Soziale Manipulation und Phishing sind zu einem alltäglichen Problem für viele Unternehmen und Mitarbeiter geworden. Auch Sie sind wahrscheinlich schon mehr als einmal mit Social Engineering in Berührung gekommen.  

Fast alle Internetnutzenden haben in ihrem Leben schon E-Mails erhalten, die auffordern, Daten – z. B. Kontodaten – in ein Formular einzugeben, oft auf einer überzeugend gestalteten Webseite, die aussieht wie die einer großen Bank oder eines populären Online-Dienstes. Phishing, also das „Angeln von Passwörtern“ über gefälschte Webseiten, E-Mails oder Kurznachrichten ist dabei die geläufigste Form, um durch Manipulation an persönliche Daten von Internetnutzenden zu gelangen. Dabei wird besonders der „Faktor Mensch“ als Sicherheitslücke ausgenutzt – mit sogenannten Social-Engineering-Angriffen.  

Der Begriff „Social Engineering“ bezeichnet in der IT-Sicherheit Angriffsmethoden, bei denen Kriminelle durch die Manipulation von Personen an sensible Informationen von Unternehmen oder Privatpersonen zu gelangen versuchen. Denn: Kein IT-Sicherheitssystem der Welt kann Daten schützen, die von ihren rechtmäßigen Nutzer:innen freiwillig herausgegeben werden.  Social Engineers nutzen dabei das Bedürfnis von Menschen aus, sich kooperativ und hilfsbereit zu verhalten. Es ist daher ungemein wichtig, dass Mitarbeitende sich ein grundlegendes Wissen über Social-Engineering-Methoden aneignen, um das Gefahrenpotenzial verschiedener Risikosituationen besser einschätzen zu können. 

Ziele von Social-Engineering-Angriffen 

Welche Informationen und Daten mittels sozialer Manipulation im Netz beschafft werden, kann variieren: z. B. geschäftskritische, vertrauliche und andere interne Informationen eines Unternehmens, Login-Daten, Transaktionsnummern für Online-Banking, Kontodaten, Kreditkarten-PINs, persönliche Informationen. Auch der erfolgreiche Hack zahlreicher prominenter Twitter-Accounts im Juli 2020 im Rahmen eines Bitcoin-Scams ist vermutlich auf einen Social-Engineering-Angriff auf Twitter-Mitarbeitende zurückzuführen. 

Die sogenannte „Chef-Masche“ (CEO-Fraud) geht sogar so weit, dass sich Angreifer:innen als Vorgesetzte ausgeben und Mitarbeitende so lange manipulieren, bis sie Geld auf ein fremdes Konto überweisen. Die Verluste sind für das betroffene Unternehmen oftmals schmerzhaft. Bekannt wurde unter anderem ein Fall aus dem Jahr 2019, bei dem mithilfe eines Deep-Fakes die Stimme des Chefs eines Unternehmens imitiert wurde, um mehr als 200.000 Euro zu erbeuten. 

Grundregeln zum Vorbeugen von betrügerischen Angriffen

Social Engineering nutzt gezielt ganz normale menschliche Eigenschaften aus – Hilfsbereitschaft, Gutgläubigkeit und vor allem das grundlegende Vertrauen zu anderen Personen. Deshalb schützen uns vor solchen Angriffen keine Firewalls oder andere technischen Maßnahmen. Es gibt nur einen einzigen wirksamen Schutz vor Social Engineering: ein gesundes Misstrauen, verbunden mit dem strikten Einhalten vereinbarter Regeln zur Datenweitergabe! 

• Halten Sie sich strikt Regeln und Abläufe im Betrieb: Verweisen Sie auch unter Zeitdruck auf den vorgeschriebenen Dienstweg, wenn Sie um eine regelwidrige Auskunft oder Herausgabe von Daten gebeten werden. Sie handeln so nicht etwa unkooperativ, sondern helfen Firma und Kollegium dabei, vertrauensvoll zusammenzuarbeiten. 
   
• Machen Sie sich Ihrer eigenen Anfälligkeiten bewusst: Alle von uns können Ziel eines Social-Engineering-Angriffs werden. Überlegen Sie, welche Informationen über Sie online zugänglich sind und wie Angreifende dieses Wissen über Sie ausnutzen könnten. 
   
• Seien Sie neuen Kontaktanfragen gegenüber skeptisch: Soziale Netzwerke sind unerschöpfliche Informationsquellen für Social Engineers. Geben Sie in sozialen Netzwerken niemals sensible Daten heraus und vergewissern Sie sich im Zweifel noch einmal über die Vertrauenswürdigkeit des neuen Kontakts durch öffentlich zugängliche Informationen. 
   
• Überprüfen Sie regelmäßig Ihre Privatsphäre-Einstellungen: Seien Sie vorsichtig bei der Auswahl der Informationen, die Sie auf Ihrem Profil preisgeben und prüfen Sie in den Einstellungen, wer diese Informationen einsehen kann.  
   
• Öffnen Sie keine unerwarteten E-Mails und Anhänge:  Anhänge können Schadsoftware enthalten, die ihr Gerät infizieren. Öffnen Sie daher nur Anhänge, die Sie erwarten und deren Erhalt Ihnen plausibel erscheint. Hier finden Sie DsiN-Tipps, wie sie E-Mail & Co im Beruf sicher nutzen. 
   
• Lernen Sie Phishing-Angriffe besser zu erkennen: Die Universität Darmstadt bietet ein Online-Lehrprogramm für Phishing an, mit dem Sie routinierter bei der täglichen Arbeit mit E-Mail und Co und so für Angriffe sensibler werden. 
   
• Gehen Sie vorsichtig mit allzu guten Angeboten um: Auch in der Geschäftswelt gilt: Seien Sie stets skeptisch gegenüber allzu verlockenden Angeboten oder Offerten. Oftmals verbirgt sich dahinter ein Trick, um schnell an Informationen zu gelangen.