„Social Engineering“ mag wie ein Studiengang der Politikwissenschaft oder eine Spezialisierung im Bereich Social-Media-Management klingen. Die Realität des Social Engineering ist jedoch weitaus bedrohlicher.
Social Engineering ist eine Form des Cyberangriffs, bei der psychologische Manipulation eingesetzt wird, um Personen dazu zu bewegen, vertrauliche Informationen preiszugeben oder unbefugten Zugriff zu gewähren.
Da sich die Angriffsflächen von Unternehmen (öffnet in einem neuen Tab) — aufgrund der zunehmenden Remote-Arbeit sowie der Ausweitung von Cloud-Diensten und digitalen Kommunikationskanälen — vergrößert haben, haben sich auch die Möglichkeiten für Social-Engineering-Angriffe erweitert. Sobald er sich Zugang verschafft hat, gibt sich ein Angreifer als legitimer Benutzer aus und bewegt sich ungehindert durch Ihr Netzwerk, um Ihre Sicherheitsvorkehrungen zu testen, Hintertüren zu installieren, Ihre Kommunikation auszuspionieren und Ihre sensiblen Daten zu stehlen.
Diese Angriffe verursachen den Opfern zudem von Jahr zu Jahr höhere Kosten. So wurden beispielsweise Beschwerden über „Business E-Mail Compromise“ (BEC) – eine gängige Form des Social Engineering – erstmals in den Bericht „ “ (2014 ) des FBI Internet Crime Complaint Center (IC3) mit dem Titel „ “ (wird in einem neuen Tab geöffnet) aufgenommen; wie der Bericht jedoch feststellt, könnte diese Art von Betrug bereits im Jahr 2010 aufgetreten sein. Seitdem die IC3 damit begonnen hat, die durch BEC-Betrugsfälle verursachten Verluste im Jahr 2014 zu beziffern (226 Millionen Dollar), sind die Kosten um fast 13x gestiegen.
In diesem umfassenden Leitfaden definieren wir den Begriff „Social Engineering“, beleuchten die von Angreifern häufig eingesetzten Techniken, erörtern Beispiele aus der Praxis für erfolgreiche Social-Engineering-Angriffe und stellen Strategien zum Schutz Ihres Unternehmens vor.
Vereinfachte Definition von Social Engineering
Im Gegensatz zu anderen Bedrohungen der Cybersicherheit, die technische Schwachstellen ausnutzen, zielt Social Engineering auf Menschen ab, was diese Methode besonders heimtückisch und wirksam macht, da menschliche Reaktionen unvorhersehbar sind.
Bei Social-Engineering-Angriffen spielen Cyberkriminelle mit den Ängsten und Emotionen ihrer Opfer. Zu den typischen Warnzeichen dieser Art von Angriff zählen unter anderem:
- Die Absenderdomain ahmt eine offizielle Marke nach – was auch als „Spoofing“ bezeichnet wird –, in der Hoffnung, dass die Opfer kleinere Unstimmigkeiten in der E-Mail-Adresse des Absenders übersehen.
- Angreifer können kompromittierte E-Mail-Konten nutzen, um Spam und ungewöhnliche Anfragen an die Kontakte des Opfers zu senden, was bedeutet, dass Social-Engineering-Angriffe oft legitim erscheinen können
- Betrüger versprechen möglicherweise Belohnungen, die zu gut erscheinen, um wahr zu sein, oder fragen nach persönlichen Daten
Warum stellt Social Engineering eine erhebliche Bedrohung für die Cybersicherheit dar?
Selbst bei den strengsten Sicherheitsmaßnahmen kann ein einziger Mitarbeiter, der auf einen Social-Engineering-Angriff hereinfällt, Ihr gesamtes Unternehmen gefährden. Sobald der Angreifer eingedrungen ist, kann er sich seitlich ausbreiten (öffnet in einem neuen Tab) und unbemerkt in Ihrer Infrastruktur herumschnüffeln, um Sicherheitslücken aufzuspüren und kritische Ressourcen und Daten zu identifizieren, die gestohlen oder ausgenutzt werden können.
Sie können Hintertüren und andere Schadsoftware installieren, die es ihnen ermöglicht, nach Belieben ein- und auszusteigen, Daten zu entwenden (was zu Geldstrafen, rechtlichen Schritten und Vertrauensverlust führt) und Dateien zu zerstören (und damit Ihren Ruf zu schädigen).
Als letzten Angriff werden sie sich über die von ihnen installierten Hintertüren wieder Zugang verschaffen und Ihre Infrastruktur nutzen, um Malware zu verbreiten, Phishing-E-Mails zu versenden oder Denial-of-Service-Angriffe durchzuführen – und dabei den Anschein erwecken, als sei Ihre Organisation dafür verantwortlich.
Wie hoch sind die Kosten eines Social-Engineering-Angriffs?
Die finanziellen Folgen von Social-Engineering-Angriffen können enorm sein. Im Jahr 2023 ergab der „“ Verizon Data Breach Investigations Report (DBIR) (wird in einem neuen Tab geöffnet), dass 17 % der Datenpannen in den USA und 10 % der Cybervorfälle durch Social Engineering verursacht wurden.
Doch das ist noch nicht der gesamte Preis; es wird langfristige, immaterielle Schäden geben, die sich nur schwer beziffern lassen, darunter:
- Kunden, Partner und Investoren werden das Vertrauen verlieren, was zu einem Rückgang des Geschäftsvolumens und des Markenwerts führen wird
- Geldbußen, Strafen, Meldungen von Datenschutzverletzungen und mögliche Rechtsstreitigkeiten können zu erheblichen finanziellen und rechtlichen Belastungen führen
- Betriebsunterbrechungen aufgrund von Untersuchungen und Sanierungsmaßnahmen können die Produktivität und die Geschäftskontinuität erheblich beeinträchtigen
- Der Verlust von Geschäftsgeheimnissen und geschützten Informationen kann den Wettbewerbsvorteil untergraben
Investitionen in die Prävention, Erkennung und wirksame Abwehr dieser Bedrohungen können jedoch die langfristigen Folgen eines erfolgreichen Angriffs minimieren.
Häufige Arten von Social-Engineering-Angriffen
Angreifer, die Social-Engineering-Methoden einsetzen, nutzen verschiedene Taktiken, um menschliche Schwachstellen auszunutzen. Sie können entweder eigenständig eingesetzt oder strategisch kombiniert werden, um ihre Wirksamkeit zu maximieren. Malware und Ransomware werden häufig in Verbindung mit Social-Engineering-Techniken eingesetzt, um Cyberangriffe zu starten und schädliche Software zu verbreiten, was zu erheblichen Betriebsstörungen, finanziellen Verlusten und Reputationsschäden führen kann.
Hier sind zehn der gängigsten Social-Engineering-Techniken:
- Baiting
Baiting nutzt die menschliche Neugier und das Verlangen nach Gratisangeboten aus und verleitet die Opfer dazu, vertrauliche Informationen (z. B. Sozialversicherungsnummern, Geburtsdaten usw.) preiszugeben oder Malware über mit Malware infizierte USB-Sticks, gefälschte kostenlose Inhalte oder Phishing-Websites zu installieren. - Business Email Compromise (wird in einem neuen Tab geöffnet)
Bei BEC-Betrugsversuchen geben sich die Täter häufig als Führungskräfte aus, um ein Gefühl der Dringlichkeit zu erzeugen und Autorität zu vermitteln. Außerdem können sie das Opfer dazu verleiten, Geld auf das Konto des Angreifers zu überweisen oder vertrauliche Informationen preiszugeben. - Phishing-Angriffe (wird in einem neuen Tab geöffnet)
Phishing-Kampagnen, Websites oder Sofortnachrichten, die sich als seriöse Organisationen wie Banken oder Behörden ausgeben, verleiten die Opfer dazu, Informationen wie Kreditkarten- oder Bankkontonummern preiszugeben. - Pretexting
Angreifer geben sich möglicherweise als Vertreter von Behörden aus, beispielsweise als Strafverfolgungsbeamte, Steuerbeamte oder Mitarbeiter des IT-Supports, um die Opfer dazu zu bewegen, vertrauliche Informationen preiszugeben. - Quid-pro-quo-
Quid-pro-quo-Angriffe nutzen unsere menschliche Neigung aus, Gefälligkeiten zu erwidern und Autoritätspersonen zu vertrauen. Angreifer bieten unter Umständen Dienstleistungen oder Geschenke im Austausch gegen Anmeldedaten oder personenbezogene Daten an. - Smishing
Beim Smishing (SMS-Phishing) werden SMS-Nachrichten verwendet. Dies ist deshalb wirksam, weil die Menschen SMS mehr vertrauen als E-Mails und mobile Geräte oft über weniger Sicherheitsfunktionen verfügen als Computer. - Spear-Phishing
Spear-Phishing ist eine sehr gezielte Form des Phishing, die sich auf bestimmte Personen oder Organisationen konzentriert. Angreifer recherchieren ihre Ziele, um überzeugende Nachrichten zu verfassen, die schwer zu erkennen sind, da die offensichtlichen Warnzeichen typischer Phishing-Betrugsversuche fehlen. - Tailgating / Piggybacking
Bei Tailgating- und Piggybacking-Angriffen folgt eine Person einer berechtigten Person physisch in einen gesperrten Bereich. Diese Art des Angriffs vor Ort nutzt unsere Hilfsbereitschaft aus und stützt sich auf unsere Annahme, dass sich eine Person in einem berechtigten Bereich zu Recht dort aufhält. - Vishing (wird in einem neuen Tab geöffnet)
Angreifer, die Vishing (Voice-Phishing) betreiben, schaffen Glaubwürdigkeit und Vertrauen, indem sie sich als Vertreter legitimer Organisationen ausgeben. Sie nutzen Telefonanrufe oder Sprachnachrichten und setzen in hohem Maße auf Dringlichkeit und Angst, um die Opfer dazu zu bewegen, sensible Informationen rasch preiszugeben oder die Sicherheit zu gefährden. - Watering-Hole-Angriffe
Bei Watering-Hole-Angriffen kompromittiert der Angreifer eine Website, die von einer bestimmten Gruppe (z. B. Mitarbeitern eines Unternehmens, Branchenangehörigen usw.) häufig besucht wird, und infiziert sie mit Malware oder bösartigen Skripten, die das Vertrauen der Opfer in die Website ausnutzen.
Beispiele aus der Praxis für Social-Engineering-Angriffe
BEC: Nigeria – North Carolina – Texas (wird in einem neuen Tab geöffnet)
Zwei nigerianische Betrüger versuchten mithilfe einer BEC-Masche, an Universitäten und Unternehmen in North Carolina und Texas einen Betrug in Höhe von 5 Millionen Dollar zu begehen. Nachdem sie erfahren hatten, dass die Bauprojekte der Universität von einem einzigen großen Unternehmen geleitet wurden, registrierten sie eine ähnliche Domain. Mithilfe einer gefälschten E-Mail-Adresse überredeten sie Mitarbeiter einer Universität in North Carolina, mehr als 1,9 Millionen Dollar auf ein betrügerisches Bankkonto zu überweisen. Mit denselben Methoden versuchten sie, in Texas mehr als 3 Millionen Dollar zu erbeuten.
Den Mitverschwörern drohen nun lange Haftstrafen, und sie müssen Schadenersatz leisten sowie eine Geldstrafe zahlen. Die Wiedergutmachung wird jedoch nur langsam voranschreiten – wenn überhaupt – und kann niemals die gesamten Kosten des entstandenen Schadens decken.
Phishing – Minnesota (wird in einem neuen Tab geöffnet)
In Cottage Grove, Minnesota, fielen Verwaltungsmitarbeiter der Stadt einem Phishing-Betrug zum Opfer, der die Steuerzahler mehr als 1,2 Millionen Dollar kostete. Die Stadt hatte mit Geislinger & Sons einen Vertrag über 3,5 Millionen Dollar für ein Abwasseraufbereitungsprojekt abgeschlossen.
Unter Verwendung einer gefälschten E-Mail-Domain überzeugten Betrüger die Administratoren, Geldbeträge auf ein betrügerisches Bankkonto zu überweisen. Der Betrug flog auf, nachdem das echte Unternehmen ausstehende Zahlungen eingefordert hatte. Bundesbeamte konnten einen Teil der Gelder bis ins Vereinigte Königreich zurückverfolgen und bemühen sich derzeit um deren Rückführung.
Ransomware – Las Vegas (wird in einem neuen Tab geöffnet)
Laut der vorgeschriebenen Meldung an die Securities and Exchange Commission (SEC) hat Caesars Entertainment Inc. mehrere zehn Millionen als Lösegeld gezahlt (öffnet in einem neuen Tab) an Scattered Spider (öffnet in einem neuen Tab), eine Hackergruppe, die „Bring Your Own Vulnerable Driver“ (BYOVD) einsetzt, um die Endpunkt-Erkennungs- und Reaktionslösungen von „ “ zu umgehen und so in deren Netzwerk einzudringen. Die Hacker nutzten zunächst eine Social-Engineering-Methode, um sich Zugang zu einem externen IT-Dienstleister zu verschaffen, und verschafften sich anschließend Zugang zum Netzwerk von Caesars, um die Datenbank des Treueprogramms zu kopieren, die auch personenbezogene Daten (PII) enthielt.
Innerhalb weniger Tage startete „Scattered Spider“ in Zusammenarbeit mit „AlphV“ eine ausgeklügelte Pretexting-Aktion gegen , MGM International (wird in einem neuen Tab geöffnet).
Indem sie sich als Mitarbeiter von MGM Resorts ausgaben, über den sie zuvor auf LinkedIn recherchiert hatten, überzeugten sie den IT-Helpdesk von MGM, ihnen genügend Informationen preiszugeben, um Administratorrechte für die Okta- und Azure-Tenant-Umgebungen von MGM zu erlangen. Die Sicherheitsabteilung von MGM entdeckte am nächsten Tag ungewöhnlichen Datenverkehr, woraufhin AlphV zugab, Passwörter auf den Okta-Servern abgefangen zu haben, und umgehend Ransomware einsetzte. In der bei der SEC eingereichten Meldung von MGM wurden Verluste in Höhe von 100 Millionen US-Dollar ausgewiesen (wird in einem neuen Tab geöffnet).
Wie können Sie sich vor Social-Engineering-Angriffen schützen?
Um sich vor Social-Engineering-Angriffen zu schützen und die „menschliche Firewall“ zu stärken, müssen Unternehmen einen vielschichtigen Ansatz verfolgen, der Mitarbeiterschulungen, nahtlose Sicherheitsmaßnahmen sowie ein effektives Identitäts- und Zugriffsmanagement von (öffnet in einem neuen Tab) kombiniert.
4 Möglichkeiten, eine „menschliche Firewall“ gegen Social-Engineering-Angriffe einzusetzen
1. Führen Sie regelmäßig Schulungen zur Sensibilisierung der Mitarbeiter für Sicherheitsfragen durch
- Dazu gehören die Erkennung von Social-Engineering-Taktiken, sicheres Surfen im Internet und der Umgang mit sensiblen Daten
- Setzen Sie Gamification und interaktive Methoden für ein einprägsames Training ein
- Passen Sie die Schulungen an die jeweiligen Aufgabenbereiche an, um spezifische Sicherheitsherausforderungen zu bewältigen
2. Befolgen Sie die Sicherheits en und die bewährten Verfahren zur Cyberhygiene:
- Führen Sie Single Sign-On (SSO) und eine Passwortverwaltung ein, um sichere Passwörter zu gewährleisten
- Enforce Zero-Trust- (wird in einem neuen Tab geöffnet) mit Multi-Faktor-Authentifizierung (MFA) (wird in einem neuen Tab geöffnet) für kritische Systeme und Anwendungen
- Nutzen Sie die risikobasierte Authentifizierung, um Reibungsverluste zu verringern
3. Zugriffskontrollen verbessern
- Gewähren Sie den Mitarbeitern nur Zugriff auf die Ressourcen und Daten, die sie für ihre Arbeit benötigen – überprüfen und aktualisieren Sie die Zugriffsberechtigungen regelmäßig
- Überwachen Sie die Aktivitäten und Zugriffsmuster der Benutzer, um auffälliges Verhalten zu erkennen
- Minimieren Sie menschliche Fehler und entlasten Sie Ihr IT-Team durch die Automatisierung der Zugriffsverwaltung
4. e Verfahren zur Reaktion auf Vorfälle sowie Meldeverfahren einrichten
- Legen Sie klare Verfahren für den Umgang mit und die Meldung von mutmaßlichen Angriffen fest
- Ermutigen Sie Ihre Mitarbeiter dazu, verdächtige Aktivitäten, wie beispielsweise Phishing-E-Mails, ohne Bedenken zu melden
- Überwachen Sie Endpunkte im Hinblick auf Risiko (wird in einem neuen Tab geöffnet) und erkennen, untersuchen und verfolgen Sie Vorfälle einfacher, um entdeckte Bedrohungen in Echtzeit einzudämmen und Schäden zu minimieren
Wie man der wachsenden Bedrohung durch Social Engineering entgegenwirkt
Leider gibt es keine einzelne Lösung oder Strategie, die einen vollständigen Schutz vor diesen immer raffinierteren und manipulativeren Angriffen bieten kann. Um Bedrohungen bestmöglich zu bekämpfen, müssen Unternehmen umfassende, mehrschichtige Sicherheitsrichtlinien einführen, beginnend mit dem „Zero-Trust“-Ansatz, der besagt, dass keinem Benutzer, keinem Gerät und keinem Netzwerk vertraut wird, ohne dass diese zuvor überprüft wurden. Mit „Zero Trust“ können Unternehmen leichter ein agiles Sicherheitsmodell aufrechterhalten, das ihre Angriffsfläche und Sicherheitsrisiken verringert, indem sichergestellt wird, dass sensible Daten nur von den Benutzern abgerufen werden, die sie tatsächlich benötigen.
Der nächste Schritt sollte die Stärkung Ihrer „menschlichen Firewall“ sein. Schulungen sind ein Teil dieses Schutzschildes, doch eine erfolgreiche Akzeptanz durch die Nutzer muss auch ein hervorragendes digitales Mitarbeitererlebnis (DEX) umfassen. Für die Mitarbeiter wird es zunehmend frustrierend, die für ihre Arbeit erforderlichen Informationen und Hilfsmittel zu finden. Ohne eine wirksame Strategie zur Mitarbeitererfahrung müssen Unternehmen möglicherweise mit einem Rückgang der Produktivität, einem drastischen Einbruch der Mitarbeiterbindung und der völligen Missachtung bewährter Verfahren zur Cyberhygiene rechnen.
Schließlich benötigt Ihr Unternehmen wirksame Richtlinien zur Zugriffskontrolle und einen umfassenden Überblick über seine Umgebung, um potenzielle Bedrohungen umgehend zu erkennen, zu untersuchen und zu beheben. Indem sie sicherstellen, dass nur die richtigen Personen zum richtigen Zeitpunkt den richtigen Zugriff haben, und indem sie eine klare Übersicht über die Systemaktivitäten aufrechterhalten, können Unternehmen ihr Risikoprofil erheblich verringern und ihre Fähigkeit verbessern, auf Social-Engineering-Vorfälle zu reagieren und sich davon zu erholen.
Die Plattform von Tanium (wird in einem neuen Tab geöffnet) ermöglicht es Ihnen, Ihre Endgeräte über eine einzige Konsole zu verwalten und zu sichern – mit einer Reihe von Lösungen, die speziell zur Bewältigung moderner IT-Herausforderungen entwickelt wurden. Beispielsweise bietet unsere DEX-Lösung „“ (wird in einem neuen Tab geöffnet) einen Echtzeit-Einblick in die digitalen Interaktionen Ihrer Mitarbeiter, wie beispielsweise die Erfassung von Endgeräte- und Anwendungsdaten, die Messung und Auswertung der Mitarbeiterzufriedenheit sowie die Möglichkeit, diese Erkenntnisse zu nutzen, um Probleme proaktiv anzugehen und so die Produktivität Ihrer Mitarbeiter aufrechtzuerhalten. Indem Sie proaktiv dafür sorgen, dass in Ihrem Unternehmen eine nahtlos funktionierende digitale Umgebung gewährleistet ist, wird das Employee Experience Management zu einem Eckpfeiler Ihrer IT-Strategie.
Mit Tanium erhalten Sie Echtzeit-Einblick in Ihre Endgeräte von „ “ (wird in einem neuen Tab geöffnet) – sowie die Tools, die Sie benötigen, um den Schutz geschäftskritischer Ressourcen zu optimieren, zu vereinfachen und zu unterstützen. Dazu gehört auch unsere Vision für das „Autonomous Endpoint Management“ (AEM), bei dem Composite- e künstliche Intelligenz (öffnet in einem neuen Tab) zum Einsatz kommen wird, um intelligente Automatisierungs- und Entscheidungsfunktionen für die Verwaltung von IT-Endgeräten bereitzustellen. Sie können noch heute unter eine Demo anfordern (wird in einem neuen Tab geöffnet) , um sich selbst ein Bild davon zu machen.
