Cybersicherheit: Social Engineering

Social Engineering

Social Engineering ist eine von Einzelpersonen oder Gruppen eingesetzte Strategie, um Menschen zu manipulieren und zu täuschen, damit diese sensible Informationen offenlegen oder Handlungen vornehmen, die ihre eigene Sicherheit gefährden. Sie stützt sich eher auf Psychologie und menschliches Verhalten als auf technisches Know-how.

Bei Social-Engineering-Angriffen gibt sich der Angreifer oder die Angreiferin oft als vertrauenswürdige Person oder Quelle aus, um das Vertrauen des Opfers zu gewinnen. Zu den Techniken zählen unter anderem Identitätsbetrug, Überzeugungsversuche oder Täuschungen, um wertvolle Informationen zu erhalten, wie etwa

• Passwörter
• Finanzinformationen
• Zugang zu Systemen und Netzen

Es gibt verschiedene Formen von Social-Engineering-Angriffen, wobei die Strategie darin besteht, zur Erreichung bestimmter Ziele – beispielsweise unberechtigten Zugang zu erhalten oder Geld bzw. Daten zu stehlen – die Schwächen von Menschen auszunutzen.

Die Social-Engineering-Techniken

Phishing

Angreiferinnen oder Angreifer senden irreführende E-Mails, Nachrichten oder Links zu Websites, die legitim erscheinen, um die Empfänger dazu zu bewegen, darauf zu klicken und sensible Informationen wie Passwörter, Kreditkartennummern oder personenbezogene Daten offenzulegen.

Spear-Phishing

Dabei handelt es sich um eine hochgradig personalisierte Form des Phishing. Um noch überzeugender zu erscheinen, passen Angreiferinnen oder Angreifer ihre Nachrichten anhand spezifischer Informationen über ihre Zielperson an.

Baiting

Als Gegenleistung für personenbezogene Daten oder Zugang zu einem System bieten Angreiferinnen oder Angreifer etwas Verlockendes an, wie etwa kostenlose Software. Dabei kann es sich um infizierte Dateien oder Links handeln.

Vorspiegelung falscher Tatsachen

Angreiferinnen oder Angreifer erfinden ein Szenario oder einen Vorwand, um Informationen zu erhalten. Dabei geben sie sich oft als vertrauenswürdige Person aus, wie etwa eine Kollegin oder ein Vertreter einer Bank.

Vishing

Eine Form des Phishing, die über Sprachkommunikation – in der Regel Telefonanrufe – erfolgt. Angreiferinnen oder Angreifer geben sich als vertrauenswürdige Stellen aus und überzeugen ihre Opfer, sensible Informationen offenzulegen.

Betrügerisches Auftreten

Angreiferinnen oder Angreifer geben online oder persönlich vor, eine andere Person zu sein, um das Vertrauen einer Zielperson zu gewinnen und sie zu manipulieren, damit sie vertrauliche Informationen offenlegt oder bestimmte Handlungen durchführt.

Angler-Phishing

Bei dieser Art von Phishing erhalten hauptsächlich Nutzerinnen und Nutzer sozialer Netzwerke betrügerische Nachrichten zu beliebten oder aktuellen Themen, die dadurch relevant und vertrauenswürdig erscheinen.

Ransomware und Erpressung

Angreiferinnen oder Angreifer drohen, sensible Informationen offenzulegen oder Systeme zu stören, es sei denn, es wird ein Lösegeld gezahlt. Sie schüren Angst, um ihre Opfer unter Druck zu setzen.

Wie können Sie sich schützen?

Aufmerksamkeit ist Ihr Schutzschild

Seien Sie wachsam und erkennen Sie die Zeichen. Erscheint etwas seltsam oder zu gut, um wahr zu sein, kann es sich um Betrug handeln.

Denken Sie, bevor Sie klicken

Klicken Sie auf keine Links und öffnen Sie keine E-Mails von unbekannten Absendern.

Schützen Sie Ihre personenbezogenen Daten

Geben Sie niemals sensible Daten wie Passwörter, Kreditkartennummern oder personenbezogene Daten in Nachrichten oder E-Mails weiter, unabhängig davon, wer danach fragt.

Legen Sie starke Passwörter fest

Verwenden Sie einzigartige, starke Passwörter für verschiedene Konten.

Nutzen Sie die Multifaktor-Authentifizierung

Nutzen Sie nach Möglichkeit eine Multifaktor-Authentifizierung, die Ihre Online-Konten zusätzlich absichert.

Überprüfen Sie die Identität der Anruferin oder des Anrufers

Behauptet eine Anruferin oder ein Anrufer, mit einem Unternehmen oder einer Organisation verbunden zu sein, verlangen Sie einen Identitätsnachweis oder wenden Sie sich direkt an die Organisation, um die Informationen zu überprüfen.

Bleiben Sie auf dem Laufenden

Informieren Sie sich auch künftig über neue Betrügereien und Tricks.

Halten Sie sich an vertrauenswürdige Quellen

Laden Sie Daten über vertrauenswürdige Quellen herunter, um Schadprogramme zu vermeiden.

Wenn Sie Betrügereien zum Opfer fallen

• informieren Sie die zuständigen örtlichen Behörden
• ändern Sie Ihre Passwörter
• nutzen Sie die Multifaktor-Authentifizierung
• scannen Sie Ihre Geräte auf Schadprogramme
• informieren Sie Ihren Freundeskreis sowie Kolleginnen und Kollegen darüber, dass auf Ihre Konten zugegriffen wurde

• Kampagne für den Europäischen Monat der Cybersicherheit (Agentur der Europäischen Union für Cybersicherheit)

Siehe auch