Schwachstelle Mensch: Bei einer Social-Engineering-Attacke baut der Angreifer zunächst Vertrauen zu seinem Opfer auf, um sich anschließend an dessen Daten zu bedienen. Durch Phishing oder Voice Phishing gelangen Cyberkriminelle schnell an kritische Unternehmensdaten. Doch wie können sich Unternehmen davor schützen?

Unternehmen machen es Cyberkriminellen dank dem Einsatz einer umfassenden IT-Security-Strategie zunehmend schwerer, Schwachstellen zu finden. Bei der Social-Engineering-Attacke bedient sich der Angreifer allerdings an der größten Schwachstelle: dem Menschen. Doch wie funktioniert eine solche Attacke? Und wie können Unternehmen ihre Mitarbeiter davor warnen?

Psychologische Manipulation

Beim Social Engineering dreht sich alles um die psychologische Manipulation der Opfer.
Ziel ist es, das Vertrauen des attackierten Mitarbeiters zu gewinnen, um an sensible Unternehmensdaten zu gelangen. Die Voraussetzung hierfür ist, dass die Angreifer über weitreichende Kenntnis der einzelnen Organisationen verfügen.

Speziell bei Social Engineering nutzt es dem Angreifer, wenn bereits erfolgreiche Angriffe auf Unternehmensstrukturen durchgeführt wurden. Dies bleibt meistens unbemerkt und bietet einen hohen Informationswert für den Vertrauensaufbau zwischen Angreifer und Mitarbeiter. Zudem nutzen Cyberkriminelle Behördendaten oder Social-Web-Auftritte der Unternehmen zur Datenerhebung.

Arten des Social Engineering

Die häufigste Art von Social Engineering ist die Phishing-Methode. Hierbei schickt der Angreifer eine vermeintlich echte E-Mail. Absender sind vertrauenswürdige Unternehmen wie Banken oder Kreditunternehmen, aber auch eigene Unternehmenskontakte wie Geschäftspartner oder Mitarbeiter. Das Anliegen der Mail zielt oft auf kritische Informationen wie Kreditkartendaten oder Passwörter ab. Durch angehängte PDFs oder Links installiert das Opfer die Schadsoftware unbewusst im System.

Ein weiteres Beispiel ist das sogenannte Vishing (Voice Phishing), das zuletzt auch für Schlagzeilen sorgte: Angebliche Microsoft-Support-Angestellte riefen bei Unternehmen an und erhielten Zugang zu Rechnern oder Kreditkarteninformationen. Je seriöser sich der Angreifer beim Telefonat gibt, desto höher ist die Wahrscheinlichkeit, dass der Betrug gelingt.

Schutz vor zu schnellem Vertrauen – aber wie?

Für IT-Experten ist Social Engineering keine technische Herausforderung. Vielmehr müssen sie analytische Maßnahmen in die IT-Infrastruktur implementieren. Nicht nur klassische Virenscanner oder Greylisting-Ansätze kommen hier zum Einsatz. User Behaviour Analytics sind ebenfalls hilfreich für die Cybersecurity. Diese Tools scannen die Verhaltensmuster der Mitarbeiter und berichten der IT abweichende Muster. So können Social-Engineering-Attacken schnell erkannt werden.

Aber auch Cyber-Threat-Intelligence-Systeme können Attacken abgewehrt werden. Über die Systeme laufen Informationen über aktuelle Bedrohungen und externe Informationen zusammen. So erhalten IT-Beauftragte den Kontext und die Indikatoren über eine bestehende Bedrohung und können so konkrete Maßnahmen einleiten.

Informationen und Austausch beim Mittelstandsforum

Unternehmen müssen ihre Daten schützen, um nicht durch Attacken ihre Reputation zu verlieren. Der Thementag zu Cybersecurity & Compliance auf dem Mittelstandsforum 2020 vom 12. bis 27. November bot Entscheidern im Mittelstand einen optimalen Überblick. In sieben spannenden Keynotes können Sie spannende Informationen sammeln und sich mit anderen Teilnehmern austauschen.

Cybersecurity endet nicht innerhalb eigener Unternehmensstrukturen, und Mobile Security gewinnt immer mehr an Fahrt. Wie Sie mobile Endgeräte schützen können, erfahren Sie hier.

Quelle: pixabay, Claudio_Scott