Social Engineering

Der Mensch als Sicherheitsrisiko

05.07.2021 | Wenn es um Cybersicherheit geht, denken die meisten von uns an Schadsoftware oder Hackerangriffe auf Datennetze mit technologischen Mängeln. Kriminelle Täter:innen nutzen auch menschliche Schwächen aus, um Unternehmen und Netzwerke zu infiltrieren. Diese Taktik wird als Social Engineering bezeichnet: Menschen werden geschickt dazu verleitet, Informationen offenzulegen oder Zugang zu Datennetzen zu gewähren.

In Unternehmen können sich Angreifer:innen beispielsweise als IT-Support-Mitarbeiter:innen ausgeben und so Kennwörter und Benutzernamen erhalten. Viele Personen sind überraschenderweise bereit, Informationen bereitzustellen, insbesondere wenn das Individuum, mit dem Sie sprechen, echt zu sein scheint.

Was ist Social Engineering und woher kommt der Begriff?

Kurz gesagt: Beim Social Engineering werden Menschen dazu verleitet, Zugang zu gewähren oder Daten und Informationen offenzulegen.

Social Engineering ist somit der zwischenmenschliche Einfluss auf eine Person. Der Täter oder die Täterin versucht, das Vertrauen des Opfers zu gewinnen und beispielsweise zu überzeugen, vertrauliche Informationen preiszugeben oder Kreditkarteninformationen und Passwörter offenzulegen. Social Engineering wird nicht nur im Internet verwendet, sondern ist eine alte Betrugsmasche, die seit vielen Jahrzehnten eingesetzt wird. Eine der bekanntesten Betrugsmethoden ist der Enkel-Trick, bei dem Betrüger:innen einen Anruf nutzen, um ältere Menschen davon zu überzeugen, dass sie Verwandte sind und dringend Geld benötigen.

Eine frühe Form des Social Engineering wurde in den 1980er-Jahren durch Phreaking praktiziert. Phreaker riefen Telefongesellschaften an, gaben sich als Systemadministratoren aus und fragten nach neuen Passwörtern, mit denen sie schließlich kostenlose DFÜ-Verbindungen herstellten. Trotz der scheinbaren Banalität führt diese Methode immer wieder zu spektakulären Diebstählen von Zugangsdaten und anderen wichtigen Informationen.

Wie funktioniert Social Engineering?

Wie Social Engineering abläuft, kann leicht erklärt werden. Die Idee des Social Engineering scheint trivial, aber in der Praxis erweist sie sich als eine der effektivsten Methoden der Infiltration. Die Gründe dafür sind sowohl positive als auch negative Charaktereigenschaften, die fast jeder Mensch hat. In den meisten Kulturen wird es als sozial wünschenswert angesehen, gut und nützlich zu sein. Vielen Menschen fällt es schwer, im Notfall eine Anfrage abzulehnen. Andere zeigen Kooperationsbereitschaft und befürchten die falsche Reaktion in unbekannten Situationen.
Diese Manipulationsversuche konzentrieren sich jedoch nicht immer auf die guten Eigenschaften einer Person. Stolz auf die eigene Arbeit oder den Unternehmenserfolg können Mitarbeiter:innen dazu ermutigen, direkt vor dem Täter oder der Täterin mit vertraulichen Informationen zu prahlen. Dies kann beispielsweise in einem vorgetäuschten Interview mit Kund:innen oder während eines Vorstellungsgesprächs erfolgen. Der Wunsch, Konflikte zu vermeiden, führt häufig dazu, dass sicherheitskritische Maßnahmen mit Zugangsdaten in einem Netzwerk durchgeführt werden.

Auf der anderen Seite ist das Spielen der Angst bei Angestellten eine weitere Vorgehensweise für kriminelles Handeln. Wenn Angreifende mit relevanten Zugangsdaten versorgt werden wollen, schüchtern sie Mitarbeiter:innen mit wenig technologischem Verständnis oft ein. Social Hacker nutzen dafür ihre Angst vor dem Vorgesetzten, wobei ein gefälschter Zahlungsauftrag, der von einer Führungsposition per E-Mail an den Mitarbeiter oder die Mitarbeiterin gesendet wird, eine beliebte Betrugsmethode darstellt.

Um von ihren Opfer Zugangsdaten zu einem Netzwerk zu ergaunern, geben sich Betrüger oder Betrügerinnen beispielsweise als Kolleg:innen, vorgesetzte Person oder Arbeitssuchende aus. Darüber hinaus simulieren Angreifende des Öfteren die Rolle einer angestellten Person, der die Kundenzufriedenheit aufzeichnet oder im Auftrag einer Forschungseinrichtung eine Branchenumfrage durchführt.

Sogenannte Social Engineers beschränken sich nicht auf einmalige Kontakte oder eine Schadsoftware. Sie können das Opfer auch für einen bestimmten Zeitraum um harmlose Gefälligkeiten bitten oder es durch Small Talk unterstützen. In diesem Fall erfolgt der Hack mit einer Schadsoftware erst dann, wenn ein bestimmtes Vertrauensniveau erreicht ist. Einem solchen Angriff gehen umfangreiche Forschungen voraus. Neben der Website des Unternehmens stehen soziale Medien wie Facebook oder LinkedIn als Informationsquellen zur Verfügung. Dumpster Diving geht noch weiter: Kriminelle durchsuchen den Mülleimer des Opfers, um beiläufig weggeworfene Geschäftsdokumente zu stehlen.

Social Engineering ist per E-Mail oder Telefon weit verbreitet, da ein solcher Angriff mit geringem technischem Aufwand automatisiert werden kann. Das Risiko, versehentlich Unternehmensgeheimnisse preiszugeben oder auf Daten vom Netzwerk offenzulegen, besteht jedoch auch im publiken Verkehr sowie in Cafés, Bars oder Restaurants. Insbesondere Mitarbeiter:innen, die geschäftliche Anrufe auf ihren Mobiltelefonen entgegennehmen, diskutieren häufig öffentlich und ohne Rücksicht auf Abhörmaßnahmen die internen Angelegenheiten des Unternehmens.

Welche Methoden gibt es?

Kriminelle verwenden eine Vielzahl von Social-Engineering-Techniken. Um für mehr Sicherheit zu sorgen, müssen wir verstehen, was Social Engineering ist und wie es arbeitet. Sobald Sie die Logik verstanden haben, ist es viel einfacher, einen Angriff abzuwehren.