Technologieradar – Social Engineering - Mittelstand Digitalzentrum Saarbrücken

Social Engineering
Murrstock

Behalten Sie mit unserem Technologieradar die wichtigsten KMU relevanten Technologien im Blick!

Einführung

Social Engineering (zu Deutsch: Soziale Manipulation) ist eine sicherheitstechnische Kategorie, bei der Personen in einem vertrauensvollen Umfeld als Schwachstellen erkannt werden. Dabei werden sie durch zwischenmenschliche Beeinflussung sowie durch die Vortäuschung von Identitäten und Absichten manipuliert, wobei ihre Gutgläubigkeit ausgenutzt wird, um die Ziele der Angreifenden zu erreichen. Dieses Vorgehen ähnelt einem Trickbetrug, bei dem sich die Täuschenden nicht an der Haustür, sondern online, per Telefon oder vor allem per E-Mail vorstellen. Ziel der Angreifenden ist es oft, Zugang zu sensiblen Daten zu erhalten oder die Freigabe finanzieller Mittel von Privatpersonen oder Mitarbeitenden zu erlangen.

Zum aktuellen Stand

Seit den 1980er Jahren ist das sogenannte Phreaking bekannt, bei dem per Telefon und vorgetäuschter Autorität versucht wird, Passwörter und sensible Daten zu erlangen. Mit der Umstellung der Kommunikationskanäle auf E-Mail haben Social-Engineering-Angriffe unter Verwendung gefälschter E-Mail-Adressen stark zugenommen. Phishing, eine Form des Social Engineering, bei der eine nachgeahmte Webseite das Opfer täuscht und Daten stiehlt oder Schadsoftware installiert, zählt weiterhin zu den am weitesten verbreiteten Formen der Cyberkriminalität.

Technologieverbreitung

Prototypen und Demonstratoren vorhanden

Branchenübergreifender Einsatz

KMU geeignet?

Technologiebeschreibung

Im Vorfeld von Angriffen erfolgt häufig eine Ausspähung von Informationsfragmenten und internen Abläufen in Unternehmen. Durch die Vortäuschung von Identitäten, unterstützt von Smalltalk und dem zur Rolle passenden Fachjargon, wird eine soziale Verbindung zum Opfer hergestellt. Zuvor gesammelte Informationen über Hierarchien ermöglichen es den Angreifenden, sich als Insider auszugeben und durch den Respekt vor Autorität einen zusätzlichen Vorteil zu erlangen. Das so aufgebaute Vertrauen wird anschließend ausgenutzt, um eine Zusammenarbeit seitens des Opfers zu initiieren. Auf diesem scheinbar simplen Weg hat sich in der Vergangenheit oft gezeigt, wie schnell und effektiv sensible Daten erbeutet werden können.

Mögliche Risiken

Die Weitergabe von vertraulichen Daten erfolgt häufig bereits, sobald eine Vertrauensbasis geschaffen wurde. Dies kann zur Folge haben, dass Passwörter, sensible Unternehmens- und Kundendaten sowie weitere Schwachstellen identifiziert und ausgenutzt werden.

Freigabe von Zahlungen: Durch die gezielte Ansprache von Personen in entscheidenden Positionen und das Ausnutzen des Respekts vor Autorität können Zahlungsfreigaben erwirkt werden, was zu erheblichen finanziellen Verlusten führen kann.

Das Aushebeln von Sicherheitsfunktionen oder die Installation von Schadsoftware eröffnet Angreifern zahlreiche Möglichkeiten. Dazu gehört das Installieren von Schadsoftware ebenso wie das Deaktivieren von Sicherheitsfunktionen, um das Opfer weiter zu schädigen und möglicherweise zu erpressen.

Gefahren für KMU

In kleinen und mittleren Unternehmen (KMU) spielt das Zwischenmenschliche eine große Rolle, und die Hilfsbereitschaft ist oft besonders ausgeprägt.
Auf eine scheinbar freundliche E-Mail, die von einer vermeintlich vertrauten Person stammt und in der dringend um Hilfe gebeten wird, wird häufig schnell und ohne großes Nachdenken geantwortet.
Das Opfer ist dabei überzeugt, das Richtige zu tun.
Gerade der E-Mail-Verkehr eignet sich besonders gut für solche Täuschungsversuche, da es einfacher ist, das Opfer schriftlich zu täuschen, als im persönlichen Kontakt, bei dem alle Sinne getäuscht werden müssten.

Schrittweise Maßnahmen zum Schutz

Präventive Sicherheits-Maßnahmen

Präventive Sicherheitssoftware, die Angriffe frühzeitig erkennen kann und Nutzende bei der Erkennung sowie Erinnerung an potenzielle Bedrohungen unterstützt, ist ein wichtiger Baustein für die Sicherheit. Zudem sollten sensible Daten, die nicht mehr benötigt werden, sicher und nachhaltig gelöscht werden. Es ist ebenfalls ratsam, auf die Standardisierung von Accounts und deren Zugangsdaten zu verzichten, indem jedem Zugang ein individuelles Passwort zugeordnet wird. Diese Maßnahmen tragen wesentlich dazu bei, das Risiko von Social-Engineering-Angriffen zu reduzieren.

Sensibilisierung aller Mitarbeitenden

Mitarbeitenden sollte bewusst gemacht werden, dass alle online veröffentlichten und frei geteilten Inhalte später für Angriffe genutzt werden können. Zudem sollte das Teilen vertraulicher Informationen niemals per E-Mail oder Telefon erfolgen. Bei Kontaktaufnahmen von unbekannten Absendern ist besondere Vorsicht geboten. Im Zweifelsfall sollte eine doppelte Absicherung durch eine alternative Kontaktmethode stattfinden. Den Mitarbeitenden muss Geduld vermittelt werden. Gleichzeitig darf nicht vergessen werden, dass generelles Misstrauen die Zusammenarbeit und das interne Vertrauen im Unternehmen beeinträchtigen kann. Deshalb bleiben die anderen Sicherheitsmaßnahmen weiterhin elementar wichtig.

Schnelle Reaktionen auf einen Angriff

Wird ein Angriff erkannt, sollte das betroffene Opfer umgehend alle potenziell weiteren Betroffenen warnen und Kontakt mit der Sicherheitsabteilung des Unternehmens aufnehmen. Ebenso sollte der Kontakt zu den ausgenutzten Diensten oder Personen hergestellt werden, um weitere Angriffe zu verhindern. Schnelles Handeln und die Einbindung aller relevanten Stellen sind dabei entscheidend, um den Schaden zu minimieren und weitere Risiken zu reduzieren.

Sie brauchen Unterstützung beim Schutz vor Social Engineering in Ihrem Unternehmen? Kontaktieren Sie uns!

Behalten Sie mit unserem Technologieradar die wichtigsten KMU relevanten Technologien im Blick!

Sprechstunde vereinbaren

Zum Technologieradar