Kurzfassung
Social Engineering nutzt eher die menschliche Psychologie als technische Schwachstellen aus und verleitet Menschen durch Taktiken wie Phishing, Vishing, Baiting und Pretexting dazu, sensible Informationen preiszugeben. Angreifer:innen nutzen sechs Grundprinzipien – Autorität, Einschüchterung, Verknappung, Dringlichkeit, Konsens und Vertrautheit –, um Opfer zu manipulieren. Die Abwehr dieser Angriffe erfordert Schulungen zum Sicherheitsbewusstsein, eine gesunde Skepsis gegenüber unaufgeforderter Kommunikation, Praktiken für eine starke Authentifizierung wie die Multi-Faktor-Authentifizierung (MFA) sowie eine umgehende Meldung bei Verdacht auf einen Angriff.
Was ist Social Engineering?
Im Kontext der Informationssicherheit ist Social Engineering die Manipulation einer Person durch menschliches Verhalten und soziale Fähigkeiten, um sie zur Preisgabe kompromittierender Informationen zu bewegen. Ein:e Angreifer:in gibt sich oft als jemand aus, den Sie kennen, oder als eine Organisation, der Sie vertrauen und die Sie respektieren. Damit sollen Sie dazu gebracht werden, persönliche Informationen preiszugeben, die dann genutzt werden können, um Zugriff auf Ihre Accounts zu erlangen, Ihr Geld zu stehlen oder Ihre Dienste zu stören. Fast alle (98 %) der Cyberangriffe nutzen Social Engineering.
Beim Social Engineering verleitet ein:e Angreifer:in jemanden dazu, vertrauliche Informationen wie ein Passwort, Bankdaten, die Sozialversicherungsnummer oder andere personenbezogene Daten (PII) preiszugeben. Der:die Angreifer:in gibt sich oft als vertrauenswürdige Instanz, bekannte Person oder seriöse Partei aus. Sie stellen möglicherweise gezielte Fragen, um das Opfer zur Preisgabe dieser Informationen zu verleiten.
Social-Engineering-Methoden können verheerende Folgen haben, die von finanziellen Verlusten und Dienstunterbrechungen bis hin zu Reputationsschäden und mehr reichen. Es ist wichtig zu verstehen, wie Social Engineering funktioniert, um sich vor einem potenziellen Angriff zu schützen.
Warum ist der Faktor Mensch das schwächste Glied?
Das schwache Glied in der Cybersicherheit ist der Faktor Mensch. Angreifer:innen nutzen den natürlichen menschlichen Instinkt des Vertrauens aus, um die für einen Cyberangriff erforderlichen Informationen zu sammeln. Social-Engineering-Angriffe können über E-Mails, Telefonanrufe, Textnachrichten, bösartige Websites, Peer-to-Peer-Websites oder Social-Networking-Websites initiiert werden.
Bei Social-Engineering-Angriffen stellt ein:e Angreifer:in oft Fragen, um Informationen zu sammeln. Sie können seriös und unscheinbar wirken, aber wenn sie die richtigen Fragen stellen und ausreichend Informationen erhalten, können sie diese nutzen, um auf Ihre Accounts zuzugreifen und möglicherweise Ihren Computer und/oder Ihre Organisation zu kompromittieren. Social-Engineering-Methoden können auch Baiting oder die Reaktion auf betrügerische Hilfsangebote umfassen.
Was sind die sechs Prinzipien von Social-Engineering-Angriffen?
Social Engineering zielt auf den menschlichen Verstand ab und sucht nach potenziellen Schwachstellen, anstatt einen Computer oder ein Gerät direkt anzugreifen. Social Engineering ist eine Form des Betrugs, die auf der Psychologie der Überzeugung beruht. Bedrohungsakteure setzen Manipulation ein, um Personen zur Preisgabe persönlicher Daten zu bewegen, die sie anschließend nutzen können, um Zugriff auf sichere Ressourcen zu erlangen.
Social Engineering basiert auf den folgenden sechs Grundprinzipien:
- Autorität: Der:die Angreifer:in kann sich als Autoritätsperson ausgeben, um das Opfer zur Preisgabe seiner Anmeldedaten oder zur Mitwirkung an der Betrugsmasche zu bewegen. Wenn es beispielsweise so aussieht, als würde Ihr:e Chef:in aus irgendeinem Grund nach Ihren persönlichen Daten fragen, sind Sie wahrscheinlich eher geneigt, diese preiszugeben.
- Einschüchterung: Ein:e Angreifer:in setzt oft Drohungen oder subtile Einschüchterungstaktiken ein, um das Opfer zu entsprechendem Handeln zu bewegen. Dies kann das Abfangen von Kommunikation, deren Manipulation und die Androhung umfassen, diese an eine:n Vorgesetzte:n oder Freund:in weiterzugeben, um Misstrauen zu schüren.
- Knappheit: Dies macht sich das Konzept von Angebot und Nachfrage zunutze. Je höher die Nachfrage nach einem Produkt und je geringer das Angebot ist, desto wahrscheinlicher ist es, dass eine Person es haben möchte. Social Engineering kann schädliche Links auf Websites platzieren, die mit einer begrenzten Menge von etwas werben, um ein Gefühl der Dringlichkeit zu erzeugen. Das Opfer klickt auf den schädlichen Link, gibt seine Daten ein und der:die Angreifer:in stiehlt diese.
- Dringlichkeit: Ähnlich wie bei der Verknappung ist der Trick, dass etwas „nur für kurze Zeit“ verfügbar ist, eine Form der zeitbasierten psychologischen Manipulation, die eine Person dazu bringen kann, schnell zu handeln oder zu riskieren, etwas zu verpassen.
- Konsens: Als Form der sozialen Bestätigung beteiligen sich Menschen eher an etwas, wenn sie sehen, dass andere dies ebenfalls tun. Dies kann bedeuten, dass ein:e Angreifer:in mit höherer Wahrscheinlichkeit erfolgreich ist, wenn das Opfer davon überzeugt werden kann, dass auch dessen Kolleg:innen an einer bestimmten Masche beteiligt sind. Bedrohungsakteur:innen können gefälschte Bewertungen für Dienstleistungen oder Produkte erstellen, um Personen davon zu überzeugen, diese ebenfalls zu erwerben.
- Vertrautheit: Es liegt in der menschlichen Natur, sich eher überzeugen zu lassen, sich auf etwas einzulassen oder etwas von jemandem zu kaufen, den man mag oder respektiert. Angreifer:innen können dies ausnutzen, und Methoden des Social-Engineerings scheinen oft von einer Quelle zu stammen, die dem Opfer bekannt ist oder von ihm respektiert wird.
Was sind die häufigsten Arten von Social-Engineering-Angriffen?
Es gibt eine Vielzahl von Social-Engineering-Angriffen. Im Folgenden finden Sie einige der häufigsten:
| Angriffstyp | Funktionsweise |
|---|---|
| Phishing | Diese Form des Social-Engineering-Angriffs umfasst das Versenden betrügerischer E-Mails oder das Erstellen bösartiger Websites, um Personen dazu zu verleiten, ihre privaten Anmeldedaten preiszugeben. Phishing-Angriffe nehmen weiter zu und gehören zu den häufigsten Vektoren für Cyberangriffe, wobei allein im Dezember 2021 über 300.000 Phishing-Angriffe verzeichnet wurden. Phishing-Angriffe scheinen in der Regel von einer seriösen oder vertrauenswürdigen Quelle zu stammen. Sie fordern Benutzer:innen auf, einen Anhang herunterzuladen oder auf einen eingebetteten Link zu klicken, um sich an einem System anzumelden, wodurch sie unwissentlich ihre Anmeldedaten an eine:n Angreifer:in preisgeben. Dies geschieht oft in Form einer E-Mail und kann den Anschein erwecken, von einem Unternehmen zu stammen, das Sie nutzen und dem Sie vertrauen. Finanzinstitute geraten häufig ins Visier, wobei Angreifer:innen betrügerische E-Mails versenden, die vorgeben, von Ihrer Bank oder Ihrem Kreditkartenunternehmen zu stammen. Sie werden oft aufgefordert, sich bei Ihrem Account anzumelden. Phishing-Kampagnen können auch auf aktuelle Ereignisse abzielen, wie beispielsweise die COVID-19-Pandemie, humanitäre Hilfsaktionen, Feiertage, eine Wahl, wirtschaftliche Sorgen oder eine Naturkatastrophe. Diese E-Mails können um Hilfe bitten und eine Person davon überzeugen, mit bestimmten angeforderten Informationen oder finanzieller Unterstützung zu antworten. |
| Smishing | Smishing ist eine Form des Phishing-Angriffs, bei der der Short Message Service (SMS) oder Textnachrichten genutzt werden, um betrügerische Links oder Websites zu versenden und Personen dazu zu verleiten, darauf zu klicken und ihre Anmeldedaten einzugeben. Ein Beispiel wäre eine Textnachricht, die scheinbar von Ihrem Mobilfunkanbieter stammt und Sie auffordert, sich aus einem scheinbar triftigen Grund über einen enthaltenen Link in Ihrem Account anzumelden. Der Link führt Sie zu einer bösartigen Website, die von einem Angreifer betrieben wird, der diese nutzt, um Ihre Anmeldedaten zu stehlen. |
| Vishing | Vishing ist eine weitere Form von Phishing, die Sprachkommunikation beinhaltet und Telefonverbindungen ausnutzt. Beim Vishing wird eine Person dazu aufgefordert, eine bestimmte Nummer anzurufen – oft unter dem Vorwand, es handele sich um die Bank des Opfers – und persönliche Identifikationsnummern (PINs) sowie Passwörter preiszugeben. Vishing-Angriffe können Voice-over-Internet-Protocol-Lösungen (VoIP) wie die Anruferkennung manipulieren, die leicht gefälscht werden kann. Opfer vertrauen wahrscheinlich auf die Sicherheit eines Telefondienstes, sodass sie keinen Betrug vermuten. |
| Spear Phishing | Beim Phishing werden in der Regel Spam-Nachrichten an eine große Anzahl von Personen gesendet, in der Hoffnung, einen Treffer zu landen. Die Bemühungen zielen darauf ab, jemanden dazu zu verleiten, mit den angeforderten Informationen zu antworten. Spear-Phishing hingegen ist ein gezielterer Ansatz. Die betrügerischen E-Mails sind mithilfe detaillierterer Recherchen über die Opfer auf einige wenige, gezielt ausgewählte Einzelpersonen zugeschnitten. Diese Angriffe sind für die Angreifer:innen zeitaufwendiger; sie sind jedoch oft auch mit höherer Wahrscheinlichkeit erfolgreich. |
| Scareware | Dies ist eine Form von Malware, die die Wahrnehmung einer Bedrohung nutzt und mit der daraus resultierenden Angst, Furcht oder dem Schock der Benutzer:in spielt. Scareware umfasst oft eine Pop-up-Anzeige oder eine Spam-E-Mail, die eine:n Benutzer:in dazu verleitet, Malware herunterzuladen oder eine infizierte Website zu besuchen. |
| Baiting | Diese Maschen finden sich auf bösartigen Websites, Social-Networking-Websites oder Peer-to-Peer-Websites und zielen darauf ab, Nutzer:innen mit etwas Begehrenswertem anzulocken. Dies kann einen neuen Film, neue Musik oder ein schwer zu findendes Produkt umfassen. Das Opfer wird auf den Köder hereinfallen, auf den bösartigen Link oder die Website klicken oder versuchen, das Produkt zu kaufen. |
| Pretexting | Eine Pretexting-Methode des Social Engineerings nutzt eine überzeugende Geschichte, um ein Opfer davon zu überzeugen, Hilfe anzubieten oder die angeforderten Informationen preiszugeben. Diese Betrugsmaschen können ein Hilferuf sein, bei dem oft um Geld gebeten wird, um eine:n Freund:in zu retten, der oder die festgehalten wird oder Schlimmeres. Sie können auch humanitäre Hilfsmaßnahmen, wohltätige Zwecke, Spendenaktionen oder Hilfe bei Naturkatastrophen umfassen. Diese Nachrichten stammen häufig von Quellen, denen Benutzer:innen vertrauen, und scheinen einen seriösen Hintergrund zu haben. Sie können auch von jemandem stammen, der sich als Ihr Arbeitgeber ausgibt. Bei Pretexting-Maschen wird möglicherweise behauptet, dass Sie ein:e Gewinner:in sind, und Sie werden gebeten, Ihre Bankdaten anzugeben, damit Ihnen Ihr Gewinn ausgezahlt werden kann. Diese Betrugsmaschen können sehr raffiniert sein, wobei die Nachrichten so aussehen, als kämen sie von Ihrer Bank oder Institution – bis hin zu den korrekten Logos. Bei einer Pretexting-Masche wird Ihnen möglicherweise mitgeteilt, dass ein Problem vorliegt, das Sie beheben müssen, indem Sie auf den eingebetteten Link klicken und die angeforderten Informationen angeben. Dadurch erhalten Angreifer:innen Zugriff auf Ihre personenbezogenen Daten und somit auf Ihren Account und/oder Ihr Gerät. |
| Tailgating | Diese Form des Social-Engineering-Angriffs, auch Piggybacking genannt, tritt auf, wenn eine Person ohne die korrekte Authentifizierung oder Berechtigung jemandem folgt, der über den entsprechenden autorisierten Zugang verfügt. Dadurch können Angreifer:innen Zugang zu physischen Standorten erhalten, die oft mit einer Smartcard oder einem Token geschützt sind, indem sie einfach einer Person folgen, die im Besitz eines solchen ist. |
| Quid pro quo | Das bedeutet „etwas für etwas“. Bei einem Quid-pro-quo-Angriff manipuliert der Angreifer das Opfer dazu, vertrauliche Informationen preiszugeben, indem er als Gegenleistung etwas anbietet. Dies geschieht häufig in Form einer Dienstleistung oder eines Gewinns, die der:die Angreifer:in verspricht, wenn das Opfer zuvor die angeforderten vertraulichen Informationen preisgibt. |
Wie können Sie Social-Engineering-Angriffe verhindern?
Um Angriffe durch Social Engineering zu verhindern, ist es hilfreich, die Taktiken zu kennen, die Betrüger:innen anwenden. Mitarbeiter:innen sollten Cybersicherheits-Schulungen absolvieren, um gängige Cyberangriffe zu verstehen und zu erkennen, wie diese eingeleitet werden.
Es ist wichtig, daran zu denken, dass fast alle Cyberangriffe (99 %) menschliches Eingreifen erfordern, um ausgelöst zu werden. Phishing und E-Mail-Betrug sind gängige Methoden, um einen Social-Engineering-Angriff einzuleiten.
Hier sind einige Dinge, die Sie beachten sollten:
- Öffnen Sie keine verdächtigen Anhänge. Cyberkriminelle versenden Malware oft in E-Mail-Anhängen.
- Überprüfen Sie die E-Mail-Adresse des:der Absender:in sorgfältig. Angreifer:innen geben sich häufig als legitime Unternehmen oder Organisationen aus, aber die E-Mail-Adresse weicht meist um einige wenige Zeichen ab.
- Vorsicht vor bösartigen Websites und gefälschten Hyperlinks. Geben Sie die URL der Website immer direkt ein, anstatt auf einen eingebetteten Link zu klicken. Wenn Sie außerdem mit der Maus über den Hyperlink fahren und die URL nicht mit dem Text übereinstimmt, könnte dieser gefälscht sein.
- Lassen Sie sich Zeit. Bedrohungsakteure versuchen oft, Nutzer:innen zu unüberlegtem Handeln zu verleiten, indem sie ein Gefühl der Dringlichkeit oder eine drohende Gefahr vortäuschen. Nehmen Sie sich Zeit und prüfen Sie die Informationen sorgfältig, trotz etwaiger aggressiver Verkaufstaktiken.
- Achten Sie auf Rechtschreibfehler, schlechte Grammatik und ungewöhnliche Layouts. Seriöse Unternehmen machen selten Grammatik-, Satzbau- oder Rechtschreibfehler, betrügerische E-Mails hingegen häufig.
- Achten Sie auf generische Anreden und/oder Signaturen. Betrüger:innen überhäufen oft mehrere Accounts gleichzeitig mit derselben Nachricht, während eine seriöse Nachricht von einem Unternehmen oder einer Organisation Sie eher gezielt mit Namen anspricht und die E-Mail mit deren Kontaktinformationen unterzeichnet.
- Senden Sie einem Unternehmen direkt eine E-Mail, wenn Sie unsicher sind, ob die E-Mail legitim ist. Suchen Sie nach Kontaktinformationen des Unternehmens, von denen Sie wissen, dass sie legitim sind, anstatt jene zu verwenden, die eine verdächtige E-Mail oder Website möglicherweise anbietet.
- Vorsicht vor verdächtigen Downloads. Achten Sie darauf, nichts herunterzuladen, von dem Sie nicht sicher wissen, dass es aus einer vertrauenswürdigen Quelle stammt. Sie können die Nachricht jederzeit Ihrer Abteilung für Informationstechnologie (IT) melden, um vor dem Herunterladen sicherzustellen, dass sie sicher ist.
- Achten Sie auf unaufgeforderte E-Mails. Wenn Sie eine E-Mail erhalten, die eine Frage beantwortet, die Sie nicht gestellt haben, oder Dienste anbietet, die Sie nicht angefordert haben, prüfen Sie dies gründlich. Recherchieren Sie selbst, auch wenn die Informationen von einem Unternehmen zu stammen scheinen, das Sie kennen und nutzen.
- Beachten Sie, dass ausländische Angebote betrügerisch sind. Jedes Angebot oder jede Forderung einer ausländischen Stelle ist betrügerisch, und Sie sollten nicht darauf reagieren.
- Antworten Sie nicht auf E-Mails oder Anfragen nach persönlichen Daten oder auf solche, die Hilfe anbieten oder um Hilfe bitten. Dies sind Betrugsmaschen, die darauf abzielen, Ihre Identität und/oder Ihr Geld zu stehlen.
- Seien Sie vorsichtig bei verdächtigen Anrufen oder Textnachrichten. Klicken Sie nicht auf Links und rufen Sie diese Nummern nicht zurück. Überprüfen Sie die Identität einer Person oder Organisation, bevor Sie persönliche Informationen preisgeben.
Wie schützen Sie Ihre Geräte und Ihr Netzwerk?
Darüber hinaus sollten Sie darauf achten, Ihre Geräte und Ihr Netzwerk zu schützen. Verwenden Sie Antivirensoftware, Firewalls und Spamfilter und halten Sie alle Ihre Cybersicherheitsfunktionen auf dem neuesten Stand. Verwenden Sie Multi-Faktor-Authentifizierung (MFA), um Ihre Accounts besser zu schützen, da hierfür neben einem Benutzernamen und einem Passwort ein zusätzlicher Authentifizierungsfaktor erforderlich ist, was das Hacken erschwert.
Geben Sie keine vertraulichen Informationen in einer E-Mail oder über ungesicherte Websites preis. Prüfen Sie die URL auf „Hypertext Transfer Protocol Secure (HTTPS)“ anstatt nur auf „Hypertext Transfer Protocol (HTTP)“, da dies auf ein höheres Sicherheitsniveau hinweist.
Was sollten Sie tun, wenn Sie einen Social-Engineering-Angriff vermuten?
Wenn Sie vermuten, dass Sie Opfer eines Social-Engineering-Angriffs geworden sind, melden Sie dies umgehend Ihrer Organisation. Wenn Sie vermuten, dass Ihre Finanz-Accounts kompromittiert wurden, melden Sie dies umgehend Ihren Finanzinstituten. Ändern Sie alle Passwörter für Accounts, die möglicherweise kompromittiert sind. Erstatten Sie gegebenenfalls Anzeige bei der Polizei und melden Sie Identitätsbetrug der Federal Trade Commission (FTC).
Häufig gestellte Fragen
Was unterscheidet Social Engineering von anderen Cyberangriffen?
Im Gegensatz zu Angriffen, die direkt auf Software- oder Hardware-Schwachstellen abzielen, nutzt Social Engineering die menschliche Psychologie aus. Angreifer:innen manipulieren natürliche Instinkte wie Vertrauen und Dringlichkeit, um Personen dazu zu bringen, freiwillig vertrauliche Informationen preiszugeben, wodurch der menschliche Faktor zur primären Angriffsfläche wird.
Welche sechs Prinzipien nutzen Angreifer:innen beim Social Engineering?
Social-Engineering-Methoden basieren auf sechs psychologischen Prinzipien: Autorität (Auftreten als Respektsperson), Einschüchterung (Einsatz von Drohungen), Knappheit (Erzeugung von Nachfrage), Dringlichkeit (Druck zu schnellem Handeln), Konsens (Nutzung sozialer Bewährtheit) und Vertrautheit (Ausnutzung des Vertrauens in bekannte Quellen).
Woran erkennen Sie, ob eine Phishing-E-Mail betrügerisch ist?
Zu den Warnsignalen gehören eine Absender-E-Mail-Adresse, die leicht von einer legitimen Domain abweicht, generische Anreden, Rechtschreibfehler oder schlechte Grammatik, eingebettete Links, deren URLs nicht mit dem angezeigten Text übereinstimmen, sowie Aufforderungen zur Preisgabe persönlicher Daten oder zu sofortigem Handeln.
Was ist der Unterschied zwischen Phishing, Smishing und Vishing?
Alle drei sind Phishing-Varianten, die sich je nach Kanal unterscheiden. Phishing nutzt betrügerische E-Mails oder Websites; Smishing nutzt SMS-Nachrichten mit bösartigen Links; und Vishing nutzt Sprachanrufe oder Telefonsysteme, oft durch Spoofing der Anrufer-ID, um Opfer dazu zu verleiten, PINs oder Passwörter preiszugeben.
Was sollten Sie tun, wenn Sie vermuten, dass Sie Ziel eines Social-Engineering-Angriffs geworden sind?
Melden Sie den Vorfall umgehend Ihrer Organisation. Falls Finanz-Accounts kompromittiert sein könnten, benachrichtigen Sie umgehend Ihre Finanzinstitute. Ändern Sie alle potenziell kompromittierten Passwörter, erstatten Sie gegebenenfalls Anzeige bei der Polizei und melden Sie einen Identitätsbetrug bei der Federal Trade Commission (FTC).
Wie hilft Multi-Faktor-Authentifizierung beim Schutz vor Social Engineering?
Die Multi-Faktor-Authentifizierung (MFA) bietet über Benutzername und Passwort hinaus eine zusätzliche Sicherheitsebene, da sie einen zusätzlichen Authentifizierungsfaktor erfordert. Dadurch wird es für Angreifer:innen erheblich schwieriger, auf Ihre Accounts zuzugreifen, selbst wenn sie Ihre Anmeldedaten durch einen Social-Engineering-Angriff erlangt haben.
Referenzen
Cybersicherheitsstatistiken 2021: Die ultimative Liste mit Statistiken, Daten & Trends. PurpleSec.
Phishing Activity Trends Report. (Februar 2022). APWG.
Cybersicherheit: 99 % der E-Mail-Angriffe beruhen darauf, dass Nutzer:innen auf Links klicken. (September 2019). ZDNet.
Cybersicherheit für kleine Unternehmen. Federal Trade Commission (FTC).
