Was ist Social Engineering?

Nutzer zu täuschen mit dem Ziel, dass sie sensible Informationen preisgeben, ist in der Cybersicherheitswelt nichts Neues. Das Einzige, was sich geändert hat, sind die Angriffsmethoden, die Maschen, um Informationen zu erhalten, und fortgeschrittene Angriffe von organisierten Gruppen, die andere Bedrohungen wie Phishing integrieren. Der Begriff Social Engineering an sich tauchte 1894 das erste Mal auf, als ihn der Niederländische Industrielle JC Van Marken das erste Mal verwendete. Als Methode von Cyberangriffen ist er seit den 1990ern in Umlauf.

In den 1990ern bedeutete Social Engineering, Nutzer anzurufen, um sie dazu zu bringen, ihre Zugangsdaten oder ihre Einwahl-Festnetznummer zu verraten, die einem Bedrohungsakteur Zugriff auf den internen Unternehmensserver verschaffte. Mittlerweile nutzen Angreifer Social Engineering, um Zielpersonen dazu zu verleiten, Geldsummen mitunter in Millionenhöhe an Offshore-Bankkonten zu senden, was bei Unternehmen einen enormen finanziellen Schaden verursacht. In manchen Fällen haben Mitarbeiter im Nachgang eines Angriffs ihren Job verloren.

Im Kontext der Cybersicherheit bezeichnet Social Engineering eine Reihe von Taktiken, mit denen ein Opfer manipuliert, beeinflusst oder getäuscht wird, damit es unüberlegt handelt und persönliche und finanzielle Informationen preisgibt oder dem Angreifer die Kontrolle über ein Computersystem gibt.

Social Engineering ist eine Wissenschaft für sich: Verschiedene Taktiken der psychologischen Manipulation, Überredung und Ausbeutung sollen Nutzer dazu verleiten, Sicherheitsfehler zu begehen oder vertrauliche Informationen preiszugeben.

Social-Engineering-Angriffe basieren auf menschlicher Interaktion und beinhalten oft, dass Opfer dazu gebracht werden, gegen normale Sicherheitsverfahren zu verstoßen. Solche Angriffe können sehr effektiv sein, da sie auf der menschlichen Tendenz basieren, anderen zu vertrauen. Oft wird auch die eigene Neugier auf neue Angebote oder Informationen als Köder genutzt.

Die Grenzen zwischen Social Engineering und Phishing lassen sich nicht klar ziehen, weil sie normalerweise miteinander Hand in Hand gehen. Bei Social Engineering gibt sich ein Angreifer oft als legitimer Angestellter (z.B. der CFO oder CEO) oder Kunde aus, mit dem Ziel, dass der Mitarbeiter dem Angestellten sensible Informationen schickt oder Accounts verändert (z.B. das Austauschen einer SIM-Karte).

Egal, welche Ziele der Angreifer verfolgt: Es gibt einige eindeutige Anzeichen, dass hinter einer Kommunikation Social Engineering steckt. Ein Hauptmerkmal von Social Engineering ist das Anspielen auf Ängste und Emotionen eines Nutzers. Der Angreifer will verhindern, dass der Nutzer genauer über die Anfrage nachdenkt und versucht stattdessen, Angst und ein Gefühl der Dringlichkeit hervorzurufen.

Einige Merkmale, die alle Social-Engineering-Attacken gemeinsam haben, sind:

• Erhöhte Emotionen: Ein Angreifer droht zum Beispiel mit dem Verlust eines Accounts, um Nutzer dazu zu verleiten, ihre Zugangsdaten herauszugeben, oder der Angreifer täuscht vor, eine Vorgesetzte zu sein, die von einer Zielperson Geld anfordert. Der Mitarbeiter verspürt daraufhin ein Gefühl der Dringlichkeit, weil er Angst hat, seinen Job zu verlieren.
• Gespoofte Absenderadresse: Die meisten Nutzer sind sich nicht bewusst, dass eine E-Mail-Adresse gespooft werden kann. E-Mail-Sicherheitsmaßnahmen sind jedoch mittlerweile in der Lage, gespoofte Absender davon abzuhalten, in den Posteingang eines Nutzers zu gelangen. Um dies zu umgehen, registriert der Angreifer stattdessen eine Domain, die ähnlich aussieht wie die offizielle Domain und hofft, dass der Nutzer den Unterschied nicht bemerkt.
• Ungewöhnliche Freundschaftsanfragen: Es ist nicht unüblich, dass ein Angreifer einen E-Mail-Account kompromittiert und schädliche Spam-Nachrichten an die Kontaktliste des Opfers versendet. Die Nachrichten sind normalerweise kurz und es fehlen die personalisierten Elemente, die eine Nachricht von einer Freundin normalerweise auszeichnen. Seien Sie deshalb vorsichtig, auf Links in E-Mails von Freunden zu klicken, wenn die Nachricht nicht personalisiert ist.
• Unprofessionelle Website-Links: Phishing-Links kommen manchmal zusammen mit Social Engineering zum Einsatz, um Nutzer dazu zu bringen, sensible Informationen preiszugeben. Geben Sie niemals Zugangsdaten ein, wenn der Link zur Website direkt aus einer E-Mail kommt, auch wenn es nach einer offiziellen Website aussieht (z.B. PayPal).
• Zu gut, um wahr zu sein: Scammer versprechen oft Geld im Austausch für finanzielle Entschädigung. Einer Zielperson wird so beispielsweise ein kostenloses iPhone versprochen, wenn sie die Lieferkosten selbst trägt. Wenn ein Angebot zu gut klingt, um wahr zu sein, dann handelt es sich wahrscheinlich um einen Scam.
• Schädliche Anhänge: Anstatt einen Nutzer auszutricksen und ihn dazu zu bringen, sensible Informationen bereitzustellen, kann eine fortschrittlichere Attacke darauf abzielen, mithilfe schädlicher E-Mail-Anhänge Malware auf einem Firmengerät zu installieren. Führen Sie niemals Makros oder ausführbare Dateien aus, die Sie von einer E-Mail erhalten haben, auch wenn sie scheinbar harmlos aussieht.
• Fragwürdiger Absender: Viele Social-Engineering-Techniken zielen darauf ab, eine vertraute Quelle nachzuahmen, beispielsweise einen Freund, Chefin oder Kollegen. Falls Sie eine verdächtige E-Mail-Nachricht erhalten, halten Sie einen Moment inne und fragen Sie sich: „Hat mir meine Chefin/Freund/Kollege diese Nachricht tatsächlich geschickt?“ Bevor Sie auf die betreffende E-Mail antworten, kontaktieren Sie die Person über einen anderen Kommunikationskanal (per Telefonanruf, SMS oder Social-Media-Nachricht), um zu überprüfen, ob es sich um eine Nachahmung handelt oder nicht.
• Weigerung, auf Fragen zu antworten: Wenn eine Nachricht verdächtig wirkt, antworten Sie auf die Nachricht und fordern Sie den Absender auf, sich zu identifizieren. Ein Angreifer wird versuchen, dies zu verhindern, oder ignoriert schlicht und ergreifend die Nachfrage.
• Nicht identifizierbarer Absender: Wenn der Absender nicht in der Lage oder nicht willens ist, seine Identität überprüfen zu lassen, geben Sie keine zusätzlichen Informationen heraus und akzeptieren Sie keine Zugriffsanfragen. Während E-Mail-Nachrichten am häufigsten vorkommen, gilt dies auch für andere Social-Engineering-Taktiken wie Textnachrichten, Telefonanrufe usw.

Die Technik, die alle Social-Engineering-Angriffe nutzen, ist das Anspielen auf Emotionen zur Täuschung von Nutzern. Darüber hinaus gibt es einige weitere Standard-Methoden, die Angreifer nutzen, um den Nutzer dazu zu drängen, eine bestimmte Handlung auszuführen (z.B. Geld an ein Bankkonto zu senden), und den Angriff legitim aussehen zu lassen. Meistens beinhalten die Angriffe E-Mail- oder Text-Nachrichten, weil diese ohne ein tatsächliches Gespräch auskommen.

Einige häufige Techniken sind:

• Phishing: Bei Social Engineering tut ein Angreifer normalerweise so, als wäre er eine Vorgesetzte, um Nutzer dazu zu verleiten, Geld an ein Offshore-Bankkonto zu senden.
• Vishing und Smishing: Angreifer nutzen Textnachrichten und stimmverändernde Software, um SMS-Nachrichten zu schicken oder automatisierte Telefonanrufe zu tätigen. Diese Formen von Scams heißen Vishing (Voice-Phishing) und Smishing (SMS Phishing).
• CEO-Betrug (Chefmasche): Nutzer verspüren oft ein Gefühl der Dringlichkeit, wenn ein hoher Vorgesetzter sie zu einer Handlung auffordert, weshalb ein Angreifer sich oft als CEO oder eine andere ranghohe Führungskraft ausgibt, um der Zielperson zu vermitteln, das Ausführen einer bestimmten Handlung sei besonders dringlich. Diese Masche ist als CEO-Betrug oder Chefmasche bekannt.
• Vorschieben eines Vorwands: Angreifer schaffen möglicherweise einen falschen Vorwand, um vertrauliche Informationen zu erhalten oder Zugang zu einem System zu erlangen. So könnte sich ein Angreifer beispielsweise als Bankangestellter ausgeben und eine Zielperson kontaktieren, um zu behaupten, dass auf ihrem Konto verdächtige Aktivitäten stattgefunden haben, und sie bitten, vertrauliche Informationen zur Bestätigung ihres Kontos preiszugeben.
• Ködern: Angreifer versprechen oft Preise oder Geld im Gegenzug für eine kleine Geldsumme. Diese Angebote sind oft zu gut, um wahr zu sein, und bei der geforderten Geldsumme handelt es sich oft um Lieferkosten oder ähnliches.
• Sich an jemanden dranhängen: Diese Technik betrifft Unternehmen, die Sicherheitsscanner einsetzen, um unautorisierten Zugang zum Firmengebäude zu verhindern. Der Angreifer hängt sich dann an einen Mitarbeiter dran und läuft dicht hinter ihm durch die Tür, nachdem der Mitarbeiter sie mit seinem Sicherheitsausweis geöffnet hat. Dadurch bekommt der Angreifer physischen Zugang zu einem Gebäude.
• Quid pro quo: Angestellte mit einem Groll gegen das Unternehmen sind besonders anfällig für Versuche, gegen Geld oder andere Versprechen sensible Informationen preiszugeben.
• Watering Hole: Bei dieser Form eines Social-Engineering-Angriffs werden bestimmte Gruppen gezielt angegriffen, indem Angreifer Websites infizieren, die diese Gruppe wahrscheinlich besucht. Beispielsweise könnte ein Angreifer eine beliebte Nachrichtenseite mit Malware infizieren, mit der Absicht, dass Mitarbeiter eines bestimmten Unternehmens die Website besuchen und die Malware versehentlich herunterladen.
• Auf eine nie gestellte Frage antworten: Das Opfer erhält eine E-Mail, die auf eine Frage „antwortet“. Die Antwort enthält jedoch eine Anfrage nach persönlichen Informationen, einen Link zu einer bösartigen Website oder einen Malware-Anhang.
• Mit dem Verlust von Geld oder Konten oder mit strafrechtlicher Verfolgung drohen: Angst ist ein nützliches Werkzeug im Social Engineering. Eine wirksame Möglichkeit zum Täuschen von Nutzern besteht darin, ihnen anzudrohen, dass sie einen Geldverlust erleiden oder ins Gefängnis gehen, wenn sie sich nicht an die Anweisungen des Angreifers halten.

Unternehmen können Social Engineering genauso wie Privatpersonen zum Opfer fallen, weswegen Angestellte die Anzeichen sowie die notwendigen Schritte, um einen Angriff zu stoppen, kennen müssen. Es liegt in der Verantwortung des Unternehmens, seine Mitarbeiter weiterzubilden. Orientieren Sie sich an folgenden Schritten, um ihre Angestellten in die Lage zu versetzen, eine akute Social-Engineering-Attacke zu erkennen:

• Seien Sie sich bewusst, welche Daten veröffentlicht werden: Ob auf Social Media oder per E-Mail, Angestellte sollten genau wissen, ob es sich bei den versendeten Daten um sensible Daten handelt und ob sie vertraulich behandelt werden sollten.
• Identifizieren Sie wertvolle Informationen: Personenbezogene Daten sollten niemals mit einer dritten Partei geteilt werden. Angestellte sollten wissen, was personenbezogene Daten ausmacht.
• Erhöhen Sie Ihre Sicherheit durch Multifaktor-Authentifizierung: Durch das Hinzufügen zusätzlicher Ebenen zur Überprüfung Ihrer Identität werden Online-Konten sicherer und undurchdringlicher.
• Nutzen Sie starke Passwörter und verwenden Sie einen Passwort-Manager: Die Verwendung starker, eindeutiger Passwörter mit unterschiedlichen Zeichentypen macht sie schwerer zu knacken. Ein zuverlässiger Passwort-Manager kann dabei helfen, Ihre Passwörter sicher zu verwalten.
• Begrenzen Sie, wie viele persönliche Informationen online über Sie zu finden sind: Vermeiden Sie die Weitergabe persönlicher Daten, z. B. besuchte Schulen, Namen von Haustieren oder andere Details, mit denen sich Antworten auf Sicherheitsfragen oder Passwörter erraten lassen.
• Bewahren Sie Geräte sicher auf und behalten Sie sie unterwegs jederzeit in Ihrer Nähe: Sperren Sie Ihren Computer und Ihre Mobilgeräte, insbesondere an öffentlichen Orten wie Flughäfen oder Cafés. Geben Sie Ihre Geräte nicht aus der Hand und behalten Sie sie nahe bei sich, um Diebstahl zu verhindern.
• Seien Sie misstrauisch gegenüber Anfragen nach Daten: Jede Datenanfrage sollte mit Vorsicht entgegengenommen werden. Stellen Sie Fragen und überprüfen Sie die Identität des Absenders, bevor Sie der Anfrage nachkommen.
• Nutzen Sie Richtlinien, um Nutzer weiterzubilden: Eine Richtlinie gibt Nutzern die Informationen, die sie brauchen, um auf betrügerische Anfragen zu reagieren und aktuelle Social-Engineering-Angriffe zu melden.
• Halten Sie Ihre Anti-Malware-Software auf dem neuesten Stand: Sollte ein Angestellter doch einmal schädliche Software herunterladen, wird das Antivirenprogramm diese in den meisten Fällen erkennen und stoppen.
• Bilden Sie Ihre Angestellten weiter: Angestellte können Angriffe nicht erkennen, wenn sie nicht über das Wissen verfügen, das ihnen dabei hilft. Führen Sie deshalb Schulungen durch, bei denen Angestellte echte Beispiele für Social Engineering sehen.

Proofpoint ist sich bewusst, dass Social-Engineering-Angriffe höchst effektiv darin sind, menschliche Emotionen und Fehler auszunutzen. Wir bieten deshalb Schulungen zur Steigerung des Sicherheitsbewusstseins sowie Weiterbildungsprogramme an, die Mitarbeiter darin unterstützen, Social Engineering und die Phishing-E-Mails, die damit meistens einhergehen, zu erkennen.

Wir bereiten Nutzer auf die fortschrittlichsten Angriffe vor und geben ihnen die Werkzeuge an die Hand, die sie brauchen, um richtig zu reagieren. Indem wir Beispiele aus dem echten Leben nutzen, versetzen wir Angestellte in die Lage, Social Engineering zu erkennen und in Einklang mit den Sicherheitsrichtlinien des Unternehmens zu handeln.