loader image

Artikel

Social Engineering und Phishing erkennen

DsiN für Unternehmen

Soziale Manipulation und Phishing sind ein alltägliches Sicherheitsproblem. Um Schaden vorzubeugen

müssen Mitarbeiter:innen wachsam sein.

Soziale Manipulation und Phishing sind zu einem alltäglichen Problem für viele Unternehmen und Mitarbeiter geworden. Auch Sie sind wahrscheinlich schon mehr als einmal mit Social Engineering in Berührung gekommen.  

Fast alle Internetnutzenden haben in ihrem Leben schon E-Mails erhalten, die auffordern, Daten – z. B. Kontodaten – in ein Formular einzugeben, oft auf einer überzeugend gestalteten Webseite, die aussieht wie die einer großen Bank oder eines populären Online-Dienstes. Phishing, also das „Angeln von Passwörtern“ über gefälschte Webseiten, E-Mails oder Kurznachrichten ist dabei die geläufigste Form, um durch Manipulation an persönliche Daten von Internetnutzenden zu gelangen. Dabei wird besonders der „Faktor Mensch“ als Sicherheitslücke ausgenutzt – mit sogenannten Social-Engineering-Angriffen.  

Der Begriff „Social Engineering“ bezeichnet in der IT-Sicherheit Angriffsmethoden, bei denen Kriminelle durch die Manipulation von Personen an sensible Informationen von Unternehmen oder Privatpersonen zu gelangen versuchen. Denn: Kein IT-Sicherheitssystem der Welt kann Daten schützen, die von ihren rechtmäßigen Nutzer:innen freiwillig herausgegeben werden.  Social Engineers nutzen dabei das Bedürfnis von Menschen aus, sich kooperativ und hilfsbereit zu verhalten. Es ist daher ungemein wichtig, dass Mitarbeitende sich ein grundlegendes Wissen über Social-Engineering-Methoden aneignen, um das Gefahrenpotenzial verschiedener Risikosituationen besser einschätzen zu können. 

Ziele von Social-Engineering-Angriffen 

Welche Informationen und Daten mittels sozialer Manipulation im Netz beschafft werden, kann variieren: z. B. geschäftskritische, vertrauliche und andere interne Informationen eines Unternehmens, Login-Daten, Transaktionsnummern für Online-Banking, Kontodaten, Kreditkarten-PINs, persönliche Informationen. Auch der erfolgreiche Hack zahlreicher prominenter Twitter-Accounts im Juli 2020 im Rahmen eines Bitcoin-Scams ist vermutlich auf einen Social-Engineering-Angriff auf Twitter-Mitarbeitende zurückzuführen. 

Die sogenannte „Chef-Masche“ (CEO-Fraud) geht sogar so weit, dass sich Angreifer:innen als Vorgesetzte ausgeben und Mitarbeitende so lange manipulieren, bis sie Geld auf ein fremdes Konto überweisen. Die Verluste sind für das betroffene Unternehmen oftmals schmerzhaft. Bekannt wurde unter anderem ein Fall aus dem Jahr 2019, bei dem mithilfe eines Deep-Fakes die Stimme des Chefs eines Unternehmens imitiert wurde, um mehr als 200.000 Euro zu erbeuten. 

Grundregeln zum Vorbeugen von betrügerischen Angriffen

Social Engineering nutzt gezielt ganz normale menschliche Eigenschaften aus – Hilfsbereitschaft, Gutgläubigkeit und vor allem das grundlegende Vertrauen zu anderen Personen. Deshalb schützen uns vor solchen Angriffen keine Firewalls oder andere technischen Maßnahmen. Es gibt nur einen einzigen wirksamen Schutz vor Social Engineering: ein gesundes Misstrauen, verbunden mit dem strikten Einhalten vereinbarter Regeln zur Datenweitergabe! 

  • Halten Sie sich strikt Regeln und Abläufe im Betrieb: Verweisen Sie auch unter Zeitdruck auf den vorgeschriebenen Dienstweg, wenn Sie um eine regelwidrige Auskunft oder Herausgabe von Daten gebeten werden. Sie handeln so nicht etwa unkooperativ, sondern helfen Firma und Kollegium dabei, vertrauensvoll zusammenzuarbeiten. 
     
  • Machen Sie sich Ihrer eigenen Anfälligkeiten bewusst: Alle von uns können Ziel eines Social-Engineering-Angriffs werden. Überlegen Sie, welche Informationen über Sie online zugänglich sind und wie Angreifende dieses Wissen über Sie ausnutzen könnten. 
     
  • Seien Sie neuen Kontaktanfragen gegenüber skeptisch: Soziale Netzwerke sind unerschöpfliche Informationsquellen für Social Engineers. Geben Sie in sozialen Netzwerken niemals sensible Daten heraus und vergewissern Sie sich im Zweifel noch einmal über die Vertrauenswürdigkeit des neuen Kontakts durch öffentlich zugängliche Informationen. 
     
  • Überprüfen Sie regelmäßig Ihre Privatsphäre-Einstellungen: Seien Sie vorsichtig bei der Auswahl der Informationen, die Sie auf Ihrem Profil preisgeben und prüfen Sie in den Einstellungen, wer diese Informationen einsehen kann.  
     
  • Öffnen Sie keine unerwarteten E-Mails und Anhänge:  Anhänge können Schadsoftware enthalten, die ihr Gerät infizieren. Öffnen Sie daher nur Anhänge, die Sie erwarten und deren Erhalt Ihnen plausibel erscheint. Hier finden Sie DsiN-Tipps, wie sie E-Mail & Co im Beruf sicher nutzen
     
  • Lernen Sie Phishing-Angriffe besser zu erkennen: Die Universität Darmstadt bietet ein Online-Lehrprogramm für Phishing an, mit dem Sie routinierter bei der täglichen Arbeit mit E-Mail und Co und so für Angriffe sensibler werden. 
     
  • Gehen Sie vorsichtig mit allzu guten Angeboten um: Auch in der Geschäftswelt gilt: Seien Sie stets skeptisch gegenüber allzu verlockenden Angeboten oder Offerten. Oftmals verbirgt sich dahinter ein Trick, um schnell an Informationen zu gelangen. 

Neueste Artikel

Alle sehen
21.03.2025

Digitale Kompetenzen und Verbraucherschutz in den Koalitionsvertrag 

Der Verein und die Geschäftsführenden Isabelle Rosière und Joachim Schulte empfehlen:

„Die Digital- und Cybersicherheitsstrategie der Bundesregierung sollte die nachhaltige Förderung zivilgesellschaftlicher Akteure wie Deutschland sicher im Netz e.V. vorsehen, bei denen gezielt und produktneutral digitale Kompetenzen vermittelt werden und somit der digitale Verbraucherschutz gestärkt wird.

Im Einzelnen empfiehlt der Verein:

Systematische Vermittlung digitaler Kompetenzen: Die gezielte Förderung digitaler Kompetenzen sollte ein fester Bestandteil der Cyber- und Sicherheitsstrategie der Bundesregierung werden.

Stärkung bewährter und vertrauenswürdiger Akteure: Projekte wie der DsiN-Digitalführerschein, der Digitale Engel und der Digital-Kompass bieten niedrigschwellige und praxisnahe Angebote zur Stärkung digitaler Sicherheit und Teilhabe. Diese Ansätze sollten gezielt gefördert und weiterentwickelt werden.

Unterstützung von Engagierten in Politik und Ehrenamt: Angebote wie Politiker:innen sicher im Netz, die Digitale Nachbarschaft, sowie digital verein(t) bieten wichtige Schulungen für den sicheren Umgang mit digitalen Werkzeugen und den Schutz vor Desinformation. Dies sind zentrale Bausteine für die gesellschaftliche Resilienz.

Cybersicherheit für Verbraucher:innen und KMU: Gerade kleine und mittlere Unternehmen sowie Verbraucher:innen benötigen gezielte Unterstützung bei der Bewältigung digitaler Herausforderungen. Unser neuer FiTNIS2-Navigator bietet hier einen wichtigen Ansatz zur Sensibilisierung und zur Einhaltung der NIS-2-Richtlinie.

Das vollständige Positionspapier kann hier heruntergeladen werden: 

DsiN-Positionspapier_Digitaler Verbraucherschutz 

Pressekontakt:

Denis Schröder (er/ihn)

Pressesprecher 
+49 (0) 30 767581-511 | presse@sicher-im-netz.de

Illustration eines Laptops mit drei Dateisymbolen für verschiedene Dateiformate: DOC, XLS und PDF. Die Symbole haben unterschiedliche Farben (blau für DOC, grün für XLS und rot für PDF)
19.03.2025

FBI warnt: Vorsicht vor betrügerischen Online-Dateikonvertern

Online-Dateikonverter sind praktische Tools, um Dateien schnell und einfach von einem Format in ein anderes zu konvertieren. Doch eine aktuelle Untersuchung des FBI warnt vor betrügerischen Anbietern, die beim konvertieren Schadsoftware in die Dateien einschleusen. Die Konvertierung erfolgt scheinbar problemlos, doch beim Herunterladen des umgewandelten Dokuments oder Bildes wird unbemerkt Schadsoftware eingeschleust. Sobald die Malware aktiviert ist, spioniert sie heimlich persönliche Informationen, Login-Daten sowie Finanz- und Bankinformationen aus. Auch Konvertierungsprogramme, die als vermeintlich harmlose Downloads und Browsererweiterungen angeboten werden, enthielten laut den Ergebnissen manchmal Trojaner.  Einige Antivirenprogramme können die Schadsoftware erkennen und Alarm schlagen. Allerdings können neuartige Bedrohungen zunächst unentdeckt bleiben.  Laut Sicherheitsforschenden von Malwarebytes sind unter anderem die folgenden Domains betroffen: 
  • imageconvertors[.]com 
  • convertitoremp3[.]it 
  • convertisseurs-pdf[.]com 
  • convertscloud[.]com 
  • convertix-api[.]xyz 
  • convertallfiles[.]com  
  • freejpgtopdfconverter[.]com 
  • primeconvertapp[.]com  
  • 9convert[.]com  
  • convertpro[.]org
SiBa empfiehlt: Seien Sie vorsichtig bei der Nutzung von Online-Dateikonvertern. Vermeiden Sie es, Programme von unbekannten oder unseriösen Anbietern herunterzuladen, insbesondere die oben genannten Domains. Nutzen Sie stattdessen bekannte und vertrauenswürdige Konverter-Tools, die von etablierten Anbietern stammen und auf deren offiziellen Websites erhältlich sind. Informieren Sie sich auch auf Ratgeberseiten und Foren, um Empfehlungen und Erfahrungen von anderen Nutzern zu lesen, bevor Sie ein Tool herunterladen.  Achten Sie darauf, dass Ihr Virenscanner stets aktuell ist, um auch neu auftretende Bedrohungen schnell zu erkennen. Falls Sie ein unsicheres Tool heruntergeladen haben, deinstallieren Sie es sofort und führen Sie eine vollständige Systemüberprüfung durch, um mögliche Schäden zu beheben. Originalartikel auf heise.de Beitrag des FBI Ergebnisse von Malwarebytes Wie schütze ich mich:   BSI: Malware Malwarebytes: Was ist Malware? Definition, Arten und Schutz von Malware.  Wer kann mir helfen:  DiFü-News: Trojaner erkennen und beseitigen DiFü-Lernzentrale: Gefahrenschutz  

Kontaktieren Sie uns

Kontaktieren Sie uns für
Ihre Anfrage gerne unter:

(0) 30 767581-500

Presseanfragen richten
Sie bitte an:

(0) 30 767581-514

Postanschrift

Deutschland sicher im Netz e.V.
Albrechtstraße 10c 10117 Berlin