In unseren letzten beiden Beiträgen (Teil 1 und Teil 2) haben wir das Phänomen Social Engineering erklärt sowie die häufigsten Methoden beschrieben. In unserem letzten Teil erläutern wir die wirkungsvollsten Schutzmaßnahmen.

Woran kann ich Social Engineering- Attacken erkennen?

• Werfen Sie einen Blick auf die Absender-Adresse. Oft verrät die Adresse, ob es sich um eine gefälschte Identität handelt.
• Prüfen Sie das Linkziel, indem Sie mit der Maus über die Linkzeile gehen ohne zu klicken. Hier können Sie sehen, ob sich eine verdächtige Adresse hinter einem scheinbar harmlosen Link verbirgt.
• Achten Sie auf die Rechtschreibung: Gefälschte E-Mails fallen oftmals durch Rechtschreibfehler auf.
• Seien Sie vorsichtig bei unerwarteten E-Mails. In den meisten Fällen verbergen sich dahinter Cyber-Attacken.
• Fühlen Sie sich unter Druck gesetzt, schnell handeln zu müssen, kann dies ein Indiz für einen Angriff sein.

Wie soll ich bei einem vermeintlichen Angriff vorgehen?

• Führen Sie bei Unsicherheit den 3-Sekunden-Check durch: Kennen Sie den Absender? Haben Sie eine Nachricht von ihm erwartet? Ist der Betreff sinnvoll?
• Informieren Sie Ihre Vorgesetzen und die IT-Abteilung. Lieber einmal zu oft gezweifelt als Opfer einer Attacke werden.
• Lassen Sie Links ggf. von der IT-Abteilung prüfen.
• Nehmen Sie mit dem Absender direkt Kontakt auf (am besten persönlich oder telefonisch), um die Echtheit der E-Mail bestätigen zu lassen.
• Verifizieren Sie Geldtransferaufforderungen auf jeden Fall durch persönliche oder telefonische Rückfrage.
• Bei einer telefonischen Rückfrage ist wichtig, dass Sie die Ihnen bekannte Rufnummer anrufen – und Sie rufen an!
• Lassen Sie sich nie unter Druck setzen!
• Informieren Sie im Zweifel die Behörden (Polizei oder LKA).

Welche Maßnahmen kann ich gegen erfolgte Attacken ergreifen?

• Sollten beispielsweise Angreifer erfolgreicher Gelder abgegriffen haben, ist schnelles Handeln gefragt. Setzen Sie sich umgehend mit Ihrer Bank in Verbindung und versuchen Sie, die Gelder rücktransferieren zu lassen.
• Informieren Sie umgehend Ihre IT-Abteilung, Vorgesetzen und Kollegen, um weitere Attacken zu vermeiden.
• Informieren Sie umgehend die Behörden! Je schneller die Polizei ermitteln kann, desto höher sind die Chancen, die Kriminellen festzusetzen.

Wie kann ich mich im Vorfeld gegen Attacken schützen?

• Awareness ist das A und O im Schutz gegen Social Engineering. Schulen Sie Ihre Mitarbeiter regelmäßig. Je stärker der Faktor Mensch ist, desto geringer die Angriffsflächen. Es gibt zahlreiche Schulungsmöglichkeiten, Test-Angriffs-Szenarien und Informationenmöglichkeiten. Nutzen Sie sie!
• Richten Sie ein internes Kontrollsystem für Zahlungsanweisungen ein (Vier-Augen-Prinzip).
• Richten Sie mit Ihrer Bank geeignete Schutzmechanismen gegen ungewollte Überweisungen ein.
• Halten Sie Ihre IT-Sicherheitssysteme auf dem neuesten Stand.
• Testen Sie Ihre IT-Sicherheitssysteme regelmäßig.
• Seien Sie zurückhaltend mit der Veröffentlichung von Unternehmensdaten und -informationen in den sozialen Netzwerken oder am Telefon. Schulen Sie diesbezüglich auch Ihre Mitarbeiter.
• Geben Sie Passwörter, Zugangsdaten oder Kontoinformationen niemals per Telefon oder E-Mail weiter.
• Bereiten Sie sich auf einen Schadensfall vor, um schnell reagieren zu können. Erstellen Sie einen Notfall-Plan.

Fazit

Augen auf im Straßenverkehr! Was für die analoge Welt gilt, sollte auch für die digitale gelten. Bleiben Sie kritisch und aufmerksam. Lassen Sie sich nicht von Ihren Prinzipien abbringen oder unter Druck setzen.

Bereiten Sie sich und Ihre Organisation auf solch einen Fall vor: Die Frage ist nicht ob, sondern wann es passiert!

In unserem letzten Beitrag haben wir das Phänomen Social Engineering erläutert. Wie ein Angriff generell geplant wird und abläuft, lesen Sie dort. In diesem Beitrag gehen wir auf die häufigsten Methoden des Social Engineering ein. Ein paar Beispiele aus den vergangenen Jahren finden Sie in diesem Beitrag zum Nachlesen.

Phishing

Unter Phishing (zusammengesetzt aus „fishing“ und dem „P“ von „password“) versteht man einen Angriff, bei dem vertrauliche Angaben (Passwörter, Zugangsdaten oder andere Authentitfizierungsmerkmale) erlangt oder Malware, z.B. Ransomware oder Trojaner, installiert werden sollen. Echt wirkende E-Mails fordern die attackierten Personen beispielsweise auf, über eine Link diese Informationen preiszugeben. Oftmals ist die Zielseite gut gefälscht und sieht aus wie das Original. Zu erkennen ist die Fälschung in der Regel an dem Domainnamen, der von der originalen Seite abweicht (z.B. www.amazone.com, www.facebokk.de). E-Mail-Angriffe sind nach wie vor die bevorzugte Angriffstaktik.

Spear-Phishing

Eine besondere Form des Phishing ist das Spear-Phishing, ein gezielter Angriff auf Einzelpersonen oder -gruppen. Dieser erfolgt mittels personalisierter E-Mail oder sogar einer telefonischen Kontaktaufnahme mit dem gezielten Opfer. Vorausgehend sammeln die Angreifer oftmals über einen längeren Zeitraum Informationen, z.B. über Social Media oder telefonische Anfragen. Mit diesem Hintergrundwissen überwinden sie Misstrauensbarrieren und gelangen an sensible Daten. Gerne geben sich Angreifer dann entweder als kompetente Vertrauensperson (z.B. Administrator, Mitarbeiter einer bekannten oder vertrauten Firma wie z.B. Microsoft) oder einfache Hilfskräfte (z.B. Aushilfen, Sekretäre) aus. In beiden Fällen beugen sie meist weiteren Nachfragen vor. So kann ein Angreifer beispielweise als IT-Administrator getarnt auffordern, Zugriffsrechte zu ändern oder eine (Schad-)Software zu installieren, um ein IT-Problem zu lösen. So gelangt er an die gewünschten Passwörter. Diese Methode ist zwar aufwendiger für den Angreifer, hat jedoch eine deutliche höhere Erfolgschance.

CEO-Fraud

Der CEO-Fraud (deutsch „Cheftrick“) oder auch die Fake-President-Methode, zielt in der Regel auf die Transaktion von Gelder ab. Ein Mitarbeiter erhält eine vermeintliche E-Mail von seinem Vorgesetzen, in dem dieser in in einer dringlichen und oftmals auch geheimhaltungsbedürftigen Sache bittet, umgehend einen Finanztransaktion durchzuführen. Diese Methode wenden Betrüger gerne zum Jahreswechsel an, die Dringlichkeit wird dann mit Termindruck begründet. Zudem nutzen sie die Abwesenheit um die Feiertage und das damit verbundene Fehlen eines direkten Austausches als Tarnmantel. In Corona- und damit verbundenen Homeoffice-Zeiten hat die Methode unter anderem deshalb einen weiteren Schub erhalten.

Und die Betrüger werden immer einfallsreicher, die Mittel immer ausgereifter. Ein besonders tückischer Fall: Inzwischen haben es Cyber-Kriminelle sogar schon geschafft, mittels KI-Software technisch die Stimmen von Führungskräften zu imitieren. Damit konnten sie den Angriff telefonisch durchführen und so das Vertrauen der Mitarbeiter ausnutzen.
Ein weiterer außergewöhnlicher Fall ereignete sich bereits 2017. Hier gaben sich Angreifer als Vertreter der Bundeskanzleramts aus und versuchten Gelder für Erpressungsforderungen angeblich entführter Bundesbürger zu erschleichen.

Wie kann ich mich vor Social Engineering schützen?

Geeignete Maßnahmen, die bereits im Vorfeld die Gefahr von Social Engineering-Angriffen minimieren, erläutern wir in unserem nächsten Beitrag.

Social Engineering – schon einmal gehört? Wahrscheinlich sind Ihnen bereits Varianten zwischenmenschlicher Manipulationsmethoden untergekommen, die unter dem Oberbegriff Social Engineering zusammengefasst werden. In drei Beiträgen erläutern wir den Angriffsablauf, die häufigsten Methoden und wie Sie sich schützen können.

Was ist Social Engineering?

Eigentlich stammt der Begriff Social Engineering aus der Sozial- bzw. Politikwissenschaft und beschreibt Maßnahmen, die das gesellschaftliche Verhalten Einzelner zugunsten der Änderung sozialer und politischer Strukturen beeinflussen sollen. Populär wurde die Methode ab den 1970er Jahren im Zuge der Optimismus- und Behaviourismus-Bewegung.

Heute wird der Begriff im Zusammenhang mit (IT-)Sicherheit verwendet. Methoden zur Manipulation des Verhaltens einer Person, um an vertrauliche Informationen oder Daten zu kommen oder ein bestimmtes Handeln zu provozieren (z.B. die Herausgabe von Finanzmitteln oder Passwörtern) werden heute unter dem Oberbegriff Social Engineering zusammengefasst. Wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt, werden dabei gerne „menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität ausgenutzt.“ Der Faktor Mensch ist hierbei das Einfallstor für Angriffe. Da die menschlichen Denkprozesse (zum Glück!) nicht voll automatisiert ablaufen, können Social Engineers genau an dieser „Schwachstelle“ ansetzen.

Wie funktioniert Social Engineering?

In der Regel erzeugt der Angreifer eine Stresssituation, die eine schnelle Entscheidung sowie ein umgehendes Handeln der Zielperson provozieren soll. Ähnlich wie beim sogenannten „Enkeltrick„. Nachfragen bei Vorgesetzen, Kollegen oder der IT sollen damit möglichst unterbunden werden. Eine gute Tarnung, z.B. durch ein gut gefälschtes Profil, ist ein weiterer Teil der Angriffsstrategie. Das reicht von einer Fake-Website bis hin zu einer erfundenen Identität z.B. eines Geschäftspartners. Unterstützt wird der Angriff zudem durch das soziale Setting zwischen Angreifer und Zielperson. Hat der Angreifer eventuell im Vorfeld schon eine Beziehung zum „Opfer“ aufgebaut oder verfügt über detailliertes Wissen, senkt dies die Misstrauensschwelle. Eine andere Strategie, wie Angreifer kritische Rückfragen vermeiden, ist es, sich als Aushilfe, Experte oder wichtiger Entscheider auszugeben. In beiden Fällen können Nachfragen in der Regel erfolgreich abgeblockt werden.

Wie läuft ein Angriff ab?

Angriffe im Bereich Social Engineering laufen in der Regel nach folgendem Muster ab:

1. Auswahl des Zielunternehmens: Der Angreifer wählt ein für seine Ziele attraktives Unternehmen aus.
2. Analyse des Ziels / Auswahl der Zielperson: Der Angreifer analysiert das Umfeld und die Struktur des Unternehmens. Er eruiert mögliche Einfallstore, Schwachstellen und Ansprechpartner, über die der Angriff laufen soll.
3. Vorbereitung des Angriffs: Eventuell erste Kontaktaufnahme mit dem ausgewählten Ansprechpartner oder Recherche über soziale Netzwerke, um an weitere (Insider-)Informationen zu gelangen. Ggf. bereits Kompromittierung unternehmensinterner IT-Systeme.
4. Angriff: Durchführung des Angriffs durch Schaffung einer Dringlichkeit und Handlungsaufforderung.

Welches die häufigsten Methoden des Social Engineering sind und wie Sie sich am Besten schützen können, erfahren Sie in den Beiträgen der kommenden Wochen.

Laut einer 2018 durchgeführten Umfrage des Bundesamts für Sicherheit in der Informationstechnik (BSI) antwortet jeder sechste Mitarbeiter auf eine gefälschte E-Mail, die angeblich von einem Vorgesetzen stammen soll. Auf diesen Weg gibt er sensible Unternehmensinformationen preis. Dem Human Factor Report von Proofpoint zufolge werden 30% von verseuchten E-Mails innerhalb von 10 Minuten geöffnet. Weitere 52% innerhalb einer Stunde. Ist der Mitarbeiter also der größte Risikofaktor für die IT-Sicherheit eines Unternehmens?

Social Engineering – Zielscheibe Mensch

Es können noch so viele Schlösser an der Tür angebracht und Alarmanlagen installiert sein: Öffnet jemand die Tür freigiebig, helfen Sicherheitsmaßnahmen kaum oder gar nicht.

Der Proofpoint-Studie zufolge sind 99% der Cyber-Angriffe demnach auf den Faktor Mensch ausgelegt. Die vielfältigen Varianten werden zusammengefasst unter dem Begriff Social Engineering. Das scheinbar schwächste Glied in der Kette, der Mitarbeiter, hilft den Angreifern dabei durch unbedachtes oder unwissendes Handeln. Typische Aktionen sind das Aktivieren eines Makros, Öffnen einer Datei oder Klicken auf einen Link, die es Angreifern ermöglichen, in ein Unternehmen einzudringen.

Das schwächste Glied?

IT-Sicherheit scheitert also am Mitarbeiter? Nicht unbedingt. Das BSI hat in seiner oben genannten Umfrage zudem herausgefunden, dass sich immerhin 58% der ArbeitnehmerInnen aktiv zum Thema IT-Sicherheit informieren. 42% informieren sich nicht; sie gehen u.a. davon aus, dass ihr Unternehmen ihnen sagt, wenn Maßnahmen nötig sind oder bereits alle Vorkehrungen getroffen sind.

Oft fehlt es demzufolge an der ausreichenden Information und Schulung der MitarbeiterInnen. Dies betrifft sowohl das Verhalten bei verdächtigen Vorfällen als auch den Umgang mit vorhandenen Sicherheitsmaßnahmen. Werden Mitarbeiter nicht ausreichend mitgenommen und über den Sinn und Zweck eingeführter Maßnahmen informiert, werden diese letztendlich auch nicht (flächendeckend) angewandt. Beispielsweise kann eine E-Mail-Verschlüsselungslösung nur dann wirksam arbeiten, wenn die Mitarbeiter sie nicht als störend oder unwichtig empfinden. Maßnahmen sollten daher benutzerfreundlich und einfach sein. Gleichzeitig muss die Awareness für mögliche Gefahren und für den Schutz der digitalen Unternehmenswerte der ArbeitnehmerInnen ausreichend geschult sein.

Awareness Building

Sensibilisierung und Schulungen tragen dazu bei, ArbeitnehmerInnen zu einem verlässlichen Glied in der Kette der IT-Sicherheit zu machen. Wichtig ist es, das Selbstverständnis des Einzelnen als entscheidenden Teil des Sicherheitsgefüges zu stärken und mögliche Vorbehalte und Hürden abzubauen. Das offene Gespräch zwischen Vorgesetzen und Mitarbeitern unter enger Einbindung der IT kann dazu maßgeblich beitragen. Zuhören und Motivation sind dabei zielführender als Vorgaben und Maßnahmenkataloge.

Darüber hinaus gibt es zahlreiche Dienstleister und Unterlagen, die Sie beim Awareness Building unterstützen, z.B. mit Infomaterialien, Seminaren oder Angriffs-Simulationen. Nutzen Sie auch die Angebote der Bundesregierung und öffentlicher Einrichtungen. Und warum nicht mal spielerisch an die Sache rangehen nach dem Motto „Learning by doing“? Lassen Sie z.B. in einem vorher kommunizierten Zeitraum einen Phantom jagen, der gezielt versucht mit unterschiedlichen Methoden Ihre MitarbeiterInnen zu täuschen. Selbstverständlich kontrolliert und ohne reale Auswirkung auf den Produktivbetrieb.

Sicherheitsfaktor Mensch!

Fazit: Der Mensch ist kein Risiko, er ist Teil der Lösung. Machen Sie Ihre MitarbeiterInnen zu „menschlichen Firewalls“, wie es Volkan Yilmaz, Geschäftsführer und Co-Founder der AnkhLabs GmbH und Entwickler der WeEncrypt Suite, bezeichnet. Den im Gegensatz zu einer Maschine ist der Mensch (zumindest aktuell noch) leichter zu sensibilisieren und kann Veränderungen schneller wahrnehmen und sein Verhalten adaptieren.