Angriffe
Social Engineering
Was ist Social Engineering?
Social Engineering ist die gezielte Manipulation von Menschen, um an Zugangsdaten, Informationen oder Geld zu gelangen. Die Täter geben sich als vertrauenswürdige Person aus, etwa als Vorgesetzter, Lieferant oder Techniker, und nutzen Hilfsbereitschaft, Zeitdruck und Autorität aus.
Im Alltag eines Betriebs wirkt das unspektakulär. Das Telefon läutet und jemand meldet sich als Mitarbeiter Ihres IT-Dienstleisters, der wegen einer Störung kurz Fernzugriff braucht. Eine E-Mail bittet um die rasche Freigabe einer Rechnung. Eine Nachricht am Mobiltelefon kommt scheinbar von der Geschäftsführung. Auch der Weg durch die Eingangstür kommt vor, wenn sich eine Person als Servicetechniker vorstellt und in den Serverraum gelassen wird.
Die Warnzeichen ähneln sich über alle Kanäle hinweg. Es wird Druck aufgebaut, die Sache eilt, und der übliche Ablauf soll aus einem plausiblen Grund einmal übersprungen werden. Vertraulichkeit wird verlangt, damit die angesprochene Person niemanden fragt. Die Anfrage kommt über einen ungewohnten Kanal, etwa von einer privaten Mobilnummer oder einer Adresse, die der gewohnten sehr ähnlich sieht. Wer dieses Muster erkennt, kann die Anfrage anhalten, bevor Schaden entsteht.
Der erste sinnvolle Schritt ist ein fester Ablauf für die drei Vorgänge, die für einen Betrieb besonders heikel sind: Zahlungsfreigaben, Änderungen von Bankverbindungen und das Zurücksetzen von Passwörtern. Für jeden dieser Vorgänge gilt eine Rückfrage über einen zweiten Kanal, also ein Rückruf an die im eigenen System hinterlegte Nummer. Ebenso wichtig ist die ausdrückliche Erlaubnis für Ihre Mitarbeiterinnen und Mitarbeiter, eine eilige Anweisung zu verzögern, bis sie geprüft ist. Diese Erlaubnis muss von der Geschäftsführung kommen, weil der Druck sonst schwerer wiegt als die Regel.
Technik begrenzt den Schaden, wenn eine Täuschung gelingt. Die Zwei-Faktor-Authentifizierung, also ein zweiter Nachweis zusätzlich zum Passwort, entwertet ein herausgegebenes Passwort weitgehend. Knappe Berechtigungen begrenzen die Reichweite eines übernommenen Kontos. Protokolle zeigen im Nachhinein, was tatsächlich passiert ist. Ein IT-Check sieht sich genau diese Punkte an: Zugänge, Berechtigungen, E-Mail-Absicherung und die Frage, wer von außen auf Ihre Systeme kommt.
Alle Begriffe der Wissensdatenbank
Hinweis: Dieser Eintrag gibt den Stand nach bestem Wissen wieder und dient der allgemeinen Orientierung. Er ersetzt keine Rechtsberatung. Maßgeblich ist immer die geltende Fassung bei der zuständigen Stelle, etwa dsb.gv.at, nis.gv.at oder onlinesicherheit.gv.at.
Vom Begriff zur Praxis
Wie steht Ihr Betrieb wirklich da?
Der IT-Check prüft Ihre IT in 8 Prüfbereichen mit über 100 Prüfpunkten und liefert einen dokumentierten Befund mit priorisiertem Maßnahmenplan. Ab 1.299 € exkl. USt. Das Erstgespräch dauert 20 Minuten. Es entstehen keine Kosten.