1. Datensicherung und Notfallwiederherstellung - tomtec

IT Sicherheitshandbuch für KMU
ABWEHR VON SOCIAL ENGINEERING-ANGRIFFEN
Als Social Engineering bezeichnet man das Manipulieren von Personen, um unbefugt Zugang zu vertraulichen
Informationen oder IT-Systemen zu erhalten.
Die Angriffe werden meistens über das Telefon, unter Umständen aber auch durch persönliches
Auftreten des „Social Engineers“ geführt: Der Angreifer gibt sich als Mitarbeiter, Kunde oder IT-
Techniker des Unternehmens aus und überzeugt einen Benutzer durch geschickte Täuschung
von seiner Identität. Bei geeigneter Gelegenheit – oft erst nach mehrmaligen Telefonaten –
erhält er Informationen, die der Firmenmitarbeiter einem Unbekannten nie zukommen lassen
würde; er kann sein Opfer auch zu unerlaubten Handlungen bewegen etc.
Der Erfolg von Social Engineering-Angriffen kann nie ausgeschlossen werden. Ihre Gefährlichkeit
liegt in der Ausnutzung menschlicher Eigenschaften und Schwächen: Hilfsbereitschaft
und Höflichkeit, Kundenfreundlichkeit, aber auch Autoritätshörigkeit und Angst. Einige Maßnahmen
können aber helfen, das Risiko zu verringern:
■ Schulungen der Mitarbeiter über Social Engineering-Strategien und -Methoden
helfen, sie auf Angriffe dieser Art vorzubereiten.
■ Alle Mitarbeiter müssen regelmäßig auf den Wert der von ihnen bearbeiteten
Daten hingewiesen werden, insbesondere auf den Schaden, den ein Angreifer damit
verursachen könnte.
■ Schriftliche Festlegungen, welche Informationen vertraulich behandelt werden
müssen und welche auch an Unbekannte weitergegeben werden dürfen, können den
Benutzern zur Orientierung dienen und dem Unternehmen auch als Argumentationshilfe
nach Sicherheitsvorfällen nützlich werden.
■ Auch Festlegungen zur Anfragenform sind sinnvoll: Das Anfordern einer Rückrufnummer
oder einer schriftlichen Anfrage kann einen Social Engineer unter Umständen
bereits zurückschrecken und gibt den Mitarbeitern Gelegenheit zu Nachfragen.
Auskünfte zu sensiblen Daten sollten ohnehin nur bei persönlichem Erscheinen
erteilt werden.
■ Besonders neuen Mitarbeitern sollte empfohlen werden, Anfragen, bei denen sie
unsicher sind, ob eine Beantwortung zulässig ist, an ihre Vorgesetzten oder andere
erfahrene Personen weiterzuleiten.
■ Mitarbeiterkommunikation ist wichtig: Bei „verdächtigen“ Anfragen sollten auch
die anderen Mitarbeiter informiert werden, um zu verhindern, dass ein abgewiesener
Angreifer sein Glück bei anderen, zugänglicheren Kollegen versucht.
40