In diesem Jahr fällt der Social-Engineering-Day auf den 6. August, dieser Aktionstag soll Menschen über die IT-Branche hinaus für die Gefahren rund um die digitale Einflussnahme durch Cyberkriminelle sensibilisieren. Social-Engineering gab es schon lange vor der Digitalisierung. Betrugsmaschen, Identitätsdiebstahl, vorgetäuschte Autorität und das Ausnutzen von Gefühlen wie Gier oder Angst werden seit Jahren eingesetzt. E-Mail, soziale Medien, Smartphones und Kollaborationsplattformen haben Angreifern neue Möglichkeiten eröffnet, diese Taktiken anzuwenden. Die künstliche Intelligenz treibt die Entwicklung nun noch einen Schritt weiter, indem sie Social-Engineering zu einem Vorgang im industriellen Maßstab macht.
Angreifer nutzen generative KI, um Phishing- und Business-E-Mail-Compromise-Kampagnen zu verbessern, synthetische Social-Media-Identitäten zu erstellen und Deepfake-Inhalte zu produzieren. Von KI generierter Text ist nur ein Teil des Problems. Stimmklonung und Deepfake-Videos untergraben Annahmen, auf die sich Unternehmen seit Jahren verlassen haben. Eine vertraute Stimme zu hören, reicht nicht mehr aus, um die Identität einer Person zu bestätigen. Auch das Erscheinen einer Person mit Bild in einem Videoanruf reicht möglicherweise nicht aus. Dies ist besonders besorgniserregend, da Angreifer oft mehrere Kommunikationskanäle nutzen, um ihre Geschichte überzeugender zu gestalten.
Auf eine verdächtige E-Mail kann ein Telefonanruf folgen. Eine Nachricht, die scheinbar von einer Führungskraft stammt, kann während einer Videokonferenz bekräftigt werden. Ein gefälschter Mitarbeiter erstellt möglicherweise ein glaubwürdiges Linkedin-Profil, bevor er den Helpdesk kontaktiert. Jede Interaktion lässt die anderen glaubwürdiger erscheinen. Leider muss der Angreifer nicht immer eine makellose digitale Nachbildung erstellen. Sie muss lediglich für ein paar Minuten glaubwürdig wirken – insbesondere, wenn das Opfer unter Druck steht, die Verbindung schlecht ist und die Anfrage dringend erscheint. KI ermöglicht es Kriminellen, mehr als nur eine gefälschte Nachricht zu erzeugen; sie ermöglicht es ihnen, eine ganze Umgebung künstlichen Vertrauens zu schaffen.
Abwehr gegen kommerzielles Social-Engineering
Unternehmen können dieses Problem nicht lösen, indem sie von ihren Mitarbeitern verlangen, Vollzeit-Forensik-Linguisten und Deepfake-Analysten zu werden. Schulungen sind nach wie vor wichtig, doch die Verteidigungsstrategie muss über die bloße Aufforderung „Erkenne die Fälschung“ hinausgehen. Mitarbeiter sollten darin geschult werden, risikoreiche Anfragen zu erkennen und diese mithilfe vertrauenswürdiger Methoden zu überprüfen. Anfragen, bei denen es um Geld, Zugangsdaten, sensible Informationen, Softwareinstallationen, Zugriffsänderungen oder das Zurücksetzen der Multi-Faktor-Authentifizierung (MFA) geht, sollten besonders genau geprüft werden – ganz gleich, wie überzeugend der Absender auch erscheinen mag.
Zu den wichtigsten Abwehrmaßnahmen gehören:
- Out-of-Band-Verifizierung: Sensible Anfragen sollten immer über eine bekannte Telefonnummer, ein etabliertes Messaging-Konto oder einen anderen vertrauenswürdigen Kommunikationskanal verifiziert werden.
- Doppelte Autorisierung: Mitarbeitende sollten verlangen, dass zwei Personen große Zahlungen, Änderungen an Bankdaten und risikoreiche administrative Maßnahmen genehmigen.
- Festgelegte Prozesse: Mit festgelegten Prozessen machen es Mitarbeitende jedem Angreifer schwer, allein durch das Erzeugen eines Gefühls der Dringlichkeit Erfolg zu haben.
- Phishing-resistente Authentifizierung: Wenn Mitarbeitende stärkere Authentifizierungsmethoden verwenden, die sich schwerer über eine gefälschte Anmeldeseite abfangen oder weiterleiten lassen.
- Eingeschränkte Berechtigungen: Wenn sie sicherstellen, dass ein kompromittiertes Konto oder ein manipulierter Mitarbeiter keinen uneingeschränkten Zugriff auf kritische Systeme oder Informationen gewähren kann.
- Einfache Meldemöglichkeiten: Organisationen sollten Mitarbeitenden eine schnelle und intuitive Möglichkeit anbieten, um verdächtige Nachrichten und Interaktionen zu melden.
- Eine Firmenkultur ohne Schuldzuweisungen: Mitarbeitende, die befürchten, bloßgestellt oder bestraft zu werden, neigen eher dazu, Fehler zu verheimlichen. Eine frühzeitige Meldung kann einen schwerwiegenden Vorfall in einen beherrschbaren verwandeln. Das Ziel ist nicht, das Vertrauensprinzip am Arbeitsplatz zu hinterfragen. Unternehmen würden zum Stillstand kommen, wenn jede Interaktion eine strafrechtliche Untersuchung erfordern würde; stattdessen geht es darum, Vertrauen von der Autorisierung zu trennen.
KI hat die Grundprinzipien von Social-Engineering nicht grundlegend verändert. Angreifer nutzen nach wie vor Autorität, Angst, Dringlichkeit, Neugier und Hilfsbereitschaft aus. Sie erfinden immer noch Geschichten, die darauf abzielen, Menschen zum Handeln zu bewegen, bevor sie Zeit zum Nachdenken haben. Sie verlassen sich nach wie vor darauf, dass Mitarbeiter festgelegte Verfahren ignorieren, weil eine Situation als Ausnahme erscheint. Was KI wirklich verändert, ist die Produktionskette. Sie ermöglicht es Kriminellen, Ziele schneller zu recherchieren, überzeugender zu schreiben, sprachübergreifend zu kommunizieren, synthetische Identitäten zu erstellen und das alles in einem Umfang, der früher zu schwierig oder zu teuer war.
Am Social-Engineering-Day geht es nicht darum festzustellen, dass Menschen hoffnungslos verwundbar sind oder dass Mitarbeiter jedem in ihrer Umgebung misstrauisch gegenüberstehen sollten. An diesem Aktionstag geht es vielmehr darum, dass Schulungen, Sicherheitskontrollen und Geschäftsprozesse sich entsprechend weiterentwickeln müssen. Die Schulung der digitalen Belegschaft ist ein entscheidender Bestandteil bei der Abwehr von Social-Engineering. KnowBe4 bietet die beste verfügbare Schulung an, gestützt auf Analysen von Daten aus über 15 Jahren.
Info: Mit dem kostenlosen CAPY-Programm von KnowBe4 lernen alle Interessierten wie sie sich gegen Social Engineering wappnen können: https://blog.knowbe4.com/cybersecurity-starts-at-home-world-social-media-day
Von Erich Kron, CISO Advisor bei #KnowBe4
