Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat auf seinen Seiten Tipps zum Schutz gegen Social Engineering veröffentlicht. Denn der größte Unsicherheitsfaktor in der IT-Sicherheit ist und bleibt der Mensch selber und das machen sich gewiefte Betrüger zunutze.
SOCIAL ENGINEERING
Von Social Engineering spricht man, wenn sich Betrüger Zugang zu Informationen oder IT-Systemen verschaffen, indem sie sich das Vertrauen unbedarfter Opfer erschleichen. Dabei gehen sie ähnlich wie Trickbetrüger vor und täuschen dabei vor, eine persönliche Bekanntschaft zu sein oder beteuern dass besondere Umstände vorliegen würden. Dabei werden sogar durch Telefonanrufe oder Nachrichten im vermeintlichen Auftrag von Vorgesetzten oder Bekannten die Opfer dazu gebracht, vertrauliche Informationen oder sensible Daten preiszugeben. Alternativ werden diese aber auch einfach zum Öffnen von Dateien oder zur Installation von Programmen auf dem Computer verleitet.
DIE VORGEHENSWEISE
Beim Social Engineering werden die Anwender in der Regel über soziale Netzwerke ausgespäht. Hier finden Kriminelle dann oft auch wichtige Informationen über ihre Opfer, deren Kontakte, Umfeld und Hobbies. Dieses Wissen bietet dann einfache Aufhänger für einen Beziehungsaufbau. Die Hacker geben sich dann gerne als Bekannter oder Freundesfreund aus, um Nutzer zu unüberlegten Handlungen zu verleiten. Das führt dann schnell mal zu einem arglosen Öffnen von E-Mail-Anhängen oder dem Anklicken von Links. Schon hat der Täter Schadcodes wie Ransomware oder Trojaner eingeschleust. Auch das Weiterleiten auf gut imitierte Phishing-Webseiten wird im Rahmen von Social Engineering gerne verwendet.
VERTRAULICHKEIT
Eine Verschlüsselung der Personalakte ist nur eine mögliche Methode zur Gewährleistung von Vertraulichkeit. Wenn die Vertraulichkeit durch andere geeignete Maßnahmen erreicht werden kann ist das auch ausreichend. § 9 BDSG regelt, dass bei den hierfür aufgewendeten technischen und organisatorischen Maßnahmen insbesondere Aufwand und Nutzen in einem vertretbaren Verhältnis stehen müssen.
DER „CEO-BETRUG“
In jüngerer Vergangenheit hat man immer wieder vom sogenannten „CEO-Betrug“ lesen können. Hier verschafft sich der Angreifer zu aller erst ein genaues Bild von Strukturen, Zuständigkeiten und üblichen Kommunikationswegen im Unternehmen. Sobald er auf Basis dieser Informationen Mitarbeiter mit Zugriff auf Firmenkonten identifizieren kann, werden diese kontaktiert. Er gibt sich als Führungskraft aus, die unter dem Siegel höchster Verschwiegenheit eine vertrauliche Überweisung an ein fremdes Konto in Auftrag gibt. Solche Fälle kommen dann oft erst viel später ans Tageslicht, weshalb die Kriminellen in den vergangenen Jahren damit immer wieder erfolgreich sein konnten.
GEGENMASSNAHMEN
Wie sooft beginnt die Sicherheit mit der Aufklärung und Sensibilisierung der Mitarbeiter. Ist man erst einmal mit solchen Taktiken vertraut sinkt die Gefahr darauf hereinzufallen bereits erheblich. Das BSI rät darüber hinaus:
„Die wichtigsten Gegenmaßnahmen sind ein bedachter Umgang mit der Veröffentlichung privater Informationen, eine hohe Aufmerksamkeit und ein gesundes Misstrauen gegenüber vermeintlichen Bekannten. (…)Vertrauen Sie Meldungen, Nachrichten und Aufforderungen nicht blind. (…)Bei merkwürdigen Nachrichten von Freunden, rufen Sie diese an und fragen Sie nach, ob die Nachricht wirklich von dem oder der Bekannten stammt. Seien Sie wachsam und vorsichtig.“