Physisches Social Engineering: Tailgating und Baiting

Nicht alle Angriffe erfolgen aus der Ferne. Physisches Social Engineering umfasst die Manipulation von Menschen und das Umgehen physischer Sicherheitskontrollen, um sich unbefugten Zugang zu Gebäuden, Serverräumen oder sensiblen Bereichen zu verschaffen. Die Folgen können schwerwiegend sein: Ein Angreifer mit physischem Zugriff auf einen Server kann einen Hardware-Keylogger installieren, Laufwerke stehlen, ein unerlaubtes Gerät mit dem internen Netzwerk verbinden oder unverschlüsselte Sicherungsbänder entwenden. Physische und logische Sicherheit müssen gemeinsam betrachtet werden – eine perfekte Netzwerkabwehr wird durch eine unverschlossene Tür zum Rechenzentrum zunichtegemacht.

Tailgating liegt vor, wenn eine unbefugte Person einer befugten Mitarbeiterin oder einem befugten Mitarbeiter durch eine gesicherte Tür folgt, bevor diese sich schließt, ohne dass die befugte Person dies bemerkt. Der Angreifer kann Kartons tragen, eine Uniform tragen oder einfach so aussehen, als gehöre er dorthin, um nicht angesprochen zu werden. Piggybacking ist ähnlich, erfolgt jedoch mit dem Wissen und der (irrtümlichen) Zustimmung der befugten Person – etwa wenn ein Mitarbeiter die Tür für jemanden offenhält, der behauptet, auf die Ausstellung seines Ausweises zu warten. Beide Methoden umgehen physische Zutrittskontrollen ohne technische Schwachstelle. Vereinzelungsschleusen verhindern beides, indem sie sicherstellen, dass jeweils nur eine Person hindurchgeht.

Baiting nutzt die menschliche Neugier aus, indem schädliche physische Datenträger – USB-Laufwerke, CDs oder SD-Karten – an Orten zurückgelassen werden, an denen die Zielpersonen sie finden. Eine Studie aus dem Jahr 2016 ergab, dass 48 % der auf Parkplätzen von Unternehmen ausgelegten USB-Laufwerke von Mitarbeitenden angeschlossen wurden. Die Laufwerke können mit verlockenden Bezeichnungen versehen sein („Q4 Salaries“, „Project X Confidential“ oder dem Namen des Unternehmens), um die Neugier zu steigern. Beim Anschließen können sie Malware automatisch ausführen, eine gefälschte Umfrage anzeigen, die Anmeldedaten erfasst, oder unbemerkt einen Remote-Access-Trojaner installieren. Schutz bieten strenge Richtlinien für Wechseldatenträger und die Deaktivierung von Autorun.

Dumpster Diving bezeichnet das Durchsuchen entsorgter Materialien – Papierdokumente, Festplatten, USB-Laufwerke, Whiteboards und Haftnotizen – nach sensiblen Informationen. Unternehmen entsorgen große Mengen nützlicher Informationen: Organigramme, Kontonummern, Netzwerkdiagramme, Ausdrucke von Quellcode und auf Notizen geschriebene Passwörter. Geschredderte Dokumente sowie entmagnetisierte oder zerstörte Datenträger beseitigen dieses Risiko. Sicherheitsrichtlinien müssen die Datenentsorgung für alle Medientypen abdecken, und Mitarbeitende sollten verstehen, dass physische Dokumente mit sensiblen Informationen vernichtet und nicht recycelt werden müssen.

Beim Schulter-Surfen wird der Bildschirm oder die Tastatur einer anderen Person beobachtet, um ohne deren Wissen vertrauliche Informationen wie Passwörter, PINs oder geheime Dokumente abzugreifen. Dies kann persönlich geschehen, etwa indem jemand in einer Flughafenlounge über die Schulter einer anderen Person schaut, oder mithilfe versteckter Kameras. Stark frequentierte öffentliche Bereiche wie Cafés, Flughäfen und Großraumbüros stellen ein erhebliches Risiko für Schulter-Surfen dar. Zu den Schutzmaßnahmen gehören Privacy-Filter, die den Betrachtungswinkel einschränken, Richtlinien zur Bildschirmsperre (automatische Sperre nach einer Zeit der Inaktivität), die schnelle Eingabe von PINs bei gleichzeitigem Abdecken des Tastenfelds mit der Hand sowie die Ausrichtung von Bildschirmen weg von öffentlich einsehbaren Bereichen.

Social Engineers, die physisch vorgehen, geben sich häufig als Autoritätspersonen oder Servicemitarbeiter aus, um ihre Anwesenheit in geschützten Bereichen zu rechtfertigen. Häufige Rollen sind IT-Supporttechniker, Mitarbeiter der Klima- oder Aufzugwartung, Brandschutzinspektoren, Lieferanten und Mitarbeiter der Gebäudeverwaltung. Requisiten wie Uniformen, Klemmbretter, Werkzeugtaschen und Ausweise (täuschend echt aussehende Fälschungen) erhöhen die Glaubwürdigkeit der Identitätstäuschung erheblich. Der Angreifer setzt darauf, dass Mitarbeiter jemanden, der so aussieht und auftritt, als gehöre er dorthin, nicht zur Rede stellen – insbesondere, wenn diese Person Selbstsicherheit und Autorität ausstrahlt.

Sicherheitsvorfälle schaffen besondere Gelegenheiten für Social Engineering. Während einer Feueralarmübung oder eines Notfalls verlassen Mitarbeiter schnell das Gebäude und halten Türen offen – ein ideales Zeitfenster für Tailgating. Während eines größeren IT-Ausfalls sind Mitarbeiter möglicherweise besonders bereit, sogenannten „Supportmitarbeitern“ zu folgen, die Hilfe anbieten. Angreifer beobachten Nachrichten zu Krisen in Unternehmen (Fusionen, Entlassungen, Datenschutzverletzungen) und starten Social-Engineering-Kampagnen gezielt dann, wenn das Unternehmen abgelenkt ist oder unter Druck steht. Sicherheitsverfahren müssen auch während scheinbarer Notfälle konsequent eingehalten werden – insbesondere, weil Angreifer Notfälle absichtlich herbeiführen können.

Beim Wardriving wird ein Gebiet mit dem Auto oder zu Fuß durchquert, während nach Drahtlosnetzwerken gesucht wird. Angreifer erfassen Netzwerknamen, Sicherheitseinstellungen und Muster der Signalstärke. Diese Aufklärung dient als Grundlage für nachfolgende Angriffe – etwa zum Identifizieren von WEP- oder offenen Netzwerken, zum Bestätigen von SSID-Namen für Evil-Twin-Angriffe oder zum Auffinden nicht autorisierter Access Points. Moderne Varianten sind Warwalking und Warflying (Drohnen mit WLAN-Adaptern). Über Drahtlosnetzwerke hinaus kann die physische Aufklärung auch das Fotografieren von Eingängen, Ausweisdesigns, Serverraumstandorten und der Platzierung von Überwachungskameras umfassen, bevor ein geplanter physischer Einbruchsversuch erfolgt.

Eine Clean-Desk-Richtlinie verpflichtet Mitarbeiter, beim Verlassen ihres Arbeitsplatzes – auch nur für kurze Zeit – alle vertraulichen Materialien zu sichern. Dokumente müssen in verschlossenen Schubladen aufbewahrt, Computerbildschirme gesperrt, Whiteboards gelöscht und Wechseldatenträger sicher verwahrt werden. Eine Clear-Screen-Richtlinie konzentriert sich speziell auf das Sperren unbeaufsichtigter Arbeitsstationen. Diese Richtlinien verhindern sowohl den opportunistischen Diebstahl von Informationen (etwa wenn ein Passant ein vertrauliches Dokument sieht) als auch die gezielte physische Aufklärung durch einen Angreifer, der in das Büro eingedrungen ist. Regelmäßige unangekündigte Rundgänge überprüfen die Einhaltung.

Menschliche Sicherheitskräfte bilden die letzte Verteidigungslinie gegen Tailgating und Identitätstäuschung. Eine wirksame Besucherverwaltung umfasst die Voranmeldung aller erwarteten Besucher, die Überprüfung eines Lichtbildausweises bei der Ankunft, die Ausgabe eines eindeutig erkennbaren Besucherausweises mit zeitlicher Begrenzung sowie die ständige Begleitung durch einen Mitarbeiter in geschützten Bereichen. Alle Besuche sollten in einem Zutrittsregister dokumentiert werden. Für Auftragnehmer und externe Dienstleister sind Hintergrundprüfungen erforderlich; sie sollten nur Zugriff auf die für ihre Arbeit benötigten Bereiche und Systeme erhalten. Nach Abschluss der Arbeiten muss der Zugriff unverzüglich entzogen werden.

Physische Sicherheitskontrollen sollten regelmäßig durch Red-Team-Übungen und physische Penetrationstests überprüft werden. Physische Penetrationstester versuchen, mit denselben Methoden wie Angreifer in Einrichtungen einzudringen – etwa durch Tailgating, Identitätstäuschung, das Knacken von Schlössern oder das Umgehen von RFID-Lesegeräten. Die Ergebnisse zeigen häufig, dass Mitarbeiter Besucher seltener als laut Richtlinie erforderlich zur Rede stellen oder dass Nebeneingänge von Rauchern offen gehalten werden. Die Erkenntnisse fließen in Aktualisierungen von Schulungen und Richtlinien sowie in Verbesserungen der physischen Kontrollen ein. Überspringen Sie bei der Bewertung der allgemeinen Sicherheitslage eines Unternehmens niemals die Prüfung der physischen Sicherheit.

In dieser Lektion haben Sie gelernt: Tailgating und Piggybacking ermöglichen den physischen Zugriff, indem berechtigte Benutzer durch gesicherte Türen verfolgt werden; verhindert werden sie durch Schleusen und eine Kultur, in der Personen aktiv zur Rede gestellt werden. Baiting nutzt Neugier mithilfe schädlicher USB-Laufwerke oder anderer Medien aus und lässt sich durch das Deaktivieren von Autorun sowie das Sperren nicht autorisierter Speichergeräte eindämmen. Dumpster Diving und Schulter-Surfen gewinnen vertrauliche Informationen aus entsorgten Materialien oder durch visuelle Beobachtung; dagegen helfen das Schreddern, Clean-Desk-Richtlinien und Privacy-Filter. Als Nächstes befassen wir uns mit Security-Awareness-Schulungen und Maßnahmen gegen Phishing.