Was ist Social Engineering?
Social Engineering ist eine Klasse von Angriffstechniken, die menschliche Psychologie – Vertrauen, Angst, Dringlichkeit oder Hilfsbereitschaft – manipulieren, um Menschen dazu zu bringen, vertrauliche Informationen preiszugeben, unbefugten Zugriff zu gewähren oder Handlungen durchzuführen, die die Sicherheit kompromittieren.
Auch bekannt als: social engineering attack, pretexting
Social-Engineering-Angriffe zielen auf das schwächste Glied jedes Sicherheitssystems ab: Menschen. Gängige Techniken umfassen Pretexting (ein Szenario erfinden, um Vertrauen zu gewinnen), Baiting (etwas Verlockendes anbieten wie einen USB-Stick), Tailgating (jemandem durch eine gesicherte Tür folgen) und Phishing (täuschende Nachrichten). Diese Angriffe umgehen Firewalls, Verschlüsselung und Zugriffskontrollen, indem sie die Menschen ausnutzen, die damit arbeiten.
Die gefährlichsten Social-Engineering-Angriffe sind mehrstufige. Ein Angreifer könnte zuerst Informationen aus sozialen Netzwerken und öffentlichen Quellen sammeln und diesen Kontext dann nutzen, um einen IT-Support anzurufen und ihn davon zu überzeugen, ein Passwort zurückzusetzen. Oder er könnte sich als neuer Mitarbeiter ausgeben, um einen Kollegen dazu zu bringen, WLAN-Zugangsdaten oder Systemzugang zu teilen. Die Angriffsfläche vergrößert sich dramatisch in Organisationen, in denen sensible Informationen routinemäßig über unsichere Kanäle geteilt werden.
Technische Kontrollen können das Social-Engineering-Risiko reduzieren – aber nicht eliminieren. Strenge Verifizierungsverfahren, Richtlinien für minimale Rechte und Security-Awareness-Programme helfen. Entscheidend ist, die Menge sensibler Daten zu minimieren, die in persistenter, lesbarer Form existieren (E-Mails, Chat-Protokolle, geteilte Dokumente) – das begrenzt, was ein Social Engineer extrahieren kann, selbst wenn er sein Ziel täuscht.
Wie Vaulted Social Engineering verwendet
Vaulted begrenzt den Explosionsradius von Social-Engineering-Angriffen gegen Secret-Sharing-Workflows. Da sich Vaulted-Links nach einer konfigurierten Anzahl von Views selbst zerstören und der Server nur Geheimtext ohne Entschlüsselungsfähigkeit speichert (Zero-Knowledge-Architektur), findet ein Social Engineer, der auf einen Kommunikationskanal zugreift, nur abgelaufene Links oder unlesbare Daten. Der Verschlüsselungsschlüssel im URL-Fragment und der optionale Passphrasenschutz schaffen zusätzliche Barrieren, die Social Engineering allein nicht überwinden kann.