Social Engineering, also die Täuschung und Manipulation von Mitarbeitern, ist für Internetkriminelle ein erfolgversprechendes Mittel, um illegal an Daten zu gelangen.

Phishing-Attacken etwa sind vor allem deshalb eine so grosse Gefahr für Unternehmen, weil sie zielgerichtet und personalisiert erfolgen. Sprache und Stil werden immer professioneller imitiert, sodass selbst Experten die Fälschungen auf den ersten Blick kaum erkennen.

Wie stark Social Engineering bereits professionalisiert ist, hat der Wettbewerb Social Engineering Capture the Flag (SECTF) auf der Hacker-Konferenz Defcon 22 vergangenes Jahr in Las Vegas eindrucksvoll gezeigt.

Nur mit Technik ist den Betrügern nicht Einhalt zu gebieten. Der wichtigste Faktor sind die Mitarbeiter. Sie müssen sensibilisiert und geschult werden. Da sich eingeschleuste Schadsoftware innerhalb weniger Minuten verbreitet, müssen sämtliche Mitarbeiter auf dem gleichen (hohen) Wissensstand sein. Jeder einzelne muss quasi zu einer menschlichen Firewall werden.

Eine sehr erfolgreiche Methode, um Mitarbeiter zu sensibilisieren, ist die Security-Awareness-Schulung, bei der mit eigens erstellten Phishing-E-Mails gearbeitet wird. Sobald der Mitarbeiter auf einen Link darin klickt oder ein Attachment öffnet, wird er auf eine Schulungsseite weitergeleitet. Dieser Ansatz bietet auch die Möglichkeit, eine Meldestelle für Phishing-Mails einzurichten, wo findige Mitarbeiter Attacken oder Verdachtsmomente melden können.

Neben klassischen Hacking-Attacken gibt es noch einen ganz simplen Weg, an Informationen zu gelangen. Warum nicht einfach danach fragen? Auch diese Methode des Social Engineerings ist effizient und auch dafür wird die Schwachstelle Mensch genutzt. Angriffe dieser Art beschränken sich nicht auf den persönlichen Kontakt, sondern können auch über Telefon, E-Mail und andere Kommunikationswege erfolgen.

Die Kosten für Social Engineering sind verschwindend gering und man umgeht dabei die komplexesten technologischen Barrieren. Umso wichtiger ist es, das eigentliche Angriffsziel, die Mitarbeiter, entsprechend vorzubereiten. Eine solche Sensibilisierung kann mit einer Awareness-Kampa­gne erreicht werden.

Eine hervorragende Ressource bietet das SEEF (Social Engineering Engagement Framework). In diesem Open-Source-Framework werden die einzelnen Elemente und Methoden von Social Engineering als Disziplin betrachtet und erläutert. Es hilft Unternehmen, Social Engineering besser zu verstehen und entsprechende Assessments zu planen. Das SEEF setzt sich aus Methoden, Instruktionen und Skills zusammen:

Bestandteil des Frameworks ist eine Tabelle, die die Schweregrade eines Social-Engineering-Angriffs in zwölf Stufen einteilt.

Zu Trainingszwecken lassen sich Angriffe im Unternehmen simulieren. Da die Simulation möglichst realistisch sein soll, wird die Durchführung mit zunehmendem Schweregrad aber immer problematischer, auch wenn es sich nur um eine Übung handelt. Die Stufen 1 bis 3 stellen kaum ein Risiko dar und sind problemlos durchführbar, die Stufen 4 bis 6 bergen bereits ein erhöhtes Risiko und benötigen ein Risikomanagement. Die Stufen 7 bis 9 bezeichnen ein hohes Risiko und sollten aus ethischen Gründen (etwa Einsatz von Bestechung) gemieden werden.

Die Stufen 10 bis 12 kommen schon aus gesetzlichen Gründen (Industriespionage oder Urkundenfälschung) nicht infrage. Es ist empfehlenswert, sich nur in Ausnahmefällen mit Vorhaben ab Stufe 7 zu befassen. Bei der Planung und Ausführung von Social-Engineering-Assessments wird zusammen mit dem Auftraggeber besprochen, welche Intensität gewählt werden soll.

Ein Beispiel: Der Auftrag lautet, die Sicherheit des physikalischen Zutritts zum Datacenter, Board Room oder zu anderen sensiblen Bereichen zu überprüfen. Dazu gibt es verschiedene Möglichkeiten, mit denen das vorgegebene Ziel erreicht werden kann:

Die kombinierten Elemente zeigen, wie Social Engineering professionell, international und auf höchster Stufe ausgeführt wird. Das Verständnis darüber, wie fortgeschritten Social Engineering ist, hilft den Sicherheitsverantwortlichen dabei, entsprechende Massnahmen zu planen und umzusetzen.

Eine Awareness-Schulung teilt sich je nach Grösse der Organisation in drei Schulungsstufen. Die erste Stufe bilden die Mitarbeiter. Die zweite Stufe umfasst das Management und andere Informations- oder Geheimnisträger wie Chief Information Security Officer oder IT-Sicherheitsbeauftragter. Die dritte Stufe ist die IT-Operation – auch wenn diese ausgelagert ist. Die Awareness-Schulung unterscheidet sich für jede Stufe, damit sie die indi­viduellen Bedürfnisse in der Bekämpfung von Social-Engineering-Attacken optimal abdeckt. Als Grundlage dienen entweder eine Schwachstellenanalyse (SE-Audit) oder definierte Kernelemente im Kontext der Organisation, zum Beispiel

Die Schulung richtet sich nach der Einstufung der Risiken, wobei der Fokus auf den grössten Risiken liegt. Social Engineering nutzt hauptsächlich Zeitdruck, Hilfsbereitschaft oder Autorität aus.

Hilfreich ist erfahrungsgemäss die Institutionalisierung klarer Kommunikationsregeln und die Definition einer Eskala­tionsstelle - quasi ein digitaler Alarmknopf. Die Awareness-Schulung vermittelt den Mitarbeitern das richtige Verhalten und die zu kontaktierenden Stellen, falls ein Verdacht oder eine ungewohnte Situation eintritt.

Dasselbe gilt natürlich auch für das Management, das sensibilisiert werden muss und die Mitarbeiter ermuntern soll, sich bei einem Verdacht zu melden. Der Chief Information Security Officer (CISO) oder der IT-Sicherheitsbeauftragte muss die entsprechenden Richtlinien und Weisungen erstellen und Social Engineering als Risiko aufnehmen.