Social Engineering: Techniken und Prävention

Social Engineering umfasst ganz unterschiedliche Methoden. Es handelt dabei sich eher um psychologische Tricks als um einen technischen Hacking-Angriff. Dabei wird die natürliche Neigung der Menschen ausgenutzt, anderen zu vertrauen. Zudem wird ihre Leichtgläubigkeit und ein Mangel an Wissen ausgenutzt. Ziel ist es in der Regel, an sensible Daten von Unternehmen oder Personen zu kommen. Um zu verhindern, dass Daten aus einem Unternehmen abfließen, ist es entscheidend, sich mit Social-Engineering-Angriffstechniken und -Präventionsmethoden vertraut zu machen, die vor allem darauf abzielen, die Mitarbeiter für die Bedrohungen zu sensibilisieren.

Unternehmen setzen viele verschiedene Tools ein, um sich vor Cyberkriminalität zu schützen (z. B. Antivirensoftware), aber die schwächste Stelle in einem IT-Sicherheitssystem ist meist der Mensch. Social-Engineering-Spezialisten sind hervorragende Psychologen. Sie sind in der Lage, das Opfer zu manipulieren und geschickte Argumente und Formulierungen zu verwenden. Deshalb ist es wichtig, die Mitarbeiter über die Bedrohungen ebenso wie über Wichtigkeit und Wert von Daten aufzuklären.

Social Engineering: Beispiele und Techniken

Eine der vielen Social-Engineering-Methoden ist Pretexting. Die Angreifer recherchieren das Opfer gründlich (was im Zeitalter von Social Media sehr einfach ist). Dann rufen sie beispielsweise an und geben sich als Vertreter einer Firma aus, die hervorragende BaaS-Lösungen anbietet. Sie verwenden Formulierungen, die das Interesse des Anrufers wecken (z. B. Sonderangebote). Anschließend entlocken sie ihm die notwendigen Informationen, indem sie die entscheidenden Fragen stellen, z. B.: "Welchen Server nutzt das Unternehmen?" oder "Wo hat das Unternehmen bisher Datensicherungen gespeichert?". Schließlich wird das Gespräch – möglicherweise mit der Nennung eines sehr hohen Preises – beendet, damit das Opfer selbst erklären kann, dass es an dem Angebot nicht interessiert ist.

Sehr häufig werden Emotionen bei der Ausführung eines Angriffs genutzt. Unter ihrem Einfluss neigen Menschen dazu, irrationale Entscheidungen zu treffen. Das Gefühl der Dringlichkeit lässt das Opfer unter Zeitdruck geraten. Zum Beispiel können bestimmte Vorteile nur dann genutzt werden, wenn sich das Opfer innerhalb einer eng definierten Zeitspanne entscheidet. Der Aufbau von Vertrauen ist die Grundlage des gesamten Prozesses. Aus diesem Grund recherchiert der Angreifer ein Unternehmen oder eine Person immer sehr gründlich.

Unternehmen schützen sich vor Cyberangriffen und vergessen dabei, dass die schwächste Stelle der Sicherheit der Mensch ist. Finden Sie heraus, wie Sie einen Social-Engineering-Angriff verhindern.

Es gibt aber noch viele weitere Beispiele für Social Engineering. Diese können sein:

  • Phishing: Ziel ist es, dem E-Mail-Empfänger etwas vorzugaukeln, was er braucht oder worauf er gewartet hat. Die E-Mail kann gefährliche Links oder Anhänge mit Virensoftware enthalten. Zu den Arten von Phishing gehören auch Spear-Phishing und Whaling.
  • Baiting: Dies ist dem Phishing sehr ähnlich. Allerdings wird hier ein Köder verwendet, um das Opfer zum Herunterladen von Malware zu bewegen. Dies kann online oder in Form eines Pakets mit einer CD oder einem USB-Stick erfolgen. Im Jahr 2018 erhielten zum Beispiel mehrere US-Bundesstaaten und lokale Behörden Umschläge mit CDs und einem Brief mit verwirrendem Inhalt. Die Opfer legten die CDs aus Neugierde in ihre Computer ein und installierten so die Malware. 1
  • Shoulder Surfing: Bei dieser Methode werden Daten (z. B. Passwörter) gestohlen, indem dem Opfer "über die Schulter" geschaut wird, während es seinen Laptop oder ein anderes Gerät (auf einem Mobiltelefon oder sogar an einem Geldautomaten) benutzt. Insbesondere für Unternehmen, die remote arbeiten ist es wichtig, diese Bedrohung zu kennen, da die Mitarbeiter ihre Arbeitsgeräte oft an öffentlichen Orten benutzen.
  • Tailgating: Bei dieser Methode verschafft sich der Kriminelle physisch Zutritt zu geschützten Bereichen, wie z. B. dem Hauptsitz eines Unternehmens, durch eine Person mit Zutrittsberechtigung. Der Kriminelle gibt sich beispielsweise als Fahrer eines Lieferanten aus und wartet vor dem Gebäude. Wenn das Opfer die Tür öffnet, bittet er ihn, sie aufzuhalten und gelangen so ins Gebäude. Um solche Fälle zu vermeiden, ist es extrem wichtig, die Mitarbeiter richtig zu schulen, um die physische Sicherheit zu gewährleisten.
  • Dumpster Diving: In diesem Fall sucht der Kriminelle nach wichtigen Informationen in Mülltonnen. Viele Unternehmen kümmern sich sehr um die Sicherheit ihrer virtuellen Daten, vergessen jedoch dabei grundlegende Sachen. Deshalb ist es so wichtig, immer Aktenvernichter zu verwenden, die der Einfachheit halber an unterschiedlichen Stellen in Büroräumen aufgestellt werden können.
  • Quid pro quo: Bei dieser Methode ruft der Angreifer zufällige Telefonnummern an und behauptet, vom technischen Support zu sein. Gelegentlich treffen sie dann tatsächlich auf ein Opfer, das gerade zufällig in Not ist. Sie bieten "Support" an und verschaffen sich so Zugriff auf den Computer und können Schadsoftware installieren.

Social-Engineering-Prävention

Um solche Angriffe zu verhindern, gibt es einige wichtige Aspekte zu beachten:

  • Schulung der Mitarbeiter zu Social Engineering: Wie bereits erwähnt, ist einer der wichtigsten Aspekte der Social-Engineering-Prävention das Risikobewusstsein. Daher ist es unerlässlich, Mitarbeiter-Workshops zu veranstalten und sie über den Wert von Daten aufzuklären.
  • Mitarbeiter auf den Prüfstand stellen: Gelegentlich ist es eine gute Idee, Mitarbeiter eines Tests zu unterziehen, um zu sehen, ob sie im Falle eines echten Angriffs die richtigen Dinge tun würden. Schalten sie ihre Monitore aus, wenn sie ihren Schreibtisch verlassen? Befinden sich wichtige Dokumente auf ihren Schreibtischen? Was werden sie tun, wenn eine unbekannte Nummer anruft und sich als jemand ausgibt, der Dienstleistungen anbietet, nach denen das Unternehmen sucht? Die Beantwortung dieser Fragen wird dazu beitragen, dass jede Person im Team weiß, was zu tun ist.
  • Multifaktor-Authentifizierung: Selbst ein starkes Passwort reicht nicht immer aus. Es ist besser, sich bei wichtigen Daten nicht auf die Single-Faktor-Authentifizierung zu verlassen. Zusätzlich zu Passwörtern kann die Multi-Faktor-Authentifizierung Fingerabdruck-Scans, Sicherheitsfragen oder SMS-Codes umfassen.

headline h1

headline h2

You know what I do in those situations? Marty, don't be such a square. Everybody who's anybody drinks. This is uh, this is heavy duty, Doc, this is great. Uh, does it run on regular unleaded gasoline? Doc, you don't just walk into a store and ask for plutonium. Did you rip this off? Marty, this may seem a little foreward, but I was wondering if you would ask me to the Enchantment Under The Sea Dance on Saturday.

Marty, are you alright? Oh, you make it sound so easy. I just, I wish I wasn't so scared. Now Biff, don't con me. There's that word again, heavy. Why are things so heavy in the future. Is there a problem with the Earth's gravitational pull? Nothing, nothing, nothing, look tell her destiny has brought you together, tell her that she's the most beautiful you have ever seen. Girls like that stuff. What, what are you doing George?

headline h2

Pretty Mediocre photographic fakery, they cut off your brother's hair. yes, Joey just loves being in his playpen. he cries whenever we take him out so we just leave him in there all the time. Well Marty, I hope you like meatloaf. Of course not, Biff, now I wouldn't want that to happen. Now, uh, I'll finish those reports up tonight, and I'll run em them on over first thing tomorrow, alright? Doc, is that a de- Great good, good, Lorraine, I had a feeling about you two.

headline 2

C'mon, c'mon. I noticed you band is on the roster for dance auditions after school today. Why even bother Mcfly, you haven't got a chance, you're too much like your own man. No McFly ever amounted to anything in the history of Hill Valley. Holy shit. I'll be at my grandma's. Here, let me give you the number. Bye. You're gonna be in the car with her.

I followed you. His head's gone, it's like it's been erased. I don't know, but I'm gonna find out. Hey, McFly, I thought I told you never to come in here. Well it's gonna cost you. How much money you got on you? No.

Image of business people shaking hands after becoming partners

Jetzt ALSO-Partner werden

Partnerschaft ist profitabel. Mit ALSO.

Für Reseller Für Hersteller