Social Engineering: 6 Tipps, wie Sie sich vor Angriffen schützen

Ein angeblicher Prinz, der Ihnen bei einer Vorauszahlung ein gigantisches Vermögen verspricht. Ein vermeintlicher Enkel, der in Schwierigkeiten steckt und Sie am Telefon um Geld bittet. Oder eine ominöse Mail Ihres Vorgesetzten, der dringend Einsichten in die Unternehmensfinanzen verlangt – alles Fälle einer Betrugsmasche, die man „Social Engineering” nennt.

Beim Social Engineering (deutsch: soziale Manipulation) erschleichen sich die Täter das Vertrauen der Menschen und bringen sie dazu, sensible Informationen und Daten preiszugeben.

Jeder kann Opfer solcher Angriffe werden und besonders häufig treffen sie Unternehmen und deren Angestellte. Über sie gelingt es Betrügern immer wieder, auf Firmenkonten zuzugreifen und schwere Schäden anzurichten.

Social Engineering gilt als eine der größten Bedrohungen für die Cybersicherheit. Die Methoden setzen nämlich dort an, wo Sicherheitssysteme kaum Schutz bieten: bei den Menschen.

Studien sprechen von jährlich 700 solcher Attacken auf Unternehmen, fast 80% davon treffen Mitarbeiter, die nicht Teil der Finanz- oder Führungsebene und damit möglicherweise weniger sensibel für solche Betrugsmaschen sind.¹

Aber auch außerhalb des Internets gefährdet Social Engineering die Sicherheit - zum Beispiel, wenn Trickbetrüger an der Tür klingeln oder sich am Telefon als jemand ausgeben, der sie nicht sind (sogenanntes „Vishing”), um so an persönliche Daten zu gelangen.

Solche Angriffe können verschiedene Folgen haben, unter anderem:

• Finanzielle Verluste, indem gewonnene Kontoinformationen genutzt werden, um Geldsummen zu bewegen.
• Zerstörung von IT, indem Schadsoftware ungesehen eingeschleust wird.
• Reputationsschäden, indem Kundendaten entwendet oder Social Media Profile missbraucht werden.
• Identitätsdiebstahl, indem persönliche Informationen zur Ausweisfälschung und ähnliche kriminelle Zwecke missbraucht werden.

Beim Phishing (von engl. „fishing” – „angeln”) erhalten Opfer E-Mails oder SMS (dann auch SMiShing genannt), die auf den ersten Blick vertrauenswürdig erscheinen. Die Nachrichten enthalten jedoch Links zu gefälschten Webseiten, auf denen Nutzer ihre Anmelde- oder Kontodaten eingeben sollen. Cyberkriminelle können diese Daten dann abgreifen und für illegale Aktivitäten verwenden.

Als Absender imitieren Cyberkriminelle meist bekannte Institutionen wie Paypal, Facebook, Amazon oder Banken. Viele Nutzer schöpfen deshalb zunächst keinen Verdacht.

Wichtiger Hinweis: Die Commerzbank oder andere Banken werden niemals sensible Daten wie Online-Zugangsdaten oder Karten-PINs per SMS oder Anruf von Ihnen erfragen. Mehr Informationen zum Phishing finden Sie hier.

Wie beim Phishing werden auch beim Spear Phishing fingierte SMS oder E-Mails an Nutzer versendet. Aber: Beim Spear Phishing (von engl. „spearfishing” – „Speerfischen”) sind die Inhalte viel genauer auf die Empfänger abgestimmt.

Cyberkriminelle recherchieren ausgiebig, welche Interessen ihre Opfer haben, um ihnen möglichst vertrauenswürdige Inhalte anzubieten. Eine Unterform des Spear Phishing ist das „Wahling”: Diese Angriffe nehmen hochrangige Personen eines Unternehmens ins Visier.

Die meistimitierten Marken bei Phishing-Attacken

Der Anteil der Marken-Phishingversuche in Q2 2020 bei denen folgende Firmen imitiert wurden.

Beim CEO-Fraud oder auch CEO-Betrug richten sich die Angriffe gezielt gegen Menschen in Entscheidungspositionen.

Betroffene erhalten beispielsweise E-Mails, in denen sie von ihrem vermeintlichen Vorgesetzten angewiesen werden, bestimmte Überweisungen zu tätigen. Damit stellt CEO-Fraud eine gefährliche Bedrohung für die Cybersicherheit von Unternehmen dar.

Beim Baiting erfolgt der Angriff über eine externe Datenquelle, also z. B. einen USB-Stick oder eine externe Festplatte. Personen können sie als Werbegeschenke erhalten und nichts ahnend mit ihrem Computer verbinden. Der Computer wird dadurch mit schädlicher Software (sogenannte „Malware”) infiziert.

Der Name „Quid pro Quo” (lat. für „dies für das”) legt es bereits nahe: Bei dieser Attacke wird dem Opfer etwas versprochen, wenn es im Gegenzug eine bestimmte Handlung ausführt.

Ein häufiges Szenario: Kriminelle geben sich bei Angestellten als IT-Spezialisten aus und bieten Unterstützung an. Im Gegenzug fordern sie die Installation von Schadsoftware, die sie als notwendiges Systemupdate tarnen.