In der IT gibt es ein wenig elegantes, aber ehrliches Akronym: PEBKAC, „Problem Exists Between Keyboard And Chair“. Ohne Umschweife übersetzt: Das Problem sitzt zwischen Stuhl und Tastatur. Nicht die Firewall versagt. Nicht der Virenscanner schläft ein. Es ist die Person vor dem Bildschirm, die klickt, die ein Passwort eintippt, wo sie es nicht sollte, die einer gut geschriebenen Nachricht vertraut. Genau davon handelt Social Engineering. Und genau davon handelt diese Rubrik, die denselben leicht ironischen Namen trägt.
Wer darauf hereinfällt, ist nicht dumm. Das muss gleich im ersten Artikel gesagt werden. Social Engineering funktioniert, weil es auf ganz normale menschliche Hebel setzt. Die Eile von jemandem, der dreißig Mails abarbeiten muss. Der instinktive Respekt vor einem Chef oder einer Bank. Das Vertrauen in einen Lieferanten, den man seit Jahren kennt. Niemand ist immun, ich selbst eingeschlossen an einem schlechten Tag. Diese Rubrik ist keine Liste von Pannen zum Verspötteln. Sie ist ein Raum, in dem ich echte Fälle erzähle. Ich sammle sie nach und nach, in der Arbeit mit Kunden. Sie helfen dabei, die Techniken zu erkennen, bevor sie uns erkennen.
Die psychologischen Hebel hinter Social Engineering
In der Praxis recycelt Social Engineering immer dieselben vier Hebel. Gut beschrieben sind sie auch im Artikel der deutschen Wikipedia zu Social Engineering in der Informationssicherheit. Der erste ist die künstliche Dringlichkeit: erfundene Fristen, „die Zahlung ist blockiert“, „antworte innerhalb einer Stunde“. Der zweite ist die vorgetäuschte Autorität: eine Mail, die wie vom Chef oder von der Bank aussieht, mit gut kopierter Unterschrift und Logo. Der dritte ist die Vertrautheit: ein echter Lieferant, ein echter Kollege, eine Nummer, die man schon kennt. Der vierte ist die Angst, etwas zu verlieren: den Zugang, die Rechnung, die bestätigte Buchung. Diese vier Hebel zu erkennen ist schon die halbe Arbeit. Das gilt für jeden, der täglich ein Postfach verwaltet.
Den ersten Fall habe ich bereits vollständig erzählt. Es ist ein Phishing-Versuch im Gastgewerbe, der einen Beherbergungsbetrieb erreichte, mit echten Screenshots der Betrugsmail und den Details, die sie verraten haben. Von da an füge ich neue Fälle hinzu, die mir begegnen, einen nach dem anderen. Ohne Namen und ohne Angaben, die jemanden erkennbar machen könnten.
Social Engineering wird nicht verschwinden. Nur der Vorwand ändert sich, nicht die Mechanik dahinter. Deshalb lohnt es sich, es in Ruhe zu studieren, nicht erst, wenn die verdächtige Mail schon da ist und das Herz etwas schneller schlägt.
Wenn dir in den nächsten Monaten etwas Merkwürdiges unterkommt, schreib mir. Wir schauen es uns gemeinsam an. Wenn es ein lehrreicher Fall ist, landet er vielleicht, anonymisiert, in der nächsten Ausgabe dieser Rubrik.
Schreibe einen Kommentar