Risikofaktor Mensch: Die Kunst des Social Engineering

Von Industriespionage betroffen sind nach Angaben der Arbeitsgemeinschaft für Sicherheit der Wirtschaft (ASW) mittlerweile Unternehmen aller Branchen, die Hochtechnologie entwickeln oder vertreiben. Dazu kämen kleine und mittlere Firmen, die Spezialprodukte herstellen.

Längst ist das Phänomen der Produktpiraterie deshalb nicht mehr auf gefälschte Luxus- oder Konsumgüter begrenzt. Experten des Verbands Deutscher Maschinen- und Anlagenbau (VDMA) schätzen den jährlichen Umsatzverlust für ein Industrieunternehmen durchschnittlicher Größe auf drei bis fünf Prozent. Rechtliche und organisatorische Maßnahmen zum Schutz der eigenen Marke verpuffen angesichts der Übermacht der Angreifer zum machtlosen Potenzgehabe.

Das größte Risiko kommt oftmals aus der Mitte des Unternehmens selbst – nämlich Tätern, die von innen heraus agieren. Hierzu gibt es keine verlässlichen Zahlen. Zahlreiche Studien, wie eine kürzlich vom Sicherheitsspezialisten McAfee durchgeführte Analyse, zeigen aber, dass europäische Unternehmen die Sicherheit ihrer Geschäftsdaten zunehmend von innen heraus aufs Spiel setzen. Immer häufiger seien Mitarbeiter die Ursache dafür, dass besonders wertvolle und vertrauliche Unternehmensinformationen ungeschützt dem Zugriff durch Unbefugte ausgesetzt sind.

Nach Auffassung von McAfee bleiben Investitionen in Lösungen zum Schutz von Geschäftsdaten vor externen Bedrohungen und Hacker-Attacken deshalb häufig unwirksam, weil eine vollständige Kommunikation der internen Sicherheitsvorgaben nicht gelinge und sich Mitarbeiter allzu sorglos verhielten.

Eigentlich sind all diese Tricks um an vertrauliche Daten zu gelangen schon seit Jahren bekannt. Das weiß auch Mitnick. Warum funktionieren sie immer noch? Der Berater hat darauf eine plausible Antwort: „Gerade bei Spezialisten existiert ein verhängnisvoller Glaube an die Immunität und Unverwundbarkeit gegenüber dem Social Engineering.“ Berichte zeigen, dass auch gut ausgebildete und wachsame IT-Professionals schon Opfer von Phishing-Attacken auf ihre Online-Banking-Daten geworden sind.

Mitarbeiter sind das größte Kapital, das gezielte Ausnutzen menschlicher Sicherheitslücken – Social Engineering – birgt aber für die „Kronjuwelen“ des Unternehmens gleichzeitig das größte unternehmerische Risiko. Patentrezepte dagegen gibt es keine. Unternehmen sind gefordert, die Ursachen zu erkennen und durch geeignete Maßnahmen dagegen zu steuern.