Cyber Security Social Engineering und wie man sich davor schützt

Anbieter zum Thema

Heidrive GmbH

Novotechnik Messwertaufnehmer OHG

microsonic GmbH

In jedem zweiten Unternehmen wird versucht, Cyberangriffe durch Social Engineering vorzubereiten, ergab eine aktuelle Befragung des Digitalverbands Bitkom. Welche Angriffsmethoden verbergen sich dahinter und was Unternehmen können dagegen tun?

Ein Anrufer aus der IT-Abteilung, der das Passwort für ein PC-Update braucht, eine E-Mail aus der Vorstandsetage mit Link zu einer Website oder eine verzweifelte SMS der Kollegin, die nicht auf ihren Rechner zugreifen kann – dahinter können Cyberkriminelle stecken, die Informationen für einen Angriff sammeln. Social Engineering nennt sich die Methode, bei der Mitarbeiterinnen und Mitarbeiter manipuliert werden, damit sie vertrauliche Daten preisgeben.

Fast jedes zweite Unternehmen betroffen

In fast jedem zweiten deutschen Unternehmen (45 Prozent) kam es innerhalb eines Jahres zu solchen Vorfällen. 30 Prozent berichten von vereinzelten Versuchen, 15 Prozent sogar von häufigen. Das sind Ergebnisse einer Befragung von 1.003 Unternehmen ab 10 Beschäftigten im Auftrag des Digitalverbands Bitkom. „Durch Social Engineering versuchen Cyberkriminelle zum einen, sich Zugangsdaten zu IT-Systemen zu verschaffen. Zum anderen kann es zunächst einmal nur darum gehen, wichtige Informationen zu sammeln, etwa zu Namen der direkten Vorgesetzten oder eingesetzter Software. Auch solche Angaben können dabei helfen, einen weiteren Social-Engineering-Angriff vorzubereiten oder eine Cyberattacke durchzuführen“, sagt Felix Kuhlenkamp, IT-Sicherheitsexperte beim Digitalverband Bitkom.

Bildergalerie

Wer die Angriffstechniken kennt, kann sich besser vor ihnen schützen. Die auf Einkauf und Lieferketten spezialisierte Kloepfel Group hat dazu ein ABC der Social-Engineering-Techniken erstellt und wie man sie erkennt

• Baiting – der Angreifer lockt das Opfer mit einem verlockenden Angebot, oft in Form eines kostenlosen Downloads oder eines USB-Sticks, der mit Schadsoftware infiziert ist. Beispiel: Ein gefährlicher USB-Stick wird auf einem Parkplatz platziert, in der Hoffnung, dass jemand ihn findet und neugierig in seinen PC steckt. Vorsicht daher vor unbekannten USB-Sticks oder ungewöhnlich attraktiven Angeboten ohne klare Quelle.

• Impersonation – Der Angreifer gibt sich als jemand anderes aus, oft als eine vertrauenswürdige Person wie ein Kollege oder ein Vorgesetzter, um Zugang zu Informationen oder sicheren Bereichen zu erhalten. Beispiel: Ein Fremder gibt sich als neuer Mitarbeiter aus und bittet um Zugang zum Gebäude.

• Phishing – Phishing ist der Versuch, durch gefälschte E-Mails oder Websites persönliche Daten wie Passwörter zu stehlen. Beispiel: Eine E-Mail, die aussieht, als käme sie von einer Bank, fordert den Empfänger auf, seine Kontodaten einzugeben. Phishing-E-Mails kann man an unüblichen Absenderadressen, Rechtschreibfehlern oder unerwarteten Anfragen nach persönlichen Informationen erkennen.

• Pretexting – Beim Pretexting täuscht der Angreifer eine falsche Identität vor, um an vertrauliche Informationen zu gelangen. Beispiel: Jemand ruft an und gibt sich als IT-Mitarbeiter aus, um Ihr Passwort zu erfragen. Pretexting lässt sich daran erkennen, dass der Anrufer ungewöhnliche Fragen stellt oder Informationen verlangt, die normalerweise nicht telefonisch abgefragt werden.

• Quid Pro Quo – Bei dieser Methode bietet der Angreifer eine Gegenleistung für Informationen oder Zugangsrechte an. Beispiel: Ein Anrufer bietet "kostenlosen technischen Support" an, um Sie dazu zu bringen, Zugangsdaten preiszugeben. Quid Pro Quo-Angriffe lassen sich erkennen, wenn jemand im Austausch für eine angebliche Dienstleistung persönliche oder sicherheitsrelevante Informationen verlangt.

• Spear Phishing – Eine gezielte Form des Phishings, bei der der Angreifer speziell auf eine Person abzielt und eine personalisierte Nachricht verwendet, um das Vertrauen des Opfers zu gewinnen. Beispiel: Eine E-Mail, die so aussieht, als käme sie vom Chef, fordert den Mitarbeiter auf, auf einen Anhang bzw. auf einen Link zu klicken oder vertrauliche Informationen weiterzugeben.

• Tailgating – Bei Tailgating versucht jemand ohne eigene Zugangskarte oder Berechtigung in einen gesicherten Bereich zu gelangen.

• Vishing – Vishing (Voice Phishing) ist eine Technik, bei der Betrüger telefonisch versuchen, sensible Informationen wie Passwörter oder Bankdaten zu bekommen. Beispiel: Ein Betrüger gibt sich als Mitarbeiter einer Bank aus und fragt nach Ihren Kontoinformationen. Sogenannte Enkeltrickbetrüger, die mit Schockanrufen versuchen, an Geld zu kommen, zählen auch dazu. Bei unerwarteten Anrufen, bei denen der Anrufer nach vertraulichen Informationen fragt bzw. starken Druck ausübt, sollte man besser auflegen.

• Watering Hole – Bei dieser Technik kompromittiert der Angreifer eine häufig besuchte Website, um Malware zu verbreiten oder Daten abzugreifen. Beispiel: Eine oft besuchte Branchenwebsite wird infiziert, sodass deren Besucher unwissentlich Schadsoftware herunterladen. Watering Hole-Angriffe können durch Virus-Warnungen oder durch ungewöhnliches Verhalten von vertrauten Webseiten erkannt werden.

Gegenmaßnahmen gegen Social Engineering

Bitkom gibt vier Tipps, wie sich Unternehmen besser vor Social Engineering schützen können:

• Regelmäßige Schulungen durchführen: Unternehmen sollten regelmäßige Schulungen durchführen, um Mitarbeiterinnen und Mitarbeiter für die Gefahren von Social Engineering zu sensibilisieren. Dabei können sie lernen, verdächtige Nachrichten oder Anfragen zu erkennen und zu melden.

• Prozesse klar definieren und sicher gestalten: Unternehmen sollten Richtlinien festlegen, welche Informationen auf welchem Weg – etwa telefonisch oder per Mail – weitergegeben werden dürfen und welche zum Beispiel nie, etwa Passwörter. Zudem sollten doppelte Sicherheitsmechanismen, wie das Prüfen und Bestätigen von Überweisungen oder sensiblen Entscheidungen durch mindestens zwei oder mehr Personen in verschiedenen Unternehmensbereichen implementiert werden. So lassen sich die Risiken durch Manipulationen von Einzelpersonen oder unbefugte Zugriffe stark minimieren.

• Multi-Faktor-Authentifizierung verwenden: Eine Multi-Faktor-Authentifizierung, bei der neben dem Passwort zum Beispiel auch ein Code auf dem Smartphone oder eine Keycard benötigt wird, erschwert die Nutzung von Informationen, die durch Social Engineering erbeutet wurden. Angreifer können dadurch nicht so leicht in die IT-Systeme eindringen.

• Moderne IT-Sicherheitssoftware einsetzen: Grundsätzlich sollten Unternehmen Sicherheitssoftware wie Spam-Filter oder Anti-Phishing-Software nutzen, um zumindest einfache Angriffe herauszufiltern. Daneben können spezielle softwarebasierte Systeme eingesetzt werden, um ungewöhnliche Aktivitäten im eigenen Netzwerk zu entdecken, die auf Social-Engineering-Angriffe hindeuten. Künstliche Intelligenz und Anomalie-Erkennung bemerken in vielen Fällen verdächtiges Verhalten und lösen rechtzeitig Alarm aus.

(ID:50213157)