Was ist Social Engineering? | Definition, Beispiele und Schutzmaßnahmen

Social Engineering ist bereits seit mehreren Jahren im Umlauf. Doch seit der Corona-Krise und der damit verbundenen Digitalisierung ist ein enormer Anstieg zu verzeichnen. Doch was versteht man unter Social Engineering und wie kann man sich davor schützen? Das erfährst Du in unserem Blogartikel. Am Ende wartet eine Checkliste auf Dich, in der Du nochmal alle Schutzmaßnahmen zusammengefasst hast.

Was versteht man unter Social Engineering?

Als Social Engineering wird ein Verfahren definiert, bei welchem der Angreifer durch die Ausnutzung von menschlichen Komponenten versucht an persönliche und sensible Informationen, wie in etwa interne Unternehmensdaten, zu gelangen. Einfach gesagt: Social Engineering ist der Versuch Menschen so zu manipulieren, dass diese sensible Informationen offen legen oder unüberlegt handeln. Der Angriff erfolgt dabei auf eine gezielte Person bzw.  einen Mitarbeiter. In den meisten Fällen gibt sich der Angreifer als Vorgesetzten oder ranghöheren Kollegen aus, um Druck auf das Opfer ausüben zu können. Im Grunde kann man einen Social Engineering Angriff mit einem Postboten vergleichen, der sich als solcher ausgibt, um ins Haus zu gelangen – nur findet Social Engineering eben im Web statt.

Wie läuft ein Social Engineering Angriff ab?

Der Ablauf der manipulativen Taktik sieht im Grunde genommen immer sehr ähnlich aus, allerdings unterscheiden sich die Angriffe in ihrer Ausführungsweise – vor allem in der heutigen Zeit. Meist gibt sich der Betrüger als einen Mitarbeiter oder Vorgesetzten aus, sodass die E-Mail auf den ersten Blick seriös wirkt. Das Ziel ist es, die Betroffenen so zu manipulieren, dass diese persönliche Informationen preisgeben oder Links anklicken. Oft wird ein Social Engineering Angriff auch über ein Telefonat ausgeführt, bei welchem ein vermeintliches Netzwerkproblem geschildert wird und zur Behebung die Login-Daten benötigt werden. Die Angreifer erreichen meistens ihr Ziel, indem sie eine vermeintliche Dringlichkeit des Problems hervorheben und so zu unüberlegtem Handeln verleiten.

Beispiele, wie die Angriffe sich voneinander unterscheiden können:

1. Die E-Mail enthält einen Link, welcher eine bösartige Schadsoftware nach dem Öffnen auf dem Rechner installiert. Dabei kann es sich um Trojaner, Würmer oder Keylogger handeln, die einen enormen Schaden anrichten.
2. Der Betrüger kontaktiert Dich per Telefon und schildert ein vermeintliches Netzwerkproblem in Deinem Unternehmen, wozu die Login-Daten benötigt werden.
3. Du erhältst eine E-Mail, die vermeintlich von Deinem Vorgesetzten stammt, der Dich auffordert, eine dringende Zahlung durchzuführen oder wichtige Daten zu übermitteln. Diese Taktik ist heutzutage die Beliebteste. Dazu wird über sogenanntes „E-Mail-Domain-Spoofing“ die E-Mail-Adresse so verschleiert, dass das Opfer auf den ersten Blick gar nicht erkennt, dass es sich hierbei um eine Fälschung handelt.

Die Angreifer nutzen dabei bei allen Angriffsarten persönlichen Informationen, die in Deinen sozialen Netzwerken auffindbar sind und richte diese gegen Dich. Ein Beispiel hierfür ist Facebook, worüber eine bestimmte Zielgruppe ausgesucht wird, an welche die Angriffe zu einem späteren Zeitpunkt gerichtet werden. Dabei setzen die Angreifer oft auf Gefühle wie Angst oder Gier, um das betroffene Opfer zu einer unüberlegten Tat zu verleiten.

Wie kann man sich vor Social Engineering schützen?

Immer häufiger hört man von Angriffen auf Unternehmen und große Konzerne. Trotz umfangreichen IT-Sicherheitslösungen kommt es immer häufiger dazu, dass Mitarbeiter unüberlegt handeln und meist gar nicht erkennen, wo sich eine Gefahr verbirgt. Aus diesem Grund müssen Mitarbeiter geschult und auf das Thema sensibilisiert werden, um Angriffe zu vermeiden.

Wir führen Dir in erster Linie Schutzmaßnahmen auf, auf welche Du achten solltest. Zusätzlich findest Du eine PDF-Datei, die Du an Deine Mitarbeiter weiterleiten kannst, damit auch diese sich über das Thema besser informieren können.

Schutzmaßnahmen, die Du als Mitarbeiter zur Prävention von Social Engineering durchführen sollte:

• Bewahre in erster Linie Ruhe und denk über die Nachricht nach, bevor Du unüberlegt handelst. Die Täter sind nämlich in erster Linie darauf aus, Dich in die Enge zu treiben, sodass Du impulsive Schritte tätigst, ohne über diese nachzudenken.
• Überprüfe unerwartete Nachrichten zu untypischen Zeiten, wie etwa spät abends, ganz genau! Denn meist ist das bereits ein erstes Anzeichen auf einen Betrug. Selbst wenn die Nachricht von einer vertrauenswürdigen Website oder sogar Deinem Kollegen oder Chef kommt, solltest Du versuchen auf einem anderen Weg Kontakt aufzunehmen. Dadurch kannst Du vor unüberlegten und übereilten Handlungen prüfen, ob die E-Mail tatsächlich von dem Absender stammt.
• Klicke niemals auf Links in einer E-Mail – schon gar nicht, wenn diese Dir unseriös erscheint.
• Achte stets darauf, was Du alles postest, denn umso detaillierten Du Deinen Arbeitsablauf im Internet preisgibst, desto angreifbarer machst Du Dich für Social Engineering. Solltest Du Dich während Deiner Arbeitszeit in einem Restaurant oder Café befinden und der Angreifer kriegt das mit, kann er sich so viel gezielter und einfach Zugang zu Deinem Rechner und Deinen Daten verschaffen. Ein öffentliches Netzwerk ist ohnehin nicht ungefährlich, denn jeder, der sich in demselben Netzwerk befindet wie Du, kann sich relativ einfach Zugang zu Deinem Gerät verschaffen. Wie Du sicher in einem öffentlichen Netzwerk surfen kannst, erfährst Du in unserem Artikel.

Schutzmaßnahmen, die ein Unternehmen zur Prävention von Social Engineering durchführen sollte:

• Führe Sicherheitsrichtlinien in Deinem Unternehmen durch und sensibilisieren Mitarbeiter für das wichtige Thema. Denn nur so lassen sich Cyberangriffe in Verbindung mit den richtigen Services stoppen. Mitarbeiter können dabei durch gezielte Schulungen Angriffe früher erkennen und melden, sodass weitere Schäden vermieden werden können.
• Um selbst bei einem erfolgreichen Diebstahl der Anmeldedaten einen Account-Takeover zu verhindern, sollten moderne Passwort-Lösungen wie etwa Keychain im Unternehmen eingesetzt werden. Diese erkennen doppelt verwendete Passwörter und generieren zuverlässige, sichere Passwörter
• Schutzmaßnahmen im Falle eines Angriffes in Form von Software-Maßnahmen sollten von vornherein durchgeführt und installiert werden. Diese Maßnahmen können beispielsweise eine automatische Löschung aller auf der Festplatte befindlichen Daten veranlassen.
• Mitarbeiter-Berechtigen überprüfen und schützen, sodass nicht jeder Mitarbeiter Zugriff auf unternehmensinterne Informationen wie etwa Verträge oder Bankkonten hat.

Fazit:

Zusammenfassend lässt sich sagen, dass Social Engineering Angriffe sich nicht alleine durch vorsorgliche IT verhindern lassen, sondern dazu eine regelmäßige und intensive Aufklärung der Mitarbeiter nötig ist. Wir von GCT wollen Dir die Arbeit ein wenig abnehmen und haben aus dem Grund eine Checkliste mit Schutzmaßnahmen zusammengestellt, welche Dir zum Download bereitsteht. Gerne kannst Du diese Checkliste an Deine Mitarbeiter versenden oder ausdrucken.