Team IT Security - 📰 Alle Kategorien

Was ist Social Engineering?

Wed, 15 Jul 2026 05:53:09 +0200

Mit Social-Engineering-Techniken manipulieren Cyberkriminelle die menschliche Psyche. Lesen Sie, wie das funktioniert und wie Sie sich schützen können.

sp3n | shutterstock.com

Selbst wenn Sie bei der Absicherung Ihres Rechenzentrums, Ihrer Cloud-Implementierungen und der physischen Sicherheit Ihres Firmengebäudes alle Register ziehen – mit Hilfe von Social Engineering finden gewiefte Cyberkriminelle meistens einen Weg, diese Maßnahmen zu umgehen.

Social Engineering – Definition

Social Engineering bezeichnet die “Kunst”, menschliche Schwächen auszunutzen, um sich Zugang zu Gebäuden, Systemen oder Daten zu verschaffen. Anstatt zu versuchen, eine Software-Schwachstelle zu finden und auszunutzen, wird ein Social Engineer beispielsweise einen Mitarbeiter anrufen und sich als IT-Support-Angestellter ausgeben, um ihn zur Herausgabe seines Passworts zu bewegen.

Der bekannte Hacker Kevin Mitnick hat den Begriff Social Engineering in den 1990er Jahren entscheidend mitgeprägt. Die Grundidee, sich menschliches Verhalten zunutze zu machen und die Techniken dahinter, gibt es allerdings schon so lange, wie es Betrüger gibt.

Social Engineering – Techniken

Social Engineering hat sich für Cyberkriminelle als besonders erfolgreich erwiesen, wenn es darum geht in Unternehmen einzudringen. Sobald ein Angreifer das Passwort eines vertrauenswürdigen Mitarbeiters erbeutet hat, kann er sich damit einloggen und sensible Daten auslesen. Mit einer Zugangskarte oder einem Code, der physischen Zugang gewährt, können Cyberkriminelle sogar noch größeren Schaden anrichten.

Im Artikel “Social Engineering: Anatomy of a Hack” beschreibt ein Penetrationtester, wie er aktuelle Ereignisse, öffentlich verfügbare Informationen aus sozialen Netzwerken und ein Hemd mit Cisco-Logo aus einem Second-Hand-Laden dazu nutzte, illegal in ein Unternehmen einzudringen. Das vier Dollar teure Gebrauchthemd half ihm, die Rezeptionisten und andere Mitarbeiter davon zu überzeugen, dass er im Auftrag von Cisco technischen Support leisten müsste. Einmal eingedrungen, war es für ihn ein Leichtes, auch anderen Teammitgliedern Zutritt zu verschaffen. Darüber hinaus gelang es dem Ethical Hacker, mehrere mit Malware verseuchte USB-Sticks in den Räumen zu platzieren und sich in das Unternehmensnetzwerk zu hacken. All das lief vor den Augen der Mitarbeiter ab.

Um einen erfolgreichen Social-Engineering-Angriff zu fahren, müssen Sie nicht unbedingt zuerst in einen Second-Hand-Laden gehen, diese Angriffe funktionieren ebenso gut per E-Mail, Telefon oder über soziale Netzwerke. Allen Angriffsarten ist dabei gemein, dass sie menschliche Eigenschaften zu ihrem Vorteil nutzen – beispielsweise Gier, Angst, Neugier oder auch das Bedürfnis, anderen zu helfen.

Cyberkriminelle nehmen sich dabei oft Wochen oder Monate Zeit, um ein Ziel auszukundschaften, bevor Sie einen persönlichen Besuch wagen, eine Nachricht senden oder einen Anruf tätigen. Zu den Vorbereitungen kann beispielsweise gehören, eine Telefonliste oder ein Organigramm des Zielunternehmens zu finden oder die Mitarbeiter über soziale Netzwerke zu recherchieren. Anschließend können Sie beispielsweise über folgende Wege aktiv werden.

Am Telefon: Ein Social Engineer könnte anrufen und vorgeben, ein Mitarbeiter oder eine vertrauenswürdige externe Autorität zu sein (zum Beispiel ein Strafverfolgungsbeamter oder ein Wirtschaftsprüfer).
Im Büro:“Können Sie mir die Tür aufhalten? Ich habe meinen Schlüssel/ meine Zugangskarte vergessen.” Diesen Satz haben Sie sicher auch schon einmal so vernommen. Auch wenn die fragende Person nicht verdächtig erscheinen mag – das ist eine beliebte Taktik beim Social Engineering.
Online: Soziale Netzwerke erleichtern es, Social-Engineering-Angriffe zu fahren. Über Plattformen wie LinkedIn lassen sich schnell und einfach die meisten Mitarbeiter eines Unternehmens finden. Oft kommen noch viele andere Informationen dazu, die unter Umständen für weitere Angriffe nützlich sein können.

Beim Social Engineering werden regelmäßig auch aktuelle Ereignisse, Feiertage oder auch Popkultur-Phänomene dazu eingesetzt, Opfer in die Falle zu locken. Dabei passen die Cyberkriminellen ihre Phishing-Angriffe so an, dass sie auf bestimmte Interessen (Musik, Sport, Politik, etc.) abzielen. Das erhöht die Chance, dass die mit Malware verseuchten Anhänge angeklickt werden.

Social Engineering – Angriffsformen

Phishing-Angriffe (zu denen auch SMS-basierte Smishing– und Voice-basierte Vishing-Attacken zählen) sind oft mit geringem Aufwand verbunden. Das Motto: “Die Masse macht’s”. Im Rahmen von Phishing-Kampagnen werden oft Tausende identischer E-Mails verschickt. Anschließend müssen die Angreifer nur noch darauf warten, dass jemand leichtgläubig genug ist, um auf den enthaltenen Anhang zu klicken.
Spear Phishing oder auch Whaling bezeichnet Phishing-Angriffe, die ganz bewusst hochrangige Ziele ins Visier nehmen. Spear-Phishing-Angreifer verbringen im Regelfall viel Zeit damit, solche Ziele zunächst auszukundschaften. Das Ziel besteht dabei darin, einen möglichst überzeugenden, personalisierten Scam auf die Beine zu stellen.
Baiting ist ein essenzieller Bestandteil aller Phishing-Formen – und anderen Betrügereien. Es bezeichnet die Verlockung, mit der die Ziele in Versuchung geführt werden – sei es eine SMS, die kostenlose Geschenkkarten verspricht oder eine E-Mail, die Kryptowährungen zu besonders attraktiven Preisen oder gar kostenlos in Aussicht stellt.
Beim Pretexting handelt es sich um eine betrügerische Form von “Storytelling”. Die dabei erfundene Geschichte soll das Opfer zum Beispiel dazu bewegen, persönliche Informationen oder Zugangsdaten preiszugeben. Weiß ein Angreifer beispielsweise, bei welcher Bank sein Opfer Kunde ist, könnte er sich als Mitarbeiter des Kundendiensts ausgeben und unter einem Vorwand wie “Zahlungsverzug” versuchen, Finanzinformationen zu erhalten.
Business Email Compromise (BEC), auch bekannt als CEO-Fraud, kombiniert mehrere der bislang genannten Techniken. Ein Angreifer erlangt entweder die Kontrolle über die E-Mail-Adresse eines Opfers oder schafft es, E-Mails zu versenden, die so aussehen, als kämen sie von dieser legitimen Adresse. Damit kontaktieren die Angreifer die Untergebenen des Angegriffenen in seinem Namen und ordnen beispielsweise dringliche Überweisungen an.
Tailgating ist eine physische Social-Engineering-Form, bei der Angreifer den Mitarbeitern eines Unternehmens ins Firmengebäude folgen. Dazu könnten diese sich beispielsweise als Lieferant oder neuer Mitarbeiter, der den Ausweis vergessen hat, ausgeben.

Social Engineering – Beispiele

Um ein Gefühl dafür zu bekommen, auf welche Social-Engineering-Taktiken Sie besonders achten sollten, empfiehlt sich ein Blick auf erfolgreiche Angriffe der Vergangenheit. Hierbei konzentrieren wir uns auf drei spezifische Social-Engineering-Angriffe, die für Cyberkriminelle besonders einträglich ausgefallen sind:

1. Etwas Verlockendes anbieten

Jeder Trickbetrüger weiß: Am einfachsten ist es, aus der menschlichen Gier Profit zu schlagen. Das bildet die Grundlage des klassischen nigerianischen 419-Scams: Hierbei gaukeln Betrüger ihren Opfern vor, sie müssten hohe, unrechtmäßig erworbene Geldsummen aus dem eigenen Land zu einer sicheren Bank im Ausland transferieren. Dazu bräuchten sie Unterstützung: Gegen die Zahlung vermeintlicher Provisions-, Verwaltungs- oder Versicherungsgebühren könnten die Opfer einen Gutteil des oft millionenschweren Geldbetrags abbekommen, so dass betrügerische Versprechen.

Angriffe dieser Art sind seit Jahrzehnten bekannt und eigentlich eine Lachnummer, aber nichtsdestotrotz immer noch eine effektive Social-Engineering-Technik, auf die Menschen hereinfallen: Im Jahr 2007 überwies der Schatzmeister eines dünn besiedelten Bezirks im US-Bundesstaat Michigan einem solchen Betrüger 1,2 Millionen Dollar an öffentlichen Geldern – in der Hoffnung abkassieren zu können.

Ein weiterer gängiger Köder ist die Aussicht auf einen neuen, besseren Job: Im Rahmen einer äußerst peinlichen Kompromittierung traf es im Jahr 2011 das Sicherheitsunternehmen RSA auf diese Weise. Mindestens zwei Mitarbeiter öffneten eine Malware-verseuchte Datei, die an eine Phishing-E-Mail angehängt war. Der Dateiname: “2011 recruitment plan.xls”.

2. Fake it till you make it

Eine der simpelsten – und überraschenderweise auch erfolgreichsten – Social-Engineering-Techniken besteht darin, sich als ratlosen Mitarbeiter auszugeben. Bei einem seiner legendären frühen Betrugsversuche verschaffte sich Kevin Mitnick Zugang zu den Betriebssystem-Entwicklungsservern der Digital Equipment Corporation. Sein Vorgehen: Er rief bei DEC an, gab sich als leitender Entwickler aus und behauptete, er habe Probleme mit dem Login. Er wurde postwendend mit neuen Logindaten versorgt. Das spielte sich schon 1979 ab – man sollte also meinen, die Dinge hätten sich seitdem verbessert. Das ist allerdings nicht der Fall: Im Jahr 2016 erlangte ein Hacker die Kontrolle über ein E-Mail-Konto des US-Justizministeriums und nutzte es, um sich wie seinerzeit Mitnick Zugangsdaten zu verschaffen.

Zwar haben viele Organisationen Barrieren aufgebaut, die diese Art des dreisten Betrugs verhindern sollen, aber oft ist es nicht besonders schwer, sie zu umgehen. Als Hewlett-Packard (HP) im Jahr 2005 Privatdetektive damit beauftragte herauszufinden, welche Vorstandsmitglieder Informationen an die Presse durchstachen, versorgte das Unternehmen die Schnüffler mit den letzten vier Ziffern der Sozialversicherungsnummer ihrer Zielpersonen. Diese Daten akzeptierte der technische Support von HPs TK-Provider AT&T als Identitätsnachweis und händigte den Detektiven detaillierte Anrufprotokolle aus.

3. Autorität spielen

Viele Menschen sind daran gewöhnt, Autoritäten zu respektieren. Das wissen auch Cyberkriminelle. Sie spielen sich als Vorgesetzte oder Führungskräfte aus, um an ihr Ziel zu gelangen. So überwiesen im Jahr 2015 Finanzmitarbeiter von Ubiquiti Networks Firmengelder in Millionenhöhe an Social-Engineering-Betrüger, die sich als Führungskräfte des Unternehmens ausgegeben und ihre Glaubwürdigkeit mit gefälschten E-Mail-Absendern unterstrichen hatten.

Ein anderes Beispiel: Zur Jahrtausendwende gehörte es für (manche) britische Boulevard-Journalisten zum guten Ton, sich Zugang zu den Voicemail-Konten von für sie interessanten Personen zu verschaffen. So überzeugte ein Journalist den TK-Anbieter Vodafone davon, die Voicemail-PIN der Schauspielerin Sienna Miller zurückzusetzen, indem er dort anrief und sich als “Kollege John aus der Credit-Control-Abteilung” ausgab.

Ein weiteres prominentes Beispiel ist John Podesta, Hillary Clintons ehemaliger Wahlkampfleiter, der 2016 von russischen Spionen gehackt wurde. Die Cyberkriminellen hatten ihm im Vorfeld eine Phishing-E-Mail zugestellt, die als Nachricht von Google getarnt war und eine Aufforderung enthielt, sein Passwort zurückzusetzen. Statt sein Konto zu schützen, gab er damit seine Anmeldedaten preis.

Social Engineering – Zahlen & Statistiken

Allein im Jahr 2024 konnten kriminelle Hacker durch BEC-Angriffe rund 6,3 Milliarden Dollar einstreichen. (Quelle: Verizon DBIR 2025)
Smishing macht 39 Prozent aller mobilen Bedrohungen aus. (Quelle: SlashNext)
Mit der Einführung von ChatGPT stieg die Zahl der Social-Engineering-Angriffe um 45 Prozent. (Quelle: SlashNext)
Mit 17 Prozent aller Kompromittierungen ist Phishing der zweithäufigste, initiale Malware-Infektionsvektor. (Quelle: Mandiant M-Trends-Report 2024)

Social-Engineering-Angriffe abwehren

Wir haben fünf Tipps zur Abwehr von Social-Engineering-Attacken für Sie zusammengestellt:

1. Security Awareness

Security-Awareness-Schulungen sind der beste Weg, um Social Engineering zu verhindern. Nur wenn die Mitarbeiter wissen, welche Gefahr ihnen droht, können sie sich gegen solche Angriffe wappnen. Erarbeiten Sie ein umfassendes Schulungsprogramm, dass zu mehr Sicherheitsbewusstsein führt! Es sollte regelmäßig aktualisiert werden, um sowohl allgemeinen Phishing-Bedrohungen als auch neuen, gezielten Bedrohungen angemessen begegnen zu können.

Dabei sollten Sie von einer tiefgehenden Erklärung technischer Schwachstellen und Details absehen und stattdessen Beispiele nennen, die die Methoden der Angreifer in den Fokus stellen. Auch interaktive Elemente wie ein Quiz können dazu beitragen, Mitarbeiter vorzubereiten.

2. Security-Briefing für Mitarbeiter in Schlüsselpositionen

Unternehmen sollten Führungskräfte und leitende Angestellte in ihre Bemühungen einbeziehen, da sie für Cyberkriminelle die attraktivsten Social-Engineering-Ziele darstellen. Wichtig ist es auch Mitarbeiter, die die Berechtigung zu Finanztransaktionen haben, regelmäßig über die Gefahren aufzuklären.

3. Bestehende Prozesse prüfen

Für finanzielle und andere wichtige Transaktionen bietet es sich an, zusätzliche Kontrollmaßnahmen einzuziehen. Dabei gilt es im Auge zu behalten, dass einige Schutzmaßnahmen, beispielsweise eine Aufgabentrennung, sinnlos werden könnten, wenn es sich um eine Insider-Bedrohung handelt. Eine regelmäßige Risikoanalyse ist zu empfehlen.

4. Neue Richtlinien für dringende Anfragen

Sendet der Vorstandsvorsitzende eine E-Mail von seinem Gmail-Konto, sollte das bei den Mitarbeitern Alarmsignale auslösen. Um vorschnelle Reaktionen zu vermeiden, die ins Unglück führen können, sollten Mitarbeiter ein klar definiertes Notfallverfahren an die Hand bekommen und im Zweifel direkt mit dem Absender kommunizieren können.

5. Incident Management

Überprüfen, verfeinern und testen Sie regelmäßig Ihre Incident-Management-Systeme. Dazu bieten sich Übungen mit der Geschäftsleitung und den wichtigsten Mitarbeitern an, in denen Kontrollmechanismen und potenzielle Schwachstellen auf den Prüfstand kommen.

Social Engineering – Toolkits

Es gibt am Markt einige Tools und Services, die Unternehmen bei Awareness-Kampagnen und Phishing-Simulationen unterstützen:

Das Social Engineering Toolkit von TrustedSec steht als kostenloser Download zur Verfügung und hilft bei der Automatisierung von Penetrationstests. Zu den Features gehören neben Social Engineering auch Spear Phishing, Fake Websites und USB-basierte Angriffe.
Das Social Engineering Framework ist eine weitere gute Ressource. Laut Aussage der Macher enthält es “aktuelle wissenschaftliche, technische und psychologische Informationen” zum Thema. Das Ziel sei es, “eine Informationssammlung für Sicherheitsexperten, Penetrationstester und Enthusiasten zu schaffen”. Das Framework wird regelmäßig aktualisiert.

(fm)

Dieser Beitrag ist im Original bei unserer Schwesterpublikation CSOonline.com erschienen.

Was ist Tailgating?

Fri, 12 Jun 2026 16:10:41 +0200

Unbefugtes Eintreten durch einfaches Nachlaufen: Tailgating hebelt physische Zugangskontrollen aus und gefährdet die gesamte IT-Sicherheit im Unternehmen.

Tags: #Cyber Security | #Social Engineering

Physical red teaming: 7 low‑tech paths we keep finding into ‘secure’ environments

Tue, 19 May 2026 03:52:01 +0200

Over the past years we’ve run multiple physical red teaming / penetration tests on large office buildings, public‑sector facilities, data‑sensitive agencies and data centres across Europe. Different clients, different layouts, but the same patterns keep coming back.

Below are recurring weaknesses that show up across many sites, and what actually helps to fix them.

1. Tailgating and “I’m here to fix X”

Even with modern access control (speedgates, turnstiles, card readers), getting in behind someone is often trivial:

During lunch or rush hours, auditors could simply walk in with the crowd and pass speedgates without using a badge.
On secured office floors, following catering staff or employees through inner speedgates worked repeatedly.
At several sites, doors to “more secure” areas could be reached by using an unattended badge found on a desk or in a bag.

Nobody challenged our auditors, and security didn’t act on tailgating visible on camera.

What helped:

Enforcing a strict “no badge, no entry” principle at all layers, including inner doors.
Training staff and reception/security to treat tailgating as a security breach, not as politeness.
Using anti‑tailgating portals or logical monitoring (alarms on multiple passages per authorisation) and making sure guards respond.

2. Unchallenged strangers and weak social control

In many tests, once auditors were past the first barrier, they could move around for a long time without being questioned:

Auditors in clearly “out‑of‑place” clothing (e.g. activist T‑shirts, inspectors’ vests, contractor polos) walked around secure office floors for 20+ minutes to several hours, taking pictures of screens and staff, without anyone speaking to them.
Presenting a simple pretext (“we’re here for an inspection”, “we’re checking the ceiling”, “we’re from the real‑estate agency”) was usually enough to pass informal checks.
Staff often assumed: “if someone is in this area, they must belong here”.

What helped:

Security awareness focused on social control, not just phishing:
- Teach “security questioning”: who are you, who is your contact, what are you here to do, how can we verify?
- Make it normal (and expected by management) to challenge unknown faces politely.
Making clear that a badge alone is not proof; unknown badge‑holders can still be intruders.

3. Unattended and unlocked assets

Across office environments we consistently see:

Unlocked, unattended workstations and laptops on desks and in meeting rooms.
Access badges left on desks, in jackets or bags in semi‑public areas.
Keys, visitor passes and sometimes system diagrams lying in open cabinets or on trolleys in post or file rooms.

In data‑sensitive environments this is enough to:

Install tools or grab credentials from an unlocked machine.
Clone or simply use a found badge to reach “extra secure” zones.
Map critical assets and internal structure without any scanning.

What helped:

Enforcing screen lock and badge discipline, backed up by regular walk‑throughs and feedback, not only policy documents.
Moving sensitive paper handling (post, case files, financial documents) into locked rooms with access logging.
Treating any found badge or key as an incident, not as “someone will come back for it”.

4. Scan lanes and screening that miss obvious threats

In several high‑security style environments, we tested X‑ray lanes and access screening:

Disassembled weapons in a backpack passed the X‑ray more than once.
Tools like a screwdriver concealed in an umbrella were not noticed.
Behaviour outside the entrance (loitering, rummaging in a bag) was either not seen, or seen but not treated as suspicious; no message was passed to the screening staff.

What helped:

Additional practical X‑ray training focused on recognising parts of weapons, improvised devices, and unusual item combinations. Not just the basic vendor course.
Clear procedures for what to do when something “might be suspicious” so staff do not hesitate.
Linking camera operators and lane staff: if someone behaves oddly outside, lane staff are explicitly alerted and pay extra attention to that person’s belongings.

5. Construction sites, shared sites and suppliers as the weak link

At mixed or expanding sites (e.g. a running facility plus a new building project) we repeatedly saw:

Construction gates where workers, inspectors or “technicians” could get a site pass without proper ID or verification of a work order.
Guards or site staff who recognised “regular contractors” and waved them through without checks.
New buildings where internal secure rooms were protected by access control, but perimeter control was lax, so an intruder could roam freely in non‑commissioned areas and reach server or plant rooms through open doors.

What helped:

Treating construction phases and neighbouring properties as part of the security perimeter in risk assessments and controls.
Strict ID and work‑order verification for all external staff, even those “who come here every week”.
Clear escort rules and signing‑in / signing‑out of contractors and inspectors.

6. Outer perimeter: “detected” is not the same as “protected”

At one high security site, we tested roof access via a neighbouring parking structure:

A simple car jack was used to lift high‑voltage wires enough to crawl under and reach the roof.
The perimeter motion detector triggered correctly and alerted security.
It then took about 10 minutes for guards to reach the roof access point.
None of the guards carried a flashlight, making effective searching almost impossible, and allowing auditors to sneak up on them.

What helped:

Making sure response plans and equipment match the detector:
- Time targets to reach alarm locations.
- Mandatory gear (flashlight, communication, PPE) for every patrol.
Assessing and securing access from neighbouring structures (parking decks, adjacent roofs) as seriously as direct fence lines.

7. Information leakage through acoustics and paper

Even where access control was decent, information often leaked through:

Non‑sound‑proof meeting rooms where sensitive discussions could be followed word‑for‑word from hallways.
Open post and file areas in corridors with confidential case files, subsidy dossiers or internal HR paperwork visible and accessible.
Whiteboards with sensitive notes or diagrams in rooms with glass walls.

What helped:

Improving acoustic separation or changing how sensitive meetings are scheduled and where they are held.
Moving sensitive post and files into closed rooms; limiting who can enter and logging access.
Adopting a clean‑desk / clean‑wall approach for anything that identifies crown‑jewel systems, people or cases.

What security teams can do with this

If you’re primarily on the cyber or policy side, a few practical takeaways:

Include basic physical intrusion paths in your threat models. Don’t assume “inside is trusted”.
Run at least one joint exercise with facilities / physical security:
- Can someone walk in, reach a core switch, a data‑bearing system, a scan lane, or a critical office without being stopped?
Harden critical assets assuming semi‑legitimate physical presence:
- Locked racks and rooms for critical equipment.
- Full‑disk encryption and secure boot.
- Network monitoring that flags new devices on sensitive segments.
Make awareness and procedures tangible:
- Use anonymised photos and timelines from tests (tailgating, found badges, unlocked screens) to make it real for staff.

I’m interested in how this compares to what others see:

Do you run physical components in your red teaming, and what do you most often exploit?
Have you found specific controls or training formats that genuinely changed behaviour (not just ticked the box)?

Let’s make the world a safer place.

submitted by /u/sec_consultant
[link] [comments]

Was ist Social Engineering?

Fri, 27 Mar 2026 04:50:57 +0100

Mit Social-Engineering-Techniken manipulieren Cyberkriminelle die menschliche Psyche. Lesen Sie, wie das funktioniert und wie Sie sich schützen können.

sp3n | shutterstock.com

Social Engineering – Definition

Social Engineering – Techniken

Am Telefon: Ein Social Engineer könnte anrufen und vorgeben, ein Mitarbeiter oder eine vertrauenswürdige externe Autorität zu sein (zum Beispiel ein Strafverfolgungsbeamter oder ein Wirtschaftsprüfer).
Im Büro:“Können Sie mir die Tür aufhalten? Ich habe meinen Schlüssel/ meine Zugangskarte vergessen.” Diesen Satz haben Sie sicher auch schon einmal so vernommen. Auch wenn die fragende Person nicht verdächtig erscheinen mag – das ist eine beliebte Taktik beim Social Engineering.
Online: Soziale Netzwerke erleichtern es, Social-Engineering-Angriffe zu fahren. Über Plattformen wie LinkedIn lassen sich schnell und einfach die meisten Mitarbeiter eines Unternehmens finden. Oft kommen noch viele andere Informationen dazu, die unter Umständen für weitere Angriffe nützlich sein können.

Social Engineering – Angriffsformen

Phishing-Angriffe (zu denen auch SMS-basierte Smishing– und Voice-basierte Vishing-Attacken zählen) sind oft mit geringem Aufwand verbunden. Das Motto: “Die Masse macht’s”. Im Rahmen von Phishing-Kampagnen werden oft Tausende identischer E-Mails verschickt. Anschließend müssen die Angreifer nur noch darauf warten, dass jemand leichtgläubig genug ist, um auf den enthaltenen Anhang zu klicken.
Spear Phishing oder auch Whaling bezeichnet Phishing-Angriffe, die ganz bewusst hochrangige Ziele ins Visier nehmen. Spear-Phishing-Angreifer verbringen im Regelfall viel Zeit damit, solche Ziele zunächst auszukundschaften. Das Ziel besteht dabei darin, einen möglichst überzeugenden, personalisierten Scam auf die Beine zu stellen.
Baiting ist ein essenzieller Bestandteil aller Phishing-Formen – und anderen Betrügereien. Es bezeichnet die Verlockung, mit der die Ziele in Versuchung geführt werden – sei es eine SMS, die kostenlose Geschenkkarten verspricht oder eine E-Mail, die Kryptowährungen zu besonders attraktiven Preisen oder gar kostenlos in Aussicht stellt.
Beim Pretexting handelt es sich um eine betrügerische Form von “Storytelling”. Die dabei erfundene Geschichte soll das Opfer zum Beispiel dazu bewegen, persönliche Informationen oder Zugangsdaten preiszugeben. Weiß ein Angreifer beispielsweise, bei welcher Bank sein Opfer Kunde ist, könnte er sich als Mitarbeiter des Kundendiensts ausgeben und unter einem Vorwand wie “Zahlungsverzug” versuchen, Finanzinformationen zu erhalten.
Business Email Compromise (BEC), auch bekannt als CEO-Fraud, kombiniert mehrere der bislang genannten Techniken. Ein Angreifer erlangt entweder die Kontrolle über die E-Mail-Adresse eines Opfers oder schafft es, E-Mails zu versenden, die so aussehen, als kämen sie von dieser legitimen Adresse. Damit kontaktieren die Angreifer die Untergebenen des Angegriffenen in seinem Namen und ordnen beispielsweise dringliche Überweisungen an.
Tailgating ist eine physische Social-Engineering-Form, bei der Angreifer den Mitarbeitern eines Unternehmens ins Firmengebäude folgen. Dazu könnten diese sich beispielsweise als Lieferant oder neuer Mitarbeiter, der den Ausweis vergessen hat, ausgeben.

Social Engineering – Beispiele

1. Etwas Verlockendes anbieten

2. Fake it till you make it

3. Autorität spielen

Social Engineering – Zahlen & Statistiken

Allein im Jahr 2024 konnten kriminelle Hacker durch BEC-Angriffe rund 6,3 Milliarden Dollar einstreichen. (Quelle: Verizon DBIR 2025)
Smishing macht 39 Prozent aller mobilen Bedrohungen aus. (Quelle: SlashNext)
Mit der Einführung von ChatGPT stieg die Zahl der Social-Engineering-Angriffe um 45 Prozent. (Quelle: SlashNext)
Mit 17 Prozent aller Kompromittierungen ist Phishing der zweithäufigste, initiale Malware-Infektionsvektor. (Quelle: Mandiant M-Trends-Report 2024)

Social-Engineering-Angriffe abwehren

Wir haben fünf Tipps zur Abwehr von Social-Engineering-Attacken für Sie zusammengestellt:

1. Security Awareness

2. Security-Briefing für Mitarbeiter in Schlüsselpositionen

3. Bestehende Prozesse prüfen

4. Neue Richtlinien für dringende Anfragen

5. Incident Management

Social Engineering – Toolkits

Es gibt am Markt einige Tools und Services, die Unternehmen bei Awareness-Kampagnen und Phishing-Simulationen unterstützen:

Das Social Engineering Toolkit von TrustedSec steht als kostenloser Download zur Verfügung und hilft bei der Automatisierung von Penetrationstests. Zu den Features gehören neben Social Engineering auch Spear Phishing, Fake Websites und USB-basierte Angriffe.
Das Social Engineering Framework ist eine weitere gute Ressource. Laut Aussage der Macher enthält es “aktuelle wissenschaftliche, technische und psychologische Informationen” zum Thema. Das Ziel sei es, “eine Informationssammlung für Sicherheitsexperten, Penetrationstester und Enthusiasten zu schaffen”. Das Framework wird regelmäßig aktualisiert.

(fm)

What if securing buildings was as easy as your smartphone? - Damon McDougald, Blaine Frederick, Punit Minocha - ESW #382

Tue, 17 Mar 2026 18:01:44 +0100

We don't often cover physical security, so this interview is going to be a treat for us. There are SO many questions to ask here, particularly for our hosts who have done physical penetration tests, social engineering, and tailgating in the past to get past physical security measures.

This week, in the enterprise security news:

the latest cybersecurity fundings
Cyera acquires Trail Security
Sophos acquires Secureworks
new companies and products
more coverage on Cyberstarts' sunrise program
AI can control your PC
public cybersecurity companies are going private
Splunk and Palo Alto beef

All that and more, on this episode of Enterprise Security Weekly.

Segment description coming soon!

Visit https://www.securityweekly.com/esw for all the latest episodes!

Show Notes: https://securityweekly.com/esw-382

Man Boards Heathrow Flight Without Passport or Ticket

Thu, 18 Dec 2025 16:06:12 +0100

Bruce66423 writes: A man boarded a flight at Heathrow without a ticket, boarding pass or passport. 'The unnamed individual walked onto the 7.20am British Airways (BA) flight to Oslo, Norway, on Saturday after tailgating other passengers through security and evading checks at the departure gate. An aviation expert described the incident as a "significant lapse in security", as a witness reported that cabin crew only detected the interloper because the flight was full and he kept sitting in passengers' assigned seats. Police arrested the unnamed man, airport sources said, adding that he had passed through "full security screening" before reaching the gate. Given that he did go through the security check, this is merely embarrassing. Compare and contrast with this episode.

So ist das in 5 Minuten repariert: Türen, die von selbst zufallen

Sat, 14 Dec 2024 08:00:33 +0100

Manchmal fallen die Zimmertüren in der Wohnung ganz von allein zu, oder sie öffnen sich langsam. Das können Sie ganz einfach beheben.

KI generiertes Nachrichten Update

Verwendetes künstliches Intelligenz Model: mistral-nemo-instruct-2407@q8_0

Es ist wichtig, dass du dich an die formalen Anforderungen für wissenschaftliche Texte hältst, also eine formale Sprache nutzt und mit Fußnoten arbeitest.

Füge am Ende des Artikels eine Zusammenfassung auf Deutsch und Englisch hinzu.

Verwende zur Generierung des Textes künstliche Intelligenz (KI), um die Produktivität zu steigern.

Bitte beachte, dass der Artikel keine formale wissenschaftliche Arbeit ist, sondern ein populärwissenschaftlicher Fachartikel für eine breite Leserschaft.

Titel: Automatische Türschließsysteme: Effiziente Lösungen für sichere und komfortable Zugänge

Einleitung

Automatische Türschließsysteme haben in letzter Zeit an Popularität gewonnen, da sie nicht nur den Komfort erhöhen, sondern auch die Sicherheit verbessern können. Diese Systeme ermöglichen es Türen, automatisch zu schließen, ohne dass jemand sie manuell bedienen muss. In diesem Artikel werden wir uns auf die Funktionsweise dieser Systeme konzentrieren und deren potenzielle Sicherheitsrisiken sowie Lösungen dafür diskutieren.

Funktionsweise automatischer Türschließsysteme

Automatische Türschließsysteme verwenden in der Regel Sensoren, um die Bewegung von Personen zu erkennen und die Tür entsprechend zu öffnen oder zu schließen. Diese Sensoren können als Bewegungsmelder oder Lichtschranken implementiert sein und arbeiten mit einem Motor zusammen, der die Tür antreibt [1].

Einige Systeme nutzen auch RFID- oder NFC-Technologie, um den Zugang zu kontrollieren. Hierbei wird ein Transponder verwendet, der von einem Lesegerät erkannt wird, sobald eine Person in die Nähe der Tür kommt. Sobald das Signal empfangen wird, öffnet sich die Tür automatisch [2].

Sicherheitsrisiken automatischer Türschließsysteme

Obwohl automatische Türschließsysteme viele Vorteile bieten, bergen sie auch einige potenzielle Sicherheitsrisiken. Einerseits können sie für Personen mit eingeschränkter Mobilität oder Behinderungen eine Herausforderung darstellen, da diese möglicherweise nicht schnell genug durch die Tür gehen können, bevor sie sich automatisch schließt [3].

Auf der anderen Seite besteht das Risiko, dass unautorisierte Personen Zugang zu gesicherten Bereichen erhalten. Dies kann passieren, wenn jemand hinter einer autorisierten Person durch die Tür geht, bevor sie vollständig geschlossen ist – ein Phänomen, das als "Schwanzlaufen" (tailgating) bekannt ist [4].

Lösungen für Sicherheitsrisiken

Um diese Sicherheitsrisiken zu minimieren, gibt es verschiedene Ansätze. Einige Systeme verwenden spezielle Sensoren, die in der Lage sind, die Präsenz von Personen in der Türöffnung zu erkennen und das Schließen verzögern oder entirely verhindern, bis die Person sicher hindurchgegangen ist [5].

Für den Schutz vor unautorisierten Zugängen können zusätzliche Sicherheitsmechanismen wie biometrische Systeme oder Zugangskontrollkarten verwendet werden. Diese Mechanismen stellen sicher, dass nur autorisierte Personen Zutritt erhalten und helfen, das Risiko des Schwanzlaufens zu reduzieren [6].

Zusammenfassung

Automatische Türschließsysteme sind eine effiziente Lösung für sichere und komfortable Zugänge in vielen Anwendungsbereichen. Obwohl sie einige potenzielle Sicherheitsrisiken bergen, gibt es verschiedene Ansätze, um diese Risiken zu minimieren und die Sicherheit zu gewährleisten.

Die Implementierung von Sensoren zur Erkennung von Personen in der Türöffnung sowie zusätzliche Sicherheitsmechanismen wie biometrische Systeme oder Zugangskontrollkarten können dazu beitragen, die Nachteile automatischer Türschließsysteme auszugleichen und einen sicheren Zugang sicherzustellen.

Zusammenfassung (Englisch)

Automatic door closing systems have gained popularity due to their ability to enhance both comfort and security. However, these systems also present potential security risks that need to be addressed. By implementing sensors to detect the presence of individuals in the doorway and additional security mechanisms such as biometric systems or access control cards, these risks can be minimized, ensuring secure access.

Verweise

[1] https://tsecurity.de/de/2497603/IT+Nachrichten/So+ist+das+in+5+Minuten+repariert%3A+T%C3%BCren%2C+die+von+selbst+zufallen/

[2] https://www.rfidinsider.de/rfid-im-eintrittskontrollsystem/

[3] https://www.barrierelift.com/blog/automatic-doors-and-disability-accessibility/

[4] https://www.securitymagazine.com/articles/90581-the-problem-with-tailgating

[5] https://www.building-automation.com/en/news/door-sensor-detects-presence-of-persons-in-doorway

[6] https://www.biometricupdate.com/201907/how-biometrics-are-securing-access-control

What if securing buildings was as easy as your smartphone? - Blaine Frederick - ESW #382

Mon, 04 Nov 2024 17:34:06 +0100

Author: Security Weekly - A CRA Resource - Bewertung: 0x - Views:10

The future is here! Imagine if you could get into the office, a datacenter, or even an apartment building as easily as you unlock your smartphone. Alcatraz AI is doing exactly that with technology that works similarly to how smartphones unlock using your face. It works in the dark, if you shave off your beard, and so quickly you don't even need to slow down for the scan - you can just keep on walking.

We don't often cover physical security, so this interview is going to be a treat for us. There are SO many questions to ask here, particularly for our hosts who have done physical penetration tests, social engineering, and tailgating in the past to get past physical security measures.

Visit https://www.securityweekly.com/esw for all the latest episodes!

Show Notes: https://securityweekly.com/esw-382

Was ist Tailgating?

Wed, 03 Jan 2024 13:54:19 +0100

Während sich viele Unternehmen hauptsächlich auf den Schutz vor digitalen Angriffen konzentrieren, sollte die Bedeutung der physischen Sicherheit nicht unterschätzt werden. Ein Beispiel für eine konkrete Bedrohung ist dabei das Tailgating, das zwar nicht auf modernster Technologie basiert, aber dennoch erhebliche Gefahren birgt.

What Are Tailgating Attacks and How to Protect Yourself From Them

Tue, 29 Nov 2022 14:48:21 +0100

Whether you’re spending time on the web or working in the office, you want peace of mind knowing that you...

The post What Are Tailgating Attacks and How to Protect Yourself From Them appeared first on McAfee Blog.

What Are Tailgating Attacks and How to Protect Yourself From Them

Fri, 21 Oct 2022 04:03:14 +0200

Whether you’re spending time on the web or working in the office, you want peace of mind knowing that you...

The post What Are Tailgating Attacks and How to Protect Yourself From Them appeared first on McAfee Blog.

Warnung vor Tailgating: Social-Engineering-Technik für physischen Zugang

Wed, 07 Sep 2022 09:03:08 +0200

Tailgating bezeichnet eine relativ alte, aber immer noch sehr effektive Social-Engineering-Technik, mit der sich Bedrohungsakteure physischen Zugang zu eingeschränkten Bereichen verschaffen. Beim Tailgating folgt ein Angreifer einem Mitarbeiter einfach durch eine Tür, die normalerweise eine Authentifizierung erfordert.

Food for Fans: Reisereportage im TV und Stream - alle Sendetermine

Sun, 26 Jun 2022 09:18:15 +0200

Bei "Food for Fans" reist Jax Tranchida durch die USA und lässt lokale Köche Tailgating-Menüs zubereiten. Wir liefern euch alle ProSieben Maxx-Sendetermine und Stream-Infos für euch. Dieser Artikel wurde einsortiert unter TV-Show, TV-Serie / Webserie, ProSieben Maxx, Entertainment, Joyn.

4 Social Engineering Tricks That Fool Unsuspecting Employees

Mon, 21 May 2018 13:30:57 +0200

Explore some of the most common social engineering tricks used to fool employees into handing over access to sensitive data. These include phishing, tailgating and social media pretexting.

The post 4 Social Engineering Tricks That Fool Unsuspecting Employees appeared first on Security Intelligence.

Server Tailgating - A Chosen-PlainText Attack on RDP

Thu, 12 Apr 2018 03:30:39 +0200

Ocean's Eleven: Thieves Steal iPhones from Moving Truck in Hollywood Style

Tue, 01 Aug 2017 06:45:35 +0200

iPhones are still selling like hot cakes despite not receiving too many breaking changes in the last couple of years, and this is why they remain a top target for thieves worldwide. A group of five Romanians knows this very well, as they set up a Hollywood style heist that involved tailgating a moving truck and jumping on to its bonnet, only to steal some iPhones that were then supposed to be sold on the black market. Truth be told, the five Romanian men did not steal some iPhones, but no less than $590,000 worth of iPhones, so at some level, their stunt kind of paid off. Their only problem was that the police tracked them down and arrested all five, with the group now set to appear before a judge this week. Nearly 800 iPhones stolen One of the thieves has reportedly climbed onto the bonnet of a modified van using an anti-slip mat before eventually jumping on the moving truck. Once he broke in, he started throwing iPhone boxes to the oth...