Social Engineering

Social Engineering bezeichnet die gezielte Manipulation von Menschen, um an Zugänge, Daten oder eine Zahlung zu gelangen: Angegriffen wird nicht das System, sondern die Person, die es bedient. Technik spielt dabei allenfalls eine Nebenrolle, der Angelpunkt ist Vertrauen.

Was bedeutet der Begriff

Die Grundlage bildet der Pretext, die erfundene Geschichte, in der der Angreifer eine Rolle einnimmt, die Mitwirkung selbstverständlich erscheinen lässt. Ein neuer Mitarbeiter ohne Diensthandy, ein Lieferant mit einer eiligen Rechnung, ein Anruf im Auftrag der Geschäftsführung. Dazu kommen zwei Hebel: Autorität, die Widerspruch unangenehm macht, und Dringlichkeit, die den Eindruck erzeugt, für eine Rückfrage bleibe keine Zeit. Beide verfolgen dasselbe Ziel, nämlich das Übergehen der üblichen Kontrolle.

Zwei Wege verdienen besondere Aufmerksamkeit. Der erste führt über den Service-Desk. Wer eine Mitarbeiterin überzeugend genug nachahmt, lässt dort ein Passwort zurücksetzen oder ein Verfahren zur Multi-Faktor-Authentifizierung (MFA) auf einem neuen Gerät registrieren und verfügt anschließend über einen vollständig gültigen Zugang statt über ein gestohlenes Passwort. Der zweite ist MFA-Fatigue: Ein Angreifer, der das Passwort bereits kennt, schickt so lange Push-Anfragen, bis das Opfer eine bestätigt, gelegentlich flankiert von einem Anruf des angeblichen Helpdesks, der die Meldungen erklären soll.

Warum es wichtig ist

Gegen ein überzeugendes Telefonat gibt es keinen Patch, und Sensibilisierung allein hält jemandem, der seine Geschichte vorher geübt hat, nicht stand. Was hilft, ist ein klarer Prozess. Halten Sie fest, welche Vorgänge kritisch sind, etwa ein Passwort-Reset, eine neue MFA-Registrierung oder eine geänderte Bankverbindung, und geben Sie diese erst nach einer Prüfung über einen zweiten, bekannten Kanal frei. Gestalten Sie die Prüfung selbst belastbar: Die Bestätigung durch die Führungskraft oder ein registrierter Passkey wiegt schwerer als Geburtsdatum und Personalnummer, denn solche Angaben stehen häufig längst in einem Datenleck. Räumen Sie Ihren Beschäftigten zudem ausdrücklich das Recht ein, immer auf diesem Schritt zu bestehen, auch gegenüber einem Vorstandsmitglied. Hinzu kommt eine offene Meldekultur: Wer meldet, fast darauf hereingefallen zu sein, verdient Dank und keinen Vorwurf, denn eine schnelle Meldung entscheidet oft darüber, ob es bei einem Vorfall bleibt oder ein Einbruch daraus wird.

Beispiel

Wie weit das trägt, zeigt die als Scattered Spider bekannte Gruppe. Bei mehreren großen Unternehmen riefen die Angreifer beim Service-Desk an, gaben sich als Beschäftigte aus und baten um einen Passwort-Reset sowie um die Registrierung eines neuen MFA-Verfahrens. Der Zugang führte in diesen Fällen mit legitimen Konten durch die Vordertür, ohne dass dafür eine Softwareschwachstelle nötig war. FBI und CISA beschreiben dieses Vorgehen in einer gemeinsamen Sicherheitswarnung.