Social Engineering

Fehler beim Erstellen des Vorschaubildes: Datei fehlt

Ein gezeichnetes Bild von Social Engineering

Bedeutung

Social Engineering bezeichnet eine Manipulationstechnik, bei der Angreifer psychologische Tricks anwenden, um Menschen zur Preisgabe sensibler Informationen oder zur Durchführung bestimmter Handlungen zu bewegen. Diese Techniken basieren darauf, die „Schwachstelle Mensch“ auszunutzen, anstatt technische Systeme direkt anzugreifen.

Typischerweise nutzen Angreifer menschliche Eigenschaften wie:

• Hilfsbereitschaft
• Unsicherheit
• Autoritätsglauben
• Angst oder Druck
• Gier oder Wunsch nach Anerkennung

Social Engineering kann sowohl in der physischen Welt als auch digital erfolgen.

Funktionsweise von Social Engineering

Der Erfolg eines Social-Engineering-Angriffs beruht darauf, Vertrauen zu gewinnen oder Drucksituationen zu erzeugen. Angreifer bauen ein Szenario auf, das dem Opfer plausibel erscheint, um bestimmte Handlungen auszulösen, wie:

• Preisgabe von Zugangsdaten.
• Durchführung unbefugter Transaktionen.
• Eröffnung des Zugangs zu gesicherten Bereichen.

Das Ziel ist immer, eine Handlung herbeizuführen, die der Angreifer selbst nicht direkt durchführen könnte.

Arten von Social Engineering

Social Engineering umfasst eine Vielzahl von Methoden, die je nach Ziel und Umgebung angepasst werden. Im Folgenden werden die wichtigsten Techniken beschrieben:

1. Pretexting

Beim Pretexting erstellen Angreifer eine glaubwürdige Geschichte („Pretext“), um Vertrauen zu gewinnen. Beispiele:

• Sich als Bankmitarbeiter ausgeben, der Kontoinformationen überprüfen muss.
• Sich als Techniker ausgeben, der Zugang zu einem System benötigt.

Diese Methode erfordert umfangreiche Vorbereitung, um das Szenario realistisch erscheinen zu lassen.

Fehler beim Erstellen des Vorschaubildes: Datei fehlt

Eine Email von einem fake CEO auf Englisch

2. Tailgating (Piggybacking)

Angreifer verschaffen sich physischen Zugang zu gesicherten Bereichen, indem sie einer autorisierten Person folgen. Dies geschieht oft durch:

• Vortäuschen, die Zugangskarte vergessen zu haben.
• Das Tragen von Gegenständen, die die Hände voll erscheinen lassen, um höfliches Verhalten auszunutzen.

3. Quid Pro Quo

Hierbei bieten Angreifer scheinbar eine Gegenleistung an, um sensible Informationen zu erhalten. Beispiele:

• Ein Anruf eines „Technikers“, der Hilfe bei der Behebung eines Problems verspricht, wenn Zugangsdaten geteilt werden.
• Versprechen von kostenlosem Zugang zu exklusiven Dienstleistungen im Austausch für bestimmte Daten.

4. Baiting

Beim Baiting locken Angreifer Opfer mit verführerischen Angeboten oder „Ködern“, um sie zur Installation schädlicher Software oder zum Teilen von Daten zu verleiten. Beispiele:

• USB-Sticks mit der Aufschrift „Vertrauliche Daten“, die absichtlich an öffentlichen Orten platziert werden.
• Anzeigen, die kostenlose Downloads wie Filme oder Software versprechen.

5. Dumpster Diving

Angreifer durchsuchen den Müll von Unternehmen oder Privatpersonen nach Informationen wie:

• Notizen mit Zugangsdaten.
• Unvernichtete Dokumente, die vertrauliche Daten enthalten.
• Alte Hardware, die nicht ordnungsgemäss gelöscht wurde.

Fehler beim Erstellen des Vorschaubildes: Datei fehlt

Eine SMS von einer fake Person

6. Water-Holing

Angreifer kompromittieren eine Website, die häufig von der Zielgruppe besucht wird. Sobald die Opfer die Seite aufrufen, werden sie:

• Mit Malware infiziert.
• Auf gefälschte Seiten weitergeleitet.

7. Impersonation (Identitätsbetrug)

Angreifer geben sich als eine bekannte oder vertrauenswürdige Person aus, um das Opfer zu manipulieren. Beispiele:

• Sich als Vorgesetzter ausgeben und Informationen von Mitarbeitern einfordern.
• Die Identität eines Geschäftspartners annehmen, um Zahlungen umzuleiten.

Beispiele für Social Engineering

1. Gefälschter Technikerbesuch:

  Ein Angreifer gibt sich als Techniker eines bekannten Unternehmens aus und behauptet, Wartungsarbeiten durchführen zu müssen. Er wird in einen gesicherten Bereich eingelassen und erhält dadurch Zugriff auf sensible Daten.

2. Vergessene Zugangskarte:

  Ein Angreifer wartet vor einer Bürotür und gibt vor, seine Zugangskarte vergessen zu haben. Er bittet einen Mitarbeiter höflich, ihn hereinzulassen.

3. Vertrauliche Dokumente im Müll:

  Ein Angreifer durchsucht den Müll eines Unternehmens und findet interne Berichte mit Informationen über Sicherheitsmassnahmen.

4. USB-Stick mit Malware:

  Ein Mitarbeiter findet einen USB-Stick mit der Aufschrift „Gehaltslisten 2024“. Aus Neugier schliesst er ihn an seinen Computer an, wodurch schädliche Software installiert wird.

5. Gefälschte Lieferung:

  Ein Angreifer liefert ein scheinbares Paket an ein Unternehmen und bittet darum, es direkt in einen gesicherten Bereich abzustellen. Dabei verschafft er sich Zugang zu sensiblen Bereichen.

Schutzmassnahmen gegen Social Engineering

Um sich vor Social-Engineering-Angriffen zu schützen, sollten Sie folgende Massnahmen ergreifen:

Schulungen und Sensibilisierung

• Regelmässige Schulungen für Mitarbeiter, um typische Social-Engineering-Techniken zu erkennen.
• Rollenspiele und Simulationen, um den Umgang mit Angriffen zu üben.

Physische Sicherheitsmassnahmen

• Einsatz von Zugangskontrollen, wie Kartenlesegeräte oder biometrische Systeme.
• Überwachungskameras an sensiblen Orten.
• Richtlinien, dass keine unbegleiteten Besucher in gesicherte Bereiche gelangen.

Technologische Schutzmassnahmen

• Verwendung von Spam-Filtern, um manipulierte Nachrichten herauszufiltern.
• Einsatz von Firewalls und Antivirensoftware.
• Sichere Datenvernichtung (z. B. Aktenvernichter oder zertifizierte Entsorgung alter Hardware).

Verhaltensregeln

• Keine vertraulichen Informationen am Telefon oder per E-Mail preisgeben, ohne die Identität des Anrufers oder Absenders zu überprüfen.
• Unbekannte USB-Sticks niemals an Computer anschliessen.
• Bei ungewöhnlichen Situationen oder Anfragen immer Rücksprache mit einer zuständigen Person halten.

Fazit

Social Engineering ist eine vielseitige und gefährliche Methode, die auf menschliche Schwächen abzielt. Mit einer Kombination aus Schulung, technologischen Massnahmen und kritischem Denken können Unternehmen und Privatpersonen das Risiko minimieren, Opfer solcher Angriffe zu werden. Wachsamkeit und regelmässige Sicherheitsmassnahmen sind der Schlüssel, um sich gegen diese Bedrohung zu wappnen.