Social Engineering – schon einmal gehört? Wahrscheinlich sind Ihnen bereits Varianten zwischenmenschlicher Manipulationsmethoden untergekommen, die unter dem Oberbegriff Social Engineering zusammengefasst werden. In drei Beiträgen erläutern wir den Angriffsablauf, die häufigsten Methoden und wie Sie sich schützen können.
Was ist Social Engineering?
Eigentlich stammt der Begriff Social Engineering aus der Sozial- bzw. Politikwissenschaft und beschreibt Maßnahmen, die das gesellschaftliche Verhalten Einzelner zugunsten der Änderung sozialer und politischer Strukturen beeinflussen sollen. Populär wurde die Methode ab den 1970er Jahren im Zuge der Optimismus- und Behaviourismus-Bewegung.
Heute wird der Begriff im Zusammenhang mit (IT-)Sicherheit verwendet. Methoden zur Manipulation des Verhaltens einer Person, um an vertrauliche Informationen oder Daten zu kommen oder ein bestimmtes Handeln zu provozieren (z.B. die Herausgabe von Finanzmitteln oder Passwörtern) werden heute unter dem Oberbegriff Social Engineering zusammengefasst. Wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt, werden dabei gerne „menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität ausgenutzt.“ Der Faktor Mensch ist hierbei das Einfallstor für Angriffe. Da die menschlichen Denkprozesse (zum Glück!) nicht voll automatisiert ablaufen, können Social Engineers genau an dieser „Schwachstelle“ ansetzen.
Wie funktioniert Social Engineering?
In der Regel erzeugt der Angreifer eine Stresssituation, die eine schnelle Entscheidung sowie ein umgehendes Handeln der Zielperson provozieren soll. Ähnlich wie beim sogenannten „Enkeltrick„. Nachfragen bei Vorgesetzen, Kollegen oder der IT sollen damit möglichst unterbunden werden. Eine gute Tarnung, z.B. durch ein gut gefälschtes Profil, ist ein weiterer Teil der Angriffsstrategie. Das reicht von einer Fake-Website bis hin zu einer erfundenen Identität z.B. eines Geschäftspartners. Unterstützt wird der Angriff zudem durch das soziale Setting zwischen Angreifer und Zielperson. Hat der Angreifer eventuell im Vorfeld schon eine Beziehung zum „Opfer“ aufgebaut oder verfügt über detailliertes Wissen, senkt dies die Misstrauensschwelle. Eine andere Strategie, wie Angreifer kritische Rückfragen vermeiden, ist es, sich als Aushilfe, Experte oder wichtiger Entscheider auszugeben. In beiden Fällen können Nachfragen in der Regel erfolgreich abgeblockt werden.
Wie läuft ein Angriff ab?
Angriffe im Bereich Social Engineering laufen in der Regel nach folgendem Muster ab:
- Auswahl des Zielunternehmens: Der Angreifer wählt ein für seine Ziele attraktives Unternehmen aus.
- Analyse des Ziels / Auswahl der Zielperson: Der Angreifer analysiert das Umfeld und die Struktur des Unternehmens. Er eruiert mögliche Einfallstore, Schwachstellen und Ansprechpartner, über die der Angriff laufen soll.
- Vorbereitung des Angriffs: Eventuell erste Kontaktaufnahme mit dem ausgewählten Ansprechpartner oder Recherche über soziale Netzwerke, um an weitere (Insider-)Informationen zu gelangen. Ggf. bereits Kompromittierung unternehmensinterner IT-Systeme.
- Angriff: Durchführung des Angriffs durch Schaffung einer Dringlichkeit und Handlungsaufforderung.
Welches die häufigsten Methoden des Social Engineering sind und wie Sie sich am Besten schützen können, erfahren Sie in den Beiträgen der kommenden Wochen.
