Social Engineering

Hacking ohne Computer-Code. Statt eine Firewall zu knacken (schwer), ruft der Hacker die Sekretärin an (leicht). "Hallo, hier ist der IT-Support. Wir müssen Ihr Passwort zurücksetzen. Wie lautet es?" Wenn sie es sagt, hat der Hacker gewonnen. Er nutzt menschliche Schwächen: Hilfsbereitschaft, Angst, Autoritätshörigkeit oder Zeitdruck. Die beste Firewall hilft nicht, wenn der Mitarbeiter die Tür von innen aufmacht.

Merksatz: Die psychologische Manipulation von Menschen, um sie dazu zu bringen, vertrauliche Informationen preiszugeben oder Sicherheitsfunktionen zu umgehen.

Typische Methoden:

Phishing: Massen-Email ("Dein PayPal ist gesperrt").
Spear Phishing: Gezielte Email an den Chef ("Hier ist die Rechnung vom Projekt X").
Vishing (Voice Phishing): Anruf ("Hier ist Microsoft...").
Tailgating: Der Hacker läuft freundlich lächelnd mit einem Karton hinter einem Mitarbeiter durch die Sicherheitstür ("Können Sie mir kurz aufhalten?").

1. Pretexting (Das Drehbuch)

Der Hacker erfindet ein Szenario (Pretext), um Vertrauen zu gewinnen. Beispiel: "Ich bin der neue Auditor von Firma XYZ. Ich brauche Zugang, sonst kriegt Ihr Chef Ärger." Er nutzt "Open Source Intelligence" (OSINT) aus LinkedIn, um glaubwürdig zu wirken ("Wie geht es deinem Kollegen Müller?").

2. Baiting (Der Köder)

Man lässt einen USB-Stick mit der Aufschrift "Gehaltsliste 2024" auf dem Parkplatz liegen. Ein neugieriger Finder steckt ihn in den Firmen-PC. Der Stick installiert Malware (HID Attack / BadUSB).

3. CEO Fraud (Business Email Compromise - BEC)

Der Hacker fälscht die Email des CEO. Er schreibt der Buchhaltung: "Überweise sofort 50.000€ für die geheime Fusion nach China." Da der "Chef" das sagt (Druck/Autorität), macht die Buchhaltung das oft ohne Prüfung. Schaden: Milliarden pro Jahr.

1. Die Cialdini-Prinzipien der Überzeugung

Professionelle Social Engineer nutzen die 6 Prinzipien von Robert Cialdini:

Reciprocity (Reziprozität): Tu erst etwas Nettes ("Ich hab dir hier schon mal das Formular vorausgefüllt"), der andere fühlt sich verpflichtet, dir zu helfen.
Scarcity (Verknappung): "Das System wird in 10 Minuten abgeschaltet, wir müssen das Passwort JETZT ändern!"
Authority (Autorität): "Ich rufe im Auftrag des Vorstands an."
Consistency (Konsistenz): Bring das Opfer dazu, erst einer kleinen, harmlosen Sache zuzustimmen, dann folgt die große.
Liking (Sympathie): Ein netter Plausch über das Wetter oder Hobbys senkt die Wachsamkeit.
Social Proof (Soziale Bewährtheit): "Alle anderen in Ihrer Abteilung haben mir den Zugang schon gegeben."

2. Red Teaming und Physische Tests

Große Firmen beauftragen Security-Firmen für sogenannte Red Team Assessments. Dabei verkleidet sich der "Hacker" z.B. als Handwerker, trägt eine Warnweste und ein Klemmbrett. Da Menschen bei Warnwesten wegschauen (Autoritätssymbol), kommt er oft bis in den Serverraum. Dort platziert er einen "Dropbox" (einen Mini-Computer wie einen Raspberry Pi), der sich heimlich ins Netzwerk einklinkt. Das Ziel ist es, die physischen Schranken der Sicherheit zu testen, die von Firewalls nicht geschützt werden können.

3. Post-Compromise: Was passiert danach?

Sobald ein Social Engineer den Zugang hat, ist seine größte Sorge, entdeckt zu werden. Er wird versuchen, seine Spuren zu verwischen, indem er z.B. die Logfiles manipuliert oder dem Opfer erklärt, dass "jetzt alles wieder okay ist", damit dieses keinen Verdacht schöpft. Ein professioneller Angriff ist oft so subtil, dass das Opfer erst Monate später (oder nie) merkt, dass es manipuliert wurde. Die emotionale Scham nach der Entdeckung ("Ich war so dumm") führt oft dazu, dass Vorfälle nicht gemeldet werden, was dem Angreifer noch mehr Zeit verschafft.