{"id":8179,"date":"2021-05-25T13:54:15","date_gmt":"2021-05-25T11:54:15","guid":{"rendered":"https:\/\/www.psw-group.de\/blog\/?p=8179"},"modified":"2025-12-18T13:13:33","modified_gmt":"2025-12-18T12:13:33","slug":"was-ist-social-engineering","status":"publish","type":"post","link":"https:\/\/www.psw-group.de\/blog\/was-ist-social-engineering\/","title":{"rendered":"Identit\u00e4tsdiebstahl im Internet: Was ist Social Engineering?"},"content":{"rendered":"

In unserer Serie \u00fcber Identit\u00e4tsdiebstahl im Internet<\/a> widmen wir uns heute dem Social Engineering: Der Angriffsmethode, bei der Mitarbeitende eines Unternehmens so manipuliert werden, dass sie Informationen preisgeben, sch\u00e4dliche Links anzuklicken oder infizierte Anh\u00e4nge \u00f6ffnen, denn oftmals ist der Faktor Mensch das entscheidende Einfallstor f\u00fcr viele Angriffe. In unserem heutigen Beitrag erfahren Sie, wie Social Engineering-Angriffe funktionieren, welche Formen des Angriffs existieren und wie Sie sich vor Social Engineering-Angriffen sch\u00fctzen k\u00f6nnen.<\/p>\n

Was ist Social Engineering?<\/h2>\n

IT-Sicherheit kann immer nur so gut sein wie der Mensch, der sie nutzt \u2013 so lautet eine alte Weisheit von Sicherheitsspezialisten. Dass Mitarbeitende tats\u00e4chlich einer der kritischsten Faktoren der IT-Sicherheit sind, zeigt sich mitunter daran, dass Social Engineering-Angriffe immer wieder erfolgreich sind. Auch Cyberkriminelle wissen, dass technische Schutzma\u00dfnahmen in zahlreichen Unternehmen und Institutionen besser werden \u2013 Angreifer haben es immer schwerer, diese technischen H\u00fcrden zu \u00fcberwinden. Da ist es einfacher, den Umweg \u00fcber den Menschen zu gehen.<\/p>\n

Menschliche Komponenten werden also beim Social Engineering ausgenutzt, um relevante Daten in Erfahrung zu bringen. Dabei f\u00e4llt der Ablauf des Betrugs im Wesentlichen immer \u00e4hnlich aus: Mithilfe unterschiedlicher Methoden versuchen die Kriminellen, das Vertrauen einer bestimmten Person zu gewinnen. Diese Person \u00f6ffnet den Kriminellen dann T\u00fcr und Tor zum Datenschatz \u2013 beispielsweise Login-Daten einschlie\u00dflich Passw\u00f6rter. Das kann so aussehen: Der Kriminelle wendet sich per Telefon an einen Mitarbeitenden und erkl\u00e4rt, er sei aus der IT-Abteilung und m\u00fcsse die Zugangsdaten pr\u00fcfen. Dem Mitarbeitenden wird erkl\u00e4rt, auf Anweisung vom Chef ben\u00f6tige man die Zugangsdaten von bestimmten Mitarbeitenden \u2013 dieser autorit\u00e4tsbasierte Ansatz funktioniert leider h\u00e4ufig. Der arglose Mitarbeiter glaubt, mit einem Kollegen aus der IT-Abteilung zu sprechen, und gibt die \u201eangeforderten\u201c Daten heraus.<\/p>\n

Social Engineering: Erst Infos sammeln, dann zuschlagen<\/h3>\n

Die Tatsache, dass nahezu jede Person irgendwo online auffindbar ist, macht das Angreifen \u00fcber Social Engineering einfacher, denn so finden sich zahlreiche Informationen. Die Betr\u00fcger sammeln n\u00e4mlich Informationen \u00fcber Zielpersonen in sozialen Netzwerken wie Facebook. Hier finden sich recht h\u00e4ufig auch die Kontakte der Zielperson \u00f6ffentlich. So gelingt es dem Betr\u00fcger, sich als Vertrauensperson auszugeben \u2013 beispielsweise per E-Mail. Mittels Spoofing lassen sich E-Mail-Adressen so verschleiern, dass der wahre Absender nicht sichtbar werden muss. Die E-Mail k\u00f6nnte jetzt darauf abzielen, zum Download eines verseuchten Anhangs oder zum Klicken auf einen Link zu verf\u00fchren. Dahinter verbergen sich Malware oder auch Phishing-Angriffe zum Herausfinden der Login-Daten.<\/p>\n

Im obigen Beispiel \u2013 ein Mitarbeiter gibt Login-Daten telefonisch an einen angeblichen IT-Mitarbeiter heraus \u2013 war der Person die Tragweite der Daten, die sie weitergibt, nicht bewusst. Beim zweiten Beispiel war der Angriff etwas technischer. Beide F\u00e4lle haben jedoch eines gemeinsam: Sie w\u00e4ren nicht erfolgreich, wenn die jeweiligen Mitarbeitenden \u00fcber Security-Awareness verf\u00fcgen w\u00fcrden.<\/p>\n

Social Engineering in verschiedenen Formen<\/h2>\n

Wie unsere Beispiele bereits zeigen, existieren verschiedene Formen des Social Engineering-Angriffs. Im Folgenden stellen wir Ihnen die h\u00e4ufigsten Formen von Social Engineering-Angriffen vor:<\/p>\n

Social Engineering als E-Mail-Betrug<\/h3>\n

Die Studie \u201eFaktor Mensch 2019\u201c<\/a> aus dem Hause Proofpoint zeigte auf, dass die E-Mail bei Angriffen \u00fcber Social Engineering der bevorzugte Angriffsvektor ist. In ihren E-Mails versuchen die Angreifer, ihr Opfer dazu zu bringen, eine bestimmte Aktion in der E-Mail auszuf\u00fchren. Hei\u00dft: Das Opfer soll eine Datei \u00f6ffnen oder einen Link anklicken. Proofpoint erkl\u00e4rt in der Studie zwei verschiedene Muster:<\/p>\n