Social Engineering – Effektiver Schutz für Ihr Unternehmen

Social Engineering ist die gezielte psychologische Manipulation von Menschen, um sie zur Preisgabe vertraulicher Informationen oder zur Ausführung bestimmter Handlungen zu bewegen. Anstatt technische Sicherheitslücken anzugreifen, nutzen Kriminelle menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen oder Angst aus. Diese Methode wird oft auch als „Human Hacking“ bezeichnet, da der Mensch das eigentliche Ziel des Angriffs ist.

Typische Beispiele sind Phishing-E-Mails, die zur Eingabe von Passwörtern auf gefälschten Webseiten auffordern, oder Anrufe von falschen Support-Mitarbeitenden. Weitere Methoden sind der CEO-Betrug (CEO-Fraud), bei dem sich Angreifende als Vorgesetzte ausgeben, um Überweisungen zu veranlassen, sowie das Hinterlassen von infizierten USB-Sticks (Baiting) an öffentlichen Orten in der Hoffnung, dass diese aus Neugier angeschlossen werden.

Ein Angriff beginnt meist mit der Recherche über das Ziel, oft unter Nutzung öffentlich zugänglicher Informationen aus sozialen Netzwerken. Anschließend nimmt die angreifende Person Kontakt auf, täuscht eine falsche Identität vor (z. B. als Kollege:in oder Techniker:in) und baut Vertrauen auf. Unter einem Vorwand, der oft Dringlichkeit oder Autorität suggeriert, wird das Opfer dann zur gewünschten Handlung manipuliert, wie der Preisgabe von Daten.

Social Engineering ist gefährlich, weil es die stärksten technischen Sicherheitsmaßnahmen umgeht, indem es direkt auf Mitarbeitende abzielt. Ein erfolgreicher Angriff kann zu erheblichen finanziellen Verlusten durch Betrug, zum Diebstahl sensibler Unternehmens- und Kundendaten sowie zu Reputationsschäden führen. Da die Angriffe menschliches Vertrauen ausnutzen, sind sie oft schwer zu erkennen und können als Einfallstor für weitreichendere Cyberangriffe wie Ransomware dienen.

Eine Phishing-Mail erkennen Sie oft an einer unpersönlichen Anrede, Rechtschreib- und Grammatikfehlern sowie einer dringenden Handlungsaufforderung. Seien Sie misstrauisch bei unerwarteten Anhängen und prüfen Sie den Absender sowie Links genau, ohne darauf zu klicken, indem Sie mit der Maus darüberfahren. Seriöse Unternehmen fordern Sie niemals per E-Mail auf, sensible Daten wie Passwörter oder Bankinformationen direkt preiszugeben.

Business Email Compromise (BEC) ist ein Betrug, bei dem Angreifende sich als vertrauenswürdige Personen wie Vorgesetzte oder Lieferanten ausgeben, um Mitarbeitende zu Geldtransfers oder zur Datenweitergabe zu verleiten. CEO-Fraud ist eine bekannte Form von BEC, bei der sich Kriminelle gezielt als hochrangige Führungskräfte ausgeben. Diese Angriffe sind sehr zielgerichtet und nutzen oft eine dringende und vertrauliche Tonalität.

Vishing (Voice Phishing) und Smishing (SMS Phishing) sind Varianten des Social Engineering, die unterschiedliche Kommunikationskanäle nutzen. Beim Vishing erfolgen die Angriffe per Telefonanruf, bei denen sich Kriminelle beispielsweise als Bankmitarbeitende ausgeben. Smishing hingegen nutzt betrügerische Textnachrichten (SMS), um Personen dazu zu verleiten, auf bösartige Links zu klicken oder vertrauliche Informationen preiszugeben.

Mitarbeitende schützen sich am besten durch gesundes Misstrauen und Wachsamkeit. Sie sollten bei unerwarteten oder ungewöhnlichen Anfragen, die Druck aufbauen, skeptisch sein und Informationen über einen zweiten, verifizierten Kanal überprüfen. Wichtig ist zudem, keine sensiblen Daten leichtfertig preiszugeben und auf die Sicherheitseinstellungen in sozialen Netzwerken zu achten, um Angreifenden weniger persönliche Informationen zu bieten.

Bei einem Verdacht sollten Sie sofort innehalten und nicht auf die Forderung eingehen, auch wenn Druck ausgeübt wird. Brechen Sie den Kontakt ab und informieren Sie umgehend die zuständige IT-Sicherheitsabteilung oder Ihre Führungskraft über die festgelegten Meldewege. Ändern Sie vorsorglich relevante Passwörter, falls Sie bereits Informationen preisgegeben haben, und leiten Sie keine verdächtigen E-Mails an andere weiter.

Soziale Netzwerke sind für Angreifende eine Goldgrube, um Informationen über ihre potenziellen Opfer zu sammeln. Details über den Arbeitgeber, Kolleg:innen, Projekte oder persönliche Interessen helfen dabei, maßgeschneiderte und glaubwürdige Angriffe vorzubereiten. Kriminelle erstellen auch gefälschte Profile, um Vertrauen aufzubauen und direkt mit den Zielpersonen in Kontakt zu treten und sie zur Preisgabe von Informationen zu manipulieren.