Risikofaktor Mensch: Die Kunst des Social Engineering

Zum einen sind klare Kommunikationsregeln gefragt. Mitnick empfiehlt den Unternehmen, ihren freundlichen Helpdesk-Mitarbeitern auch mal ein klares Nein beziehungsweise eine Absage mit auf den Weg zu geben, wenn eine Anfrage ein auffälliges Verhaltensmuster aufweise oder nicht den internen Richtlinien entspreche. Pauschale Freundlichkeit sei nur dann ein Dienst am Kunden, wenn dieser auch tatsächlich anfrage und nicht ein vermeintlicher Angreifer, der auch noch zuvorkommend bedient werde.

HUMAN FIREWALL Die größten Löcher in der ‚menschlichen Firewall‘ sind… der Glaube an die eigene Unverwundbarkeit. Gerade in Kreisen von Fachexperten oder IT-Professionals ist er immer wieder anzutreffen. die natürliche Tendenz anderen Personen erst einmal blindes Vertrauen entgegen zu bringen. die Wahrnehmung, dass die Befolgung von Sicherheitsrichtlinien reine Zeitverschwendung darstellt. die Veranlagung, den wahren Wert von Informationen zu unterschätzen. der Wunsch, anderen zu helfen. die Tendenz, die Konsequenzen des eigenen Tuns nicht überblicken zu können.

Als die vier wichtigsten Ursachen, die dem Social Engineering von innen heraus den Boden bereiten, gelten schlechtes Betriebsklima, keine Karrierechancen, Lohndumping sowie mangelnde Fort- und Weiterbildungskonzepte. Parallel dazu findet überdurchschnittlicher Einsatz unten von ganz oben nur entsprechend wenig Widerhall und Lob. Und genau an dieser Schnittstelle setzen Plagiatoren mit Hilfe von Social-Engineering-Techniken an.

Der spektakulärste Fall ereignete sich im Februar 2005. Eine chinesische Studentin nahm ihr Praktikum beim französischen Automobilzulieferer Valeo auf. Li-Li W. war auffallend oft mit einem privaten Notebook anzutreffen. Bei einer Wohnungsdurchsuchung stießen die Ermittler auf mehrere Computer mit vertraulichen Daten.

Ähnliche Fälle lassen sich auf den Internetseiten der Landesämter für Verfassungsschutz nachvollziehen. Erst vor wenigen Wochen berichtete ein Hamburger Unternehmen, wie einige chinesische Praktikanten am Kopierer dabei ertappt wurden, wie sie nach Dienstschluss, quasi im Kerzenschein, Hunderte Seiten betriebsinternes Know-how kopierten. Diese schickten sie auf Firmenkosten säuberlich verpackt an ihr chinesisches Heimatunternehmen.

Den Raubkopierern und Wirtschaftsspionen allein mit den Mitteln der Strafverfolgung zu begegnen, läuft ins Leere. Zumal es auf der anderen Seite an jeglichem Unrechtsbewusstsein fehlt. Auch der moralische Fingerzeig auf China hilft wenig weiter, denn es gibt genug andere Staaten – auch aus den Reihen der High-Tech-Industrieländer -, die es dem Reich der Mitte gleichtun.

Als eine probate Gegenmaßnahme gegen Industrie- und Wirtschaftsspionage empfiehlt Mitnick, an zentralen Stellen anzusetzen, etwa der Verschlüsselung von Daten. Dort sei mindestens das so genannte Vier-Augen-Prinzip strikt zu beachten, statt profundes Geheimwissen nur auf eine Schulter zu verteilen.

Versagt im Unternehmen die menschliche Firewall gänzlich, sind statt hektischer Betriebsamkeit Lösungen gefragt. Für Sicherheitsexperten zaubert schon die erste Analyse überraschende Erkenntnisse hervor, etwa wenn der Geschäftspartner im Ausland mit automatischen Zugriffsrechten auf sensible Informationsbestände ausgestattet ist.