Social Engineering Angriffe – Welche Mittel Kriminelle nutzen

Das menschliche Verhalten zählt zu den größten Risiken für die Sicherheit eines Unternehmens. Social Engineering hat sich mittlerweile zu einer der größten Bedrohungen für die Sicherheit von Unternehmen entwickelt. 

Dieser Artikel erläutert den Begriff des Social Engineerings, gibt einen umfassenden Überblick über verschiedene Angriffstechniken und zeigt präventive Maßnahmen auf, um sich wirksam vor diesen Bedrohungen zu schützen.

Was versteht man unter Social Engineering?

Unter Social Engineering versteht man alle Angriffe auf Informationssysteme, bei denen die Nutzer dieser Systeme durch gezielte psychologische Manipulation beeinflusst werden. Das Hauptziel solcher Angriffe besteht darin, Mitarbeitern vertrauliche und oft sehr sensible Informationen zu entlocken. 

Dabei ist es nicht unbedingt erforderlich, dass der Angreifer und das Opfer direkt miteinander in Kontakt treten. Auch das Versenden von Phishing-E-Mails oder das Anlegen gefälschter Webseiten zählen zu den gängigen Methoden des Social Engineerings. Durch den geschickten Einsatz von Täuschung und Manipulation versuchen die Angreifer, ihre Opfer dazu zu bringen, Informationen preiszugeben, die sie normalerweise nicht ohne Weiteres herausgeben würden.

Wer sind die Zielpersonen solcher Angriffe?

Social Engineering ist zu einer der größten Bedrohungen für alle Arten von Unternehmen geworden, indem es gezielt die menschliche Natur ausnutzt. Menschen neigen dazu, freundlich zu sein, in Notsituationen zu helfen oder bei der Lösung von Problemen mitzuwirken. 

Einige Menschen haben Schwierigkeiten damit, Bitten abzulehnen, während andere in unbekannten Situationen aus Angst vor Fehlern vorschnell handeln. Diese menschlichen Verhaltensweisen machen Angreifer sich zunutze, um an Informationen zu gelangen. 

Jeder, der über Informationen verfügt, die für den Angreifer von Interesse sein könnten, kann Opfer eines solchen Angriffs werden. Dabei beschränkt sich der betroffene Personenkreis nicht nur auf Mitarbeiter in IT-Abteilungen oder Sekretariaten. Häufig werden sensible Daten auch in fingierten Kundengesprächen, auf Messen oder direkt von Führungskräften erlangt.

Verschiedene Formen des Social Engineerings

Es gibt eine Vielzahl von Social Engineering-Taktiken. Der Erfolg dieser Angriffe basiert jedoch immer darauf, dass die Menschlichkeit der ausgewählten Opfer ausgenutzt wird. Nachfolgend werden einige der gängigsten Methoden näher erläutert.

Pretexting – Vorwand als Angriffsmittel

Pretexting ist eine Social-Engineering-Technik, bei der Angreifer durch erfundene, glaubhafte Geschichten Zugang zu sensiblen Informationen erlangen. Sie täuschen oft eine Verbindung zum Unternehmen vor, beispielsweise als IT-Mitarbeiter, um Login-Daten zu erhalten. Die Opfer glauben, einer legitimen Anfrage nachzukommen, da das Szenario geschickt auf ihre Situation abgestimmt ist.

• Ziel: Zugang zu sensiblen Daten
• Methode: Glaubhafte, erfundene Szenarien
• Beispiel: Falsche IT-Mitarbeiteranfragen

Tailgating – Physischer Zugang durch Täuschung

Social Engineering umfasst physische Angriffe wie Tailgating, bei dem es um unbefugten Zugang zu Gebäuden geht. Angreifer geben sich als Lieferfahrer aus oder behaupten, ihre Zugangskarte vergessen zu haben, um sich hineinzuschleichen. Diese Methode ermöglicht es ihnen, sich frei im Unternehmen zu bewegen und sensible Bereiche zu betreten.

• Ziel: Zugang zu Gebäuden
• Methoden: Als Lieferfahrer ausgeben, Zugangskarte vergessen vortäuschen
• Gefahr: Zugang zu sensiblen Bereichen

Phishing – Täuschung durch gefälschte Kommunikation

Phishing ist eine Social-Engineering-Technik, bei der Angreifer sich als vertrauenswürdige Quelle ausgeben, um Opfer zur Preisgabe sensibler Daten zu bewegen. Typischerweise werden täuschend echte E-Mails mit schädlichen Links verschickt. 

Diese führen zu gefälschten Webseiten, wo eingegebene Daten „abgefischt“ werden. Anzeichen sind unpersönliche Anreden, zeitlicher Druck und die Aufforderung zur Preisgabe vertraulicher Informationen.

• Ziel: Sensible Daten erlangen
• Methoden: Gefälschte E-Mails, täuschend echte Webseiten
• Anzeichen: Unpersönliche Anreden, zeitlicher Druck

Spear-Phishing – Präzise Angriffe auf Einzelziele

Spear-Phishing ist eine gezielte Form des Phishings, die sich auf ein bestimmtes Unternehmen oder eine Person konzentriert. Im Gegensatz zu Massen-Phishing nutzen Angreifer personalisierte Informationen, um Vertrauen zu gewinnen und die Erfolgsrate zu erhöhen. 

Die E-Mails sind speziell auf die Situation des Empfängers zugeschnitten, was oft dazu führt, dass sensible Informationen preisgegeben oder unbewusst Zugang zu Systemen gewährt wird.

• Ziel: Phishing-Angriff auf spezifische Personen oder Unternehmen
• Merkmale: Personalisierte Informationen, Vertrauenserweckende E-Mails
• Gefahr: Höhere Erfolgsrate durch Personalisierung

CEO-Fraud – Betrug im Namen der Führungsebene

CEO-Fraud, auch als Chef-Trick bekannt, ist eine Social-Engineering-Methode, bei der Angreifer sich als Führungskräfte ausgeben, um vertrauliche Informationen zu erlangen. Durch gefälschte E-Mails oder Anrufe wird Druck auf Opfer ausgeübt, schnell zu handeln. Die Gründlichkeit der Vorbereitung und gezielte Täuschung machen es schwierig für Mitarbeiter, den Betrug zu erkennen.

• Ziel: Vertrauliche Informationen erlangen durch Vorspiegelung falscher Tatsachen
• Methoden: Gefälschte E-Mails oder Anrufe, Druck ausüben
• Gefahr: Authentische Täuschung durch gründliche Vorbereitung

Baiting – Lockvögel im Sicherheitskontext

Baiting nutzt die Neugier oder Gier von Opfern, indem es physische oder digitale Köder mit Schadsoftware einsetzt. Ein typisches Beispiel sind USB-Sticks an öffentlichen Orten, die interessante Daten versprechen. Sobald sie angeschlossen sind, wird Malware aktiviert. Ähnlich funktionieren Download-Links, die vermeintliche Gratisinhalte bieten und dadurch Systeme kompromittieren.

• Ziel: Systemkompromittierung
• Methoden: Infizierte USB-Sticks, verlockende Download-Links
• Lockmittel: Versprechen eines Vorteils

Quid pro quo – Austausch zum Nachteil des Opfers

Quid pro quo-Angriffe basieren auf dem Austausch von Informationen gegen vermeintliche Vorteile. Angreifer bieten Belohnungen im Gegenzug für sensible Daten, oft durch Imitation eines IT-Servicemitarbeiters. 

Ein Beispiel ist das Bitten, Sicherheitsfunktionen zu deaktivieren für ein angebliches Update. Diese Angriffe zielen auf das Vertrauen in den Service und die versprochenen Vorteile.

• Ziel: Zugang zu sensiblen Daten
• Methoden: Versprechen von Belohnungen, Imitation von Servicemitarbeitern
• Gefahr: Vertrauen in angebotene Vorteile

Schutzmaßnahmen gegen Social Engineering

Um sich gegen Social Engineering zu schützen, ist es wichtig, dass alle Mitarbeiter eines Unternehmens sich darüber bewusst sind, dass sie Zugang zu sensiblen Informationen haben und entsprechend verantwortungsvoll handeln. Bereits kleine Veränderungen in der täglichen Arbeitsroutine können einen erheblichen Beitrag zum Schutz von Unternehmensinformationen leisten.

Vertrauliche Gespräche nicht in der Öffentlichkeit führen

Es ist nicht ungewöhnlich, dass Menschen in öffentlichen Verkehrsmitteln oder an anderen öffentlichen Orten lautstarke Telefongespräche führen, ohne sich der möglichen Risiken bewusst zu sein. Dabei kann es vorkommen, dass sie ungewollt sensible Informationen preisgeben, die für Umstehende interessant sein könnten. 

Unternehmen sollten daher sicherstellen, dass vertrauliche Gespräche nicht in der Öffentlichkeit geführt werden. Falls dies unvermeidlich ist, sollte zumindest darauf geachtet werden, dass keine unbeteiligten Dritten mithören können. Eine weitere Möglichkeit ist es, sich an einen ruhigeren, abgelegeneren Ort zurückzuziehen oder das Gespräch so zu führen, dass keine Details nach außen dringen.

Vorsicht: Social Engineering und seine Bedeutung bei der Nutzung sozialer Medien

Social Media ist ein wertvolles Werkzeug, um Informationen auszutauschen und in Kontakt zu bleiben, aber sie können auch ein Einfallstor für Angreifer sein. Viele Menschen geben bereitwillig persönliche Informationen in sozialen Netzwerken preis, ohne sich der möglichen Gefahren bewusst zu sein. 

Angreifer nutzen diese Informationen, um gezielte Angriffe vorzubereiten oder das Vertrauen ihrer Opfer zu gewinnen. Es ist daher ratsam, mit persönlichen Daten in sozialen Medien vorsichtig umzugehen und die Privatsphäre-Einstellungen sorgfältig zu überprüfen. Mitarbeiter sollten sich bewusst sein, dass Informationen über ihren Arbeitsplatz oder ihre Position im Unternehmen von Angreifern genutzt werden könnten, um gezielte Angriffe durchzuführen.

Achtsamkeit bei E-Mails und Anhängen

Eine der größten Gefahren für die IT-Sicherheit geht von E-Mails aus, die schädliche Anhänge oder Links enthalten. Diese E-Mails können auf den ersten Blick legitim wirken, sind jedoch oft mit Malware infiziert. Mitarbeiter sollten deshalb immer vorsichtig sein, wenn sie E-Mails von unbekannten Absendern oder mit verdächtigen Betreffzeilen erhalten. 

Besonders kritisch sind Anhänge oder Links, die möglicherweise Schadsoftware enthalten könnten. Es ist ratsam, solche E-Mails nicht unbedacht zu öffnen und im Zweifelsfall den IT-Support zu konsultieren. Auch bei vermeintlich vertrauten Absendern sollte Vorsicht walten, da Angreifer häufig gefälschte E-Mail-Adressen verwenden, die denen bekannter Kontakte sehr ähnlich sehen.

Misstrauen gegenüber Unbekannten im Unternehmen

In größeren Unternehmen ist es nicht ungewöhnlich, dass man nicht alle Mitarbeiter persönlich kennt. Doch genau dieses Unwissen kann von Angreifern ausgenutzt werden. Es ist daher wichtig, dass Mitarbeiter skeptisch bleiben, wenn Unbekannte nach vertraulichen Informationen fragen, und stets deren Identität überprüfen. 

Dies gilt besonders in Situationen, in denen ungewöhnliche oder dringende Anfragen gestellt werden. Ein gesundes Maß an Misstrauen kann dazu beitragen, potenzielle Angreifer zu entlarven und das Unternehmen vor Schaden zu bewahren.

Im Zweifel lieber nachfragen

Sollten Mitarbeiter Anrufe oder E-Mails erhalten, die ihnen verdächtig vorkommen, ist es ratsam, die Identität des Anrufers zu überprüfen, bevor sensible Informationen preisgegeben werden. Eine Möglichkeit besteht darin, den Anrufer um einen Rückruf zu bitten, um in der Zwischenzeit mehr Informationen über ihn zu sammeln. 

Dies kann oft helfen, Angriffe zu verhindern, bevor sie Schaden anrichten. Auch der direkte Kontakt mit der IT-Abteilung oder dem Vorgesetzten kann dazu beitragen, verdächtige Situationen schnell zu klären.

Sensibilisierung und regelmäßige Schulungen

Die beste Prävention gegen Social Engineering ist das Bewusstsein der Mitarbeiter für diese Bedrohung. Regelmäßige Schulungen und Sensibilisierungsprogramme sind entscheidend, um das Wissen über mögliche Angriffe auf dem neuesten Stand zu halten und den Mitarbeitern die notwendigen Werkzeuge an die Hand zu geben, um im Ernstfall richtig zu reagieren. Je mehr ein Unternehmen seine Mitarbeiter schult, desto besser sind sie in der Lage, potenzielle Angriffe zu erkennen und abzuwehren.

FAQ

Wie gefährlich sind Social Engineering Attacken?

Social Engineering Attacken sind extrem gefährlich, da sie menschliche Schwächen ausnutzen und direkte Zugänge zu sensiblen Informationen ermöglichen können. Sie können erheblichen Schaden anrichten, sowohl finanziell als auch in Bezug auf den Ruf des betroffenen Unternehmens.

Welche Arten von Social Engineering Angriffen gibt es?

Zu den häufigsten Social Engineering Techniken gehören Phishing, Spear-Phishing, Pretexting, Tailgating, Baiting und CEO-Fraud. Jeder dieser Angriffe nutzt unterschiedliche Taktiken, um Zugang zu sensiblen Daten zu erhalten oder Systeme zu kompromittieren.

Wie funktioniert Social Engineering?

Social Engineering funktioniert durch psychologische Manipulation, um Menschen dazu zu bringen, vertrauliche Informationen preiszugeben. Die meisten Social Engineering-Angriffe nutzen Vertrauen, Helferinstinkt oder Druck aus, um ihre Ziele zu erreichen, oft ohne dass die Opfer Verdacht schöpfen.

Autor Anton Frank