Risiko für Unternehmen: So setzen Hacker Social Engineering als effektive Angriffsmethode ein

Erfolgreiche Hackerangriffe basieren häufig auf der Täuschung oder Manipulation von Mitarbeitenden. Diese sogenannten Social Engineering Angriffe sind heutzutage weit verbreitet und stellen damit eine wachsende Gefahr für Unternehmen dar. Laut dem aktuellen Data Breach Investigations Report von Verizon sind mittlerweile rund 74 Prozent aller Cybervorfälle auf Social Engineering und andere menschliche Fehler zurückzuführen. Doch was ist Social Engineering und welche Methoden kommen dabei zum Einsatz?

Social Engineering – eine wachsende Bedrohung für Unternehmen
Die größte Cyberbedrohung ist für Firewalls und Virenscanner unsichtbar: Die Rede ist von Social Engineering Angriffen, auch Human Hacking genannt. Diese Methode zielt darauf ab, Mitarbeitende zur Preisgabe sensibler Informationen oder zu schädlichen Handlungen zu verleiten. Statt technische Schwachstellen auszunutzen, setzen Cyberkriminelle beim Social Engineering auf Manipulation und Täuschung. Durch personalisierte Phishing-E-Mails, Kontaktaufnahme über soziale Netzwerke oder Telefonanrufe erschleichen sie sich das Vertrauen ihrer Opfer, um an sensible Informationen zu gelangen.

Social Engineering Angriffe sind zwar aufwändiger, haben aber aus Sicht der Angreifer eine hohe Erfolgsquote. Nach den aktuellen Ergebnissen des Data Breach Investigations Report von Verizon werden mittlerweile 74 Prozent der IT-Sicherheitsverletzungen durch Social Engineering, Fehler, Missbrauch und andere menschliche Schwächen ermöglicht. Unternehmen sind daher gut beraten, sich über die verschiedenen Methoden des Social Engineering zu informieren und ihre Mitarbeitenden laufend entsprechend zu schulen, um sich vor diesen Angriffen zu schützen.

Diese gängige Social Engineering Methoden sollten Unternehmen kennen
Die Methoden des Social Engineering sind vielfältig. Grundsätzlich lässt sich unter diesem Begriff jede direkte oder indirekte Beeinflussung einer Person subsumieren, die dazu dient, an Daten und Informationen zu gelangen. Folgende Begriffe und Methoden sollten Sie und Ihre Mitarbeitenden kennen:

1) Pretexting
Das Pretexting bildet oft die Grundlage für einen späteren Angriff. Beim Pretexting erfindet der Angreifer eine glaubwürdige Geschichte und gibt sich dabei beispielsweise als Chef (siehe auch Chefbetrug/CEO Fraud), Kollege, Kunde, Lieferant oder IT-Dienstleister aus, um Zugang zu vertraulichen Daten zu erhalten. Laut dem Data Breach Investigations Report von Verizon wurde diese Methode bei 50 Prozent der Angriffe eingesetzt, doppelt so häufig wie im Vorjahr. Meist erfolgt das Pretexting im Rahmen einer Phishing-Mail, aber auch telefonische Kontaktaufnahmen oder Anfragen über gefälschte Social-Media-Accounts sind verbreitet.

2) Phishing und Spear-Phishing
Phishing-E-Mails sind nach wie vor eine der häufigsten und erfolgreichsten Methoden des Social Engineering (siehe auch Mimecast Lagebericht zur E-Mail-Sicherheit). Dabei versenden Angreifer gefälschte E-Mails, die wie legitime Kommunikation von bekannten Unternehmen oder Personen aussehen und die Empfänger dazu auffordern, persönliche Informationen preiszugeben oder auf schädliche Links zu klicken. Beim besonders gefährlichen Spear Phishing sammeln die Angreifer vor dem eigentlichen Angriff zunächst Informationen über ihre Opfer. Dadurch wirken die Phishing-Mails besonders authentisch und sind oft kaum als solche zu erkennen.

3) Social Media Manipulation
In sozialen Netzwerken sind heute viele persönliche Informationen frei zugänglich – eine Einladung für Hacker. Diese sammeln dort gezielt persönliche Daten, Kontakte und Vorlieben von Mitarbeitenden, um dann maßgeschneiderte Angriffe durchzuführen. Auch die Angriffe selbst finden immer häufiger in sozialen Netzwerken statt. Dazu gehören beispielsweise das Erstellen gefälschter Profile zum Versenden von Freundschaftsanfragen oder das Verbreiten von schädlichen Links über Social-Media-Nachrichten.

4) Baiting und Quid pro Quo
Beim Baiting – Ködern – verwenden Angreifer ein Lockmittel, um Personen zu schädlichen Handlungen zu verleiten. Als Köder werden beispielsweise kostenlose oder vergünstigte Softwarelösungen oder USB-Sticks eingesetzt. Diese vermeintlichen „Schnäppchen“ sind jedoch mit Schadsoftware infiziert. Sobald das Opfer den Köder verwendet, erhält der Angreifer Zugriff auf Systeme oder vertrauliche Informationen. Die Quid pro Quo Methode funktioniert ähnlich. Hier versprechen die Angreifer eine Leistung, zum Beispiel Hilfe bei der Lösung eines IT-Problems. Dafür verlangen sie eine nachvollziehbare Gegenleistung, zum Beispiel die persönlichen Zugangsdaten zum Unternehmensnetzwerk.

5) Tailgating
Wer glaubt, dass Hacker nur im digitalen Umfeld agieren, irrt. Beim Tailgating schleichen sich Angreifer in die physischen Räumlichkeiten eines Unternehmens ein, indem sie sich als autorisierte Personen ausgeben oder die Höflichkeit der Mitarbeitenden ausnutzen. Beispielsweise kann ein Angreifer versuchen, in ein gesichertes Gebäude einzudringen, indem er sich einer Person anschließt, die bereits Zutritt hat. Gerne geben sich Angreifer auch als Lieferanten oder Techniker aus, um Zugang zu sensiblen Bereichen zu erhalten.

Fazit und Empfehlung
Hacker nutzen eine Vielzahl von Social Engineering Methoden, um Unternehmen anzugreifen – und sind damit extrem erfolgreich. Es ist wichtig, dass Unternehmen ihre Mitarbeitenden über diese Techniken aufklären und regelmäßige Schulungen zur Sensibilisierung für Social Engineering Angriffe durchführen. Nur durch eine Kombination aus technischen Sicherheitslösungen und einer aufmerksamen Belegschaft können Unternehmen die Bedrohung durch Social Engineering erfolgreich bekämpfen.

Für Maschinen- und Anlagenbauer bietet die VSMA GmbH eine eigene Lösung zur kontinuierlichen Sensibilisierung der Mitarbeiterinnen und Mitarbeiter an. Der VDMA Cyber Awareness Service schult das gesamte Team ressourcenschonend und vollautomatisiert. So können die wachsenden Cyber-Risiken im Unternehmen nachhaltig minimiert werden.

Mehr zum VDMA Cyber Awareness Service erfahren Sie hier:

VDMA Cyber Awareness Service