Social Engineering
Social Engineering nutzt die menschliche Psychologie aus, um Menschen zu manipulieren und unbefugten Zugriff auf Systeme, Daten oder physische Standorte zu erlangen.
Was ist Social Engineering?
Die Kunst, Menschen dazu zu manipulieren, vertrauliche Informationen preiszugeben oder Handlungen auszuführen, die die Sicherheit gefährden. Es greift das schwächste Glied an: den Menschen.
Psychologische Prinzipien
Basierend auf den 6 Prinzipien der Beeinflussung von Robert Cialdini:
1. Reziprozität
Die Tendenz, Gefälligkeiten zu erwidern. Der Angreifer bietet etwas an, um anschließend etwas zu verlangen.
2. Commitment und Konsistenz
Menschen neigen dazu, mit früheren Zusagen konsistent zu bleiben.
3. Soziale Bewährtheit
Menschen folgen dem Verhalten anderer. "Das machen doch alle".
4. Autorität
Die Tendenz, Autoritätspersonen zu gehorchen.
5. Sympathie
Wir sagen eher ja zu Menschen, die wir mögen.
6. Knappheit
Dringlichkeit und die Angst, eine Gelegenheit zu verpassen.
Angriffstechniken
Phishing
Betrügerische E-Mails, die legitim erscheinen.
- Spear Phishing: Gezielt auf bestimmte Personen ausgerichtet
- Whaling: Fokussiert auf Führungskräfte (C-Level)
- Clone Phishing: Legitime E-Mail kopiert und modifiziert
- BEC: Business Email Compromise
Vishing (Voice Phishing)
Angriffe per Telefon.
- Sich als technischer Support ausgeben
- Caller-ID-Spoofing
- Dringlichkeit und emotionaler Druck
- Anfordern vertraulicher Informationen
Smishing (SMS Phishing)
Phishing per SMS/Textnachrichten.
- Schädliche Links in SMS
- Gefälschte Bankbenachrichtigungen
- Gefälschte Gewinne und Angebote
Pretexting
Ein ausgeklügeltes Szenario (Vorwand) schaffen, um Informationen zu erlangen.
- Eine falsche Identität annehmen
- Vertrauen über die Zeit aufbauen
- Öffentliche Informationen zur Glaubwürdigkeit nutzen
Baiting
Etwas Begehrenswertes anbieten, um Systeme zu infizieren.
- Auf einem Parkplatz "verlorene" USB-Sticks
- Kostenlose Downloads mit Malware
- Gewinnangebote
Quid Pro Quo
Tausch einer Dienstleistung gegen Informationen.
- Sich als technischer Support ausgeben und Hilfe anbieten
- Zugangsdaten anfordern, um ein "Problem zu lösen"
Tailgating/Piggybacking
Einer autorisierten Person folgen, um einen gesperrten Bereich zu betreten.
- Vorgeben, den Ausweis vergessen zu haben
- Kartons tragen, um beide Hände belegt zu haben
- Die Höflichkeit der Menschen ausnutzen
Warnsignale für Phishing
- Absenderadresse stimmt nicht mit der Organisation überein
- Allgemeine Anreden ("Sehr geehrter Kunde")
- Grammatik- und Rechtschreibfehler
- Gefühl der Dringlichkeit ("Sofortiges Handeln erforderlich")
- Verdächtige Links (mit der Maus darüberfahren, um die echte URL zu sehen)
- Unerwartete Anhänge
- Anfragen nach vertraulichen Informationen
- Angebote, die zu gut sind, um wahr zu sein
Angriffszyklus
- Reconnaissance: Sammeln von Informationen über das Ziel
- Hook: Ersten Kontakt herstellen
- Play: Das geplante Szenario ausführen
- Exit: Gehen, ohne Verdacht zu erregen
OSINT für Social Engineering
Öffentliche Informationsquellen, die von Angreifern genutzt werden:
- LinkedIn: Organisationsstruktur, Verbindungen
- Facebook/Instagram: Privatleben, Hobbys
- Twitter: Meinungen, Interessen
- Company Website: Struktur, eingesetzte Technologien
- Job Postings: Technologien und Tools
- Public Records: Adressen, Telefonnummern
Organisatorische Abwehrmaßnahmen
Security Awareness Training
- Regelmäßige Schulungen (vierteljährlich)
- Phishing-Simulationen
- Gamification zur Förderung des Engagements
- Metrics: click rate, report rate
Technische Kontrollen
- Email Security: SPF, DKIM, DMARC
- Anti-phishing: URL rewriting, sandbox
- MFA: Reduziert die Auswirkungen gestohlener Zugangsdaten
- Email banners: Warnhinweise für externe E-Mails
Richtlinien und Verfahren
- Verifizierungsprozess für sensible Anfragen
- Clean desk policy
- Verpflichtende Sichtbarkeit des Ausweises
- Verbot von Tailgating
- Visitor-Management-Verfahren
Sicherheitskultur
- Das Melden von Versuchen fördern
- Positive Verstärkung statt Bestrafung
- Leadership buy-in und Vorbildfunktion
- Security Champions in jeder Abteilung
Phishing Simulations
Plattformen
- KnowBe4: Marktführer im Bereich Security Awareness
- Cofense PhishMe: Realistische Simulationen
- Proofpoint: Security Awareness Training
- Gophish: Open-Source-Phishing-Framework
Best Practices
- Mit einfachen Simulationen beginnen
- Den Schwierigkeitsgrad schrittweise erhöhen
- Immediate training für diejenigen, die klicken
- Track progress im Zeitverlauf
- Die Angriffsarten variieren
Reaktion auf Versuche
Was zu tun ist
- Nicht auf verdächtige Links oder Anhänge klicken
- Den Absender über einen alternativen Kanal verifizieren
- Die E-Mail/den Versuch an das Security Team melden
- Keine vertraulichen Informationen preisgeben
- Künstlicher Dringlichkeit misstrauen
Im Falle einer Kompromittierung
- Das Security Team sofort benachrichtigen
- Passwörter ändern
- Konten auf verdächtige Aktivitäten überwachen
- Den Vorfall nicht verheimlichen
Physical Security
Kontrollen
- Badge Access mit Logging
- Mit Personal besetzter Empfang
- Sichtbare Besucherausweise
- Security Cameras
- Man-trap entrances
- Sichere Vernichtung von Dokumenten
Berühmte Fallstudien
Kevin Mitnick
Berühmter Hacker, der hauptsächlich Social Engineering nutzte, um Zugriff zu erlangen.
Target Breach (2013)
Begann mit Spear Phishing gegen einen HVAC-Lieferanten und führte zum Diebstahl von 40 Millionen Karten.
Ubiquiti Networks (2015)
Ein BEC-Angriff führte zu einem Verlust von 46,7 Millionen US-Dollar durch betrügerische Wire Transfers.
Social Engineering bleibt der wirksamste Angriffsvektor, weil es die menschliche Natur ausnutzt. Technologie allein kann diese Angriffe nicht verhindern. Eine Kombination aus Awareness Training, Sicherheitskultur und technischen Kontrollen ist unerlässlich, um Organisationen vor Manipulation zu schützen. Denken Sie daran: Wenn es verdächtig aussieht, ist es das wahrscheinlich auch.