Fast alle Internetnutzenden haben in ihrem Leben schon E-Mails erhalten, die auffordern, Daten – z. B. Kontodaten – in ein Formular einzugeben, oft auf einer überzeugend gestalteten Webseite, die aussieht wie die einer großen Bank oder eines populären Online-Dienstes. Phishing, also das „Angeln von Passwörtern“ über gefälschte Webseiten, E-Mails oder Kurznachrichten ist dabei die geläufigste Form, um durch Manipulation an persönliche Daten von Internetnutzenden zu gelangen. Dabei wird besonders der „Faktor Mensch“ als Sicherheitslücke ausgenutzt – mit sogenannten Social-Engineering-Angriffen.  

Der Begriff „Social Engineering“ bezeichnet in der IT-Sicherheit Angriffsmethoden, bei denen Kriminelle durch die Manipulation von Personen an sensible Informationen von Unternehmen oder Privatpersonen zu gelangen versuchen. Denn: Kein IT-Sicherheitssystem der Welt kann Daten schützen, die von ihren rechtmäßigen Nutzer:innen freiwillig herausgegeben werden.  Social Engineers nutzen dabei das Bedürfnis von Menschen aus, sich kooperativ und hilfsbereit zu verhalten. Es ist daher ungemein wichtig, dass Mitarbeitende sich ein grundlegendes Wissen über Social-Engineering-Methoden aneignen, um das Gefahrenpotenzial verschiedener Risikosituationen besser einschätzen zu können. 

Ziele von Social-Engineering-Angriffen 

Welche Informationen und Daten mittels sozialer Manipulation im Netz beschafft werden, kann variieren: Beim Phishing geht es um das Erlangen von persönlichen Daten, von Login und Wohndaten bis hin zu Transaktionsnummern für Online-Banking, Kontodaten und Co. 

Grundregeln zum Vorbeugen von betrügerischen Angriffen

Social Engineering nutzt gezielt ganz normale menschliche Eigenschaften aus – Hilfsbereitschaft, Gutgläubigkeit und vor allem das grundlegende Vertrauen zu anderen Personen. Außerdem locken sie gerne mit guten Angeboten, denn oft genügt schon ein einfacher Klick, um unbemerkt Schadsoftware auf einem Gerät zu installieren.  Deshalb schützen uns vor solchen Angriffen keine Firewalls oder andere technischen Maßnahmen. Es gibt nur einen einzigen wirksamen Schutz vor Phishing-Angriffen aus dem Netz: ein gesundes Misstrauen und gutes Auge für Details. 

• Machen Sie sich Ihrer eigenen Anfälligkeiten bewusst: Alle von uns können Ziel eines Social-Engineering-Angriffs werden. Überlegen Sie, welche Informationen über Sie online zugänglich sind und wie Angreifende dieses Wissen über Sie ausnutzen könnten. 
• Seien Sie neuen Kontaktanfragen gegenüber skeptisch: Soziale Netzwerke sind unerschöpfliche Informationsquellen für Social Engineers. Geben Sie in sozialen Netzwerken niemals sensible Daten heraus und vergewissern Sie sich im Zweifel noch einmal über die Vertrauenswürdigkeit des neuen Kontakts durch öffentlich zugängliche Informationen. 
• Überprüfen Sie regelmäßig Ihre Privatsphäre-Einstellungen: Seien Sie vorsichtig bei der Auswahl der Informationen, die Sie auf Ihrem Profil preisgeben und prüfen Sie in den Einstellungen, wer diese Informationen einsehen kann.  
• Öffnen Sie keine unerwarteten E-Mails und Anhänge:  Anhänge können Schadsoftware enthalten, die ihr Gerät infizieren. Öffnen Sie daher nur Anhänge, die Sie erwarten und deren Erhalt Ihnen plausibel erscheint. Hier finden Sie DsiN-Tipps, wie sie E-Mail und Messenger sicher nutzen. 
• Lernen Sie Phishing-Angriffe besser zu erkennen: Das Phishing-Quiz von DsiN-Mitglied Google klärt im interaktiven Test darüber auf, worauf bei E-Mails zu achten ist, um sie als Phishing-Mail zu erkennen. 
• Gehen Sie vorsichtig mit allzu guten Angeboten um: Seien Sie stets skeptisch gegenüber allzu verlockenden Angeboten. Oftmals verbirgt sich dahinter ein Trick, um schnell an Informationen zu gelangen.