Social En­gi­nee­ring

Com­pu­ter­spe­zia­lis­ten bemühen sich um Si­cher­heit auf allen Schichten des OSI-Modells. Oft befindet sich das größte Leck jedoch nicht innerhalb des Netzwerks, sondern auf dem fiktiven Layer 8: Vierzig Zen­ti­me­ter vor dem Bild­schirm, wo mensch­li­che Anwender mit der Technik in­ter­agie­ren. Das wissen auch Trick­be­trü­ger, die typische mensch­li­che Ei­gen­schaf­ten und Ver­hal­tens­wei­sen wie Hilfs­be­reit­schaft, Vertrauen, Respekt, Stolz, Dank­bar­keit, Kon­flikt­ver­mei­dung oder Angst ausnutzen, um sich un­recht­mä­ßig Zugang zu IT-Systemen zu ver­schaf­fen – eine Methode, die Social En­gi­nee­ring genannt wird und weltweit jährlich Mil­li­ar­den­schä­den anrichtet. Für Un­ter­neh­men ist es daher un­er­läss­lich, Mit­ar­bei­ter ent­spre­chend zu schulen und klare Richt­li­ni­en für den Umgang mit ver­trau­li­chen In­for­ma­tio­nen vor­zu­ge­ben.

Auch das sicherste Passwort bietet nur wenig Schutz, wenn es Nutzern leicht­fer­tig gegenüber Fremden über die Lippen geht. Social En­gi­nee­ring umfasst diverse psy­cho­lo­gi­sche Tricks, die im Rahmen der Wirt­schafts­spio­na­ge ein­ge­setzt werden, um Mit­ar­bei­tern si­cher­heits­re­le­van­te In­for­ma­tio­nen zu entlocken. Angreifer nutzen diese, um IT-Systeme zu in­fil­trie­ren und so Zugriff auf schüt­zens­wer­te Un­ter­neh­mens­da­ten zu erlangen. Man spricht in diesem Fall auch von Social Hacking. Darüber hinaus kommt Social En­gi­nee­ring zum Einsatz, um An­ge­stell­te zu un­be­dach­ten Hand­lun­gen zu bewegen. Dies kann die In­stal­la­ti­on eines un­be­kann­ten Programms oder frag­wür­di­ge Fi­nanz­trans­ak­tio­nen umfassen. Ein un­mit­tel­ba­rer Kontakt zwischen Täter und Opfer ist dabei keine Vor­aus­set­zung. Auch E-Mail-gestützte Be­trugs­mus­ter wie das Phishing basieren auf Social En­gi­nee­ring. Klassisch ist auch der Anruf eines ver­meint­li­chen Sys­tem­ad­mi­nis­tra­tors, der zwecks Feh­ler­be­he­bung nur noch schnell das Be­nut­zer­pass­wort der Vor­zim­mer­da­me benötigt.

Die Idee des Social En­gi­nee­ring erscheint banal, erweist sich in der Praxis jedoch als eine der ef­fek­tivs­ten In­fil­tra­ti­ons­me­tho­den. Der Grund dafür sind sowohl positive als auch negative Ei­gen­schaf­ten, die sich bei fast jedem Menschen finden. So gilt es in den meisten Kul­tur­krei­sen als sozial erwünscht, nett und hilfs­be­reit zu sein. Vielen Menschen fällt es schwer, in einer Not­si­tua­ti­on eine Bitte ab­zu­leh­nen. Andere zeigen sich ko­ope­ra­tiv, aus Angst, in un­be­kann­ten Si­tua­tio­nen falsch zu reagieren.

Doch nicht immer stehen die guten Ei­gen­schaf­ten des Menschen im Fokus von Ma­ni­pu­la­ti­ons­ver­su­chen. Auch Stolz auf die eigene Arbeit oder Erfolge des Un­ter­neh­mens können Mit­ar­bei­ter bis hin zur Chefetage dazu verleiten, mit sensiblen In­for­ma­tio­nen zu prahlen – z. B. in einem fin­gier­ten Interview, gegenüber Kunden oder bei Be­wer­bungs­ge­sprä­chen. Oft führt ein Hang zur Kon­flikt­ver­mei­dung dazu, dass si­cher­heits­kri­ti­sche Hand­lun­gen wider besseres Wissen durch­ge­führt werden. Stärkster Motor un­über­leg­ter Hand­lun­gen ist hingegen Angst. Schüren lässt sich diese bei­spiels­wei­se durch einen ver­meint­li­chen Te­le­fon­ent­stö­rer am anderen Ende der Leitung, der einen Nach­mit­tag ohne Internet androht, wenn er nicht sofort de­tail­lier­te In­for­ma­tio­nen zum Router und dessen Kon­fi­gu­ra­ti­on bekommt. Gespickt mit re­le­van­ten Fach­be­grif­fen schüch­tern solche Anrufer vor allem Mit­ar­bei­ter mit geringem Tech­nik­ver­ständ­nis ein. Auch die Angst vor dem Vor­ge­setz­ten machen sich „Social Hacker“ zunutze: Eine beliebte Masche ist die fingierte Zah­lungs­an­wei­sung per E-Mail vom Chef.

Um Ihre Opfer zu täuschen, geben sich Trick­be­trü­ger zum Beispiel als Kollegen, Vor­ge­setz­te oder Bewerber aus. Darüber hinaus schlüpfen Angreifer in die Rolle eines Service-Mit­ar­bei­ters, der die Kun­den­zu­frie­den­heit erfasst oder im Auftrag einer For­schungs­ein­rich­tung eine Bran­chen­um­fra­ge durch­führt.

So­ge­nann­te Social Engineers be­schrän­ken sich dabei nicht zwangs­läu­fig auf einmalige Kontakte. Möglich ist auch, das Opfer über eine gewisse Zeit hinweg um un­be­denk­li­che Gefallen zu bitten oder mit Smalltalk bei Laune zu halten. Der ei­gent­li­che Hack erfolgt in diesem Fall erst, wenn eine gewisse Ver­trau­ens­ba­sis besteht und der Angreifer genügend In­for­ma­tio­nen gesammelt hat, das Opfer zu täuschen. Mitunter geht einem solchen Spio­na­ge­an­griff eine auf­wen­di­ge Recherche voraus. Als In­for­ma­ti­ons­quel­len bieten sich neben der Un­ter­neh­mens­sei­te soziale Netzwerke wie Facebook oder LinkedIn an. Noch einen Schritt weiter geht das „Dumpster Diving“, bei dem Kri­mi­nel­le im Mülleimer des Opfers auf Tauchgang gehen, um unbedacht weg­ge­wor­fe­ne Ge­schäfts­do­ku­men­te zu erbeuten.

Üblich ist Social En­gi­nee­ring via E-Mail oder Telefon, da sich solche Angriffe schon mit geringem tech­ni­schen Aufwand au­to­ma­ti­sie­ren lassen. Die Gefahr, un­be­ab­sich­tigt Fir­men­ge­heim­nis­se oder Zu­gangs­da­ten preis­zu­ge­ben, lauert jedoch auch in öf­fent­li­chen Ver­kehrs­mit­teln sowie in Bars, Cafés oder Re­stau­rants, wenn sich mehrere Kollegen in lockerer At­mo­sphä­re über Ge­schäfts­zah­len, Ar­beits­pro­zes­se oder Kun­den­kon­tak­te un­ter­hal­ten. Gerade Mit­ar­bei­ter, die Ge­schäfts­an­ru­fe am Mo­bil­te­le­fon ent­ge­gen­neh­men, dis­ku­tie­ren un­ter­neh­mens­in­ter­ne An­ge­le­gen­hei­ten oft in aller Öf­fent­lich­keit und ohne Rücksicht auf etwaige Mithörer.

Eine soft­ware­ba­sier­te Variante des Social En­gi­nee­rings stützt sich auf spezielle Schad­pro­gram­me, die In­ter­net­nut­zer ver­ängs­ti­gen und so zu be­stimm­ten Hand­lun­gen verleiten sollen. Man spricht in diesem Fall von Scareware. Programme dieser Art arbeiten nach folgendem Muster: Dem Benutzer wird über die Software eine bestimmte Bedrohung ver­mit­telt und gleich­zei­tig ein einfacher Lö­sungs­weg auf­ge­zeigt. Dieser be­inhal­tet in der Regel die vom Angreifer in­ten­dier­te Handlung. Oft wird die Scareware dazu im Vorfeld auf dem Computer des Opfers platziert. Einen An­satz­punkt bietet hier das Vertrauen in bekannte Marken, Firmen oder Behörden. Um einen Nutzer dazu zu bewegen, ein Schad­pro­gramm aus eigenem Antrieb zu in­stal­lie­ren, nutzen Trick­be­trü­ger mitunter Namen und Logos, die eine Ver­wech­se­lung mit bekannten ver­trau­ens­wür­di­gen Produkten pro­vo­zie­ren.

So kann sich eine Scareware bei­spiels­wei­se in einem kos­ten­lo­sen An­ti­vi­ren­pro­gramm ver­ste­cken, das dem Nutzer nach der In­stal­la­ti­on auf eine Reihe fiktiver In­fek­tio­nen hinweist und zur Lösung des Problems den kos­ten­pflich­ti­gen Download der Voll­ver­si­on anbietet. Zahlt der Nutzer, werden die Warnungen einfach ab­ge­schal­tet.

Der Einsatz von Scareware setzt eine In­fil­tra­ti­on des Systems jedoch nicht zwangs­läu­fig voraus, sondern kann diese auch einleiten – z. B. durch eine Animation auf einer Website, die dem Nutzer vor­gau­kelt, Opfer einer Hacking-Attacke geworden zu sein. Die durch die Scareware an­ge­bo­te­ne „Ab­wehr­maß­nah­me“ umfasst in diesem Fall den Download eines Trojaners, der dann den ei­gent­li­chen Hack er­mög­licht. Bei einer Variation dieses An­griffs­mus­ters wird die fingierte Feh­ler­mel­dung nicht auf der Webseite angezeigt, sondern als Brow­ser­mel­dung aus­ge­spielt. Möglich sind auch Pop-up-Fenster, die bekannte Windows-Sys­tem­mel­dun­gen imitieren.

Um das eigene Un­ter­neh­men effektiv vor Social En­gi­nee­ring zu schützen, muss man Mit­ar­bei­tern bewusst machen, dass sie im Besitz von ver­trau­li­chen In­for­ma­tio­nen sind. Eine Sen­si­bi­li­sie­rung für das Thema Wirt­schafts­spio­na­ge kann im Rahmen einer Schulung erfolgen, in der gängige An­griffs­mus­ter und deren Folgen durch­ge­spro­chen werden. Darüber hinaus bietet es sich an, Regeln für den Umgang mit sensiblen Fir­men­da­ten vor­zu­ge­ben. Jedem Mit­ar­bei­ter sollte klar sein, welche In­for­ma­tio­nen der Ge­heim­hal­tung un­ter­lie­gen und wo sensible Daten genutzt und ge­spei­chert werden dürfen.

Darüber hinaus geben Stan­dard­ab­läu­fe für ad­mi­nis­tra­ti­ve Tä­tig­kei­ten Mit­ar­bei­tern die Si­cher­heit, wie sie sich in kri­ti­schen Si­tua­tio­nen verhalten sollen. Werden An­ge­stell­te bei­spiels­wei­se darauf hin­ge­wie­sen, dass die Un­ter­neh­mens-IT per­sön­li­che Pass­wör­ter grund­sätz­lich nie über E-Mails oder das Telefon abfragt, werden es Trick­be­trü­ger schwerer haben, diese zu erbeuten.

Da Social En­gi­nee­ring auf mensch­li­ches Versagen setzt, lässt sich die Gefahr jedoch durch Prä­ven­tiv­maß­nah­men nie gänzlich bannen. Beachtet man folgende Punkte, erschwert man Trick­be­trü­gern der Zugang zu sensiblen In­for­ma­tio­nen erheblich:

• Gesundes Miss­trau­en gegenüber Un­ter­neh­mens­frem­den: Je großer ein Un­ter­neh­men ist, desto leichter haben es Be­triebs­frem­de, sich als Mit­ar­bei­ter oder Dienst­leis­ter aus­zu­ge­ben. Vor der Gefahr, un­be­ab­sich­tigt un­ter­neh­mens­in­ter­ne In­for­ma­tio­nen preis­zu­ge­ben, schützt in der Regel jedoch ein gesundes Miss­trau­en gegenüber Fremden. Sensible Daten sollten grund­sätz­lich nur an Kollegen wei­ter­ge­ge­ben werden, deren Identität sich zwei­fels­frei si­cher­stel­len lässt.

• Auskunft am Telefon: Sensible In­for­ma­tio­nen sollten grund­sätz­lich nicht am Telefon wei­ter­ge­ge­ben werden. Dies gilt vor allem für ein­ge­hen­de Anrufe und bei un­be­kann­ten Kom­mu­ni­ka­ti­ons­part­nern. Auch scheinbar ne­ben­säch­li­che Auskünfte können Trick­be­trü­gern helfen, In­for­ma­tio­nen über einen Betrieb zu sammeln und mög­li­cher­wei­se andere Kollegen zu täuschen.

• E-Mails mit un­be­kann­tem Absender: Lässt sich der Absender einer E-Mail nicht zwei­fels­frei iden­ti­fi­zie­ren, ist Vorsicht geboten. Mit­ar­bei­ter sollten in jedem Fall einen Vor­ge­setz­ten oder die IT-Abteilung zurate ziehen, bevor sie auf solche Nach­rich­ten antworten. Be­inhal­tet die Nachricht eine un­er­war­te­te Hand­lungs­auf­for­de­rung, bei­spiels­wei­se eine au­ßer­ge­wöhn­li­che Über­wei­sung, empfiehlt sich ein kurzer Rückruf beim an­geb­li­chen Absender.

• Vorsicht bei Links und E-Mail-Anhängen: Immer wieder finden In­ter­net­nut­zer E-Mails in ihrem Postfach, die Links auf Ein­ga­be­mas­ken enthalten. Trick­be­trü­ger nutzen Techniken dieser Art, um an Bankdaten, Pass­wör­ter oder Kun­den­num­mern zu gelangen. In der Ge­schäfts­welt sind solche Praktiken jedoch unüblich. Seriöse Banken, On­line­shops oder Ver­si­che­run­gen fordern Kunden prin­zi­pi­ell nicht dazu auf, eine Webseite zu öffnen und dort sensible Daten ein­zu­ge­ben. Vorsicht ist zudem bei Da­tei­an­hän­gen geboten. Diese können Schadware enthalten, die sich im Hin­ter­grund in­stal­liert und fremden Zugriff auf das System gewährt. Mi­ni­mie­ren lässt sich dieses Risiko, indem Mit­ar­bei­ter dazu an­ge­hal­ten werden, aus­schließ­lich E-Mail-Anhänge bekannter Absender zu öffnen.

• Da­ten­schutz in sozialen Netz­wer­ken: Die Vor­be­rei­tung von Social-En­gi­nee­ring-Attacken erfolgt in der Regel lange vor dem ei­gent­li­chen Hack. Neben der Un­ter­neh­mens­web­site bieten soziale Netzwerke Trick­be­trü­gern oft aus­rei­chend In­for­ma­tio­nen, um Ma­ni­pu­la­ti­ons­ver­su­che in eine glaub­wür­di­ge Ge­schich­te zu verpacken. Generell gilt: Je mehr ein Mit­ar­bei­ter im Netz über sich preisgibt, desto an­greif­ba­rer macht er sich für die Gefahren des Social En­gi­nee­rings. Darum sollte man seine Mit­ar­bei­ter über die Mög­lich­keit von Pri­vat­sphä­re-Ein­stel­lun­gen in­for­mie­ren und klare Regeln für den Umgang mit un­ter­neh­mens­be­zo­ge­nen Inhalten in sozialen Netz­wer­ken vorgeben.

Die Kom­ple­xi­tät des Themas und die Viel­sei­tig­keit der An­griffs­mus­ter machen es unmöglich, Mit­ar­bei­ter auf alle möglichen Social-En­gi­nee­ring-Attacken vor­zu­be­rei­ten. Re­gel­mä­ßi­ge Schu­lun­gen zu da­ten­schutz­recht­li­chen Themen schärfen jedoch die Auf­merk­sam­keit und schaffen ein Be­wusst­sein für das Ge­fah­ren­po­ten­zi­al. Prä­ven­tiv­maß­nah­men sollten aber nicht so weit gehen, dass eine pro­duk­ti­ve Zu­sam­men­ar­beit unter ge­ne­rel­lem Miss­trau­en oder der Angst vor Fehlern leidet.

Wie weiter oben be­schrie­ben wurde, gibt es ver­schie­de­ne Maßnahmen, um Social En­gi­nee­ring zu ver­hin­dern. Eine wichtige Maßnahme ist dabei die Sen­si­bi­li­sie­rung der Mit­ar­bei­ter, was man durch das Lernen der Funk­ti­ons­wei­se von Social En­gi­nee­ring umsetzen kann. Doch wie kann man Social En­gi­nee­ring lernen?

Eine Mög­lich­keit für das Verstehen von Social En­gi­nee­ring ist das Durch­füh­ren von Rol­len­spie­le. Es werden dabei die Rollen des An­grei­fers und der Opfer vor­ge­ge­ben und auch die Rah­men­be­din­gun­gen sind bekannt. Nun können die Be­tei­lig­ten spie­le­risch die Funk­ti­ons­wei­sen des Social En­gi­nee­rings lernen. Durch das Lernen und dem spie­le­ri­schen Anwenden der An­griffs­tech­ni­ken, können so eigene Ver­wund­bar­kei­ten sichtbar gemacht und die Mit­ar­bei­ter dafür sen­si­bi­li­siert werden.

Neben der Praxis kann man auch anhand der Theorie Social En­gi­nee­ring lernen. Dafür stehen bei­spiels­wei­se zahl­rei­che Fach­bü­cher zur Verfügung, die anhand von wahren Be­ge­ben­hei­ten erzählen, wie Social En­gi­nee­ring in der Realität durch­ge­führt wird. Anhand dieser Fälle werden dann Schutz­maß­nah­men und Ab­wehr­me­cha­nis­men gegen Social En­gi­nee­ring vor­ge­stellt. So wird jeweils die Per­spek­ti­ve des An­grei­fers als auch des Opfers ein­ge­nom­men. Bei­spiel­haf­te Social En­gi­nee­ring Bücher sind unter anderem „Die Kunst der Täuschung“ von Kevin Mitnick oder „Social En­gi­nee­ring enttarnt: Si­cher­heits­ri­si­ko Mensch“ und „Die Kunst des Human Hacking“ von  Chris­to­pher Hadnagy.