Social Engineering und Phishing

Social Engineering richtet sich gegen Menschen statt gegen Technologie. Anstatt Firewalls zu durchbrechen, bringt der Angreifer eine Person dazu, Informationen, Zugriff oder Geld preiszugeben, indem er Vertrauen, Angst, Neugier oder Hilfsbereitschaft ausnutzt.

Das ist oft der einfachste Weg ins System: Warum ein Passwort knacken, wenn Sie jemanden davon überzeugen können, es einfach herauszugeben? Menschen sind in der Sicherheit häufig das schwächste Glied.

Phishing ist der häufigste Social-Engineering-Angriff: betrügerische E-Mails oder Nachrichten, die scheinbar von einer vertrauenswürdigen Quelle stammen und Opfer dazu verleiten, schädliche Links anzuklicken, infizierte Anhänge zu öffnen oder Zugangsdaten auf gefälschten Websites einzugeben.

Eine Phishing-E-Mail kann Ihre Bank oder Ihre IT-Abteilung nachahmen und Dringlichkeit erzeugen, damit Sie handeln, bevor Sie nachdenken. Sie wird massenhaft an viele Personen gleichzeitig gesendet.

Gezielte Varianten sind gefährlicher. Spear-Phishing passt die Nachricht mithilfe persönlicher Informationen an eine bestimmte Person an und wirkt dadurch wesentlich überzeugender. Whaling zielt auf Führungskräfte mit hoher Verantwortung wie CEOs.

Da diese Nachrichten personalisiert und gründlich recherchiert sind, lassen sie sich deutlich schwerer erkennen als allgemeines Phishing. Häufig haben sie Erfolg, wo Massenkampagnen scheitern.

Phishing findet nicht nur per E-Mail statt. Vishing (Voice-Phishing) nutzt Telefonanrufe, etwa wenn ein gefälschter Supportmitarbeiter Passwörter entlockt. Smishing (SMS-Phishing) nutzt Textnachrichten mit schädlichen Links.

Angreifer nutzen mehrere Kommunikationskanäle, weil Menschen einer verdächtigen E-Mail möglicherweise misstrauen, aber eher einen Anruf annehmen oder auf einen Link in einer Textnachricht tippen – besonders, wenn dieser dringend wirkt.

Vorwandtechniken erfinden ein glaubwürdiges Szenario, um Informationen zu erlangen – etwa wenn sich ein Angreifer als IT-Support ausgibt und Ihre Anmeldedaten überprüfen möchte, um ein Problem zu beheben. Identitätsvortäuschung bedeutet, sich persönlich oder aus der Ferne als eine vertrauenswürdige Person auszugeben.

Der erfundene Kontext senkt die Vorsicht des Opfers und bringt es dazu, Anfragen nachzukommen, die es normalerweise hinterfragen würde.

Social Engineering kann auch physischer Natur sein. Tailgating (auch Piggybacking genannt) bedeutet, einer autorisierten Person durch eine gesicherte Tür zu folgen, ohne sich selbst zu authentifizieren. Shoulder Surfing bezeichnet das Beobachten einer Person bei der Eingabe eines Passworts oder einer PIN.

Beim Dumpster Diving werden vertrauliche Informationen aus weggeworfenen Dokumenten und Geräten gewonnen. Das zeigt, dass Sicherheit auch die Aufmerksamkeit für physische Risiken umfasst, nicht nur für Computer.

Beim Lockangebot wird etwas Verlockendes in Aussicht gestellt – etwa ein mit „Payroll“ beschrifteter USB-Stick, der auf einem Parkplatz liegt, in der Hoffnung, dass eine neugierige Person ihn anschließt und ihr Gerät infiziert.

Quid pro quo bietet im Austausch gegen Informationen oder Zugriff einen Vorteil an, beispielsweise ein gefälschter technischer Support, der Hilfe verspricht, wenn Sie ihm Fernzugriff gewähren. Beides nutzt den menschlichen Wunsch nach einem Vorteil oder Unterstützung aus.

Social Engineering ist erfolgreich, weil es die menschliche Psychologie ausnutzt: Autorität (wir gehorchen Personen, die scheinbar das Sagen haben), Dringlichkeit (unter Druck handeln wir schnell), Angst, Vertrauen und Hilfsbereitschaft.

Diese Auslöser zu erkennen, ist die erste Verteidigungslinie. Wenn eine Nachricht Sie unter Druck setzt, sofort zu handeln oder normale Abläufe zu umgehen, ist dieser Druck selbst ein Warnsignal, bei dem Sie innehalten sollten.

Die besten Schutzmaßnahmen sind menschlicher und organisatorischer Art:

• Sicherheitsbewusstseinsschulungen, damit Benutzer Angriffe erkennen.
• Verifizierungsverfahren, etwa ein Rückruf unter einer bekannten Nummer, bevor Sie einer Anfrage nachkommen.
• Multi-Faktor-Authentifizierung, sodass ein gestohlenes Passwort allein nicht ausreicht.
• Eine Kultur, in der das Hinterfragen verdächtiger Anfragen gefördert und nicht bestraft wird.

Warnsignale sind unerwartete Dringlichkeit, allgemeine Anreden, Rechtschreib- und Grammatikfehler, nicht übereinstimmende oder ungewöhnliche Absenderadressen, Links, deren eigentliches Ziel nicht mit dem angezeigten Text übereinstimmt, sowie Anfragen nach Zugangsdaten oder Zahlungen.

Wenn Sie den Mauszeiger über einen Link bewegen, um dessen tatsächliche URL vor dem Anklicken zu prüfen, und ungewöhnliche Anfragen über einen separaten Kanal verifizieren, können Sie die meisten Phishing-Versuche sofort abwehren.

Social Engineering greift Menschen an, nicht Maschinen, und nutzt Phishing (einschließlich Spear-Phishing, Whaling, Vishing und Smishing), Vorwandtechniken, Lockangebote, Tailgating und weitere Methoden. Es nutzt Autorität, Dringlichkeit, Angst und Vertrauen aus. Die Schutzmaßnahmen sind vor allem menschlicher Art: Schulungen zum Sicherheitsbewusstsein, Verifizierungsverfahren und Multi-Faktor-Authentifizierung.

Testen Sie Ihr Wissen über Social Engineering.

Social Engineering manipuliert Menschen statt Technologie. Phishing und seine Varianten (Spear-Phishing, Whaling, Vishing, Smishing) sowie Vorwandtechniken, Lockangebote und Tailgating nutzen Autorität, Dringlichkeit und Vertrauen aus. Die Schutzmaßnahmen sind menschlicher Art: Schulungen zum Sicherheitsbewusstsein, Verifizierungsverfahren und Multi-Faktor-Authentifizierung.