Wie lassen sich Social-Engineering-Angriffe verhindern?

Social-Engineering-Angriffe werden in der Cybersecurity immer häufiger. Sie sind wirksamer als herkömmliche Malware-Kampagnen, weil sie die menschliche Psychologie ausnutzen. Angreifer können ihre Opfer zu Handlungen bewegen, die diese normalerweise nicht vornehmen würden. Anders als andere Cyberangriffe, die oft einem typischen Muster folgen, sind Social-Engineering-Angriffe schwer vorhersehbar. Sie nutzen unterschiedliche menschliche Emotionen aus.

In diesem Leitfaden erklären wir, wie Social-Engineering-Angriffe funktionieren. Sie erfahren, wie Sie diese Angriffe verhindern und dagegen vorgehen können.

Was sind Social-Engineering-Angriffe?

Social-Engineering-Angriffe lösen starke Emotionen aus und verleiten Menschen zu ungewöhnlichen Reaktionen. Angreifer sprechen gezielt Ihre Gefühle an. Ein Moment der Unachtsamkeit kann genügen, damit Sie vertrauliche Informationen preisgeben. Social-Engineering-Angriffe sind gefährlich, weil Sie nicht wissen, was Sie erwartet. Unter emotionalem Druck kann jeder Mensch unüberlegt oder sogar destruktiv reagieren.

Es gibt verschiedene Arten von Social-Engineering-Angriffen. Um solche Angriffe zu verhindern, sollten Sie sie kennen. Dazu gehören:

• Baiting liegt vor, wenn Angreifer Malware auf einem physischen Gerät, etwa einem USB-Stick, platzieren und diesen an einem leicht zugänglichen Ort hinterlassen. Das Opfer findet den Datenträger, nimmt ihn mit und verbindet ihn mit einem Computer. Dabei installiert es unwissentlich die Malware.
• Phishing liegt vor, wenn Angreifer eine betrügerische E-Mail versenden, die scheinbar von einer vertrauenswürdigen Quelle stammt. Die Nachricht verleitet das Opfer dazu, vertrauliche Informationen preiszugeben oder auf darin enthaltene schädliche Links oder Anhänge zu klicken.
• Spear-Phishing ist eine gezieltere und ausgefeiltere Form des Phishings. Dabei wird eine E-Mail speziell für eine Person in einer höheren Position im Unternehmen verfasst. Angreifer können das Opfer wochen- oder monatelang ausspähen und Informationen über es sammeln. Erst wenn sich eine passende Gelegenheit bietet, greifen sie an.
• Vishing ist ein Social-Engineering-Angriff per Telefon. Angreifer rufen Sie an und stellen Fragen, um angeblich Ihre Identität zu überprüfen. Wenn Sie sich auf das Gespräch einlassen oder vertrauliche Angaben machen, können sie Informationen über Sie und ihr Ziel sammeln. Diese Angriffsart ist weitverbreitet, und viele Menschen fallen darauf herein.
• Scareware – Eine Art von Social-Engineering-Angriff, bei der dem Opfer vorgetäuscht wird, sein System sei mit Malware infiziert oder es habe unabsichtlich illegale Inhalte heruntergeladen. Angreifer bieten dann ein angebliches Gegenmittel an, etwa ein Tool zur Entfernung der Malware. So bringen sie das Opfer dazu, das Tool herunterzuladen und zu verwenden.
• Watering Hole – Ein ausgefeilter Social-Engineering-Angriff, bei dem Angreifer häufig besuchte Websites infizieren. So versuchen sie, Nutzer zu kompromittieren und Zugriff auf deren Netzwerk zu erlangen. Dabei nutzen sie das Vertrauen der Nutzer in diese Websites aus.
• Honey Trap: Angreifer geben sich online als attraktive Person aus und treten mit ihrem Ziel in Kontakt. Sie können eine Beziehung vortäuschen, um an vertrauliche Informationen zu gelangen.
• Quid pro quo – So lässt sich diese Art von Social-Engineering-Angriff am einfachsten erklären: Ein Unternehmen hat ein technisches Problem, und Ihr Unternehmen verfügt über eine Seriennummer. Angreifer rufen Sie an und nennen diese Seriennummer, um glaubwürdig zu wirken. Sie behaupten, es gebe ein technisches Problem. Da das Problem tatsächlich besteht, schenken Sie ihnen Glauben.

Wie funktionieren Social-Engineering-Angriffe?

Social-Engineering-Angriffe nutzen Emotionen, Unerfahrenheit und Gutgläubigkeit aus. Durch psychologische Manipulation verleiten sie Menschen dazu, unwissentlich Sicherheitsfehler zu begehen.

Opfer können versehentlich vertrauliche Informationen preisgeben oder sich von den Angreifern beeinflussen lassen.

Ihre persönlichen und finanziellen Daten können gestohlen werden, bevor sie den Vorfall bemerken. Angreifer können ihre Opfer auch in eine Falle locken und psychologisch unter Druck setzen.

Das Ziel des Gegners ist es, Vertrauen aufzubauen und die Wachsamkeit des Opfers zu senken. Dann nutzt er die Situation aus. Er bewegt das Opfer zu unsicheren Handlungen außerhalb seines Zuständigkeitsbereichs, etwa zum Klicken auf schädliche Links oder zum Öffnen schädlicher Anhänge. Manchmal gibt er sich sogar als Amtsperson aus.

Das Opfer bemerkt möglicherweise nicht, was geschieht, und arbeitet unwissentlich mit dem Gegner zusammen. Besucht es eine von ihm genannte Website oder gibt es Daten auf einer Anmeldeseite ein, kann der Angreifer die vollständige Kontrolle über sein Gerät oder Netzwerk erlangen.

Eine große Gefahr sozialer Medien liegt darin, dass sie als Kommunikationsweg zwischen Menschen genutzt werden können. Social-Engineering-Angriffe funktionieren nicht bei allen.

Doch ein einziges Opfer kann ausreichen, um einen groß angelegten Angriff auszulösen, der dem Unternehmen schadet. Social-Engineering-Angriffe können Phishing-E-Mails, gefälschte Websites, das Abfangen von Transaktionen, Identitätsdiebstahl oder andere Methoden umfassen. Sie sind schwer vorhersehbar und können von den Mustern herkömmlicher Cyberangriffe abweichen. Das ist ein Grund, warum sie unentdeckt bleiben.

Wie erkennen Sie Social-Engineering-Angriffe?

Ein Social-Engineering-Angriff aus dem eigenen Unternehmen kann auf eine Insider-Bedrohung zurückgehen. Achten Sie deshalb auf die Stimmung am Arbeitsplatz und auf das Verhalten Ihrer Kollegen. Wenn keine Spannungen erkennbar sind und alle an einem Strang ziehen, ist das meist ein gutes Zeichen.

Bei größeren Konflikten am Arbeitsplatz sollten Sie aufmerksam werden. Ein heutiger Groll kann sich später zu einer ausgefeilten Social-Engineering-Bedrohung entwickeln.

Bei Social-Engineering-Angriffen von außerhalb Ihres Unternehmens, insbesondere bei Phishing-E-Mails, ist Vorsicht geboten. Misstrauen Sie Nachrichten, die sofortiges Handeln verlangen oder mit Angst und Zeitdruck arbeiten. Klicken Sie nicht vorschnell auf Links, um angeblich Ihr Konto zu reaktivieren, Geld zu überweisen oder Steuern zu zahlen.

Best Practices zum Schutz vor Social-Engineering-Angriffen

Hier sind 10 Maßnahmen, mit denen Sie Social-Engineering-Angriffe verhindern können:

• Achten Sie auf das Schlosssymbol neben der URL einer Website. Prüfen Sie, ob die URL mit HTTPS oder HTTP beginnt. Eine Website mit HTTPS-Präfix verwendet eine gesicherte Verbindung. Beginnt die URL dagegen mit HTTP, sollten Sie die Website meiden. Prüfen Sie außerdem das SSL-Zertifikat und weitere Sicherheitsprotokolle der Website.
• Aktivieren Sie MFA für alle Konten in Ihrem Unternehmen.  Führen Sie regelmäßige Cloud-Audits durch und prüfen Sie inaktive Konten. So verhindern Sie, dass Insider oder Außenstehende diese Konten bei Personalwechseln missbrauchen. Installieren Sie Antivirensoftware, Anti-Malware-Software und Web-Firewalls.
• Verwenden Sie für verschiedene Konten unterschiedliche Passwörter. Nutzen Sie nicht überall dasselbe Passwort und ändern Sie Ihre Passwörter regelmäßig.
• Setzen Sie aktive KI-gestützte Bedrohungserkennung und Sicherheitsscans ein. Scans Ihrer Endpunkte, Benutzerkonten, Netzwerke und IoT-Geräte können Hinweise auf einen bevorstehenden Social-Engineering-Angriff liefern.
• Abweichungen von üblichen Aktivitätsmustern können auf verdächtige Vorgänge hinweisen. Meldet sich beispielsweise ein Mitarbeiter zu ungewöhnlichen Zeiten an oder lädt an einem Tag plötzlich deutlich mehr Daten herunter, könnte er Informationen sammeln, Ziele ausspähen oder einen Social-Engineering-Angriff vorbereiten. Diese beiden Maßnahmen beziehen sich speziell auf Social-Engineering-Angriffe durch Insider.
• Führen Sie regelmäßig Sicherheitsaudits und Schwachstellenscans durch. So schließen Sie Lücken in Ihrer Infrastruktur und beseitigen blinde Flecken.
• Installieren Sie Firewalls, Antiviren- und Anti-Malware-Software sowie Software zur Phishing-Erkennung. Setzen Sie Plattformen wie SentinelOne für offensive Sicherheitsmaßnahmen ein und bleiben Sie Ihren Gegnern mehrere Schritte voraus.
• Überprüfen Sie die Absenderadresse einer E-Mail, bevor Sie antworten oder mit dem Absender interagieren. Prüfen Sie den Domainnamen und achten Sie auf Unstimmigkeiten im Nachrichtentext, etwa Grammatik-, Layout-, Struktur- oder Formatierungsfehler.
• Wenn unbekannte Anrufer behaupten, eine offizielle Stelle zu vertreten, überprüfen Sie ihre Identität, bevor Sie persönliche Informationen preisgeben. Denken Sie daran: Social-Engineering-Angreifer sammeln viele Informationen über Unternehmen und deren Mitarbeiter.

Praxisbeispiele für Social-Engineering-Angriffe

Hier sind einige Beispiele für Social-Engineering-Angriffe aus der Praxis:

• Insight Partners war von einem Social-Engineering-Angriff betroffen. Die Private-Equity-Gesellschaft erklärte, es werde mehrere Wochen dauern, die Folgen zu beheben oder das Ausmaß des Schadens zu bestimmen. Betroffene wurden informiert und aufgefordert, wachsam zu bleiben und ihre Sicherheitsmaßnahmen zu verschärfen. Insight ist stark im Cybersecurity-Bereich vertreten und verwaltete zum 30. September 2024 regulatorische Vermögenswerte von mehr als $90 Milliarden.
• Im Gesundheitswesen setzte die Hackergruppe Scattered Spider Social-Engineering-Taktiken und -Werkzeuge ein. Der Angriff war finanziell motiviert. Mit KI wurden die Stimmen von Opfern nachgeahmt, um Zugriff auf ihre Datensätze zu erlangen. Die Angreifer riefen zudem IT-Helpdesks an und beantworteten Sicherheitsfragen mithilfe der gestohlenen Informationen. Scattered Spider umging verbreitete Endpoint-Sicherheitstools und setzte sogar Ransomware ein.

Fazit

Gegen Social-Engineering-Angriffe gibt es kein Patentrezept. Der erste Schritt besteht darin, zu lernen, wie Sie solche Angriffe verhindern. Wenn Sie verstehen, wie sie funktionieren, was dahintersteckt und wie Angreifer denken, können Sie ihre Vorgehensweise vorhersehen und die nötigen Schutzmaßnahmen ergreifen.

Entscheidend ist: Vertrauen Sie nie ungeprüft, sondern überprüfen Sie jede Anfrage. Bauen Sie eine Zero-Trust-Netzwerksicherheitsarchitektur auf und setzen Sie für alle Ihre Konten das Prinzip der geringsten Berechtigungen um. Gewähren Sie niemandem unbegrenzten Zugriff und beschränken Sie Zugriffsrechte. Strenge Zugriffskontrollen und Schulungen Ihrer Mitarbeitenden zu bewährten Cybersecurity-Praktiken sind ebenfalls wichtig. Stellen Sie sicher, dass Ihre Mitarbeitenden aktuelle Social-Engineering-Angriffe kennen, damit sie nicht überrascht werden.

Wenden Sie sich noch heute an die Sicherheitsexperten von SentinelOne, um mehr zu erfahren.

"