Social Engineering

Viele erfolgreiche Angriffe beginnen nicht mit einer technischen Schwachstelle, sondern mit einem Gespräch, einer E-Mail oder einem Anruf. Social Engineering nutzt menschliche Eigenschaften wie Hilfsbereitschaft, Respekt vor Autorität, Neugier oder Zeitdruck. Deshalb lässt sich das Risiko nicht allein mit Technik beseitigen, sondern nur in Kombination mit klaren Abläufen und geschulten Mitarbeitenden.

Wie funktioniert Social Engineering?

Angreifende sammeln zunächst Informationen, etwa von der Firmenwebsite, aus Berufsnetzwerken, Stellenanzeigen oder früheren Datenlecks. Damit bauen sie eine glaubwürdige Geschichte auf, im Fachjargon Pretexting genannt. Typische psychologische Hebel sind:

• Autorität: Die Anfrage kommt scheinbar von der Geschäftsführung oder einer Behörde.
• Dringlichkeit: Eine Frist läuft angeblich gleich ab.
• Hilfsbereitschaft: Jemand gibt sich als neue Kollegin oder als Techniker aus, der nur kurz Unterstützung braucht.
• Vertrautheit: Bekannte Namen, interne Begriffe oder echte Projektbezüge schaffen Vertrauen.

Die bekannteste Form ist Phishing per E-Mail. Social Engineering findet aber ebenso am Telefon, in Messengern, in Videokonferenzen oder vor Ort statt, etwa wenn sich jemand hinter einer berechtigten Person durch eine Zutrittskontrolle mitnehmen lässt (Tailgating). Mit generativer KI lassen sich Texte, Stimmen und Videos inzwischen sehr überzeugend fälschen, was das Erkennen zusätzlich erschwert.

Typische Beispiele

• Ein Anruf beim Helpdesk mit der Bitte, die Multi-Faktor-Anmeldung einer angeblich verreisten Führungskraft zurückzusetzen.
• Eine Nachricht der vermeintlichen Geschäftsführung ordnet eine dringende, vertrauliche Überweisung an, siehe Business Email Compromise.
• Eine Person in Arbeitskleidung gibt vor, einen Drucker warten zu müssen, und erhält so Zutritt zu den Büroräumen.

Worauf Unternehmen achten sollten

• Verbindliche Rückrufprozesse über bekannte Nummern für Zahlungen, Kontoänderungen und Passwort-Rücksetzungen festlegen.
• Mitarbeitende regelmäßig sensibilisieren und dabei auch Telefon und Messenger einbeziehen, siehe Security Awareness.
• Eine Kultur fördern, in der Nachfragen und Melden ausdrücklich erwünscht sind, auch gegenüber Vorgesetzten.
• Öffentlich verfügbare Informationen über interne Abläufe und Zuständigkeiten bewusst prüfen.
• Rechte nach dem Prinzip Least Privilege vergeben, damit ein getäuschtes Konto möglichst wenig Schaden anrichten kann.

Bezug zu TOMORIS

Trainings zur Sensibilisierung von Mitarbeitenden bietet TOMORIS UNIVERSITY im Bereich Awareness an.