Cybercrime

Dieter Kochheim, Cybercrime - 61 -B. Social EngineeringDie technischen Methoden und Tricks, die im erstenTeil beschrieben wurden, haben eine verbindendesoziale Komponente. So hinterhältig eineMalware auch programmiert sein mag, sie kannsich in kein technisches System einschleichen, dasihr dazu nicht die Möglichkeit eröffnet. Dazu zählenunüberwachte Schnittstellen, unzureichende Updates,Verzicht auf Virenscanner und Zugangsbeschränkungensowie unüberlegte Handlungen desAnwenders wie die Gewährung von Administratorenrechten,die unvorsichtige Auswahl von Webadressenoder die fatale Aktivierung von E-Mail-Anhängen.Die Auseinandersetzung mit der Malware hat bereitsdie Techniken der Überredung und Täuschungangesprochen, die in E-Mails und infizierten Webseitenzum Einsatz kommen. Sie sind inzwischenin feiner deutscher Sprache verfasst, treffen denrichtigen Ton und suggerieren Vorteile oder drohendeNachteile, die den Anwender zu unbedarftenHandlungen veranlassen sollen.Diese Techniken werden unter dem Begriff des SocialEngineering 374 zusammen gefasst und greifenerheblich weiter. Das SocEng kombiniert interaktiveund technische Methoden, um seine Zielpersonenauszuspähen, ihre Geheimnisse zu erkundenund schließlich Informationen zu gewinnen, diekombiniert und bewertet werden, um daraus wiederneue Rückschlüsse zu gewinnen.Der Angreifer handelt immer eigennützig, zielstrebigund gnadenlos, wenn er seine Malware platzieren,Geheimnisse erkunden oder Spionage betreibenwill.Social Engineering benutzt Techniken der Beeinflussungund Überredungskunst zur Manipulationoder zur Vortäuschung falscher Tatsachen, überdie sich ein Social Engineer eine gefälschte Identitätaneignet. Damit kann der Social Engineer anderezu seinem Vorteil ausbeuten, um mit oder ohneVerwendung von technischen Hilfsmitteln an Informationenzu gelangen.Kevin MitnickKevin Mitnick 375 ist ein verurteilterHacker aus den USA. DemSocial Engineering hat er einwirklich spannendes Buch gewidmet,das er „Die Kunst derTäuschung“ nennt 376 . Die Methodendes SocEng sind klassischeHandlungsweisen der Detektiveund Spione, die von der Hackerszene entdecktund für die Penetration informationsverarbeitenderSysteme verfeinert wurden. Sie sindbereits begierig aufgenommen worden von denInformationsbrokern und den Industriespionen,die damit ihr Repertoire erweitert haben.374Im Folgenden abgekürzt: SocEng.WP, Social Engineering (Sicherheit)375WP, Kevin Mitnick;siehe auch: Lothar Lochmaier, RisikofaktorMensch: Die Kunst des Social Engineering,ZDNet.de 27.02.2007376Kevin Mitnick, William Simon, Die Kunst derTäuschung. Risikofaktor Mensch, Heidelberg (mitp)2003;CF, IT-Sicherheit, 2008