Social Engineering manipuliert Menschen, um sie zur Preisgabe von Informationen oder zur Gewährung von Zugriff zu bewegen. Es zielt auf die menschliche Psyche ab, nicht auf Technologie. Der Angreifer baut Vertrauen auf, erzeugt Dringlichkeit und nutzt den Wunsch zu helfen aus. Ein Anruf von jemandem, der sich als IT-Mitarbeiter ausgibt. Eine E-Mail von einem angeblichen Manager, der um eine Überweisung bittet. Ein Besucher mit Klemmbrett, der sich an der Rezeption vorbeiredet. Die Techniken variieren. Das Ziel ist immer dasselbe: das Opfer dazu zu bringen, etwas zu tun, was es nicht tun sollte.

Social Engineering ist effektiv, weil es technische Kontrollen umgeht. Eine Firewall hindert beispielsweise einen Helpdesk-Mitarbeiter nicht daran, das Passwort einer Person zurückzusetzen, die vertrauenswürdig klingt. Beim Twitter-Hack 2020 wurde telefonisches Social Engineering eingesetzt, um Mitarbeiter zur Herausgabe ihrer Zugangsdaten zu bewegen. Anschließend übernahmen die Angreifer die Kontrolle über prominente Accounts und veröffentlichten einen Bitcoin-Betrug. Das FBI bezeichnete dies als koordinierten Social-Engineering-Angriff. Verteidigung beginnt mit Sensibilisierung, doch diese allein reicht nicht aus. Prozesse sind entscheidender. Identitäten sollten über einen separaten Kanal verifiziert werden. Für sensible Aktionen ist eine Genehmigung erforderlich. Die Handlungsbefugnisse einzelner Personen sollten eingeschränkt werden. Ziel ist es, überzeugende Lügen zu erschweren. Schulungen sind hilfreich, aber ein solider Prozess deckt auf, was Schulungen nicht ermöglichen.

Gängige Social-Engineering-Techniken

• Phishing – Betrug per E-Mail
• Vishing – Betrug per Telefonanruf
• Vortäuschung einer Straftat – erfundenes Szenario
• Köder – ein verlockendes Angebot, wie zum Beispiel ein kostenloser USB-Stick
• Tailgating – jemandem in einen gesicherten Bereich folgen.

Social Engineering nutzt Vertrauen aus. Die Verteidigung besteht in der Überprüfung, nicht im Verdacht.