Darstellung der Bedrohung durch Social Engineering und Analyse der als Gegenmassnahme vorhandenen IT-Sicherheitsprozesse am Beispiel eines grossen Unternehmens (PDF)

Inhaltsangabe:Einleitung:
Unternehmen, Behörden, sowie auch immer öfter Privatpersonen investieren in teure Anti-Virus-Software, Firewalls, ausgeklügelte biometrische Zutrittssysteme zum internen Netzwerk und aufwändige Verschlüsselungsverfahren. Ist alles installiert und perfekt konfiguriert, wähnt sich der Anwender in Sicherheit. Es wurde an alle erdenklichen Risiken gedacht, um die vertraulichen Informationen zu schützen. Es stellt sich aber die Frage, ob auch der Risikofaktor Mensch in der Planung des informationstechnischen Schutzkonzeptes berücksichtigt wurde.
Möchte ein Angreifer an vertrauliche Informationen gelangen, muss er sich nicht technischer Methoden bedienen, um die Firewall zu überwinden, sondern kann einen Mitarbeiter des Unternehmens direkt nach den vertraulichen Informationen fragen. Diese soziale Manipulation nennt man Social Engineering.
Im Gegensatz zu konventionellen technischen Angriffsmethoden benötigen die Angreifer keine besonderen technischen Kenntnisse. Somit ist die Gruppe der potenziellen Angreifer ungleich grösser. Aus wirtschaftlichen Gründen wird die Informationsbeschaffung mittels Social Engineering oftmals einer aufwändigen Hackerattacke vorgezogen.
Doch stellt sich die Frage, warum Social Engineering überhaupt möglich ist. Menschen sind in ihrem Wesen sehr sozial eingestellt und häufig zu schnell bereit, einer fremden Person zu vertrauen, die vorgibt, bei einem Problem helfen zu wollen oder Hilfe benötigt. Das folgende Beispiel soll diese Problematik anschaulich erläutern:
Alice arbeitet im Büro eines grossen Konzerns. Das Telefon klingelt. Ein äusserst sympathisch klingender Bob stellt sich Alice als Systemadministrator vor und erzählt ihr, dass es ein Problem im Netzwerk gibt. Um zu verhindern, dass dieses Problem auch auf Alices Computer auftritt, benötigt Bob ganz dringend Alices Benutzernamen und Passwort. Alice erklärt, dass sie ihre vertraulichen Logindaten äusserst ungern nennen möchte, da sie schon so viel Schlechtes gehört habe. Bob erwidert sofort, dass Alice das Passwort doch auf einen neuen Wert ändern könne, nachdem er die Konfiguration abgeschlossen habe. Er würde auch in fünf Minuten fertig sein und kurz zurückrufen, so dass Alice das Passwort ändern könne. Alice klärt sich nun einverstanden und nennt Bob ihre vertraulichen Logindaten. Bob meldet sich sofort mit den Logindaten an, ändert als erstes das Passwort und kopiert in aller Ruhe die vertraulichen Informationen, die er benötigt.
Durch [...]