht nur eine Person gleichzeitig durchlässt, ein Wachposten, der sich durch Social Engineering manipulieren lässt, oder eine Richtlinie, die nur auf dem Papier besteht und nicht umgesetzt wird.

Diese Elemente greifen ineinander. Wenn Sie eines davon durch physische Barrieren, Schulungen oder die konsequente Umsetzung von Verfahren beseitigen, unterbrechen Sie die Angriffskette.

So funktionieren Tailgating-Angriffe

Angreifer kombinieren diese Elemente zu konkreten Methoden mit vorhersehbaren Mustern. Die folgenden Techniken setzen Penetrationstester und Angreifer in der Praxis immer wieder ein.

• Der "Hände voll"-Ansatz. Der Angreifer trägt Kartons, Essenstabletts oder Ausrüstung. Aus Höflichkeit hält Ihr Mitarbeiter die Tür auf.
• Vortäuschen einer Identität. Als Techniker, Kurier oder Reinigungskraft gekleidet, nähert sich der Angreifer selbstbewusst einem Eingang.
• Der Vorwand des "neuen Mitarbeiters". Der Angreifer behauptet, sein Ausweis sei noch nicht aktiviert, und bittet einen Mitarbeiter, ihn hereinzulassen. Diese Variante nutzt Hilfsbereitschaft und die Glaubwürdigkeit von Verzögerungen beim Onboarding aus.
• Ausnutzen von Raucherbereichen und Pausenräumen. Angreifer halten sich in der Nähe informeller Treffpunkte auf, an denen Mitarbeiter Gebäude ohne formelle Überprüfung wieder betreten.
• Social Engineering gegenüber Sicherheitspersonal. Manche Angreifer umgehen die Tür vollständig und nehmen den besetzten Sicherheitsempfang ins Visier.

Jede Methode zielt auf eine bestimmte Lücke in physischen oder organisatorischen Kontrollen. Das erklärt, warum diese Angriffe so häufig erfolgreich sind.

Warum Tailgating-Angriffe erfolgreich sind

Tailgating-Angriffe bleiben aus strukturellen, psychologischen und organisatorischen Gründen wirksam.

1. Höflichkeit setzt sich gegen Sicherheitsschulungen durch. Ihre Mitarbeiter wissen, dass sie laut Richtlinie niemandem die Tür aufhalten sollen. Sie tun es trotzdem. Jemanden anzusprechen, der ein berechtigter Kollege sein könnte, erscheint in diesem Moment unangenehmer als das abstrakte Risiko einer Sicherheitsverletzung. Schulungen allein können diese tief verankerte Verhaltensnorm nicht überwinden.
2. Unternehmen investieren oft zu wenig in Kontrollen, deren Notwendigkeit ihnen bewusst ist. Durch diese Lücke zwischen Wissen und Handeln fehlen ausgerechnet an den entscheidenden Eingängen oft die Maßnahmen, die Tailgating am ehesten verhindern würden.
3. Unternehmen erfassen Tailgating-Vorfälle nicht immer. Was Sie nicht messen, können Sie nicht wirksam abwehren. Ohne Vorfallsdaten können Sie gegenüber der Unternehmensführung auch kein Budget für Kontrollen begründen.
4. Herkömmliche Zutrittskontrollsysteme haben einen blinden Fleck. Die meisten physischen Zutrittskontrollsysteme an Anschlagtüren können nicht bestätigen, ob eine Person nach dem Vorzeigen ihres Ausweises das Gebäude tatsächlich betreten hat. Ohne Kontrollen, die den Durchgang auf eine Person beschränken, lässt sich nur schwer mit Gewissheit feststellen, wer sich im Gebäude befindet.
5. Piggybacking nutzt Vertrauensbeziehungen aus. Wenn die zutrittsberechtigte Person aktiv mitwirkt, stoßen selbst ausgefeilte Identifikationssysteme an ihre Grenzen. Betreten zwei Personen gemeinsam eine Personenschleuse, umgehen sie die Annahme, auf der viele physische Kontrollen beruhen: dass sich nur eine Person darin befindet.

Diese Faktoren verstärken sich gegenseitig: Unternehmen, die Vorfälle nicht erfassen, können die Installation von Barrieren nicht begründen. So sind Mitarbeiter an unkontrollierten Eingängen ständig sozialem Druck ausgesetzt.

Herausforderungen bei der Verhinderung von Tailgating

Selbst Unternehmen, die das Tailgating-Risiko erkennen, stehen bei der Umsetzung von Schutzmaßnahmen vor echten Hindernissen.

1. Durchsatz versus Sicherheit. Personenschleusen und Sicherheitsdrehtüren lassen jeweils nur eine Person durch, verlangsamen aber den Zutritt. Zu Stoßzeiten erzeugt das Druck, Kontrollen zu lockern. Genau dann ist das Tailgating-Risiko am höchsten.
2. Das Piggybacking-Problem erfordert einen Kulturwandel. Physische Barrieren können unbemerktes Tailgating verhindern. Sie können jedoch nicht verhindern, dass ein Mitarbeiter freiwillig die Tür aufhält. Gegen Piggybacking braucht es eine Kultur, in der Mitarbeiter unbekannte Personen überprüfen sollen und sich dabei sicher fühlen. Das ist eine organisatorische Veränderung, kein Technologiekauf.
3. Teams für physische Sicherheit und Cybersecurity arbeiten getrennt voneinander. In den meisten Unternehmen berichtet die physische Sicherheit an das Gebäudemanagement, die Cybersecurity hingegen an den CIO oder CISO. Aufgrund dieser strukturellen Trennung fließen Daten zu physischen Sicherheitsverletzungen selten in Cyberrisikobewertungen ein, und Cyber Threat Intelligence beeinflusst selten Entscheidungen zur physischen Sicherheitslage. Das Ergebnis ist eine fragmentierte Reaktion auf ein zusammenhängendes Risiko.
4. Erkennung ist keine Prävention. Optische Drehkreuze und Sensoren zur Tailgating-Erkennung lösen erst nach dem Zutritt Alarm aus. Zu wissen, dass jemand unbefugt gefolgt ist, ist nicht dasselbe, wie ihn aufzuhalten.

Diese strukturellen Herausforderungen erklären, warum selbst sicherheitsbewusste Unternehmen bei ihren Maßnahmen gegen Tailgating vorhersehbare Fehler machen.

Häufige Fehler bei der Abwehr von Tailgating

Diese dokumentierten Fehler treten in Sicherheitsprogrammen von Unternehmen immer wieder auf.

1. Tailgating und Piggybacking als dasselbe Problem behandeln. Sie erfordern unterschiedliche Gegenmaßnahmen. Drehkreuze ohne begleitende Schulungen verhindern Tailgating, lassen Piggybacking aber weiterhin zu.
2. Physische Lücken an gesicherten Eingängen offenlassen. Unternehmen können in Zutrittskontrollen investieren und dennoch alternative Wege daran vorbei offenlassen. Das untergräbt das gesamte System.
3. Annehmen, dass Ausweisleser Tailgating verhindern. Herkömmliche Systeme prüfen Berechtigungen, können aber nicht bestätigen, dass keine zweite Person durch die Tür gefolgt ist. Ein erfasster Ausweis bedeutet nicht, dass nur eine Person durchgegangen ist.
4. Sich primär auf Alarme bei offengehaltenen Türen verlassen. Alarme melden den Vorfall erst nach dem Zutritt. Ignorieren Mitarbeitende den Alarm oder reagieren sie nicht, kann sich die unbefugte Person frei bewegen.
5. Verzicht auf Red-Team-Tests physischer Kontrollen. Ohne Tests bleibt Ihre Sicherheitslage ungewiss.
6. Ignorieren der Cyberfolgen eines physischen Sicherheitsvorfalls. Wer physischen Zutritt nicht mit Risiken für Endpunkte, Netzwerk und Identitäten verknüpft, lässt die gesamte Angriffskette außer Acht.

Wenn Sie diese Fehler vermeiden, schaffen Sie die Grundlage für ein mehrschichtiges Verteidigungsprogramm gegen unbefugtes Folgen und Mitgehen.

So verhindern Sie Angriffe durch unbefugtes Folgen

Bauen Sie Ihre Verteidigung mehrschichtig auf und passen Sie die Kontrollen an die Sensibilität der jeweiligen Zone an.

• Setzen Sie physische Barrieren ein, die nur jeweils eine Person passieren lassen. Sicherheitsschleusen und Vereinzelungsanlagen bieten den stärksten Schutz. Priorisieren Sie diese in Serverräumen,Rechenzentren und Bereichen der Unternehmensführung.
• Schaffen Sie eine Kultur des Nachfragens, nicht nur eine Richtlinie. Schriftliche Vorgaben, Türen nicht für andere aufzuhalten, sind notwendig, reichen aber nicht aus. Schulen Sie Mitarbeitende zu Szenarien des unbefugten Folgens und Mitgehens. Bieten Sie der Unternehmensführung und Systemadministratoren gezielte Schulungen an.
• Führen Sie ein Besuchermanagement gemäß ISO 27001 Anhang A 7.2 ein. Dokumentieren Sie jeden Besuch nachprüfbar. Beschränken Sie den Zutritt von externen Dienstleistern auf bestimmte autorisierte Bereiche und Zeiträume. Verbinden Sie Ihr Besuchermanagementsystem mit HR-Datenbanken und Ausweislesegeräten.
• Testen Sie Ihre physischen Kontrollen regelmäßig mit Red-Teams. NIST SP 800-53 verlangt für HIGH-Sicherheitsbaselines unangekündigte Versuche, physische Zutrittskontrollen zu umgehen. Physische Penetrationstests decken Lücken zwischen Ihren dokumentierten Kontrollen und Ihrer tatsächlichen Sicherheitslage auf.
• Verknüpfen Sie physische Zutrittsdaten mit Ihren Sicherheitsabläufen. Speisen Sie Protokolle von Ausweislesegeräten, Alarme bei unbefugtem Folgen und Daten aus dem Besuchermanagement in Ihr SIEM oder Ihre Sicherheitsoperationsplattform ein. Wenn ein Alarm bei unbefugtem Folgen mit auffälligem Endpunktverhalten auf derselben Etage korreliert, kann Ihr SOC auf die gesamte Angriffskette reagieren, statt jedes Ereignis isoliert zu behandeln.
• Wenden Sie Zero-Trust-Prinzipien auf die physische Anwesenheit an. Die Anwesenheit in einem Gebäude darf keinen automatischen Netzwerkzugriff gewähren. Kontinuierliche Überprüfung des Gerätestatus, Durchsetzung minimaler Berechtigungen und Mikrosegmentierung stellen sicher, dass eine unbefugte Person selbst an einem Netzwerkanschluss nicht auf Unternehmensressourcen zugreifen kann, ohne die Anforderungen an Identität und Gerätestatus zu erfüllen.

Diese mehrschichtigen Kontrollen reduzieren das Risiko unbefugten Folgens erheblich, doch keine physische Verteidigung ist perfekt. Gelangt eine angreifende Person dennoch hinein, verlagert sich der Angriff von der physischen in die digitale Umgebung. Dann greifen andere Kontrollen.

Die Angriffskette vom physischen Zutritt zum Cyberangriff

Physischer Zutritt eröffnet konkrete Wege für Cyberangriffe. Wer diese Wege kennt, kann Kontrollen für Endpunkte und Identitäten gezielt priorisieren.

1. Einschleusen von Malware per USB (MITRE T1091). Eine unbefugte Person erreicht einen unbeaufsichtigten Arbeitsplatzrechner, schließt ein präpariertes USB-Gerät an und startet die Ausführung ohne Interaktion auf Netzwerkebene. Ihre Perimeter-Firewalls sehen diesen Datenverkehr nicht.
2. Auslesen von Anmeldedaten (MITRE T1003.001). Auf einem physisch zugänglichen Endpunkt setzt eine angreifende Person Tools zum Abgreifen von Anmeldedaten gegen den lokalen Speicher ein. Daraus entsteht eine Rechteausweitung vom einzelnen Arbeitsplatzrechner bis hin zu Anmeldedaten, die Zugriff auf kritische Infrastruktur gewähren.
3. Installation eines nicht autorisierten Geräts (MITRE T1200). Eine unbefugte Person verbindet einen nicht autorisierten WLAN-Zugangspunkt mit einem internen Netzwerkanschluss in einem Konferenzraum oder unverschlossenen Verteilerraum. So erhält die angreifende Person von außerhalb des Gebäudes dauerhaften drahtlosen Zugriff auf Ihr internes Netzwerk.

In jedem Szenario ist der Endpunkt die letzte Kontrollebene. Perimeter-Firewalls und Netzwerkzugangskontrollen prüfen keine Aktivitäten, die von einem regulär verbundenen internen Rechner ausgehen. Damit ist Endpunktsicherheit nach einem physischen Sicherheitsvorfall die letzte Verteidigungslinie.

Verringern Sie das Identitätsrisiko in Ihrer gesamten Organisation

Erkennen und reagieren Sie auf Angriffe in Echtzeit mit ganzheitlichen Lösungen für Active Directory und Entra ID.

Demo anfordern

Das Wichtigste auf einen Blick

Angriffe durch unbefugtes Folgen und Mitgehen umgehen Ihre gesamte digitale Sicherheitsarchitektur, indem sie menschliches Verhalten an physischen Zutrittspunkten ausnutzen. 

Die Abwehr unbefugten Folgens erfordert mehrschichtige physische Barrieren, Mitarbeitende, die unbefugten Zutritt hinterfragen, Red-Team-Tests und Endpunktsicherheit als letzte Verteidigungslinie, wenn physische Kontrollen versagen.