Social Engineering

Der Hack des menschlichen Betriebssystems

12.03.15 | Autor / Redakteur: Raj Samani und Charles McFarland* / Stephan Augsten

Um ihre Opfer zu unvorsichtigen Aktionen zu ermuntern, schrecken Angreifer noch nicht einmal vor Telefongesprächen zurück. (Bild: Archiv)

Der Mensch ist in der IT die größte Schwachstelle, da er allzu vertrauensselig ist. Viele Internet-Angriffe besitzen deshalb eine Social-Engineering-Komponente. Dabei soll eine Zielperson zu einer Aktion überredet werden, die letztlich zu einer Infektion oder Kompromittierung führt. Doch wie genau gehen die Angreifer vor?

Raj Samani: „Die Ziele der Social-Engineering-Angreifer sind Opfer und sollten nicht bestraft werden.“ (Bild: Intel Security)

Obwohl sich die Krisenreaktion nach einem Angriff vor allem auf technische Aspekte konzentriert, steht auch die betroffene Person im Kreuzfeuer. An dieser Stelle zeigt sich deutlich, wie wichtig adäquates Sicherheitsbewusstsein ist.

Tatsache ist allerdings, dass sich die meisten Unternehmen herzlich wenig dafür interessieren, warum das Ziel ausgenutzt wurde und – wichtiger noch – was sie abgesehen von verstärkter Aufmerksamkeit dafür tun können, dass sich solche Angriffe nicht so schnell wiederholen können. Der Begriff „Social Engineering“ kann wie folgt definiert werden:

Die absichtliche Nutzung von Täuschungstechniken, mit denen eine Person dazu verleitet werden soll, Informationen preiszugeben oder Aktionen auszuführen, die eine Preisgabe dieser Informationen ermöglichen können.

Während eines Social-Engineering-Angriffs ist sich das Opfer nicht unmittelbar bewusst, dass seine oder ihre Aktionen schädlich sind. Der Angreifer nutzt nicht die kriminellen Instinkte seiner Zielperson aus, sondern ihre unschuldigen Reflexe. Angriffe können in zwei Kategorien eingeteilt werden:

Das Jagen dient dem Entlocken von Informationen mit minimaler Interaktion mit der Zielperson. Bei diesem Ansatz kommt es meist nur zu einem einzigen Kontakt, bei dem der Angreifer die Kommunikation beendet, sobald er im Besitz der gewünschten Information ist.
Beim Farmen soll eine Beziehung mit der Zielperson aufgebaut und dieser über einen längeren Zeitraum Informationen entlockt werden.

Social-Engineering-Angriffe, die E-Mails als Kommunikationsmedium nutzen, setzen als Angriffsmethode vor allem auf das Jagen. Natürlich gibt es auch hier Ausnahmen, beispielsweise die „Nigeria-Betrugsmasche“, bei der ein Angriff über einen längeren Zeitraum ausgedehnt wird, um so viel Geld wie möglich zu erschleichen.