Social Engineering
Social Engineering bezeichnet die gezielte Manipulation von Menschen, um an vertrauliche Informationen zu gelangen, Sicherheitsmaßnahmen zu umgehen oder Handlungen auszulösen. Anders als bei technischen Angriffen nutzen Social Engineers menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Respekt vor Autorität oder Zeitdruck aus. Social Engineering ist der Oberbegriff – Phishing ist nur eine von vielen Methoden.
Wie funktioniert Social Engineering?
Social Engineering basiert auf psychologischer Manipulation. Die Angreifer nutzen grundlegende menschliche Verhaltensmuster aus, die tief verankert sind: Wir helfen gerne, vertrauen Autoritäten, scheuen Konflikte und handeln unter Zeitdruck oft unüberlegt.
Die Methoden sind vielfältig: Beim sogenannten Pretexting gibt sich der Angreifer als IT-Support, Handwerker oder Auditor aus und verschafft sich so Zugang zu Gebäuden oder Informationen. Beim Tailgating folgt jemand einem berechtigten Mitarbeiter durch eine gesicherte Tür. Beim Baiting werden „vergessene''' USB-Sticks mit Malware auf dem Firmenparkplatz platziert.
Besonders raffiniert ist Voice Phishing (Vishing): Ein Anrufer gibt sich als Mitarbeiter der Hausbank, des IT-Supports oder einer Behörde aus. Durch geschicktes Fragen und den Aufbau einer Vertrauensbasis bringt er den Mitarbeiter dazu, Passwörter, Kontodaten oder interne Informationen preiszugeben.
Die Angreifer recherchieren ihre Ziele gründlich: LinkedIn-Profile, Firmenwebseiten, Pressemitteilungen und Social-Media-Posts liefern wertvolle Informationen für maßgeschneiderte Angriffe. Oft wissen die Angreifer mehr über interne Abläufe als mancher Mitarbeiter – und genau das macht sie so überzeugend.
Social Engineering in Zahlen
So trifft Social Engineering Unternehmen
CEO-Fraud kostet Mittelständler Millionenbetrag
Der Angreifer hatte wochenlang den E-Mail-Verkehr des Geschäftsführers eines Elektronikherstellers beobachtet. Er kannte Projekte, Lieferanten und den Kommunikationsstil des Chefs. Als der Geschäftsführer auf Geschäftsreise war, kontaktierte der Angreifer die Finanzbuchhaltung per E-Mail und Telefon und ordnete eine „streng vertrauliche''' Überweisung im Rahmen einer angeblichen Firmenübernahme an. Drei Überweisungen in Höhe von insgesamt 3,7 Mio. € gingen auf ein Konto in Hongkong.
Social Engineer verschafft sich Zutritt zu Arztpraxis
Ein Angreifer gab sich telefonisch als Techniker des Praxissoftware-Herstellers aus und kündigte ein „dringendes Sicherheitsupdate''' an. Am nächsten Tag erschien er in der Praxis, erhielt Zugang zum Server-Raum und installierte eine Fernzugriffssoftware. Über Wochen wurden Patientendaten abgegriffen und später für Erpressung genutzt. Die Praxis musste eine DSGVO-Meldung machen und alle 8.000 Patienten informieren.
Schutzmaßnahmen gegen Social Engineering
Technische Maßnahmen
- Multi-Faktor-Authentifizierung für alle kritischen Systeme und Zugänge
- Zutrittskontrollsysteme mit Vereinzelungsschleusen für sensible Bereiche
- Telefonanlagen mit Anrufer-Identifikation und Aufzeichnung konfigurieren
- E-Mail-Header-Analyse und DMARC/DKIM zur Erkennung gefälschter Absender
- Data Loss Prevention (DLP) zur Erkennung ungewöhnlicher Datenabflüsse
- Strikte Berechtigungsvergabe nach dem Least-Privilege-Prinzip
Organisatorische Maßnahmen
- Regelmäßige Social-Engineering-Awareness-Trainings für alle Mitarbeiter
- Klare Verifizierungsprozesse für telefonische und E-Mail-Anfragen etablieren
- Vier-Augen-Prinzip für Überweisungen und Zugangsvergabe einführen
- Besucher-Policy: Kein unbegleiteter Zutritt zu IT-Räumen
- Kultur schaffen, in der Rückfragen und Skepsis gefördert statt bestraft werden
Was die Cyberversicherung bei Social Engineering abdeckt
Abgedeckte Leistungen
- Finanzielle Verluste durch Social-Engineering-Betrug (CEO-Fraud, Fake-Rechnungen)
- Kosten für IT-Forensik zur Aufklärung des Vorfalls
- Betriebsunterbrechungsschäden durch kompromittierte Systeme
- Haftpflichtansprüche bei Datenschutzverletzungen durch Social Engineering
- Kosten für Krisenkommunikation und Reputationsmanagement
- Rechtsberatungskosten im Zusammenhang mit dem Vorfall
- Kosten für Benachrichtigung betroffener Personen nach DSGVO
Typische Ausschlüsse
- Schäden durch grobe Fahrlässigkeit ohne grundlegende Sicherheitsmaßnahmen
- Verluste durch Mitarbeiter, die wissentlich gegen Sicherheitsrichtlinien verstoßen
- Langfristige Reputationsschäden ohne direkte finanzielle Bezifferung
- Schäden durch fehlende Verifizierungsprozesse bei Überweisungen
- Erpressungsgelder ohne vorherige Abstimmung mit dem Versicherer
Schützen Sie Ihr Unternehmen vor Social Engineering
Vergleichen Sie jetzt die besten Cyberversicherungs-Tarife und finden Sie den passenden Schutz für Ihr Unternehmen.
JETZT TARIFE VERGLEICHEN