Social Engineering (Sicherheit)

Im Kontext der Informationssicherheit bezeichnet Social Engineering den Einsatz von psychologischem Druck, um Menschen zu bestimmten Handlungen oder zur Preisgabe vertraulicher Informationen zu bewegen . Es wird auch weiter gefasst als „jede Handlung, die eine Person zu einer Handlung veranlasst, die in ihrem besten Interesse liegen kann oder auch nicht“ ^{[ 1 ] [ 2 ].} Als eine Art Vertrauensbetrug dient es der Informationsbeschaffung, dem Betrug oder dem Systemzugriff und unterscheidet sich von einem traditionellen Betrug dadurch, dass es oft nur ein Schritt in einem komplexeren Betrugsschema ist ^{[ 3 ]} . Phishing ist eine Form des Social Engineering ^{[ 4 ]} . Forscher haben Erkennungstechniken und Schulungsprogramme zur Cybersicherheit entwickelt ^{[ 5 ] .}

Forscher stellten 2019 und 2020 fest, dass Social Engineering eine zunehmend wichtige Herausforderung für Organisationen und Staaten darstellt. ^{[ 6 ] [ 7 ] [ 8 ]} Berichten zufolge haben Social-Engineering-Angriffe bis 2024 an Intensität und Anzahl zugenommen. ^{[ 9 ]}

Techniken des Social Engineering basieren auf Schwächen der menschlichen Entscheidungsfindung, den sogenannten kognitiven Verzerrungen . ^{[ 10 ] [ 11 ]} Social Engineering ist eine Form der psychologischen Manipulation . ^{[ 12 ]}

Ein Beispiel für Social Engineering wäre ein Angreifer, der ein Gebäude betritt und eine offiziell wirkende Mitteilung am Firmenpinnwand veröffentlicht, in der er behauptet, die Telefonnummer des Helpdesks habe sich geändert. Wenn Mitarbeiter die falsche Nummer anrufen, fragt der Angreifer nach ihren Passwörtern und Zugangsdaten und erlangt so Zugriff auf vertrauliche Firmeninformationen. Ein weiteres Beispiel für Social Engineering wäre ein Hacker, der über ein soziales Netzwerk Kontakt zu seinem Opfer aufnimmt und ein Gespräch beginnt. Nach und nach gewinnt der Hacker das Vertrauen des Opfers und nutzt dieses Vertrauen, um an sensible Informationen wie Passwörter oder Bankdaten zu gelangen. ^{[ 13 ]}

Pretexting, in Großbritannien auch als Blaggern bekannt ^{[ 14 ],} bezeichnet das Erfinden und Anwenden eines vorgetäuschten Szenarios (des Vorwands ), um ein potenzielles Opfer so zu manipulieren, dass die Wahrscheinlichkeit steigt, dass es Informationen preisgibt oder Handlungen vornimmt, die unter normalen Umständen unwahrscheinlich wären. ^{[ 15 ]} Es handelt sich dabei meist um eine ausgeklügelte Lüge , die in der Regel vorherige Recherchen oder Vorbereitungen beinhaltet und die Verwendung dieser Informationen zur Identitätsfälschung ( z. B. Geburtsdatum, Sozialversicherungsnummer , letzter Rechnungsbetrag) nutzt, um beim Opfer Glaubwürdigkeit zu erlangen. ^{[ 16 ]}

Waterholing ist eine gezielte Social-Engineering-Strategie, die das Vertrauen von Nutzern in regelmäßig besuchte Websites ausnutzt . Das Opfer fühlt sich sicher genug, um Dinge zu tun, die es in einer anderen Situation nicht tun würde. Eine misstrauische Person würde beispielsweise bewusst darauf verzichten, auf einen Link in einer unerwünschten E-Mail zu klicken, aber dieselbe Person würde ohne Zögern einem Link auf einer Website folgen, die sie häufig besucht. Der Angreifer stellt dem ahnungslosen Opfer also an einem bevorzugten Treffpunkt eine Falle. Diese Strategie wurde bereits erfolgreich eingesetzt, um Zugang zu einigen (vermeintlich) sehr sicheren Systemen zu erlangen. ^{[ 17 ]}

Köderangriffe sind eine Form des Trojanischen Pferdes in der realen Welt , bei denen physische Datenträger genutzt werden und die Neugier oder Gier des Opfers ausgenutzt wird. ^{[ 18 ]} Bei dieser Angriffsart platzieren Angreifer mit Schadsoftware infizierte Disketten , CD-ROMs oder USB-Sticks an Orten, wo sie leicht gefunden werden (z. B. in Toiletten, Aufzügen, auf Gehwegen, Parkplätzen usw.), versehen sie mit seriösen und neugierig machenden Beschriftungen und warten auf Opfer.

Sofern die Computerkontrollen Infektionen nicht verhindern, kompromittiert das Einschleusen von Schadsoftware automatisch startende Medien auf PCs. Auch schädliche Geräte können eingesetzt werden. ^{[ 19 ]} Beispielsweise erhält ein „glücklicher Gewinner“ einen kostenlosen digitalen Audioplayer, der jeden Computer, an den er angeschlossen wird, infiziert. Ein „Road Apple“ (umgangssprachlich für Pferdemist , was auf die unerwünschte Natur des Geräts hinweist) ist ein Wechseldatenträger mit Schadsoftware, der an opportunistischen oder auffälligen Orten platziert wird. Es kann sich unter anderem um eine CD, DVD oder einen USB-Stick handeln. Neugierige Personen nehmen ihn mit und schließen ihn an einen Computer an, wodurch der Host und alle angeschlossenen Netzwerke infiziert werden. Auch hier können Hacker verlockende Bezeichnungen wie „Mitarbeitergehälter“ oder „Vertraulich“ verwenden. ^{[ 20 ]}

In einer 2016 veröffentlichten Studie verteilten Forscher 297 USB-Sticks auf dem Campus der University of Illinois. Die Sticks enthielten Dateien, die auf Webseiten der Forscher verlinkten. Die Forscher konnten feststellen, wie viele der Sticks geöffnete Dateien enthielten, jedoch nicht, wie viele an einen Computer angeschlossen waren, ohne dass eine Datei geöffnet war. Von den 297 verteilten Sticks wurden 290 (98 %) wiedergefunden, und 135 (45 %) davon stellten eine Verbindung zu ihrem Standort her. ^{[ 21 ]}

Ad-Phishing ist eine Social-Engineering-Technik, bei der Angreifer Online-Anzeigen nutzen, um Nutzer zu täuschen und ihnen vorzugaukeln, sie interagierten mit legitimen Marken oder Dienstleistungen. Laut Google imitieren diese betrügerischen Anzeigen häufig vertrauenswürdige Institutionen wie Banken, Softwareanbieter oder Kundendienstseiten und führen Nutzer auf betrügerische Websites, die versuchen, Passwörter, Kreditkarteninformationen oder andere sensible Daten zu stehlen. ^{[ 22 ]}

Ein Angreifer bietet an, sensible Informationen (z. B. Zugangsdaten) preiszugeben oder einen Geldbetrag im Austausch für einen Gefallen zu zahlen. Der Angreifer kann sich als Experte ausgeben, der kostenlose IT-Hilfe anbietet und dafür die Zugangsdaten des Benutzers benötigt. ^{[ 23 ]}

Das Opfer wird mit zahlreichen Meldungen über gefälschte Bedrohungen und Warnungen bombardiert, wodurch es den Eindruck gewinnt, das System sei mit Schadsoftware infiziert. Die Angreifer zwingen es daraufhin zur Installation von Fernzugriffssoftware oder anderer Schadsoftware oder erpressen direkt ein Lösegeld, beispielsweise indem sie die Zahlung eines bestimmten Geldbetrags in Kryptowährung im Austausch für die angebliche Sicherheit vertraulicher Videos anbieten. ^{[ 23 ]}

Ein Angreifer gibt sich als Firmenmitarbeiter oder andere Person mit Zugangsrechten aus, um in ein Büro oder einen anderen gesicherten Bereich zu gelangen. Dabei werden Täuschungsmanöver und Social-Engineering-Techniken aktiv eingesetzt. Beispielsweise gibt sich der Eindringling als Kurier oder Lader aus, der etwas in den Händen trägt, und bittet einen Mitarbeiter, der gerade draußen vorbeigeht, die Tür aufzuhalten, um so Zutritt zum Gebäude zu erhalten. ^{[ 23 ]}

Nach dem Common Law stellt die Vortäuschung falscher Tatsachen eine Verletzung der Privatsphäre und eine unerlaubte Aneignung dar. ^{[ 24 ]}

Der Gramm-Leach-Bliley Act (GLBA) von 1999 ist ein US-Bundesgesetz , das die Manipulation von Bankdaten als Straftat ahndet. Unternehmen wie Privatdetektive, Versicherungsermittler oder Schadensregulierer, die Täuschungen jeglicher Art begehen, unterliegen der Aufsicht der Federal Trade Commission (FTC). Diese Bundesbehörde ist verpflichtet und befugt, Verbraucher vor unlauteren oder irreführenden Geschäftspraktiken zu schützen. Abschnitt 5 des Federal Trade Commission Act ( FTCA) besagt unter anderem: „Wenn die Kommission Grund zur Annahme hat, dass eine Person, eine Personengesellschaft oder eine Kapitalgesellschaft unlautere Wettbewerbsmethoden oder unlautere oder irreführende Handlungen oder Praktiken im Handel anwendet oder anwendet, und wenn die Kommission der Ansicht ist, dass ein Verfahren ihrerseits im öffentlichen Interesse liegt, erlässt und stellt sie der betreffenden Person, Personengesellschaft oder Kapitalgesellschaft eine Beschwerde zu, in der die Vorwürfe dargelegt werden.“

Das Gesetz besagt, dass Handlungen, die auf der Erlangung persönlicher, nicht öffentlicher Informationen von einem Finanzinstitut oder einem Verbraucher beruhen, unter das Gesetz fallen. Es bezieht sich auf die Beziehung des Verbrauchers zum Finanzinstitut. Beispielsweise fällt ein Betrüger, der unter Vorspiegelung falscher Tatsachen versucht, die Adresse eines Verbrauchers von dessen Bank zu erhalten oder den Namen seiner Bank zu erfragen, unter das Gesetz. Entscheidend ist, dass Betrug nur dann vorliegt, wenn Informationen durch falsche Vorspiegelungen erlangt werden.

Im Dezember 2006 verabschiedete der US-Kongress ein vom Senat eingebrachtes Gesetz, das den Missbrauch von Telefonaufzeichnungen zu einem Bundesverbrechen mit Geldstrafen von bis zu 250.000 US-Dollar und zehn Jahren Haft für Einzelpersonen (bzw. Geldstrafen von bis zu 500.000 US-Dollar für Unternehmen) machte. Der „ Telephone Records and Privacy Protection Act of 2006“ wurde am 12. Januar 2007 von Präsident George W. Bush unterzeichnet. ^{[ 25 ]}

Der US-Abgeordnete Fred Upton (Republikaner aus Kalamazoo , Michigan), Vorsitzender des Unterausschusses für Telekommunikation und Internet des Energie- und Handelsausschusses, äußerte sich besorgt über den einfachen Zugang zu persönlichen Mobilfunkdaten im Internet während einer Anhörung des Energie- und Handelsausschusses des Repräsentantenhauses zum Thema „Telefondaten zum Verkauf: Warum sind Telefondaten nicht vor Betrug geschützt?“. Illinois war der erste Bundesstaat, der einen Online-Datenhändler verklagte, als Generalstaatsanwältin Lisa Madigan die Firma 1st Source Information Specialists, Inc. verklagte, wie eine Sprecherin ihres Büros mitteilte. Das in Florida ansässige Unternehmen betreibt laut Klageschrift mehrere Websites, auf denen Mobilfunkdaten verkauft werden. Die Generalstaatsanwälte von Florida und Missouri folgten Madigans Beispiel und reichten Klagen gegen 1st Source Information Specialists bzw. – im Fall von Missouri – gegen einen weiteren Datenhändler ein: First Data Solutions, Inc.

Mehrere Mobilfunkanbieter, darunter T-Mobile, Verizon und Cingular, hatten bereits Klagen gegen Datenhändler eingereicht. Cingular erwirkte eine einstweilige Verfügung gegen First Data Solutions und 1st Source Information Specialists. US-Senator Charles Schumer (Demokrat, New York) brachte im Februar 2006 einen Gesetzentwurf zur Eindämmung dieser Praxis ein. Der „Consumer Telephone Records Protection Act of 2006“ (Gesetz zum Schutz von Verbraucherdatensätzen) sah strafrechtliche Sanktionen für den Diebstahl und Verkauf von Daten von Mobilfunk-, Festnetz- und VoIP-Kunden vor.

Das Gesetz wurde zumindest teilweise als Reaktion auf den Hewlett-Packard-Spionageskandal verabschiedet . Patricia Dunn , ehemalige Vorsitzende von Hewlett Packard , berichtete, dass der HP-Aufsichtsrat eine private Ermittlungsfirma beauftragt hatte, die Verantwortlichen für die Indiskretionen innerhalb des Aufsichtsrats zu ermitteln. Dunn räumte ein, dass das Unternehmen die Praxis des Vortäuschens von Tatsachen (Pretexting) angewendet hatte, um an die Telefonaufzeichnungen von Aufsichtsratsmitgliedern und Journalisten zu gelangen. Die Vorsitzende Dunn entschuldigte sich später für dieses Vorgehen und bot an, von ihrem Amt zurückzutreten, falls die Aufsichtsratsmitglieder dies wünschten. ^{[ 26 ]} Im Gegensatz zum Bundesrecht verbot das kalifornische Recht ein solches Vortäuschen von Tatsachen ausdrücklich. Die vier Anklagen wegen schwerer Verbrechen gegen Dunn wurden fallen gelassen. ^{[ 27 ]}

Kevin Mitnick , Susan Headley und Lewis De Payne waren Ende der 1970er und Anfang der 1980er Jahre in Los Angeles an Phreaking- und Computerhacking-Aktivitäten beteiligt, bei denen Social Engineering zum Einsatz kam . ^{[ 28 ] [ 29 ]}

Die Brüder Badir – Ramy, Muzher und Shadde Badir – die alle von Geburt an blind waren , bauten in den 1990er Jahren in Israel ein umfangreiches Telefon- und Computerbetrugssystem auf, bei dem sie Social Engineering, Stimmenimitation und Computer mit Blindenschrift einsetzten . ^{[ 30 ] [ 31 ]}

Im Jahr 2011 drangen Hacker in das Kryptografieunternehmen RSA ein  und erlangten Informationen über SecurID- Zwei-Faktor-Authentifizierungs-Schlüsselanhänger. Mithilfe dieser Daten versuchten sie später, in das Netzwerk des Rüstungskonzerns Lockheed Martin einzudringen . Sie erlangten Zugriff auf die Schlüsselanhängerdaten, indem sie von einer vermeintlichen Rekrutierungsseite aus E-Mails an vier Mitarbeiter des Mutterkonzerns versandten. Die E-Mails enthielten eine Excel- Datei mit dem Titel „Rekrutierungsplan 2011“. Diese Tabelle enthielt eine Zero-Day -Flash- Schwachstelle , die einen Hintertürzugang zu den Arbeitsrechnern ermöglichte . ^{[ 32 ] [ 33 ]}

Im Jahr 2013 wurde ein Server des US-Arbeitsministeriums gehackt und zur Verbreitung von Schadsoftware missbraucht. Besucher wurden mithilfe einer Zero-Day- Schwachstelle in Internet Explorer auf eine Webseite umgeleitet , um den Remote-Access-Trojaner Poison Ivy zu installieren . Es wurden sogenannte Watering-Hole-Angriffe eingesetzt, bei denen die Angreifer Seiten zu toxischen Nuklearstoffen erstellten, die vom Energieministerium überwacht wurden . Die Ziele waren vermutlich Mitarbeiter des Arbeitsministeriums und des Energieministeriums mit Zugriff auf sensible Nukleardaten. ^{[ 32 ] [ 34 ]}

Am 24. November 2014 veröffentlichte die Hackergruppe „ Guardians of Peace “ ^{[ 35 ]} (vermutlich mit Verbindungen zu Nordkorea ) ^{[ 36 ]} vertrauliche Daten des Filmstudios Sony Pictures Entertainment . Zu den Daten gehörten E-Mails, Gehälter von Führungskräften sowie persönliche und familiäre Informationen von Mitarbeitern. Die Angreifer gaben sich als hochrangige Mitarbeiter aus, um Schadsoftware auf den Computern der Angestellten zu installieren. ^{[ 37 ]}

Im Jahr 2015 verlor der auf WLAN- Hardware und -Software spezialisierte Hersteller Ubiquiti fast 47 Millionen US-Dollar an Hacker. Angreifer verschickten von einer Niederlassung in Hongkong aus eine Phishing- E-Mail an die Buchhaltung von Ubiquiti mit Anweisungen zur Änderung der Zahlungsdaten. Nach Entdeckung des Diebstahls kooperierte das Unternehmen mit den Strafverfolgungsbehörden, konnte aber nur 8 Millionen US-Dollar der gestohlenen Gelder zurückerhalten, obwohl man auf 15 Millionen US-Dollar gehofft hatte. ^{[ 32 ] [ 38 ]}

Während der US-Wahlen 2016 verschickten Hacker mit Verbindungen zum russischen Militärgeheimdienst GRU Phishing-E-Mails an Mitglieder von Hillary Clintons Wahlkampfteam, getarnt als Google-Warnung. ^{[ 39 ]} Viele Mitglieder, darunter der Wahlkampfleiter John Podesta , gaben ihre Passwörter in der Annahme ein, diese würden zurückgesetzt. Dadurch wurden ihre persönlichen Daten sowie Tausende private E-Mails und Dokumente offengelegt. ^{[ 40 ]} Mit diesen Informationen hackten sie sich in weitere Computer des Democratic Congressional Campaign Committee ein und installierten Schadsoftware, wodurch deren Computeraktivitäten überwacht und ebenfalls offengelegt wurden. ^{[ 40 ]}

Nach dem Equifax-Datendiebstahl von 2017, der mit der chinesischen Volksbefreiungsarmee in Verbindung gebracht wurde [ 41 ], ^{bei dem über} 150 Millionen private Datensätze (darunter Sozialversicherungsnummern , Führerscheinnummern , Geburtsdaten usw.) offengelegt wurden , wurden Warnungen vor drohenden Sicherheitsrisiken ausgesprochen. ^{[ 42 ]} Bereits am Tag nach der Einrichtung einer offiziellen Hilfeseite (equifaxsecurity2017.com) für potenzielle Opfer des Datendiebstahls wurden 194 schädliche Domains durch geringfügige Variationen der URL registriert, um die Wahrscheinlichkeit von Tippfehlern auszunutzen. ^{[ 43 ] [ 44 ]}

Zwei Technologiekonzerne – Google und Facebook – wurden 2017 von einem litauischen Betrüger um 100 Millionen US-Dollar betrogen. ^{[ 45 ]} Der Betrüger gab sich als Hardwarelieferant aus und stellte beiden Unternehmen über zwei Jahre hinweg falsche Rechnungen. ^{[ 46 ]} Trotz ihrer technologischen Kompetenz verloren die Unternehmen das Geld, konnten aber später den Großteil der gestohlenen Summe zurückerhalten. ^{[ 47 ]}

Es gibt mehrere Anbieter von Schulungen und Weiterbildungen im Bereich Social Engineering. In den 2000er Jahren wirkte Mitnick an einem Schulungsprogramm für zertifizierte Spezialisten zur Prävention von Social Engineering mit . ^{[ 48 ]} Christopher Hadnagy , ein amerikanischer IT-Sicherheitsberater, hat mehrere Bücher über Social Engineering und Cybersicherheit verfasst. ^{[ 49 ] [ 50 ] [ 51 ]}

Die Sicherheitsrichtlinie des Health Insurance Portability and Accountability Act (HIPAA) verpflichtet betroffene Einrichtungen zur Implementierung eines Sicherheitsschulungsprogramms für alle Mitarbeiter. Dieses umfasst Schulungen zu Verfahren zum Schutz vor, zur Erkennung und Meldung von Schadsoftware sowie zur Überwachung von Anmeldeversuchen und zur Meldung von Unstimmigkeiten (45 CFR 164.308(a)(5)). ^{[ 52 ] [ 53 ]} Das US-amerikanische Gesundheitsministerium (Department of Health and Human Services) hat Social Engineering, insbesondere Phishing , als häufigsten Angriffsvektor bei Datenschutzverletzungen im Gesundheitswesen identifiziert, die gemäß der HIPAA-Meldepflicht für Datenschutzverletzungen gemeldet werden. ^{[ 54 ]} Die im Dezember 2024 veröffentlichte Bekanntmachung zur vorgeschlagenen Regelsetzung (Notice of Proposed Rulemaking, NPRM) zur Überarbeitung der HIPAA-Sicherheitsrichtlinie schlug eine Stärkung der Abwehrmaßnahmen gegen Social Engineering vor. Dies soll durch simulierte Phishing-Übungen, die verpflichtende Multi-Faktor-Authentifizierung für alle Zugriffe auf elektronische geschützte Gesundheitsinformationen und die Implementierung technischer Kontrollen zur Erkennung und Blockierung schädlicher Kommunikation erreicht werden. ^{[ 55 ] [ 56 ]}

Der Payment Card Industry Data Security Standard (PCI DSS) verpflichtet Organisationen zur Implementierung eines formalen Sicherheitsbewusstseinsprogramms, das Mitarbeiter bei Einstellung und danach mindestens jährlich über Social-Engineering-Bedrohungen, einschließlich Phishing und Pretexting, aufklärt (Anforderung 12.6). ^{[ 57 ]}

• Vorschussbetrug

• Grundlagen des Social Engineering – Securityfocus.com . Abgerufen am 3. August 2009.
• „Social Engineering, the USB Way“ . Light Reading Inc. 7. Juni 2006. Archiviert vom Original am 13. Juli 2006. Abgerufen am 23. April 2014 .
• Sollte Social Engineering Bestandteil von Penetrationstests sein? – Darknet.org.uk . Abgerufen am 3. August 2009.
• „Schutz der Telefonaufzeichnungen von Verbrauchern“ , Electronic Privacy Information Center, US-Ausschuss für Handel, Wissenschaft und Verkehr . Abgerufen am 8. Februar 2006.
• Plotkin, Hal. Memo an die Presse: Vortäuschung falscher Tatsachen ist bereits illegal . Abgerufen am 9. September 2006.