Betrug durch Social Engineering – was tun?
IT-Lexikon: was es mit Zero Trust und Zero Day auf sich hat
29. Dezember 2022
„Tickende Zeitbombe“ – Millionen mit alten Windows-Systemen unterwegs!
9. Januar 2023
Social Engineering – woran Sie es erkennen können
Social Engineering oder auch „Menschen-Hacking“ kommt unaufgefordert und unerwartet. Die Anrufer gehören nicht zu Ihrem persönlichen Netzwerk. Mail-Absender sind Ihnen entweder unbekannt, oder diese Mails tragen gefälschte Absenderkennungen.
Social Engineering per Telefon
Beispiel Enkel-Telefontrick: Ein unbekannter Anrufer behauptet dringenden Geldbedarf eines Enkels oder anderer Angehörigen und fordert zur Überweisung von Gelbeträgen auf unbekannte Konten auf.
Eine andere Telefonbetrugsmasche sind Anrufe, die angeblich von „Interpol“, „Europol“ oder anderen Polizeidienststellen stammen. Diese erfolgen automatisch per Call-Bot: Sie werden per Bandansage aufgefordert, eine Taste zu drücken. Wer das tut, wird zu einem angeblichen Mitarbeiter der anrufenden Organisation durchgestellt, der Konto- oder andere sensible Daten haben will – zum Beispiel Ausweisnummern, die sich später für illegale Handlungen verwenden lassen. Oder der Betrüger will gleich Geld – beim Lotterietrick sind es beispielsweise Ablösesummen, um sich aus einem angeblich bestehenden Vertrag freizukaufen.
Fachleute sprechen in solchen Fällen von Scam-Anrufen. Die Abkürzung steht für englisch: Betrug.
Und nicht nur Senioren fallen auf die perfiden Tricks herein! Denn die Betrüger werden immer raffinierter. So beschrieb der SPIEGEL den Fall einer Studentin aus dem Ausland, die um 20 000 Euro geprellt wurde. Sie erhielt einen Fake-Anruf, der angeblich von Europol stammen sollte. Sie hatte Angst vor dem Verlust ihrer Aufenthaltsgenehmigung und zahlte ihr Erspartes auf ein angebliches „Sicherungskonto“. Geld weg!
Social Engineering per Mail
Social Engineering gibt es auch per Mail – zum Beispiel angeblich offene Rechnungen eines Unternehmens oder die Aufforderung, die eigenen Kontodaten zu verifizieren. Der Klick in den eingebetteten Link einer Mail führt zu einer nachgebauten Fake-Seite, in die man seine Login-Daten fürs eigene Konto eingeben soll. Diese Angaben landen aber direkt in die Datenbank der Cyberkriminellen.
Achtung: Die Täter haben für viele denkbare Fälle glaubwürdige Geschichten parat. Stets bauen sie Zeitdruck auf und nutzen Ängste von Opfern. In anderen Fällen können Links in sogenannte Phishing Mails von Cyberkriminellen auch zu Schadsoftware führen, die dann auf Opfer-Computer heruntergeladen wird.
Auch bedeutende Unternehmen sind bereits Opfer elektronischer Betrugsmaschinen geworden und haben Millionen-Verluste erlitten. Hier ein Handelsblatt-Bericht über einen solchen Fall. Auch angeblichen Mails von Vorgesetzten, die zu Überweisungen auffordern (CEO-Fraud), sollten Mitarbeitende mit Misstrauen begegnen, wie dieses Beispiel belegt. Misstrauisch sollten sie auch sein, wenn angebliche Mitarbeitende Ihrer IT-Abteilung Sie um Mitteilung Ihrer Zugangsdaten bitten, um IT-technisch etwas in Ordnung zu bringen. In Wahrheit wollen sie sich Zugang zum Unternehmens-Netzwerk verschaffen.
In Online-Partnerbörsen mit Gefühlen spielen
Eine besonders perfide Masche des Social Engineerings gibt es in Online-Partnerbörsen: Täter*innen bändeln in Online-Partnerbörsen mit künftigen Opfern an. Sie täuschen romantische Gefühle vor. Wenn die so aufgebaute Beziehung weit genug gediehen ist, bitten Sie um Geld für die Anreise zu einem persönlichen Besuch. Ist der Betrag überwiesen, so sind die Täter aus dem Portal verschwunden!
Wie Sie sich gegen Social Engineering schützen können.
Im Fall der Scam-Anrufe empfiehlt das Bundeskriminalamt:
- Telefonisch keine persönlichen oder finanziellen Daten preisgeben!
- Den Aufforderungen des Anrufers nicht folgen. Sich nicht in ein Gespräch verwickeln lassen und Druck nicht nachgeben. Am besten einfach auflegen.
- Niemals Geld an unbekannte Personen übergeben!
- Bei Scam-Anrufen Strafanzeige bei der örtlichen Polizeidienststelle erstatten.
- Die Nummer der angeblichen Polizeidienststelle recherchieren und selbst wählen. Niemals einfach die Rückruftaste betätigen. Quelle Fakten.
Ergänzende Hinweis: Sagen dem Scam-Anrufer, dass es gerade nicht passt. Tatsächliche Amtspersonen werden das akzeptieren. Idealerweise bei einer Call-Bot-Ansage gar nicht erst irgendeine Taste zu drücken und sofort auflegen. Melden Sie Rufnummern betrügerischer Anrufer unter der Mailadresse rufnummernmissbrauch@bnetza.de der Bundesnetzagentur, damit diese gesperrt werden können. Dass dies geschieht, zeigt sich an einem Beispiel aus Cashys Blog: Die Bundesnetzagentur hat Rufnummern abgeschaltet, die Steuerrückerstattungen versprachen. In Wahrheit wollten die Betrüger aber an Kontodaten und Kontozugänge ihrer Opfer gelangen.
Betrügerische Mails erkennen und abwehren
Das Bundesamt für die Sicherheit in der Informationstechnik (BSI) empfiehlt einen 3-Sekunden-Sicherheitscheck:
- Ist Ihnen der Absender bekannt? Achtung: siehe ergänzende Hinweise!
- Ist der Betreff sinnvoll? Oft sind die Betreffzeilen in Phishing-Mails vage – zum Beispiel „Ihre Rechnung“ oder „Mahnung“.
- Erwarten Sie eine Mail vom behaupteten Absender“?
Ergänzende Hinweise: Auch Mails von vermeintlich bekannten Absendern können betrügerisch sein. Zum einen nutzen Cyber-Kriminelle Soziale Netzwerke, um entsprechende Informationen zu sammeln. Zum anderen kann es sein, dass sie über Spyware die Adressspeicher infizierter Computer von Personen aus Ihrem Netzwerk ausgelesen haben. Bei einer falschen Rechnungs- oder Mahnungs-Mail kann ein telefonischer Quercheck mit dem angeblichen Absender helfen.
Niemals sollten Sie einer Aufforderung nachkommen, etwas downzuloaden. Das können auch Remote-Anwendungen sein, mit denen sich Täter Zugang zu Ihrem Endgerät verschaffen können – zum Beispiel „AnyDesk“.
Nicht selten enthalten teilweise täuschend echt aufgemachte Versandbenachrichtigungen Schadlinks, über die Leichtsinnige sich Trojaner & Co. auf ihre Computer holen.
Um kriminelle Links aufzuspüren, kann auch das sogenannte „Hovern“ helfen. Fahren Sie mit der Maus OHNE ZU KLICKEN auf einen Link. Er wird ihnen dann angezeigt, und Sie können sehen, ob er tatsächlich von der Domain stammt, die behauptet wird.
Schwachstelle Mensch und Schulungen für mehr EDV-Resilienz
Mitarbeitende sollten in Schulungen regelmäßig über Gefahren im Netz und durch das Social Engineering sensibilisiert werden. Wer keine eigene IT-Abteilung hat, kann auf die Erfahrung externer IT-Systemadministratoren beispielsweise der Computer-Experten von reinheimer systemloesungen in Darmstadt zurückgreifen. Auch Rundmails können auf aktuelle menschengemachte IT-Sicherheitsprobleme aufmerksam machen.
Mehr über Phishing und Social Engineering lernen Sie auch in einem interessanten Google-Quiz.
reinheimer systemloesungen in Südhessen: seit zwei Jahrzehnten im Einsatz für Ihre IT-Security
Seit mehr als 20 Jahren beschäftigt sich der Informatiker Pascal Reinheimer mit seinem EDV-Unternehmen reinheimer systemloesungen im Kreis Darmstadt-Dieburg, mit IT-Security für Unternehmen, den Medizinsektor (Arztpraxis, Praxisnetzwerke), NGOs und Vereine. IT-Administrator Reinheimer erstellt gemeinsam mit seinem Team auf Wunsch einen IT-Notfall-Plan, spürt in Penetrationstests EDV-Sicherheitslücken auf, spielt aktuelle Sicherheits-Updates auf und ist bei Problemen innerhalb vereinbarter Rufbereitschaften rechtzeitig als Helpdesk verfügbar. Eine grundlegende IT-Infrastrukturanalyse kann Hinweise darauf bringen, wie mehr EDV-Sicherheit und Produktivität erreicht werden können. Die EDV-Experten aus Darmstadt betreuen zumeist langjährig mehr als 120 Kundinnen und Kunden in der Region Frankfurt/Darmstadt/Wiesbaden. Das Operationsgebiet den Systemhauses reinheimer systemloesungen erstreckt sich beispielsweise über den Landkreis Darmstadt-Dieburg, den Odenwaldkreis, Frankfurt am Main, den Wetteraukreis, den Landkreis Groß-Gerau, den Hochtaunuskreis, den Landkreis Bergstraße, die Stadt Hanau, den Main-Kinzig-Kreis, den Main-Taunus-Kreis, den Landkreis Offenbach und die Stadt Offenbach am Main, den Rheingau-Taunus-Kreis sowie die Landeshauptstadt Wiesbaden.
Social Engineering – mehr zum Thema:
BKA-Warnung vor Scam-Anrufen – und was Sie tun sollten!