Social Engineering

Social Engineering bezeichnet eine zwischenmenschliche Manipulation, mit deren Hilfe Cyberkriminelle sich Zugriff auf fremde Rechnersysteme und sensible Daten verschaffen. Der Begriff stammt aus dem Englischen und setzt sich zusammen aus „social“, übersetzt „zwischenmenschlich“, und „engineering“,wörtlich übersetzt „Konstruktion“. Es handelt sich also um eine gezielte Konstruktion einer zwischenmenschlichen Beziehung.

Was bedeutet das im Detail?

Das Prinzip von Social Engineering ist nicht neu. Im Alltag ist es unter Begriffen wie „Betrügerei“ und „Hochstaplerei“ bekannt. Die digitalen Medien eröffnet Kriminellen hierfür neue Möglichkeiten:

• Über digitale Medien wie z. B. Unternehmenswebseiten, -blogs, -Facebookseiten usw. können Cyberkriminelle detaillierte Informationen über ein Unternehmen sammeln. Mit ihnen können sie sich glaubhaft als
• Mitarbeitende, Administratoren oder sogar Führungskräfte (vgl. CEO-Fraud) dieses Unternehmens ausgeben.
• Über soziale Medien können Cyberkriminelle unter falscher Identität gezielt Kontakte z. B. zu Führungskräften aufbauen. Im Rahmen einer vermeintlichen Freundschaft oder Romanze versuchen sie die angegriffene Person dazu zu bewegen, sensible Unternehmensinformationen preisgeben.

Häufig nutzt Social Engineering menschliche Stärken für kriminelle Zwecke aus. Unverzichtbare Eigenschaften wie Hilfsbereitschaft, Vertrauen und Respekt vor Autoritäten werden gezielt missbraucht.

• So behaupten Cyberkriminelle z. B., Freunde von Freunden zu sein, denen die Zielperson als Ansprechpartner empfohlen wurde. Zum Beispiel: Um eine Bewerbung Korrektur zu lesen. Das digitale Dokument mit der angeblichen Bewerbung enthält jedoch Schadprogramme wie Trojaner, Ransomware oder Keylogger.
• Oder Cyberkriminelle geben sich als Vorgesetzte unter Zeitdruck aus, welche z. B. die Überweisung einer hohen Geldsumme auf ein bestimmtes Konto anordnen.

Angst wird für Social Engineering genutzt. Aufgrund ihrer starken emotionalen Wirkung setzt Angst die Fähigkeit zum kritischen Denken herab. Dies erleichtert die von den Cyberkriminellen angestrebte Manipulation.

• Beim CEO-Fraud werden z. B. negative berufliche Konsequenzen angedroht, wenn die vermeintlichen Anweisungen nicht umgesetzt werden.
• Bei Erpressungsversuchen behaupten Cyberkriminelle, im Besitz sensibler Daten der angegriffenen Person zu sein z. B. von Fotos oder Videos sexueller Handlungen. Nach Erfüllung der Bedingungen der Erpresser würden diese Daten vernichtet, andernfalls veröffentlicht.
• Nach einem ähnlichen Muster geben Cyberkriminelle sich als Polizisten aus und fordern eine Strafzahlung für behauptete Vergehen wie z. B. illegale Downloads.

Für Unternehmen besonders relevant sind langfristig angelegte Social Engineering Angriffe auf strategisch wichtige Mitarbeiter. Dabei kann es sich z. B. über einen vermeintlichen Privatkontakt handeln, in dessen Rahmen zunehmend sensible Unternehmensinformationen zur Sprache kommen. Wird die angegriffene Person misstrauisch oder verliert das Interesse, kann eine Erpressung anhand bereits preisgegebener Informationen oder vertraulicher Daten folgen.

Wo begegnet mir das Thema im Arbeitsalltag?

Theoretisch begegnet es Ihnen immer, wenn Sie die Identität eines Gesprächspartners nicht zweifelsfrei bestätigen können – ob am Telefon, per E-Mail oder in privaten Nachrichten.

Was kann ich tun, um meine Sicherheit zu verbessern?

• Prinzipiell: Nutzen Sie Ihre bewährten Alltagsstrategien auch in den digitalen Medien. Ungewöhnliche Fragen, unangemessene Bitten, fragwürdige Geschichten oder auch einfach ein „seltsamer Gesamteindruck“ sind wichtige Warnzeichen, gleichgültig in welchem Kanal.
• Geben Sie niemals Passwörter, vertrauliche Informationen usw. am Telefon weiter.
  Stellen Sie Rückfragen z. B. nach dem vollen Namen und der Rückrufnummer. Oder fragen Sie nach fiktiven Personen, z. B. einem erfundenen Kollegen in der Abteilung oder einem nicht existenten Ehepartner des angeblich gemeinsamen Freundes.
• Lassen Sie sich nicht unter Druck setzen. Nicht durch angebliche Zeitnot oder vermeintlich notwendige Geheimhaltung. Nicht durch Behauptungen, Drohungen oder Schmeicheleien. All diese Mittel können gezielt eingesetzt werden, um Ihr Urteilsvermögen zu trüben. Schaffen Sie eine Situation, in der Sie Anfragen usw. mit klarem Kopf überdenken und ggf. überprüfen können.
• Wenn möglich, überprüfen Sie die Identität Ihres Gesprächspartners über einen zuverlässigen, neutralen Kanal. Rufen Sie z. B. in Ihrer Unternehmenszentrale an und lassen sich zum genannten Namen weiterverbinden. Dieser Anruf bei einem Ihnen bisher persönlich nicht bekannten Vorgesetzten kann für großes Erstaunen auf dessen Seite sorgen – oder zeigen, dass es keine Person dieses Namens in Ihrem Unternehmen gibt.
• Sensibilisieren Sie alle Mitarbeitenden Ihres Unternehmens für die Vorgehensweisen des Social Engineering und schützende Maßnahmen. Fordern Sie Ihre Mitarbeiter dazu auf, bei ungewöhnlichen Anweisen an den entsprechenden Stellen nachzufragen. Sensibilisieren Sie Ihre Führungskräfte für die Wichtigkeit dieser Nachfragen – sie können Ihr Unternehmen vor großen Schäden bewahren.
• Planen Sie für den Ernstfall, also für den Fall eines erfolgreichen Social Engineering Angriffs. Entwickeln Sie Szenarien und zu treffende Maßnahmen, damit Sie sofort handeln können, wenn es darauf ankommt. Dazu gehören technische Vorkehrungen, aber auch soziale z. B. sichere, vertrauliche Anlaufstellen für Mitarbeiter, die erpresst oder anderweitig genötigt werden.
• Waren Sie das Ziel eines Social Engineering Angriffs, informieren Sie umgehend die entsprechenden Abteilungen Ihres Unternehmens. Es besteht die Möglichkeit, dass Sie das Anzeichen eines Advanced Persistent Threats entdeckt haben. Das heißt: eines gezielten, mehrstufigen Angriffs auf Ihr Unternehmen, der weitere Angriffsvektoren umfassen kann, z. B. Spam, Keylogger und Ransomware. Ihre Information kann für eine erfolgreiche Abwehr entscheidend sein.