Was ist Social Engineering?
Social Engineering liegt vor, wenn ein Cyberkrimineller Zugang, Informationen oder Ressourcen erlangt, die ihm nicht zustehen, indem er Menschen statt Technik manipuliert. Vielleicht denken Sie, Hacker dringen meist in ein System ein, indem sie eine Firewall durchbrechen oder einen ausgeklügelten Algorithmus zum Knacken von Passwörtern einsetzen. In den meisten Fällen sind Sicherheitsverletzungen jedoch das Ergebnis von Social Engineering. Anstatt technische Hürden anzugreifen, „konstruieren“ Hacker einen Weg, die Mitarbeitenden Ihres Unternehmens zu manipulieren, da sie davon ausgehen, dass diese die größte Sicherheitsschwachstelle des Unternehmens darstellen. Die Angreifer erfinden eine „soziale“ Situation (meist ein Problem, das der Hacker selbst herbeiführt!) – daher der Name Social Engineering. Einfach gesagt: Der Social Engineer erfindet eine äußerst überzeugende Geschichte, um Sie dazu zu bringen, etwas für ihn zu tun oder ihm Zugang zu vertraulichen Informationen zu gewähren.
Wie funktioniert es?
Cyberkriminelle nutzen eine Vielzahl psychologischer Techniken, um Ihr Vertrauen zu gewinnen – und es anschließend zu missbrauchen. Hier einige Beispiele.Priming
Beim Priming lädt ein Social Engineer das Gespräch emotional auf, um das Eis zu brechen und seriöser zu wirken. Dadurch beantworten die Opfer seine Fragen mit höherer Wahrscheinlichkeit. Vielleicht beginnt er das Gespräch damit, wie anstrengend sein Morgen war, oder spielt im Hintergrund eine Audiodatei mit herumtobenden Kindern ab und tut dann so, als bitte er sie, leiser zu sein, weil Mama oder Papa telefoniert. Kinder eben, oder?Framing
Erinnern Sie sich an Teleshopping-Werbespots (damals, als wir uns 20 Minuten lang Werbung für OxiClean ansahen, nur weil wir Billy Mays liebten)? Den Preis des Produkts nannten sie nie einfach geradeheraus. Stattdessen hieß es „Nur 49,99 !“ Das ist Framing: Die Information wird so dargestellt, dass sie beeinflusst, wie Sie sie aufnehmen. 78 wirken wie ein Schnäppchen. Cyberkriminelle gehen genauso vor: Sie präsentieren Ihnen Informationen oder Forderungen auf raffinierte Weise, um Ihre Reaktion gezielt zu steuern. Wenn Sie das nächste Mal eine E-Mail von einem Fremden erhalten, der seine Familie nur ernähren kann, wenn Sie ihm eine iTunes-Geschenkkarte schicken, fragen Sie sich: „Hätte ich zugesagt, wenn er mich einfach direkt darum gebeten hätte?“Verlustaversion
Falls Sie auf dem Höhepunkt des Hypes um „Aufräumen mit Marie Kondo“ eine große Entrümpelungsaktion gestartet haben und dann feststellten, dass Sie sich von praktisch nichts trennen können, sind Sie damit nicht allein. Menschen tun sich außerordentlich schwer damit, sich von Dingen zu trennen, die sie besitzen. Social Engineers nutzen das zu ihrem Vorteil, indem sie ihrem potenziellen Opfer den Verlust von etwas – oft von Geld – vor Augen halten, dadurch dessen Urteilsvermögen trüben und es dazu bringen, eher zu kooperieren oder persönliche Informationen preiszugeben.Autoritätsbias
Wie lange hat es gedauert, bis Ihnen klar wurde, dass Ihre Eltern nicht immer recht haben? Menschen neigen dazu, den Meinungen von Autoritätspersonen reflexartig zu vertrauen; außerdem handeln sie deutlich häufiger gegen ihr eigenes Interesse, wenn eine Autoritätsperson sie dazu auffordert. Social Engineers geben sich oft als Autoritätsperson aus, etwa als Führungskraft, damit potenzielle Opfer ihre Forderungen nicht hinterfragen.Vertrautheitsbias
Sie sitzen in einem Diner und bestellen eine Limo, und die Kellnerin fragt, ob Sie eine Coke oder eine Dacey Fizz möchten. Wofür entscheiden Sie sich? Für die Coke, richtig? Vor die Wahl gestellt, entscheiden sich Menschen deutlich häufiger für die vertrauteste Option (und vertrauen ihr auch mehr). Social Engineers können sich das zunutze machen, indem sie mehrere Handlungsmöglichkeiten aufzeigen und darauf setzen, dass Sie die vertrauteste wählen – nämlich die, die sie sich wünschen.
Was sind einige Beispiele?
Vielleicht denken Sie, Hacker dringen meist in ein System ein, indem sie eine Firewall durchbrechen oder einen ausgeklügelten Algorithmus zum Knacken von Passwörtern einsetzen. In den meisten Fällen sind Sicherheitsverletzungen jedoch das Ergebnis von Social Engineering.Phishing
Phishing ist mit Abstand die häufigste Form von Social Engineering – am verbreitetsten sind dabei betrügerische E-Mails. Diese E-Mails ködern Sie, damit Sie vertrauliche Informationen preisgeben, auf einen Link klicken oder einen Anhang öffnen, der Ihr Gerät mit Malware infiziert. Im nächsten Monat werden wir mehr über Phishing berichten. Smishing und Vishing sind Varianten des Phishings, die per Textnachricht bzw. per Anruf erfolgen. Dabei können die Angreifer die Anruferkennung beliebig anzeigen lassen, sodass sie sich als eine vertrauenswürdige Person ausgeben und Ihnen mitteilen können, sie hätten eine neue Nummer oder Sie sollten etwas für sie erledigen. BEISPIEL: Sie erhalten eine „dringende“ Sprachnachricht von Janet aus einer anderen Niederlassung, in der sie sagt, ihre Datenbank sei ausgefallen und sie benötige umgehend Kontoinformationen zu einem bestimmten Kunden. Wenn Sie „Janet“ zurückrufen, geben Sie persönliche Informationen an den Phisher weiter, der diese Daten nutzt, um das Bankkonto dieses Kunden zu kompromittieren.Physische Sicherheitsverletzungen
Social Engineers geben sich manchmal als Mitarbeitende oder als freundliche Gesichter wie Lieferfahrer aus, um Zutritt zu einem Gebäude zu erhalten. Sobald sie darin unbeaufsichtigt sind, kompromittieren sie Computer oder durchsuchen vertrauliche Unterlagen. BEISPIEL: Jemand in der Uniform eines Postboten kommt hinter Ihnen her und balanciert einen Stapel Pakete. Sie halten ihm freundlicherweise die Tür auf, als Sie Ihr Büro betreten – doch der Postbote war in Wirklichkeit ein verkleideter Cyberkrimineller. Was ist in den Paketen? Hacking-Geräte, die er an Firmencomputer und Server anschließt, um Ihr Netzwerk zu kompromittieren.Wissen ist Macht!
Social Engineers sind Meister der Manipulation, aber sie betreiben keine Gedankenkontrolle. Natürlich werden Hacker versuchen, Sie zu täuschen, aber Sie haben es in der Hand, Ihr Unternehmen besser zu schützen. Wenn Sie mehr über Social-Engineering-Techniken erfahren, erwerben Sie das Wissen, das Sie benötigen, um Angreifer zu erkennen. Seien Sie stolz auf Ihren Beitrag und geben Sie Ihr neu gewonnenes Know-how an Ihre Kolleginnen und Kollegen (und Ihre Liebsten) weiter, damit alle sicher bleiben.