6 Tricks, mit denen Social Engineers Ihre Mitarbeiter manipulieren

Der Begriff Social Engineering kommt aus dem Englischen und bedeutet übersetzt so viel wie „Soziale Manipulation“. Ein Social Engineer setzt auf zwischenmenschliche Beeinflussung, um Menschen zu bestimmten Handlungen zu bewegen und so an vertrauliche Informationen zu gelangen. Das kann sowohl im persönlichen Kontakt als auch über Kommunikationskanäle wie Telefon, E-Mail etc. geschehen. Im Gegensatz zum klassischen Cyberkriminellen greift er zunächst keine technischen Systeme an, sondern deren Benutzer.

Aber wie laufen solche Angriffe ab? Wir erklären es Ihnen anhand von 6 Beispielen.

1. Phishing

Als Phishing bezeichnet man den Versuch von Social Engineers, nach Zugangsdaten für Online-Benutzerkonten zu „fischen“. Phishing-Versuche erfolgen meist über E-Mails oder Messenger. Die Empfänger werden klassischerweise mit einem Hinweis auf verdächtige Kontoaktivitäten unter Druck gesetzt und dazu aufgefordert, auf einen Hyperlink zu klicken und auf der verlinkten Webseite Ihre Benutzerdaten einzugeben. Die versendeten Nachrichten stammen angeblich von Absendern wie Amazon, PayPal oder der unternehmenseigenen IT-Abteilung. Auch die verlinkten Webseiten sind häufig den Internetauftritten des eigenen Unternehmens oder des vermeintlichen Absenders nachempfunden.

Tipp: Melden Sie sich immer nur über die offizielle Webseite mit Ihren Zugangsdaten an und folgen Sie keinen Hyperlinks aus E-Mails, da diese zu einer manipulierten Phishing-Seite führen könnten.

2. Baiting

Beim Baiting, zu deutsch Ködern, verteilen Social Engineers mit Schadsoftware infizierte Datenträger und verlassen sich darauf, dass der Empfänger das Fundstück aus Neugier an seinen PC anschließt. So ist es Kriminellen möglich, Viren und Trojaner auf fremden Rechnern zu installieren und Zugriff auf vertrauliche Informationen zu erlangen. Beim Baiting werden klassischerweise USB-Sticks strategisch an Orten platziert, die durch Mitarbeiter des Zielunternehmens stark frequentiert sind. Das kann zum Beispiel ein Parkplatz, die Raucherecke oder die Cafeteria sein. Nicht selten werden die Köder aber auch einfach als vermeintliche Werbegeschenke verteilt. Wer den Datenträger an seinen PC anschließt, läuft Gefahr, automatisch Schadsoftware zu installieren.

Tipp: Lassen Sie niemals Ihre Neugier siegen, wenn Sie fremde Datenträger finden oder als Werbegeschenk erhalten. Insbesondere am Arbeitsplatz sollten fremde Datenträger vor der Benutzung immer von der zuständigen Abteilung auf Schadsoftware geprüft werden.

3. Tailgaiting

Als Tailgating bezeichnet man den unbefugten Zutritt zu Gebäuden, indem man sich Verhaltensweisen seiner Mitmenschen zunutze macht. Sind die Eingänge zu einem Firmengebäude beispielsweise nur mit einem Schlüssel oder Chip zu öffnen, warten Social Engineers einfach ab, bis ein Mitarbeiter aufschließt und schlüpfen dann als vermeintlich neuer Kollege mit ins Gebäude. Eine weitere Möglichkeit: Die Kriminellen geben sich als Lieferanten aus und bitten einen Mitarbeiter freundlich, die Tür aufzuhalten.

Tipp: Gewähren Sie Fremden nur dann Zutritt zum Firmengebäude, wenn diese eine Zugangsberechtigung vorlegen können. Eine Nachfrage mag Ihnen zwar unhöflich erscheinen, ist aber bedeutend für die Abwehr von Social-Engineering-Angriffen.

4. Dumpster Diving

Beim Dumpster Diving, wörtlich übersetzt Mülleimertauchen, handelt es sich um die wohl kurioseste Methode des Social Engineering. Dabei durchwühlen Angreifer den Müll des Zielunternehmens auf der Suche nach wertvollen Informationen. Besonders interessant ist in der Regel der Papiermüll. Hier verbergen sich nicht selten Kennwortzettel, Telefonlisten oder Mitschriebe, die für weitere Social-Engineering-Angriffe interessant sein können. Aber auch Datenträger wie USB-Sticks, DVDs oder ganze Festplatten werden immer wieder achtlos entsorgt, obwohl noch vertrauliche Daten darauf gespeichert sind.

Tipp: Schreddern Sie sämtliche Ausdrucke je nach Schutzklasse und Sicherheitsstufe. Häufig ist nicht nur ein Streifenschnitt, sondern sogar ein Partikelschnitt (auch Kreuzschnitt genannt) erforderlich. Datenträger müssen vor der Entsorgung je nach Schutzklasse mindestens neu formatiert, wenn nicht sogar komplett vernichtet werden. Weitere Informationen dazu finden Sie in der Norm DIN 66399.

5. Shoulder Surfing

Wie der Name schon andeutet, geht es beim Shoulder Surfing darum, den Opfern bei der Computernutzung über die Schulter zu sehen, um Anmeldedaten oder andere vertrauliche Informationen auszuspähen. Im Visier der Social Engineers stehen dabei besonders Geschäftsreisende. Diese nutzen ihre Arbeitsgeräte nämlich nicht nur im eigenen Büro, sondern auch unterwegs in Bahn, Flugzeug oder Restaurant. Für Kriminelle ist es ein Leichtes, ihren Opfern zuzuschauen und angezeigte oder eingegebene Informationen mitzulesen.

Tipp: Benutzen Sie Blickschutzfolien bei der Arbeit auf mobilen Geräten. Sie sorgen dafür, dass ein Blick auf das Display nur aus einem beschränkten Winkel möglich ist. Wählen Sie Ihren Sitzplatz außerdem so, dass Ihnen niemand heimlich über die Schulter schauen kann.

6. Fake Identity

Um Mitarbeiter auf’s Glatteis zu führen, setzen Cyberkriminelle immer häufiger auf das Vortäuschen falscher Identitäten. Die wohl bekannteste Variante ist der CEO-Fraud. Beim CEO Fraud, auch Geschäftsführer-Betrug, Chef-Masche oder Fake President Fraud genannt, schlüpft ein Krimineller in die Rolle des Geschäftsführers und weist einen zahlungsberechtigten Mitarbeiter per E-Mail oder Telefon an, umgehend Geld für einen besonders wichtigen Deal zu überweisen. Das Geld soll an eine bis dahin vollkommen unbekannte Kontoverbindung überwiesen werden. Und natürlich geht der Betrag nicht an den vorgeblichen Empfänger. Das Geschäft kommt ebenfalls nie zustande.

Tipp: Halten Sie sich unabhängig von Zeitdruck oder sonstigen Stressfaktoren immer an die internen Vorschriften. Diese sehen ab bestimmten Summen in der Regel ein Vier-Augen-Prinzip zur Freigabe von Überweisungen vor. Fragen Sie im Zweifel unbedingt nach!

Social-Engineering-Angriffe verhindern

Wie Sie sehen, steht beim Social Engineering nicht die Technik, sondern der Mensch im Fokus der Angreifer. Menschen sind in der Regel nämlich wesentlich einfacher zu überlisten. Aber wie können Sie verhindern, dass Ihre Mitarbeiter auf Social Engineers hereinfallen? Die Lösung ist denkbar einfach: Schulen Sie Ihre Mitarbeiter!Nur wer weiß, wie Cyberkriminelle vorgehen und welche menschlichen Schwachstellen sie ausnutzen, kann Warnsignale erkennen und Angriffe im Keim ersticken.

Über die 8com GmbH & Co. KG

Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen von 8coms Kunden effektiv vor Cyberangriffen. Es beinhaltet ein Security Information and Event Management (SIEM), Vulnerability Management sowie professionelle Penetrationstests. Zudem bietet es den Aufbau und die Integration eines Information Security Management Systems (ISMS) inklusive Zertifizierung nach gängigen Standards. Awareness-Maßnahmen, Security Trainings und ein Incident Response Management runden das Angebot ab.

8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 15 Jahren ist das Ziel von 8com, Kunden die bestmögliche Leistung zu bieten und gemeinsam ein ökonomisch sinnvolles, aber trotzdem möglichst hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.

Firmenkontakt und Herausgeber der Meldung:

8com GmbH & Co. KG
Europastraße 32
67433 Neustadt an der Weinstraße
Telefon: +49 (6321) 48446-0
Telefax: +49 (6321) 48446-29
http://www.8com.de

Ansprechpartner:
Kent Gaertner
Pressereferent
Telefon: +49 (30) 3030808913
Fax: +49 (30) 30308089-20
E-Mail: gaertner@quadriga-communication.de
Eva-Maria Nachtigall
Leiterin Kommunikation & Medien
Telefon: +49 (6321) 48446-0
E-Mail: redaktion@8com.de
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel