Der Mensch im Mittelpunkt Sicherheit im Zeitalter der Online-Manipulation

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Avast Deutschland GmbH

Fake News, Social Engineering, Mobbing – für viele Menschen ist das Internet wie der Wilde Westen: Im digitalen Raum werden immer mehr Straftaten begangen. Umso wichtiger ist es, wirksame Präventions­maßnahmen zu ergreifen. Einerseits mittels Aufklärung, auf der anderen Seite muss der technologische Schutzschirm besser werden.

Laut dem Digitalverband Bitkom e.V. entsteht der deutschen Wirtschaft ein jährlicher Schaden von rund 203 Milliarden Euro durch Cyberkriminelle. Dabei handelt es sich jedoch nicht nur um Hackerangriffe, die gezielt technische Schwachstellen ausnutzen. Denn was bei Privatpersonen funktioniert, funktioniert häufig auch bei Mitarbeiter*innen in Unternehmen. Dabei versuchen die Cyberkriminellen gezielt über die Nutzung von Sprache die psychologischen Schwachpunkte ihrer Opfer auszunutzen. Das gilt vor allem für Social Engineering, bei dem die Betrüger*innen mittels Interaktion mit den potenziellen Opfern eine Basis des Vertrauens aufbauen. Nahezu jedes zweite deutsche Unternehmen (48 Prozent) war Opfer von Versuchen, über diese Methode sensible Informationen preiszugeben, die schließlich für gezielte Cyberattacken verwendet werden können. An diesem Punkt reichen gängige Schutzmaßnahmen nicht mehr aus: Firewalls, Virenprogramme und regelmäßige Updates schützen vor Angriffen auf technische Schwachstellen, nicht aber vor Manipulation: Der Mensch steht im Mittelpunkt moderner Cyber-Attacken.

Facettenreicher Betrug

Social Engineering bestimmt die Cyberkriminalität der Gegenwart – und die Betrugsmasche kommt in vielen Gewändern. Zwei Dinge haben sie alle gemeinsam: Zum einen zielen sie auf menschliche Gefühle ab wie beispielsweise Neugier, Angst, Nervosität oder, aber auch vor allem, Naivität. Zum anderen haben sie das Ziel, das Opfer zur freiwilligen Herausgabe von Informationen, Passwörtern und anderen sensiblen Daten zu bewegen. Die wohl bekannteste Methode ist das Phishing: Betrüger*innen verschicken E-Mails, die dazu animieren, auf manipulierten Websites persönliche Daten einzugeben oder sie per Antwort direkt zurückzusenden.

Eine Unterart des Phishings ist das Spear-Phishing: Angreifer spionieren über Wochen und Monate Mitarbeiter*innen eines Unternehmens aus und lernen so ihre Gewohnheiten kennen. Kriminelle nutzen diese Informationen, um sich als Kolleg*in oder Vorgesetzte*r auszugeben. Die Chef-Masche (CEO Fraud) ist eine besonders beliebte Vorgehensweise. Hierbei üben Kriminelle Druck auf beispielsweise Buchhalter*innen aus, in dem sie sich als Vorgesetzte*r ausgeben und nach einer eiligen Überweisung verlangen. Führen Mitarbeiter*innen diese Transaktion aus, ist das Geld für das Unternehmen verloren. Chancen, dieses wiederzubeschaffen, gehen gegen Null.

Eine ähnliche Strategie verfolgen Kriminelle beim sogenannten Pretexting: Wo bei Phishing-Angriffen eher Druck auf das Opfer ausgeübt und Angst geschürt wird, schaffen die Cyberkriminellen beim Pretexting ein Gefühl von Vertrauen und setzen dabei ihre ganze Kreativität ein. Sie geben sich als Polizist*innen, Bänker*innen oder eben Kolleg*innen aus, um das Vertrauen ihrer Opfer zu gewinnen und zu erwirken, dass diese sensible Daten herausgeben. Die Angreifer übernehmen auch hier häufig die Rolle einer Führungsposition und erfinden ein möglichst realistisches Szenario, wodurch betroffene Mitarbeiter*innen keinen Verdacht schöpfen, um an geschäftskritische Daten zu gelangen. Daneben gibt es unzählige weitere Vorgehensweisen wie etwa das Water Holing, bei der Angreifer*innen beobachten, welche Websites von Unternehmen häufig besucht werden. Diese Websites infizieren die Angreifer*innen schließlich mit Malware, um den Computer eines der Mitglieder der Zielgruppe zu infizieren. Beim Baiting hingegen werden den Mitarbeiter*innen Belohnungen versprochen. Dies kann zum Beispiel sein, wenn der angebliche „Chef“ seinem Mitarbeiter am Geburtstag eine E-Mail mit einem infizierten Link für eine Gutscheineinlösung als Geschenk schickt.

Die Folgen einer Social Engineering-Kampagne sind natürlich einerseits finanziell verheerend für Unternehmen, aber gerade für die betroffenen Mitarbeiter*innen auch sehr unangenehm. Jeder von uns kann Ziel einer solchen Kampagne werden, und es ist nicht immer einfach, den Betrugsversuch sofort zu erkennen. Dennoch entsteht bei vielen Opfern die Scham, es nicht besser gewusst zu haben, was wiederum im Arbeitsalltag sehr belastend sein kann. Daher sollten Unternehmen ihre Mitarbeiter*innen nicht nur dafür sensibilisieren, solche Betrugskampagnen möglichst gut zu erkennen, sondern sie auch ermuntern, Sicherheitsvorfälle trotz Schuldgefühl und Scham möglichst schnell zu melden.

Um im Vorfeld der Kontaktaufnahme schon möglichst viel über ihre potenziellen Opfer zu erfahren, analysieren Cyberkriminelle besonders gerne die Social-Media-Kanäle ihrer Zielpersonen. Tech-Giganten, auf deren Plattformen auch selbst viele Betrügereien stattfinden, haben das Problem nur zögerlich ins Visier genommen. Viele Plattformen konzentrieren sich aktuell in erster Linie noch auf ihre Angelegenheiten. Cyber-Sicherheitsunternehmen und User*innen sollten sich in dieser Hinsicht nicht auf die Tech-Giganten verlassen.

Es ist an der Zeit

Cybersicherheits-Unternehmen stehen daher in der Pflicht – aus wirtschaftlicher und moralischer Sicht – den Unternehmen die geeigneten Tools und Präventionsmaßnahmen an die Hand zu geben. Dabei gilt es aber auch abzuwägen: Hersteller*innen von Sicherheitssoftware sind bereits auf unzähligen Endgeräten von Mitarbeiter*innen vertreten. Es gibt zudem keinen Zweifel, dass Künstliche Intelligenz (KI) ein Teil dieser Lösungen sein muss. Gleichzeitig ist sie aber auch Teil des Problems: KI-gestützte Algorithmen bilden unter anderem die Basis für Deep Fakes und verbreiten Desinformation. Dass die Technologie immer besser wird, verschärft das Problem und macht diese Betrugsmaschen für ein breites Publikum zugänglich. Auf der anderen Seite ist dadurch auch der Werkzeugkasten größer, mit dessen Hilfe dieses Problem auf wirtschaftlicher, aber auch auf gesamtgesellschaftlicher Ebene angegangen werden kann.

So ist Künstliche Intelligenz mittlerweile in der Lage, ein Stimmungsbild von Sprache zu erstellen: Die Trefferquote liegt hier bereits bei rund 90 Prozent – Tendenz klar steigend. Die natürliche Sprachverarbeitung versteht heute Texte meistens schon so gut wie Menschen – und vermag diese auch zu deuten. Schon damit wird es möglich sein, einem Gros der Missstände im digitalen Raum zu begegnen und Mitarbeiter*innen besser vor Social Engineering-Attacken zu schützen. Natürlich gilt es hier auch Compliance- und besonders DSGVO-Anforderungen einzuhalten. Der technische Schutz von Systemen und Infrastrukturen ist alleine nicht mehr ausreichend. Der Mensch und seine digitale Freiheit sollte im Mittelpunkt der IT-Sicherheit stehen – auch auf Unternehmensseite.

Über den Autor: Viliam Lisy ist Wissenschaftlicher Leiter KI bei Avast.

(ID:49214243)