Social Engineering: IT-Angriffe auf den Faktor Mensch

In der Vergangenheit waren diese Angriffsversuche oft schlecht umgesetzt und für viele Menschen schnell erkennbar. Mittlerweile sind viele Phishing-Angriffe jedoch äußerst ausgefeilt und nur bei genauer Prüfung auch als solche erkennbar. Die Angreifer gelangen so beispielsweise über schadhafte Links in den Phishing-E-Mails an sensible Daten und richten damit allein für die deutsche Wirtschaft einen jährlichen Schaden im dreistelligen Milliardenbereich an.

Eine ähnliche Angriffsart ist das Smishing. Hierbei werden anstelle von E-Mails SMS-Nachrichten verwendet. Da diese in der Regel kurz sind, ist es vergleichsweise einfach, die Identität beispielsweise des unternehmenseigenen IT-Supports oder eines Paketdienstes vorzutäuschen. Auch beim Smishing verleiten schadhafte Links zur Eingabe sensibler Anmeldedaten. Demselben Prinzip folgt auch das Vishing. Im Gegensatz zu Phishing und Smishing nutzen Angreifer hierfür jedoch Sprachnachrichten oder Telefonanrufe, um ihren Opfern sensible Informationen zu entlocken oder sie zu Handlungen zu verleiten. Oft verwenden die Kriminellen KI-Unterstützung, um Stimmen glaubhaft zu imitieren. Die von einem Vishing-Anruf betroffene Person wird dabei in der Regel unter Druck gesetzt, indem die Angreifer beispielsweise eine Notlage vortäuschen, die eine dringende Handlung seitens des Opfers erfordert. Durch diesen Überrumpelungseffekt lassen sich viele Betroffene dazu verleiten, der Aufforderung nachzukommen – sie geben sensible Daten heraus, gewähren Zugang zu Systemen oder tätigen Finanztransaktionen.

Per E-Mail, SMS, Sprachnachricht oder Anruf, all diese Maschen zählen zu den sogenannten Social-Engineering-Angriffen. Bei diesen machen sich Angreifer soziale Beziehungen zunutze, um Daten zu erbeuten. Rein technische Schutzmaßnahmen genügen deshalb nicht, um diese Angriffsarten effektiv abzuwehren.

Für Unternehmen ist es entscheidend, dass sie ihre Mitarbeitenden dafür sensibilisieren, derartige Angriffe zu erkennen und sich im Fall des Falles sicherheitskonform zu verhalten. Hierzu sind regelmäßige Schulungen und Übungen empfehlenswert. Darüber hinaus ist eine unternehmensweite Sensibilisierung für die Bedeutung der Informationssicherheit sowie für die zuständigen Ansprechstellen erforderlich.