Bei Cyberangriffen denken viele zunächst an Datendiebstahl, Systemausfälle oder technische Sicherheitslücken. Dementsprechend stehen häufig Schutzmaßnahmen wie Firewalls, Virenscanner oder regelmäßige Sicherheitsupdates im Mittelpunkt.

Doch nicht jeder Angriff setzt unmittelbar an der Technik an. Cyberkriminelle versuchen zunehmend, Mitarbeitende gezielt zu bestimmten Handlungen zu bewegen und auf diesem Weg bestehende Sicherheitsmaßnahmen zu umgehen. Diese Vorgehensweise wird als Social Engineering bezeichnet.

Was genau ist Social Engineering?

Wo technische Schutzmaßnahmen den direkten Zugriff erschweren, suchen Angreifer häufig einen anderen Zugang zum Unternehmen: den Menschen.

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, beschreibt Social Engineering als eine Form der Manipulation, bei der menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität gezielt ausgenutzt werden.

Auf diese Weise sollen Betroffene beispielsweise dazu gebracht werden,

  • vertrauliche Informationen oder Zugangsdaten preiszugeben,
  • bestehende Sicherheitsmaßnahmen zu umgehen,
  • Überweisungen oder andere geschäftliche Transaktionen auszulösen,
  • Links oder Dateianhänge zu öffnen,
  • oder Schadsoftware auf einem Gerät zu installieren.

Die betroffenen Personen handeln dabei häufig im guten Glauben. Sie gehen beispielsweise davon aus, ein technisches Problem zu lösen, eine dringende Anfrage zu bearbeiten oder einer berechtigten Anweisung zu folgen.

Social Engineering ist keine grundsätzlich neue Form des Betrugs. Digitale Kommunikationsmittel ermöglichen es Kriminellen heute jedoch, potenzielle Opfer besonders schnell zu erreichen und ihre Angriffe gezielt vorzubereiten.

Woran lässt sich Social Engineering erkennen?

Ein wesentliches Merkmal von Social Engineering ist, dass Angreifer ihre tatsächliche Identität und Absicht verschleiern.

Sie geben sich beispielsweise aus als

  • Techniker oder Systemadministrator,
  • Mitarbeitende eines bekannten Dienstleisters,
  • Kolleginnen oder Kollegen,
  • Geschäftspartner,
  • oder Mitglieder der Geschäftsführung.

Ein typisches Beispiel ist ein vermeintlicher Administrator, der telefonisch nach einem Passwort fragt, um angeblich einen Systemfehler oder ein dringendes Sicherheitsproblem zu beheben.

Auch E-Mails, Messenger-Nachrichten und andere digitale Kommunikationswege werden für solche Täuschungsversuche eingesetzt. Absendernamen, Logos und Formulierungen lassen sich vergleichsweise leicht nachahmen. Dadurch können Nachrichten auf den ersten Blick glaubwürdig erscheinen.

Für Unternehmen gilt daher: Nicht allein das professionelle Erscheinungsbild einer Nachricht entscheidet darüber, ob eine Anfrage legitim ist.

Persönliche Informationen machen Angriffe glaubwürdiger

Öffentlich verfügbare Informationen können Angreifern dabei helfen, ihre Nachrichten gezielt auf einzelne Personen oder Unternehmen zuzuschneiden.

Dazu gehören beispielsweise:

  • Namen von Mitarbeitenden und Führungskräften,
  • berufliche Zuständigkeiten,
  • Informationen über Kunden oder Geschäftspartner
  • aktuelle Projekte oder Veranstaltungen,
  • Abwesenheiten und Urlaubszeiten,
  • persönliche Kontakte oder Interessen.

Eine betrügerische Anfrage wirkt deutlich glaubwürdiger, wenn darin bekannte Namen, interne Abläufe oder aktuelle Ereignisse erwähnt werden.

Aus Unternehmenssicht ist deshalb nicht nur der private Umgang mit sozialen Netzwerken relevant. Auch öffentlich zugängliche Teamseiten, Stellenanzeigen, Pressemitteilungen und Beiträge auf Business-Netzwerken können Informationen enthalten, die bei der Vorbereitung eines Angriffs genutzt werden.

 

Bekannte Formen des Social Engineering

Eine der bekanntesten Formen ist Phishing. Dabei sollen täuschend echt wirkende E-Mails oder Nachrichten Betroffene beispielsweise dazu verleiten, eine gefälschte Webseite aufzurufen und dort ihre Anmeldedaten einzugeben.

Mehr zu typischen Merkmalen und geeigneten Schutzmaßnahmen erfahren Sie in unserem Beitrag zum Thema Phishing.

Eine gezieltere Variante ist das sogenannte Spear Phishing. Hier werden Nachrichten auf eine bestimmte Person, Position oder Organisation zugeschnitten.

Beim CEO Fraud geben sich Angreifer als Mitglied der Geschäftsführung oder als andere entscheidungsbefugte Person aus. Ziel ist es häufig, Mitarbeitende unter Zeitdruck zu einer Überweisung oder zur Weitergabe vertraulicher Informationen zu bewegen.

Die Übergänge zwischen den verschiedenen Angriffsmethoden sind fließend. Phishing, gefälschte Anrufe, manipulierte Rechnungen und die Übernahme fremder Identitäten können Teil eines mehrstufigen Angriffs sein.

Wie können sich Unternehmen vor Social Engineering schützen?

Social Engineering nutzt grundlegende menschliche Reaktionen aus. Deshalb lässt sich diese Angriffsform nicht allein durch technische Maßnahmen verhindern. Das Risiko kann jedoch deutlich reduziert werden, wenn technische Schutzmaßnahmen, klare interne Prozesse und regelmäßige Sensibilisierung miteinander kombiniert werden.

Zu den vom BSI empfohlenen Grundregeln gehören unter anderem:

Gehen Sie bewusst mit persönlichen und beruflichen Informationen in sozialen Netzwerken um.
Veröffentlichen Sie keine vertraulichen Informationen über interne Abläufe, Kunden oder Sicherheitssysteme.

  • Geben Sie Passwörter, Zugangsdaten oder Kontoinformationen niemals telefonisch oder per E-Mail weiter.
  • Seien Sie bei unbekannten Absendern und ungewöhnlichen Anfragen besonders vorsichtig.
    Öffnen Sie verdächtige Links oder Anhänge nicht.
  • Lassen Sie sich nicht durch angebliche Dringlichkeit unter Druck setzen.
  • Prüfen Sie ungewöhnliche Zahlungs- oder Datenanfragen über einen zweiten Kommunikationsweg.
    Verwenden Sie für Rückfragen eine bereits bekannte Telefonnummer und nicht die Kontaktdaten aus der verdächtigen Nachricht.
  • Informieren Sie die zuständige IT-Abteilung oder eine verantwortliche Ansprechperson, wenn Ihnen eine Anfrage verdächtig vorkommt.

Unternehmen sollten außerdem klare Freigabeprozesse für Überweisungen, Änderungen von Bankverbindungen und die Weitergabe sensibler Informationen festlegen. Eine ungewöhnliche Anfrage sollte intern überprüft werden dürfen, auch wenn sie vermeintlich von einer Führungskraft oder einem wichtigen Geschäftspartner stammt.

Fazit: Erst prüfen, dann handeln

Social Engineering zeigt, dass eine gut abgesicherte IT-Infrastruktur allein nicht ausreicht. Angreifer versuchen gezielt, technische Schutzmaßnahmen zu umgehen, indem sie Menschen manipulieren oder unter Druck setzen.

Umso wichtiger ist es, ungewöhnliche Anfragen kritisch zu hinterfragen, sensible Informationen nicht unüberlegt weiterzugeben und im Zweifelsfall einen zweiten Kommunikationsweg zu nutzen.

Oft genügt bereits eine kurze Rückfrage oder ein Anruf bei der vermeintlich anfragenden Person, um einen Täuschungsversuch zu erkennen.

Unternehmen besser vor Cyberangriffen schützen

Technische Sicherheitsmaßnahmen, klare Prozesse und sensibilisierte Mitarbeitende bilden gemeinsam die Grundlage für einen wirksamen Schutz vor Cyberangriffen. Sie möchten Ihr Unternehmen besser vor Cyberangriffen schützen? Informieren Sie sich über unsere IT-Sicherheitslösungen oder vereinbaren Sie direkt ein unverbindliches Erstgespräch mit uns.

Unsere IT-SicherheitslösungenUnverbindliches Erstgespräch vereinbaren