Social Engineering Vorfälle gibt es schon seit einigen Jahren. Allerdings hat die Corona-Krise dazu geführt, dass sich die Zahl der Attacken multipliziert hat, findet doch der Berufsalltag seit Monaten nahezu ausschließlich im Digitalen statt. Die Methoden der Angreifer sind dabei heute sehr unterschiedlich:

• Phishing/Spear Phishing: Um authentische E-Mail-Inhalte zu verfassen, greifen Hacker auf öffentlich zugängliche Unternehmens- und Mitarbeiterinformationen zurück. Oft bedienen sie sich dabei der Angaben, die in Sozialen Medien zu finden sind. Ziel ist es, Empfänger dazu zu bewegen, Anhänge zu öffnen oder Links zu folgen, die auf gefälschte Internetseiten, Online-Shops oder andere Online-Dienste verweisen. Dort wird meist die Bestätigung eines Zugangs angefordert, mit denen sensible persönliche Daten abgegriffen werden. Spear Phishing stellt eine gezieltere Art des Phishings dar. Klar definierte Nutzergruppen werden mithilfe hoch-personalisierter Inhalte attackiert. Demnach richten sich Spear Phishing-Attacken häufig an bestimmte Abteilungen eines Unternehmens und nicht an die gesamte Belegschaft.

• Scareware: “Ihr Rechner ist infiziert”, heißt es in einem plötzlich erscheinenden Popup-Fenster. Eine Liste mit bösartigen Programmen, die sich auf dem Rechner befinden sollen, wird gleich mitgeliefert. So verläuft die klassische Scareware-Attacke. Ziel ist es, Nutzer in Schrecken zu versetzen und eine Ad-hoc-Handlung anzustoßen – nämlich die, eine als Antiviren-Programm getarnte Malware herunterzuladen, mit der Cyberkriminelle zum Beispiel Zugriff auf sensible Unternehmens- oder Kundendaten erhalten.

• Media-Dropping: Diese Methode spricht die Neugier potenzieller Opfer an und setzt sich aus einer analogen und einer digitalen Komponente zusammen. Hierbei werden USB-Sticks, CDs oder andere Speichermedien mit Malware infiziert und so platziert, dass sie für Mitarbeiter gut sichtbar sind. Das geschieht in der Regel im Zuge von sogenannten Tailgating-Aktionen, bei denen sich Externe mithilfe von Vorwänden Zugang zu Unternehmensräumen verschaffen. Wird ein Mitarbeiter hierauf aufmerksam, weckt das oft das Verlangen, die Inhalte zu prüfen. Mit dem Öffnen gelangt die Schadsoftware auf den Firmenrechner.

• Quid-pro-Quo-Angriffe: „Eine Hand wäscht die andere“ – so lautet die vermeintliche Devise bei dieser Form des Social Engineerings. Cyberkriminelle bauen im ersten Schritt Vertrauen zu ihren Opfern auf, indem sie sich beispielsweise als Service-Personal ausgeben und Hilfestellungen bei bestimmten Aufgaben anbieten. Dafür benötigen sie im Gegenzug allerdings persönliche oder geschäftliche Informationen, mit denen sie sich Zutritt zu Unternehmensrechnern verschaffen.

• CEO-Fraud: Beim CEO-Fraud, auch bekannt als Chefbetrug, nutzen Betrüger vor allem das Pflichtbewusstsein bzw. den Respekt vor Autoritäten seitens der Angestellten aus. Mitarbeiter werden dabei durch Vorspiegelung einer falschen Vorgesetzten-Identität getäuscht, zum Beispiel per E-Mail oder Telefon. Bei Letzterem greifen die Betrüger auf Künstliche Intelligenz (KI) zurück, um Stimmen relevanter Führungskräfte aus dem eigenen Unternehmen zu imitieren. Inhaltlich geht es bei dieser Form häufig um eine schnell zu tätigende Überweisung (i.d.R. Auslandsüberweisung) – besonders betroffen sind daher Finanz- und Buchhaltungsabteilungen von Unternehmen.

Gut geschulte Mitarbeiter sind die beste Versicherung

Jeder einzelne Mitarbeiter kann in einem Unternehmen Opfer von Social Engineering werden. Betriebe sollten daher Wert darauflegen, das Bewusstsein für diese wachsende Bedrohungsform zu stärken. Das Wissen der Belegschaft hierzu sollte regelmäßig überprüft und laufend aktualisiert werden, denn Cyberkriminelle entwickeln kontinuierlich neue Formen, die „Schwachstelle Mensch“ auszunutzen. Mit Mitarbeitern, die für das Thema Security Awareness sensibilisiert worden sind, kann das Risiko, Opfer einer Social Engineering Attacke zu werden, erheblich gesenkt werden.

Seminare und Workshops stellen adäquate Formate hierfür dar. Grundlegende Themen sollten dabei die Erkennung gefakter E-Mails sowie Anforderungen an Passwörter und sichere Kommunikation sein. Mithilfe von Phishing-Simulationen durch IT-Experten sollten Bedrohungen verdeutlicht und das Bewusstsein geschärft werden. Durch regelmäßige Simulationen lassen sich zudem Fortschritte beim Thema IT-Sicherheit messen.