Social Engineering und wie sich Unternehmen davor schützen können Typische nicht-technische Angriffe auf IT-Systeme

Anbieter zum Thema

secunet Security Networks AG

PresseBox - unn | UNITED NEWS NETWORK GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Angriffe auf IT-Systeme sind nicht immer direkte Angriffe auf IT-Systeme – sondern auf die Menschen, die diese Systeme bedienen. Beim sogenannten Social Engineering spielen dem Angreifer viele menschliche Eigenschaften in die Karten. So reagieren Menschen beispielsweise unterschiedlich auf identische Situation, Maschinen hingegen immer gleich, basierend auf vorgegebenen Regeln. Menschen reagieren auf Basis ihrer Erfahrung, ihres Bauchgefühls. Dies kann sich ein Angreifer zunutze machen.

Den Begriff „Phishing“ haben viele, vor allem Büromitarbeitende, bereits gehört. Doch das schützt nicht davor, auf solche Angriffe reinzufallen. Meist sind es E-Mails, die das Opfer bekommt, in denen es aufgefordert wird, eine angehängte Datei oder einen Link zu öffnen. Um den Druck beim Opfer zu erhöhen, geht es in diesen E-Mails um dringende Fälle: Bankangelegenheiten, ein nicht zugestelltes Paket oder Erbschaften in Millionenhöhe – wer würde da nicht schnell reagieren wollen. Die Täter verschleiern oder verfälschen den E-Mail Absender, so dass dieser im ersten Moment vertrauenswürdig erscheint.

Auf den Link geklickt landet das Opfer dann meist auf einer präparierten Webseite, in der es eine Datei herunterladen oder seinen Benutzernamen und sein Kennwort eingeben muss. Dabei gibt es auch eine ausgefeilte Version: Beim sogenannten Spearphishing besitzt der Angreifer nicht nur die E-Mail-Adresse, sondern hat sich vorab umfangreiche Informationen über sein Opfer beschafft. Ob in den sozialen Medien, abgefangenen E-Mails oder Webseiten – mit persönlichen Informationen steigt die Wahrscheinlichkeit, dass das Opfer dem E-Mail Absender vertraut und auf den Angreifer hereinfällt.

Angriffe auf verwundbare Endpoints

Typische Angriffe auf PC-Arbeitsplätze

Ein Köder ohne Angel: Durch Baiting gelangen Angreifer ins IT-System

Übersetzt bedeutet Baiting „Ködern“ – denn darum geht es bei diesem Angriff. Das Opfer wird beispielsweise mit einem USB-Stick oder einer USB-Powerbank geködert, um das IT-System zu schädigen. Geschickt in der Arbeitsumgebung platziert, vielleicht noch mit einem Post-it, auf dem „CEO“ oder „Vorstandspräsentation“ steht, steigt das Interesse am Inhalt des Datenträgers beim Mitarbeitenden. Und schon schnappt er sich den Datenträger. Einmal mit dem Arbeitsplatz verbunden gibt es verschiedene Möglichkeiten für den Angreifer, das System zu schädigen. Es können Dateien automatisch ausgeführt werden, die einen Schadcode enthalten, oder es wird gar eine USB-Tastatur simuliert, die Aktionen im Namen des Benutzers durchführt. So können Angreifer – je nach Zugangsberechtigung des Opfers – an wertvolle Daten gelangen oder ganze Systeme lahmlegen.

Das Kinderspiel für Hacker: Piggybacking

Ein Angriff, der vielleicht im ersten Moment unrealistisch klingt, ist das Piggybacking. Hierbei haben Angreifer und Opfer nicht zwangsläufig direkten Kontakt miteinander. Beim Piggybacking (zu Deutsch: Huckepack) nutzt ein Angreifer die Unachtsamkeit des Opfers aus, um physikalische Schutzmaßnahmen wie Gebäudetüren zu umgehen. Wenn beispielsweise morgens oder mittags viele Mitarbeitende das Gebäude betreten, schleust sich der Angreifer in die Menschenmasse und gelangt so auch ohne Zutrittsberechtigung oder eine Karte in das Gebäude. Dabei gibt es auch die Profi-Variante: Der Angreifer verkleidet sich als Haustechniker mit einem Werkzeugkoffer oder einer Leiter und wirkt dadurch nicht fehl am Platz. Und mit direktem Zugriff auf die Systeme vor Ort lassen sich viel leichter Schwachstellen ausnutzen.

So wird die Firewall zum sicheren System

Typische Schwachstellen von Firewalls

Schritt für Schritt zu mehr Awareness

Als Gegenmaßnahme für all diese Angriffe gibt es vor allem eine Lösung: Awareness-Schulungen, bei denen Mitarbeitenden das Thema Social Engineering nähergebracht wird. Hierbei empfiehlt sich ein Mix aus folgenden Maßnahmen:

• 1. Vorstellung typischer Social Engineering-Angriffe bei einer Mitarbeiterschulung

• 2. Durchführung eines Angriffs auf zufällig ausgewählte Mitarbeitende

• 3. Aufklärung über den Angriff und erneute Kurz-Schulung zu Social Engineering

• 4. Erneuter Angriff auf alle Mitarbeitenden, die den ersten Angriff nicht erkannt hatten und weitere zufällig ausgewählte Mitarbeitende.

• 5. Sprung zurück zu Punkt 3.

Über die Autoren: Dirk Reimers ist Abteilungsleiter Pentest & Forensik bei secunet.
Alexandra Roszkowski ist Senior Marketing Managerin PR ebenfalls bei secunet.

(ID:49834983)