# Social Engineering Threats and Enterprise Defense Strategies

**Podcast:** Engineering Kiosk
**Published:** 2026-07-14

## Transcript

Guten Tag, hier ist Andi von der Raiffeisenmarktfiliale in Neukirchen-Flühen.
Wie kann ich Ihnen helfen?
Ja, servus.
Da ist der Wolfgang aus der zentralen IT-Abteilung aus München.
Ich hätte eine kurze Frage.
Hast du gerade geöffnet?
Ja, die Filiale ist gerade geöffnet.
Okay, das ist eigenartig, weil ich habe da Warnmeldung bekommen, weil wir seit ungefähr 42 Minuten keine Buchungsdaten mehr aus eurer Filiale bekommen.
Sind bei euch Kunden im Geschäft oder funktioniert das Internet bei euch?
Einen Moment, ich schaue mal ganz kurz auf die Kameras.
Ja, ich sehe jetzt gerade hier fünf Kunden auf den Videokameras und Internet.
Einen Moment.
Also Google funktioniert.
Okay, einartig.
Ich sehe keine Buchungsdaten.
Ich muss gleich aus dem Büro raus meine Kinder abholen in zehn Minuten.
Könntest du mal ganz schnell helfen, dass wir rausfinden, gemeinsam, was da das Problem ist?
Ich kann versuchen zu helfen.
Ich weiß nicht genau wie, was ich tun soll.
Ja, wir gehen da Schritt für Schritt durch.
Das ist überhaupt kein Problem.
Du sitzt vorm Computer?
Ja, ich sitze gerade vorm Computer.
Okay, dann checken wir als erstes mal, ob grundsätzlich eure Filiale Zugang zum Backend-Server in München hat.
Kannst du einfach mal einen Browser öffnen, also Internet Explorer.
Ist das dieses kleine E hier unten?
Das ist blau?
Ja, genau, das blaue Symbol Internet Explorer.
Okay, einen Moment.
Browser ist geöffnet.
Okay, kannst du mal die Adresse eingeben?
pos.corporate.raifeisen.com Da sollte dann so eine Netviva-Anmeldeseite kommen.
Einen Moment.
Es lädt, es lädt.
Nee, da erscheint nichts.
Okay, dann könnte das das Problem sein, warum keine Buchungsdaten durchgehen.
Kannst du mal noch eine andere Webseite bitte ausprobieren, um was zu prüfen?
Kann irgendeine Webseite sein, Facebook zum Beispiel, gerade ob die zum Öffnen funktioniert.
Okay.
Facebook.com.
Ja, Facebook funktioniert.
Okay, dann scheint die Internetverbindung zu funktionieren.
Ich würde gerne noch so ein Diagnosewerkzeug testen.
Kannst du mal auf SEO...
rg.org, also seorg.org gehen.
So ein internes Testing-Tool ist ein bisschen eigenartige Adresse.
Okay, einen Moment.
So, die Seite wird geladen.
Dort steht jetzt Sicherheit durch Bildung und dann ist da irgendein seltsames Logo.
Okay, dann haben sie da wahrscheinlich was geändert wegen der Adresse.
Wir können eine alternative Seite verwenden.
Kannst du mal bitte auf thismachine.info gehen?
Okay, auch die Seite ist nun offen.
Da steht jetzt, dass ich Internet Explorer 11 verwende.
Perfekt.
Unterhalb von der IP-Adresse, also diese Zahlen mit den Punkten dazwischen, da steht nur so eine technische Information.
Dort müsste irgendwas so mit Windows oder Mac stehen.
Kannst du mir das bitte vorlesen?
Ja, da stehen jetzt einige Begriffe, die ich jetzt nicht so ganz verstehe.
Mozilla.5.0, Windows NT 6.1, Win 64.
Trident 7.0 11 like Gecko.
Okay, perfekt.
Dann liegt es vermutlich an einem Routing-Problem zu eurer Filiale.
Bist du mit dem VPN aktuell verbunden?
Ich weiß nicht, was das ist.
Wie kann ich das überprüfen?
Einfach unten im Startmenü links die Programmliste mal aufmachen.
Gibt es da irgendeinen Ordner Cisco oder Cisco AnyConnect?
Ich sehe hier nichts, das so heißt.
Oder AirWatch vielleicht?
VM wäre so Ordner, wo dann Unterpunkte drin sind?
Nö, sehe ich ebenfalls nicht.
Bist du an einem Laptop oder am Desktop, bitte?
Desktop, Dell.
Ah, okay, das ist klar.
Also die VPN-Software gibt es eigentlich nur auf Laptops bei uns.
Ich sehe auch gerade, dieses Problem ist ja erst heute aufgetreten.
Ihr habt ja gerade die letzte Stundenabrechnung gehabt vom letzten Monat mit den ganzen Anwesenheitszeiten der Mitarbeiter.
Die haben bei euch funktioniert, oder?
Ihr habt ja auch die Gehaltsabrechnung und so korrekt alle bekommen.
Das heißt, die Daten von vor...
Gestern sind ordentlich durchgegangen.
Ja, wir stempeln ganz normal, so wie immer.
Und alle Stunden wurden auch korrekt bezahlt und abgerechnet.
Also ich habe von meinen Kollegen jetzt von kein Problem gehört.
Okay, perfekt.
Wie lange arbeitest du eigentlich schon bei uns?
Ich bin seit ungefähr einem Jahr dabei.
Ganz genau, ein Jahr und drei Tage.
Ich hatte gerade mein Einjähriges.
Okay, Gratulation dazu.
Ich muss gerade mal überlegen, was es sonst noch sein könnte für ein Problem.
Also ich weiß jetzt nicht, ob das hilft, aber wir hatten vor ungefähr zwei Wochen Probleme mit Geschenk- und Kreditkarten hier bei uns in der Filiale.
Vielleicht hängt damit was zusammen?
Sollte eigentlich eher nicht zusammenhängen, aber das Problem haben wir im Griff, kein Problem.
Jetzt Telefon sehe ich gerade, aber Telefon scheint ja zu funktionieren, weil wir gut miteinander telefonieren können.
Ist das ein Voice-Over-IP-System?
Also was steht denn auf deinem Telefon oben?
Ich weiß nicht genau, ob das ein IP-System ist.
Cisco IP Phone.
Okay, gut.
Ich habe vielleicht noch eine Idee.
Das Zugangskartensystem hat heute funktioniert in der Früh oder gab es da irgendwelche Probleme beim Betreten vom Gebäude?
Nö, ich habe meine Karte heute ganz normal verwendet.
Ich und alle anderen Mitarbeiter sind auch problemlos reingekommen.
Habt ihr schon das neue System?
Also sind es dicke oder dünne Karten?
Also sind es so RFID-Karten, die etwas dicker sind oder so dünn wie Kreditkarte?
Moment, da muss ich eben ganz kurz rausholen, um mal nachzuschauen.
Die Karte ist ungefähr so dick wie eine Kreditkarte.
Okay, perfekt.
Ich habe jetzt gerade in der Zwischenzeit noch was anderes probiert, den Router neu gestartet.
Das scheint das Problem schon behoben zu haben, weil ich sehe jetzt die Buchungsdaten eintreffen aus der letzten Stunde.
Das ist noch ein bisschen langsamer.
Vielleicht hat auch der Router irgendwas.
Wir würden einfach einen neuen Router aussenden zu euch.
Ich würde auch gleich ein Rücksendeetikett beilegen, damit ihr einen alten Router zurückschicken könnt.
Jetzt verwendet ihr üblicherweise DPD, oder?
Jaja, DPD kommt jeden Tag bei uns vorbei.
Okay, dann würden wir den Router gleich so konfigurieren, dass ihr nur austauschen müsst.
Das heißt, eure WLAN-Netze sind Raiffeisen intern und Raiffeisen POS, vermute ich mal, oder?
Das weiß ich leider nicht.
Ich mache den Computer nur an und der funktioniert immer.
Okay, kein Problem.
Das kann ich dann auch selber nochmal nachschauen in der Dokumentation.
Könnt ihr bitte noch ein Schild auf den Router draufkleben fürs Reinigungspersonal, dass der ja nicht ausgesteckt wird?
Welche Reinigungsfirma habt ihr eigentlich?
Wir verwenden SLS.
Der Router steht aber in einem verschlossenen Schrank.
Also in der Regel kommt das Reinigungspersonal da gar nicht hin.
Ah, okay, dann soll es eh kein Problem geben.
Wenn ich dich später nochmal kontaktieren muss, weil ihr gleich weg müsst, wie lange habt ihr geöffnet?
Ich bin bis 20 Uhr hier.
Okay, ich muss jetzt weg aus dem Büro, um eben meine Kinder abzuholen.
Aber falls später noch Probleme auftreten, würde ich einfach gerne Anleitungen schicken zur Fehlerbehebung.
Adobe Acrobat zum PDF-Dateien öffnen.
Hast du?
Ja, das Symbol sehe ich hier ganz vor mir direkt auf dem Desktop.
Nachdem das so eine interaktive PDF-Datei ist durch die Problemführung, kannst du mal nachschauen, was für Version du hast, weil es funktioniert mit den alten Versionen leider nicht.
Einfach im Adobe Acrobat, wenn du es aufmachst, unter über Adobe Acrobat, da sollte eine Versionsnummer stehen.
Ein Moment, startet gerade ein bisschen langsam.
Da steht DC und in Klammern 2025 0 9 20.
Okay, ja, mit der Version funktioniert es.
Dann schicke ich dann einfach das PDF bei E-Mail.
Du verwendest Outlook 2016, oder?
Ja, wir sind immer noch auf dieser super alten Outlook-Version, weil zu Hause sieht das ja nicht ganz anders aus.
Klassiker.
Ich muss, wie gesagt, gleich weg.
Ganz kurz nochmal, bevor wir das Gespräch beenden, ich muss immer zwei Standardfragen bei jedem Support-Anruf abfragen, sorry.
Einerseits hast du ein McAfee-Antivirus installiert, also unten rechts neben der Uhr sollte so ein Schild sein mit dem Buchstaben M.
Ja, ich sehe hier das M in einem Schild.
Ist es das?
Ja, perfekt, genau.
Und letzte Frage.
Hast du einmal an einer Security Awareness Schulung von uns teilgenommen?
Ja, in der ersten Woche, wo ich ja angefangen habe.
Also das müsste dann jetzt ein Jahr her sein.
Okay, perfekt.
Das war es auch schon.
Vielen Dank, Andi.
Hat mir sehr weitergeholfen, dass wir das noch schnell erledigen haben können.
Vielen, vielen Dank.
Kein Problem.
Super, ciao.
Tschüss Jukowski.
Und das, meine Kinder, war ein Social Engineering Anruf.
Welcher Kinder?
Ich habe gedacht, wir haben nur alte ZuhörerInnen, wie du in unserer letzten Episode ausgeplaudert hast aus unserer Statistik.
Also, ich habe gesagt, unsere Hörerschaft besteht irgendwie 33 Jahre plus.
Weiß ich jetzt nicht, ob man mit 33 Jahren alt ist oder einfach nur im guten Senior Level.
Das bedeutet, ich würde es erfahren nennen.
Und weil diese Leute ja alle so erfahren sind, kennen sie ja auch die Sendung mit der Maus, hoffentlich noch.
Ich habe keine Kinder und ich muss zugeben, ich stehe auch nicht morgens um 7 Uhr auf, um die Sendung mit der Maus auf ARD oder ZDF oder Kika oder wo sie inzwischen läuft, zu schauen.
Deswegen werden diese Leute alle akzeptieren müssen, dass ich sie Kinder nenne, weil sie sich dann natürlich an die schöne Sendung mit der Mauszeit zurückerinnern.
Okay, jetzt hast du dir nochmal gut rausgeredet.
Auf jeden Fall, was wir gerade gemacht haben, ist, dass wir ein Gesprächsprotokoll...
verlesen haben, was es in dieser Weise wirklich gegeben hat.
Und zwar war das Teil von einem sehr großen Wettbewerb, der immer wieder stattfindet auf der DEF CON, der, würde sagen, fast der bekanntesten oder der größten wahrscheinlich auch Sicherheitskonferenz, die es so gibt.
Und da gibt es einen Unterbereich, der nennt sich Social Engineering CTF, wo es genau darum geht, eben Social Engineering zu machen und auch auf der Bühne dann wirklich zu machen.
Also dieses Gespräch wurde wirklich auf der Bühne live durchgeführt mit einem echten Mitarbeiter.
Hast du gerade geglaubt, irgendwas ist kaputt?
Ja, siehst du, so geht es mir auch oft.
Und dann brauche ich unbedingt einen Kaffee.
Oder wie der Andi sagen würde, einen Kaffee.
Und für diese Koffeinenergie, die ihr uns durch diese Kaffeespenden bereitstellt und die es uns eigentlich erst ermöglichen, diese Episoden zu produzieren, möchten wir uns einmal bedanken.
Und zwar bei den letzten Spendern.
Daniel, Jakob, Peter, Alfred, Florian, Michel.
Dimo, David, Lukas, Adrian, Nico, Matthias, Wolfgang, by the way, schöner Name, Elias, Björn, Franco, Dominik, Paul und Fabian.
Und egal, ob ihr uns einen Kaffee sponsert oder vielleicht sogar ein Kaffee-Abo wie der Fabian oder einen ganzen Monatsbedarf an Kaffee wie der David, wir schätzen jeden einzelnen Kaffee und freuen uns wirklich über dieses ganze Koffein-Feedback.
Vielen Dank von Andi und von mir und jetzt geht es auch schon wieder zurück zur Episode.
Genau, CTF, sagte der Wolfgang, nennt sich Capture the Flag, ist eine Wettbewerbsart auf dieser Hacker-Konferenz und wir haben gerade, ich sag mal, das Sieger-Protokoll vorgelesen von Chris Kirsch.
Chris Kirsch hat nämlich damit gewonnen.
Worum geht's da eigentlich?
Und zwar, Social Engineering ist ein Teil der Hacker-Kultur, der Sicherheitskultur, nennen wir es mal, oder ein Angriffsvektor.
Und der Wettbewerb, der Capture-the-Flag-Wettbewerb, besteht eigentlich aus zwei Phasen.
Einer Research-Phase und einer Live-Telefon-Phase.
In der Research-Phase, die nennt man auch eigentlich OSINT-Phase, Open-Source-Intelligence-Phase.
Und warum, erklärt sich jetzt gleich.
Erhalten die Teilnehmer ein Zielunternehmen.
Jetzt in diesem Fall Raiffeisenmarkt.
Und dann haben sie ungefähr drei Wochen Zeit, öffentlich zugängliche Informationen über den Raiffeisenmarkt zu sammeln.
Die Unternehmenswebseite, Suchmaschinen, Stellenanzeigen, soziale Netzwerke, Presseberichte, technische Dokumentation und all sowas.
Also du darfst nicht in private Systeme eindringen und alle gefundenen Informationen müssen in den Google Doc gepackt werden.
Also jetzt nicht in Google Doc, sondern eigentlich in den Bericht.
Und dieser Bericht wird auch eingereicht.
Dann fährst du zur Konferenz und da beginnt dann eigentlich der zweite Teil.
Und zwar die Live-Telefonfahrung.
Und zwar könnt ihr es so vorstellen, da ist dann so ein Glaskasten, da gehst du rein.
hast 20 Minuten Zeit und in dieser Zeit musst du das Zielunternehmen anrufen.
Oder wen auch immer, ist mir eigentlich egal, wen du dann anrufst.
Denn Capture the Flag, Ziel des Wettbewerbs ist es, einen Katalog an Informationen herauszufinden.
Jede Information ist eine Flag.
Capture the Flag.
Und diese Informationen, die dann angefragt werden, sind zum Beispiel, welches Betriebssystem wird verwendet, welcher Browser wird verwendet, welche Browser-Version.
Existiert eine Festplattenverschlüsselung?
Welcher Paket- oder Kurierdienst wird genutzt?
Welcher Reinigungsdienst wird sein?
Und so weiter und so fort.
Das ist so eine Liste von 20, 25, 30 Fragen.
Und eben auch so Dinge wie, lass die Person eine random Webseite öffnen, so wie die se.org, was ja nie jemand sonst eingeben würde.
Aber das ist eben auch Teil von dem Ganzen, dass man die Person irgendwas machen lässt schlussendlich, dass da wirklich diese Webseite aufgerufen wird.
Und daher kommt auch dieses sehr eigenartige, Gesprächsprotokoll, wo man irgendwie links-rechtspringt und sich irgendwelche Stories überlegt, wie kommt man an die Daten, warum muss man Acrobat aufmachen, warum braucht man die Versionsnummer und so weiter.
Also, dass man wirklich diese ganzen Flags dann schlussendlich sammeln kann.
Auf der anderen Seite muss ich zugeben, ich habe mal CV in einem Krankenhaus gemacht und da war ich im Krankenhaus in der IT-Abteilung.
Und ich sage dir, wenn ich dazu läuten musste, die dann ein Druckerproblem hatten, Das hat sich nicht anders angehört, nur als dass es daneben stand.
Also ich weiß gar nicht, ob es so random war oder ob es wirklich so fern von irgendeinem IT-Support ist, sondern je nachdem, wen du da hast.
Auf jeden Fall haben wir, Wolfgang und ich, das gerade nachgesprochen, denn aus rechtlichen Gründen gibt es zu dem Turnier keine Aufzeichnung.
Normalerweise kriegt man ja immer Konferenzbeiträge und Konferenzpräsentationen, kannst ja auch auf YouTube gucken.
Hier nicht und der Grund ist ganz einfach.
Las Vegas ist ein US-Staat, in dem beide Parteien eines Calls zustimmen müssen, dass dieser aufgenommen.
werden darf.
Und das war jetzt hier nicht der Fall.
Deswegen gibt es ein Video vom Gewinner, von Chris Kirsch.
Der hat das dann mit einem DEF CON Organisator auch nachgesprochen.
Das haben wir auch in den Shownotes.
Das ist natürlich in Englisch.
Also das wäre dann das richtige Original.
Wir haben das natürlich dementsprechend ins Deutsche auch noch übersetzt.
Aber es ist eigentlich schon ein Idealbeispiel von Social Engineering, was man eigentlich mit einem einfachen Anruf erreichen kann, viele Informationen sammeln und genau darum geht es bei Social Engineering auch, dass man viele kleine Informationen sammelt, die Vielleicht isoliert jede einzelne Frage, verwendest du Acrobat, kannst du Facebook aufmachen, die sind alle super haumlos, da kann man noch keine Informationen ableiten.
Aber wenn man natürlich ganz viele MitarbeiterInnen anruft, verschiedene Informationen sich rausholt, eben zum Beispiel, wie ist das Bezahlsystem, gibt es eine Zeiterfassung und so weiter, kann man die natürlich dann wiederverwenden, wenn man dann mit der Finanzabteilung telefoniert und so kann man sich eigentlich...
durch telefonieren und ganz, ganz viele Informationen absagen, die man dann für einen ganz gezielten Angriff eben nutzen kann.
Und genau das ist Social Engineering.
Obwohl die Facebook-Thematik, kannst du mal Facebook aufmachen, ja eigentlich auch nur eine Nebelkerze war.
So nach dem Motto, klar, also Vertrauen, so funktioniert das Internet denn gerade und so.
Nein, in dem Fall war es wirklich sogar eine Flag.
Ist Facebook im Unternehmensnetzwerk gesperrt?
Ah, spannend.
Das ist ja super smart.
Es waren fast alle Fragen eigentlich auf ganz gezielte Flags ausgerichtet.
Also wenn man das YouTube-Video anschaut, dann sieht man das auch noch ganz klar, welche Flags dann getroffen werden.
Aber das sind schon ganz viele Flags, die der ganz gezielt rausholt mit den Fragen.
Also es ist wirklich extrem gut gemacht auch, weil wir sprechen da ja von wirklich, ich glaube, 25 Flags oder sowas, was er erreicht hat.
Das ist schon sehr viel in einem so einem Telefonat.
Aber wenn man sich das noch mal anhört, der Move.
wie der herausfindet, welche Reinigungsfirma genutzt wird, über den Twist einen neuen Router zu schicken und den Router nicht auszustöpseln.
Also das ist schon sehr, sehr smart gemacht.
Eine andere Story, die sehr, sehr ähnlich ist, die ist mir letzte Woche passiert.
Und das ist jetzt kein Scheiß, die habe ich mir nicht ausgedacht.
Das ist wirklich so.
Leute, die uns schon länger folgen, wissen, dass ich auch in meiner Freizeit ehrenamtlich tätig bin und ich wohne in einem kleinen Dorf.
Und da engagiere ich mich in einem kleinen lokalen Verein.
Wie macht man das so?
Ich mache da die IT, wenn man so möchte.
Und dieser kleine Verein, dieser eingetragene Verein möchte weg von einer Excel-Liste hin zu einer Vereinssoftware, um natürlich auch mal in Richtung Digitalisierung zu gehen.
Und da hat ein ehemaliges Vereinsmitglied nämlich eine Vereinssoftware gekauft bei einem Anbieter, den kannte ich nicht.
Und ein anderer Verein, die Karnevalsgesellschaft, nutzt halt mein Verein von Wieso.
Ist halt irgendeine andere Vereinssoftware.
Und da wurde ich gefragt, Andi, können wir nicht auch die Vereinssoftware...
von dem anderen Verein nutzen, denn wir kooperieren.
Dann macht das ja Sinn, wenn man da irgendwie dieselbe Vereinssoftware hat.
Okay, jetzt ist die Person, die die originale Vereinssoftware aber gekauft hat, bereits aus dem Verein ausgeschieden.
Und du weißt, wie das ist.
Du kommst ja nicht an die Daten ran.
Gibt es eine Rechnung?
Gibt es eine Kundennummer?
Das, was ich hatte, ist den Vereinsnamen, der steht auf der Webseite, öffentlich zugängliche Informationen, und den Firmenname der Vereinssoftware.
Ich also, Telefonhörer in der Hand, ja, guten Tag, Andi hier vom Verein 4711.
wir haben ihre Vereinssoftware gekauft und der Kollege, da hatte ich den Namen, der war auch im Vorstand, das bedeutet, das war auch öffentlich zugängliche Information, ist ausgeschieden und so weiter und so fort und jetzt sind wir gerade dabei, wir versuchen gerade die letzte Rechnung irgendwie hinzukriegen und so weiter und auf einmal kam die Frau ins Gespräch, hat mir die Kundennummer gegeben, ja und wie kriegen wir jetzt Zugang zu der Software?
Ja, da müssen sie, sagen sie mir einfach, dann, wie der Benutzername ist, der Kollege hat auch irgendeine E-Mail-Adresse genommen, auf die ich keinen Zugriff habe.
Ja, das ist gar kein Problem.
Da kann ich eben nur eine SQL-Abfrage, hat die O-Ton so gesagt, eine SQL-Abfrage machen.
Und da kann ich die Information raussuchen.
Die hat mir wirklich alles gegeben.
Welches Produkt wir haben, wann die nächste Abwirkung ist, wie wir es kündigen können, Kundennummer und so.
Aber sagen wir bitte, das Passwort hat sie dir wenigstens nicht gesagt.
Aber es ging dann nur so weiter.
Das war 5, 6 Minuten.
Und ich hatte echt viele Informationen.
Ich hatte Catcher the Flag.
Also wenn du so möchtest.
Das ist keine 2025.
Aber ich habe auch aufgelegt und gedacht, was war das denn jetzt hier gerade?
Das war gar nicht meine Absicht.
Ich meine, ich hatte die Information, war sinnvoll.
Aber da denke ich mir auch so, uh.
Ich habe jetzt nicht gefragt, wann ich die letzte Security-Schulung gemacht hätte.
Aber ist schon ein bisschen weit her, kann ich dir sagen.
Ihr habt ähnliche Geschichte gerade gehört von einem ...
von einem Freund, der nicht aus Österreich ist, aber mittlerweile hier wohnt und eben gefragt nach seinem Stromtarif und er hat gemeint, das wird über die Hausverwaltung abgerechnet und ich habe mich schon gewundert, das kann eigentlich nicht sein, du musst einen Stromvertrag haben und dann hat er sich halt erkundigt bei dem lokalen Stromanbieter und hat gesagt, ja, ich wohne dort und dort und bezahle keinen Strom.
Wer bezahlt meinen Strom?
Die haben ihm die ganze Information gegeben, war es Immobilienbüro in dem Fall, die ihm das vergessen, ist ja egal, war ja auch okay.
Aber die haben ihm sofort alle Informationen gegeben, wer die Rechnung zahlt, was das für Immobilienbüro ist und so weiter.
Also wenn du die Info brauchst, wer bezahlt eine Stromrechnung zum Beispiel, wie heißt die Person?
Super einfach.
Aber auf der anderen Seite muss man ja auch mal sagen, dein Kollege oder ich mit meiner Vereinsstory, wir hatten ja wirklich einen legitimen Fall.
Also wir wollten die Informationen ja haben.
Dankensweise oder netterweise durch die Dame habe ich alle Informationen von 6 Minuten bekommen.
Weil sonst...
Hätte ich wahrscheinlich irgendwie den Vorstand von dem Verein sagen müssen, schreib mal bitte einen Brief oder eine E-Mail mit, keine Ahnung, Siegel, dass das der Vereinsvorstand ist.
Und dann geht das in die Support-Cue und dann vier Tage später und dann schreibe ich die E-Mail nicht, sondern der Vereinsvorstand und dann fehlen da vielleicht ein paar technische Informationen, die ich brauche und so.
Du kennst dieses Back-and-Force, nenne ich mal.
Und das Gleiche bei deiner Strom-Thematik ja auch.
Aber genau, das ist eigentlich ein Kernpunkt, wie Social Engineering funktioniert, aber dazu kommen wir ja eh noch später im Detail.
super schön finde, ist einfach der größte Bankraub in der Geschichte der USA.
Und zwar habe ich das schon mal in einem Buch gelesen von Mitnick.
Mitnick war so eine sehr bekannte Person im Social Engineering Bereich, auch mal Hacker, dann White Hat Hacker geworden, also zu den Guten übergelaufen.
Und der hat ein Buch geschrieben, ist schon ziemlich alt.
Dort wird es auch beschrieben, dieser größte Bankraub von 1978.
Damals sind Banküberweisungen noch manuell durchgeführt worden, also von Menschen.
Und was dieser Stanley Rifkin, hat er geheißen, gemacht hat, ist, dass er sich einfach Informationen organisiert hat in dieser Bank, wie denn das alles läuft.
Also der war auch Berater, der hatte auch so einen Kontakt schon mit der Bank und hat sich dann ausgegeben eben als Berater.
Er möchte den ganzen Prozess optimieren, eben diesen Überweisungsprozess.
Da gab es irgendwie einen geheimen Raum, da sind die ganzen Überweisungen getätigt worden und man hat nur anrufen können und hat da Passwörter und so weiter gebraucht.
Und er hat sich das einfach einmal alles angesehen und hat es gecheckt, wie sind da die Abläufe, was braucht man dazu und hat sich einfach nur mal Informationen organisiert.
Und dann kam eigentlich der eigentliche Hack, weil diese geheimen Codes, die man da für eine Überweisung braucht, die werden täglich geändert.
Und man braucht im Prinzip so eine berechtigte Person plus den Code.
Also so eine berechtigte Person kann dann mit dem Code in diesem Raum anrufen und zum Beispiel Millionen überweisen.
In dem Fall übrigens bei dem Raub 10 Millionen Dollar, damals 1978.
Das war noch viel Geld.
Und die haben so am Tag 4 Milliarden Dollar durch überwiesen.
Also da fällt mal so ein Betrag von 10 Millionen gar nicht unbedingt auf.
Auf jeden Fall, wie das dann schlussendlich dieser Hack durchgeführt worden ist, hat er einfach sich diesen Code organisiert.
Und was ist der Klassiker, wenn sich Codes jeden Tag ändern und die Leute sich Codes marken müssen?
Die werden irgendwo aufgeschrieben.
Genau, die werden irgendwo aufgeschrieben.
Also ideal, wenn man da durch die Bank läuft, kann man einfach den Code aufschreiben.
Die Identifikationsnummer von so einem Officer, Bank Officer, kriegt man natürlich auch sehr leicht raus, wenn man da ein bisschen, ich sag's mal, monitort den ganzen Ablauf und weiß, wie das funktioniert.
Ja, und dann hat er einfach nichts anderes gemacht, als dass er auf die Straße rausgegangen ist und bei so einem Münztelefon diesen Raum angerufen hat, von extern sich ausgegeben hat, als so ein Bank Officer den Code durchgesagt hat.
Und gesagt hat, ich brauche 10,2 Millionen, die auf Bankkonto XY überwiesen werden.
Am selben Tag hat er das noch weiter überwiesen in die Schweiz und diese Millionen waren einfach weg.
Und das Geniale war, dass die Bank das nicht mal mitbekommen hat.
Die Bank hat das erst acht Tage später herausgefunden, wie das FBI dann auf die Bank zugegangen ist und gesagt hat, da ist was passiert.
Aber weiß man denn, wie das FBI auf den Kollegen kam?
Ja, scheinbar ist schlussendlich eigentlich ein Tipp von einem...
ehemaligen Geschäftspartner von Rifkin gekommen, weil er hat sich um dieses Geld Diamanten gekauft, damit da eben dieses Geld irgendwie los wird.
Und dann hat er aber die Diamanten loswerden müssen und er hat Leute gesucht, die ihm die Diamanten abkaufen.
Und da hat er einen alten Geschäftspartner kontaktiert und irgendwie gemeint, er hat Diamanten und so weiter.
Und der hat dann einen Tipp an die Polizei gegeben, ans FBI, weil ihm das komisch vorgekommen ist.
Und so ist dieses Ganze dann erst ins Rollen gekommen.
Und man hat ihn schlussendlich dann verhaftet.
Gut.
Jetzt ist die Story von 1900.
78.
Ich wollte gerade eigentlich sagen, Überweisungen werden ja jetzt eigentlich nicht mehr per Telefon gemacht.
Doch ich glaube, bei ganz reichen Leuten, die haben sehr wahrscheinlich dann auch einen Personal Assistant oder irgendwie den persönlichen Schweizer Bankmanager, den aus dem Hollywood-Film, der in diesem tollen Büro sitzt.
Und da wird, glaube ich, auch mal eben kurz angerufen, hey, überweis doch mal bitte 10 Millionen, wenn einfach 10 Millionen mal nichts ist für die Leute nach da und da.
Da gab es ja auch schon Fälle, wo...
Wirklich Firmen dann Millionen überwiesen haben für den Chef, der schnell irgendwo einen Deal machen wollte und dann irgendeine Mitarbeiterin oder Mitarbeiter dann das Geld überwiesen hatte.
Also es funktioniert natürlich immer noch und man sieht schon, dass das Ganze 1978 passiert ist.
Klar haben wir jetzt digitale Möglichkeiten und verbesserte Prozesse, aber dieses Problem, dass es immer noch Menschen machen oder dass du über Menschen irgendwie einen Hack durchführen kannst bei Social Engineering, das gibt es eigentlich immer noch.
Weil der Mensch ist halt gleich unsicher oder sicher wie früher eigentlich, muss man sagen.
Also der Klassiker, den man in der Literatur immer liest, ist folgender.
Du, Wolfgang, arbeitest jetzt in der Finanzabteilung und kriegst eine E-Mail von dem Geschäftsführer von deiner Firma.
Unabhängig davon, ob du Kontakt mit dem Geschäftsführer hast oder nicht, da steht drin, bitte überweise den und den Betrag auf dieses Konto, sonst wird das System abgeschaltet.
Und das System ist dann ganz wichtig für die Firma.
Und das kommt dann meist von einer Spam-E-Mail-Adresse.
Das ist so der Klassiker.
Wirklich nur so ein Satz und dann der Name des Chefs darunter.
Und natürlich willst du dann nicht den Chef enttäuschen.
Das kenne ich als Klassiker.
In meinem Wirtschaftsinformatikstudium hatte ich auch eine Security-Vorlesung.
Und der damalige Professor hatte auch eine Social Engineering-Firma.
Und was er gesagt hat, das war so 2012, 2013, also auch schon ein paar Jährchen her.
Der Klassiker bei Bürogebäuden ist, du weißt, dass...
der Chef des Unternehmens auf irgendeine Konferenz spricht, da wurde er mit hoher Wahrscheinlichkeit hinfliegen.
Kurz bevor der Flieger geht, so eine Stunde oder sowas, rennst du in einem Anzug mit einem Koffer in das Bürogebäude zum Empfang und sagst oder schreist sehr aufgeregt, der Wolfgang, der fliegt gerade zur Konferenz, hol mir doch mal bitte kurz den Aktenordner auf seinem Schreibtisch.
Natürlich, also natürlich, hoffentlich nicht, aber oft sagte er, hat das geklappt, denn...
Es war öffentliche Information, dass der Geschäftsführer oder die Geschäftsführerin irgendwo auf einer Konferenz spricht und so weiter und so fort.
Man kommt mit so einem Handgepäck-Trolley da reingerannt, in einem Anzug.
Alles scheint plausibel.
Und da will man den Geschäftsführer natürlich jetzt nicht enttäuschen, weil du kannst natürlich weiter Druck aufbauen.
Möchtest du, dass die Gabi jetzt nicht den Deal closen kann?
Mittnik hat in seinem Buch auch so Beispiele von Polizei zum Beispiel, dass du einfach bei Polizeirevieren anrufst und sagst, sorry, mein System ist gerade down, kannst du mir in der Blablabla-Datenbank gerade nachschauen, wo der wohnt oder ob der, keine Ahnung, auf wen dieses Fahrzeug zugelassen ist oder solche Dinge.
Also sogar innerhalb von der Polizei, wenn du einfach nur dieses Jargon sprichst, was die so miteinander sprechen, du musst halt einfach wissen, wie sprechen die miteinander, wie heißen die Systeme, wo schauen die überall nach, dann wird das wahrscheinlich, vielleicht sogar heute noch funktionieren, könnte ich mir vorstellen.
Wenn da irgendwer anruft von befreundeten oder benachbarten Revier oder so und um den Gefallen bittet, ja, ich würde es nicht ausschließen, dass es noch immer funktioniert, sowas.
Es gibt super viele öffentliche Kantinen und da kannst du hingehen und da musst du ja mit hoher Wahrscheinlichkeit noch niemals was kaufen, um dich an die Tische zu setzen und dann lauscht du ein bisschen was am Nachbartisch und dann kriegst du das Django über ein, zwei, drei Wochen mit.
Was mich aber immer beeindruckt bei solchen Storys, weil das sind ja alles Szenarien im Real Life.
Also du begegnest da ja Menschen und du musst ja mit Menschen interagieren.
Du musst einen enormen Mut aufbringen, weil du fakest ja eine Identität, die du nicht bist.
Ja, du musst sehr dreist sein vor allem.
Dreist ist ein gutes Stichwort, denn bevor wir nämlich jetzt zu den anderen Deep Dives kommen, kommen wir zu einem Social Engineering Fall, der nicht von 1978 ist, sondern von 2026.
Und da muss ich sagen, Hut ab, gut gespielt.
Und zwar geht es um diesen Axios Supply Chain Hack, der vor kurzem da war.
Axios.
für die ganzen JavaScriptler unter uns, ist eine Promise-Based HTTP Client Library.
Für die Nicht-JavaScript-Leute meinst du jetzt?
Wir JavaScript-Leute, ich zähle mich ja dazu, wir wissen ja, was Axios ist.
Ach, habe ich JavaScriptler?
Für die Nicht-JavaScriptler?
Für die ganzen Goaler und Rustler und allem drum und dran, ja?
Für die Leute, die halt, ich würde gerade sagen, programmieren und nicht skripten.
Ja, jetzt reden wir weiter.
Naja, auf jeden Fall ist das eine sehr, sehr große Library.
90 Millionen Weekly Downloads.
Ich würde mal sagen, Das ist ein Ziel, was man mal hacken sollte.
Und zwar ist die Story wie folgt.
Jeder kennt nur die Supply Chain Attacke, die da stattgefunden hat.
Nicht so viele Leute kennen die Story dahinter, wie es möglich war, die Supply Chain Attacke in dieses Axios Paket einzufehlen.
Und zwar haben die Angreifer sich als Gründer eines real existierenden, bekannten Unternehmen ausgegeben.
Also die haben das Erscheinungsbild der Firmengründer und die Unternehmen, Webseite und so weiter, haben die alles geklont.
Und zwar wollten die den Axios, als Berater oder als Freelancer anstellen, damit er da ein bisschen was für die umsetzt.
Die haben den dann in einen echten, sehr überzeugend gestalteten Slack-Workspace eingeladen.
Der Slack-Workspace hatte alles.
Der hatte branded Channels, geteilte LinkedIn-Posts, gefälschte Profile vom angeblichen Team und sowie andere Open-Source-Maintainer in dem Slack-Workspace.
Wenn man die Story bis hierhin hört, dann will ich sagen, okay.
Respekt, dieses Unternehmen braucht wohl ein bisschen Hilfe im Open-Source-Bereich, holt sich ein paar Maintener, die da ein bisschen kontrakten, Freelancer und so weiter.
Also schon eine gute Sache.
Dann geht es weiter.
Die Angreifer haben dann den Axios Maintener zu einem Microsoft-Team-Meeting eingeladen.
Ich meine, okay, lass uns mal mieten, lass uns mal das Projekt besprechen und so weiter und so fort.
Der hat eine Kalendereinladung bekommen, aber der Link zu den Microsoft Teams, der war modifiziert.
Also der Axios Maintener selbst.
Hat sich dann auch in den Call eingewählt.
Hat sich über den Browser eingewählt.
War dann auf einer modifizierten Webseite.
In dem Call selbst waren reale Menschen zu sehen.
Während des Calls erschien dann eine Fehlermeldung, dass auf seinem System irgendetwas veraltet sei.
Er soll ein Update durchführen.
Er installierte das vermeintliche Teams-Update.
Und da war ein Remote-Access-Trojaner drin.
Dieser Remote-Access-Trojaner hat dann Zugriff auf die Maschine des Mainteners gegeben und hat dann über die NPM-Zugangsdaten pipapo und dann hat die Supply-Chain-Attacki ihren Lauf genommen.
Was aber spannend ist, der Angriff, also diese ganze, ich lade dich zu dem Slack ein, mach den Teams-Call und so weiter und so fort, der begann zwei Wochen.
vor dem eigentlichen Publish des neuen NPM-Pakets.
Also die Angreifer haben auch die Termine verschoben.
Oh, nächste Woche, dann übernächste Woche und so weiter.
Also bewusst unauffällig und ohne jeden Zeitdruck.
Und was man auch sagen kann ist, dass diese Supply-Chain-Attacke über mehrere Wochen lief und ja, nicht ganz gezielt auf ihn zugeschnitten war, aber doch schon sehr gezielt auf eine ganz kleine Gruppe an Maintainern.
Weil bei Axios hat es funktioniert.
Es ist aber inzwischen auch bekannt, dass andere Open-Source-Maintainer von anderen sehr populären JavaScript-Libraries ebenfalls betroffen waren.
Unter anderem Mocha.
Mocha ist ein JavaScript-Testing-Framework.
Bei denen hat es aber nicht funktioniert.
Aus einem Grund, die waren auch in dem Teamscroll.
Die haben einfach nicht auf das Update-Ding geklickt.
Also das war denen irgendwie so ein bisschen suspicious.
Und das haben sie nicht durchgeführt.
Und da haben sie natürlich den Remote-Access-Troyana nicht gemacht.
Da merkt man halt die Leute, die testen.
Die sind da einfach kritischer.
Aber auch das ist Social Engineering und das ist harter Tobak.
Wolfgang, würdest du dich einschätzen, du bist ja Freelancer, du bist ja Consultant, würdest du dich einschätzen, dass du das erkannt hättest?
Ich glaube ja, dass ich ein bisschen mehr geschützt bin, dadurch ich Linux verwende.
Aber natürlich bei einem gezielten Angriff funktioniert das auch weniger.
Aber es wäre ja komisch, wenn ich jetzt irgendwie ein Update für Teams angeboten bekomme, weil ich verwende es immer nur im Browser.
Aber grundsätzlich, wenn das gut aufgezogen ist und vor allem ist ja auch wieder so ein Key-Element von Social Engineering, dieser Stress, du musst jetzt in diesen Call rein, die warten, ich muss jetzt schnell was updaten und da klickt man dann auch viel schneller auf irgendwas drauf, weil man muss ja da schnell in diesen Call hinein, weil sonst verpasst man ja da diesen Termin und man will ja nicht unhöflich sein.
Insofern ausschließen würde das sowieso auf keinen Fall für mich.
Ja, ich glaube nämlich auch, dass es gar nicht so einfach ist, das zu erkennen und ich würde mich da auch gar nicht rausreden.
Vielleicht wäre ich auch, drauf reingefallen, denn man muss sagen, das Ergebnis dieser Attacke war dann die Supply Chain Attacke.
Also technisch war das trivial, die Supply Chain Attacke mit einem NPM Publish.
Ja, wenn du mal am Computer drin bist und die Rechte hast, dann ist es easy.
Ja, Achtung, da muss man eine ganz kleine Unterscheidung machen.
Die haben nicht die Credentials geklaut.
Das bedeutet, die haben den Rechner vom Maintainer übernommen durch einen Remote Access Trojaner.
Das bedeutet, Zwei-Faktor-Authentifizierung und so weiter.
Alles sinnfrei, weil die auf der Kiste waren.
Die haben nicht nur die NPM-Login-Daten gekriegt.
Two-Factor wird dir vielleicht noch weiterhelfen in dem Fall.
Ja, aber die Session war ja valide.
Aber wenn die Session schon mal aufgebaut ist, dann kannst du die natürlich einfach verwenden.
Also technisch war das trivial.
Das war ein NPM-Publish auf der Kiste.
Der ganze Aufwand steckt im Aufbau der Täuschung.
Und besonders bei sowas.
Wenn es sogar präzise personalisiert und nicht automatisiert ist, ist es natürlich noch schwieriger.
Das bedeutet, dass Fake Slack mit den gefälschten Profilen genau an die Personen, denen ein Open-Source-Maintainer vertrauen würde, zum Beispiel dann andere Open-Source-Maintainer, hey, dich kenne ich ja besonders in dem Open-Source-Bereich von JavaScript, wo du so High-Volume-Packages hast.
Ich glaube schon, dass die sich da alle irgendwie kennen.
Man würde ja eigentlich erwarten, dass der Angriff schnell und automatisiert ist und nicht auf dich maßgeschneidert.
Das wäre ja auch dann eigentlich die Phishing-Attacke.
Also das ist ja der klassische Unterschied.
Phishing ist ja auch Social Engineering, aber ist halt automatisiert auf einem breiten Benutzerkreis.
Üblicherweise sendet ja tausende Leuten irgendwie eine gefakte E-Mail und macht das nicht so personalisiert.
Und umso personalisierter das Ganze ist, umso besser funktioniert das halt meistens auch.
Ist natürlich auch mehr Aufwand, wobei jetzt halt mit AI.
ist es schon wesentlich einfacher geworden.
Und man sieht es ja auch bei den ganzen Phishing-E-Mails, wie gut die geworden sind.
Also früher diese schlecht gemachten, schlecht übersetzten Bank-E-Mails, die hat man ja noch erkennt.
Aber mittlerweile sind die so gut und schauen genau so aus wie deine Bank-E-Mails und die gleichen Logos und die gleichen Informationen und die meisten Links funktionieren sogar.
Also das ist schon wesentlich schwieriger zu erkennen.
Sofern die Mail nicht im Spam landet.
Ja, es gibt manche Mails, die kommen bei mir in die Inbox.
Da muss ich dreimal hinschauen.
Das ist richtig.
Aber ich glaube, weil diese Maß geschneidert war, weil das eine langsamere Variante war, war die so wirksam.
Denn wenn man sich die Axios-Thematik einmal ansieht, erinnerst du dich noch an den XZ-Hack, den der Postgre-Performance-Kollege da gefunden hat?
Da wurde auch über zwei Jahre Vertrauen aufgebaut.
Und das war ja auch Social Engineering.
Da wurde ja auch Druck aufgebaut über zwei Jahre.
Es wird Montana eingeführt und so weiter und so fort.
Also vielleicht kann man sogar sagen, obwohl du gerade gesagt hast, dass Stress und Druck ein Trigger ist, Herr Vara vielleicht ja hier auch mit dem Zoom-Call, fair enough.
Aber auf der anderen Seite, das langsame Varianten.
auch sehr zielfühlt sind.
Natürlich, also wenn man ganz allgemein auf Social Engineering blickt und die Definition, dann geht es ja einfach darum, Menschen zu manipulieren, indem man Vertrauen aufbaut und indem man Informationen kennt, organisatorische Abläufe, die man dann in irgendeiner Form nutzt.
Und dass man mit so vielen Informationen dann am Ende an irgendeine Person kommt, dass man so ein Vertrauen aufgebaut hat und so viele Informationen hat, dass die Person dann einem freiwillig quasi den Zugang gibt oder freiwillig, irgendetwas macht, wie zum Beispiel der Download von diesem Update oder eben die Überweisung oder was es dann auch immer ist.
Aber eigentlich verwendest du eben das Vertrauen und die Menschen selbst, ohne wirklich irgendwie einen klassischen Hack zu machen.
Und das funktioniert natürlich bei Telefon, schriftlich, persönlich.
Du kannst ja auch Personen treffen im echten Leben theoretisch bei einem ganz aufwendigen Hack.
Und meistens passiert das alles über längere Zeit.
Das heißt, du baust es auf, hast mehrere Personen vielleicht.
bekommst von der ersten Person behaumlose Informationen, dann gehst du zur nächsten Person, da verwendest du diese Informationen wieder, dann kommst du schon vertrauenswürdiger rum, da kommst du wieder an Informationen und so baust du das Schritt für Schritt auf, bis du so ein Vertrauen aufgebaut hast, dass du quasi dann die letzte Person unter Anführungszeichen fernsteuern kannst oder die Person, die dann den Zugang gibt oder irgendetwas macht, was du willst.
Bei der Vorbereitung habe ich mir überlegt, ist das nicht eigentlich genau die Arbeitsweise, die die Polizei oder das FBI oder so auch an den Tag legt?
Die befragen Person 1, nehmen zwei, drei Informationen, fragen Person 2, nehmen ein, zwei Informationen und haben dann ihre Wand mit ganz vielen Fotos und mit diesen Bändern und so.
Ist ja eigentlich nichts anderes, oder?
Die versuchen neue Rückschlüsse aus Einzelinformationen zu ziehen.
Du meinst das, was man so aus Filmen kennt?
Keine Ahnung, ob das in der Realität wirklich so...
100%!
Genau das meine ich.
Aber im Prinzip, ja klar, also du machst ja nichts anderes und die großen Hacks funktionieren eben genauso.
Und Kevin Mitnick hat es in dem damaligen Buch Social Engineering eben sehr detailliert beschrieben, diesen Ablauf, wie man eben ganz abseits von den technischen Sachen Zutritt bekommt, indem man einfach nur mit Menschen spricht auf gut Deutsch.
Und man bricht eben nicht das System, sondern die Menschen und den Prozess.
Jetzt hatten wir in unseren Beispielen natürlich verschiedene Attacken, aber im Endeffekt ist das alles irgendwie das gleiche Muster.
Wenn man sich mal fragt, wie so ein Social Engineering Angriff eigentlich typischerweise abläuft, dann kann man da eigentlich eine Checkliste draus machen.
Also erst einmal suchst du dir irgendein Ziel aus.
Das muss gar nicht immer der Geschäftsführer oder die Geschäftsführerin sein oder der Administrator.
Das kann einfach irgendeine Person mit guten Schnittstellen sein.
Jemanden am Helpdesk, Empfang, Finance.
Personalabteilung.
Von mir aus auch ein externer Dienstleister, der da jetzt gerade im Contracting drin ist.
Am besten freundliche Leute.
Darum nicht der CEO oder die CEO, sondern irgendwo anders die so ganz unbeteiligte Personen am besten.
Oder vielleicht sogar Entwickler mit Produktionszugriff.
Und jeder, der uns hört, wir predigen ja immer, you build it, you run it.
Also eigentlich, weiß ich nicht, ist das ein Gegenargument für you build it, you run it?
Ja, hoffentlich hast du ja noch Vier-Augen-Prinzip, aber ob das durch die PRs, durch die Code-Reviews nicht sowieso durchschlüpfen kann, ist die andere Frage.
Ja, da hoffe ich einfach mal auf eine gute Security, auf Just-in-Time-Access und Time-Bound-Access und Pipapo.
Also eigentlich suchst du dir, ich sag mal, Ziele, ich sag mal die Person mit Zugriff, die Person, die die eigentliche Aktion auch durchführen kann.
Schritt 2, hol dir mal ein paar Informationen, also Open-Source-Intelligence, OSINT.
wie wir das auch in dem DEF CON-Telefonat einmal dargestellt haben.
Und was nutzt man noch heute?
Social Media, LinkedIn.
LinkedIn hat eine super Funktion für, muss ich zugeben.
Die nutze ich auch super oft für die Podcast-Recherche.
Ich suche mir einfach irgendeine Firma, die was Cooles baut.
Dann gehe ich auf Personen und dann zeigen die mir einfach alle Mitarbeiter in Deutschland.
Dann kann ich sogar noch filtern und so weiter.
Auch alles ohne Premium-Account.
Also für Open Source Intelligence LinkedIn super, muss ich sagen.
Darum haben übrigens ganz viele sicherheitsrelevanten Firmen.
Das interne Verbot, dass du auf Social Media bist.
Also, oder auch im Militär wird normal immer geraten, auch weil du dann irgendwie erpressbar bist, vor allem wenn du dann irgendwelche Familienbilder online hast.
Aber rein die Information, dass du in so einer Firma arbeitest, macht dich eigentlich schon zum Angriffsziel.
Ja, aber da gibt es noch viel mehr.
Stellenausschreibungen, kannst du Relationen hinzuführen, so nach dem Motto, hey, such doch gerade für das Finance-Team was oder so.
Konferenzvorträge, GitHub.
GitHub, habe ich auch mal in der Bachelorarbeit drüber geschrieben.
Git-Mining, ich sage euch, da kriegt man Infos raus.
Das glaubt ihr gar nicht.
Welche E-Mail-Adressen die Person nutzt und so weiter.
Also Wahnsinn.
So Job-Interview-Mining könnte man eigentlich machen, oder?
Wenn man zu einem Job-Interview geht, da kannst du ja Informationen rausholen aus der Firma eigentlich.
Da hast du unterschiedliche Interviewer womöglich und dann kannst du dir viele, viele Fragen stellen und wo die Server sind und da kannst du ja mal grundlegend perfekte Recherche betreiben.
Ja, das würde ich auch als öffentlich zugänglich mehr oder weniger, ne?
Ja, aber du bist dann in einem Kontext, du bist dann in einem Vertrauensverhältnis in gewisser Weise, du hast dich beworben, du wurdest eingeladen und dann erzählen dir natürlich die Developer auch Sachen.
Okay, jetzt hast du da hier dein, wie im FBI, Netflix-Film, deine Wand, mit den ganz vielen Fotos und mit den Wollknollen und dann entwickelst du dir einfach mal eine Story.
Das bedeutet, denk dir eine Rolle aus, du bist vom IT-Support, du bist ein Kollege, du bist der Lieferant, von mir ist auch, bist du der Bankmitarbeiter oder Auditor und dann nimmst du dir noch einen Anlass dazu.
Ja, eine Systemumstellung, eine Sicherheits- eine Rechnungskorrektur, ein verlorenes Gerät.
Passiert ja immer wieder.
Ah, scheiße, ich habe mein Mobiltelefon in der Bahn liegen lassen.
Und du musst das jetzt sperren.
Kannst du mir ein neues schicken.
Ich bin vor kurzem umgezogen.
Ich habe dir HR noch nicht meine neue Adresse gegeben.
Ihr wisst das schon.
Und wenn ihr den Call habt oder wenn ihr auch von mir aus das Gespräch in der Kantine habt, dann stellt Vertrauen her.
Nennt echte Namen von Kollegen.
Ich habe ja gerade gesagt, ihr findet die ganze Finanzabteilung auf LinkedIn.
Interne Begriffe verwenden.
Vielleicht eine Ticketnummer oder so.
Und danach in dem Gespräch triggert ihr kleine Handlungen.
Lasst euch eine Information bestätigen.
Schlüpft vielleicht mit jemandem ins Büro, weil ihr eure Keycard gerade verloren habt oder gerade die Hände voll habt mit einem Kaffee und drei Aktenordner.
So der Klassiker.
Und ihr steht vor und kommt nicht an eure Keycard, die ihr natürlich nicht in der Tasche habt.
Und dann kommt jemand aus dem Aufzug und lässt euch irgendwie rein.
Halt all sowas.
Später geht es dann an die Eskalation.
Da triggert ihr weitere Informationen.
Wollt weitere Informationen haben.
Wollt vielleicht, dass ein Passwort zurückgesetzt wird oder dass ihr euch intern weiter bewegt, entweder durch diese Systeme.
Im Endeffekt, wenn ihr dieser Checkliste folgt, dann müsst ihr eigentlich gar nicht lügen.
Denn ihr habt ja wahre Informationen, die ja wirklich wahr sind vom Unternehmen.
Und es sind häufig viele kleine, plausible Schritte.
Doch die Person gegenüber weiß halt nicht, dass ihr eigentlich verfremdet seid, weil ihr habt ja so viel Interne.
Und da denkt man sich halt, okay, wenn die Person so viele Interne hat, dann muss die hier arbeiten.
Also vielleicht ist das sogar der, ich sag mal, psychologische Hebel.
Gibt es einen psychologischen Hebel bei der ganzen Thematik?
Kann man das so nennen, Wolfgang?
Ja, ich würde gar nicht sagen, es gibt einen psychologischen Hebel auch, sondern Social Engineering ist eigentlich ein psychologischer Hebel und du verwendest ja diese ganzen psychologischen Muster.
Also, dass du zum Beispiel die Autorität irgendwie ausspielst.
Du bist jetzt, keine Ahnung, der Assistent vom CTO und musst eben schnell diesen Aktenordner organisieren.
Also du verwendest dann bewusst diese Hierarchie und baust da einen Druck auf.
Also so eine Dringlichkeit.
Es muss jetzt schnell passieren, der CEO wartet im Auto oder keine Ahnung, oder muss diesen Deal durchführen oder vielleicht auch der Kunde wartet oder mich hat gerade ein Kunde angerufen, der ist extrem krankig und ich muss das jetzt schnell lösen, weil der macht extreme Probleme.
Also so Autorität und Druck ist auf jeden Fall psychologisch natürlich ein guter Hebel.
Das Vertrauen, das hast du jetzt schon ausführlich erwähnt, das macht natürlich auch Sinn und das erreicht man ja dann über Informationen.
Was auch ganz großer Punkt ist, denn hast du ja in deiner Geschichte mit der Vereinssoftware erwähnt, diese Hilfsbereitschaft.
Also ein Support ist ja da, um die Kunden glücklich zu machen.
Und der will ja eigentlich den Kundinnen weiterhelfen.
Also legt man sich da vielleicht auch mal aus dem Fenster raus und gibt irgendwas nach außen, was man vielleicht gar nicht darf.
Und ja, man würde ja auch sagen, was will derjenige mit einer Vereinssoftware?
Aber klar, es kann ja auch wieder jemand sein, der dann wieder die Informationen aus der Vereinssoftware verwendet, um andere Informationen rauszubekommen oder sich auszugeben oder über den Verein irgendwas zu machen.
Also die Hilfsbereitschaft ist etwas Menschliches und das kann man halt natürlich auch ganz klar ausnützen.
Und die Hilfsbereitschaft hat auch so einen Aspekt, wenn man zum Beispiel Informationen, bereitstellt, also im Gegenzug nett ist, wenn man jetzt irgendwo anruft und Informationen, die man erhalten hat, weitergibt, wenn man fragt, hast du eigentlich schon gehört, dass es einen neuen Benefit gibt in der Firma XY, du kriegst jetzt gratis Bananen bei irgendeinem Geschäft oder so, keine Ahnung, als Benefit, hast du das schon gehört, der andere sagt, wow, na, cool und dann hat man sofort ein Vertrauensverhältnis und die Person will ja dann auch irgendwie was zurückgeben.
wenn sie Informationen erhalten hat, die wichtig sind.
Oder wie wir in unserem Gespräch gehabt haben, die Person sagt, ja, wir haben da ein Problem mit den Kreditkarten gehabt.
Dass man sagt, ja, ja, das wissen wir schon, wir kümmern uns schon drum.
Das ist ja auch so eine Gegenleistung, die man dann einfordern kann.
Ja, jetzt habe ich dir weitergeholfen, wir sind da schon dran, du kannst beruhigt sein, aber jetzt hilf mir auch nochmal bei meinem Problem weiter.
Also das hilft natürlich.
Immer wenn du Bananen sagst, denke ich mir so, okay, wenn wir über Software Engineering Firmen reden, finde ich es immer schwierig, Bananen für die ganzen Code Monkeys.
Fällt mir immer so ein.
Ja, gratis Bananen, mir ist wirklich nichts Schlechteres aktuell eingefallen.
Aber schau auf der Webseite nach, was es für Benefits gibt und sag, es gibt diesen coolen Gutschein im Gym.
Hast du schon davon gehört?
Oder so, wenn du rausfindest, dass jemand wirklich Fitness mag.
Also ich habe das auch von einem anderen Call übrigens gehört, von einer Hackerin, die da einfach beinhart ihre Erfahrung als Mutter ausgespielt hat.
Also die andere Person war auch eine Mutter.
Und die hat sich extra diese Person rausgesucht und hat dann halt wirklich Vertrauen aufgebaut über die Mutterschaft und hat über Kinder gesprochen und so weiter.
Und sie hat im Nachhinein auch gesagt, sie hat sich so schlecht gefühlt, weil sie da wirklich die Mutterschaft ausgenutzt hat von der anderen Person.
Und sowas ist dann schon hart natürlich, aber ja, es funktioniert halt genauso.
Eine andere Art, um Druck aufzubauen, ist natürlich auch, dass man irgendwie sagt, es muss jetzt schnell passieren, weil...
Es ist die letzte Chance.
Heute Abend wird sonst dein Konto deaktiviert oder eure ganze Filiale kann nicht abgerechnet werden.
Eure Filiale macht dann irgendwie, keine Ahnung, es gehen Rechnungen verloren.
Das muss unbedingt jetzt gemacht werden, weil um sechs Uhr ist diese Abrechnung und es gibt sonst irgendwie ein Problem.
Also da kann man natürlich auch dementsprechend Druck aufbauen oder vielleicht auch auf die Person eben direkt Druck ausüben.
Deine Lizenz läuft dann aus.
Dein Arbeitsplatz funktioniert nicht mehr in einer Stunde.
Also da kann man natürlich dementsprechend auch Druck aufbauen oder Angst eigentlich aufbauen.
Die klassischen Abrechnungsruns, morgens immer um sechs, die dann das Report in die Geschäftsleitung senden, hatte ich so oft, dass ich dann auch E-Mails von der Geschäftsrunde bekommen habe, weil irgendein Job in der Nacht fehlgeschlagen ist und deswegen der Report nicht pünktlich um sechs da war.
Da kam sofort die E-Mail, warum ist der Report nicht da?
Also das geht halt genau in die Richtung, obwohl diese E-Mails dann damals real waren.
Aber wenn du diese Informationen hast, Gold wert, Gold wert.
Eine andere Art von Druck ist natürlich auch dieser Social Proof, dass man sagt, ja, die anderen Kollegen haben das ja schon gemacht und du bist der Letzte oder hast du das doch nicht gehört, dieses Update, hast du es noch gar nicht eingespielt.
Man kann dann sogar vielleicht auf...
mit der Angst spielen, dass man sagt, okay, es hat ja eine Aussendung gegeben, du musst dieses Update installieren.
Da gibt es ja sonst rechtliche Konsequenzen oder es wird dann ein Sicherheitsvorfall eingegeben und es wird dann offiziell behandelt als Sicherheitsvorfall und kann vielleicht Konsequenzen haben.
Also da kann man ja auch relativ schnell Druck aufbauen, um eben dann wieder einfach so Sachen schneller zu erreichen, dass die Leute einfach Angst bekommen und ich sage mal ihr Gehirn ausschalten oder es einfach weniger hinterfragen.
Und genau bei diesen psychologischen Mustern merkt man eigentlich sehr schnell, weil du am Anfang gesagt hast, okay, dieser Banküberfall war in den 70ern, aber diese psychologischen Muster funktionieren halt heute genauso und zwar 100% genauso.
Aber hat sich denn noch mehr geändert?
Also dein Bankenüberweisungsszenario, was du vorhin erzählt hast, da ging es ja um Tagescodes.
Vielleicht gibt es Tagescodes.
in Hochsicherheitsumfeld immer noch.
Ich hoffe, die werden jetzt anders irgendwie verteilt und nicht auf einem Post-it irgendwie an Bildschirm geklebt.
Und ich meine, früher gab es ja auch für O-Sint, für die Recherche-Phase, für das Open Source Intelligent, das gute alte Telefonbuch, wo einfach nur jeder Name drin war.
Das gibt es ja heute Tag auch nicht mehr.
Einfach unvorstellbar.
Ist das Telefonbuch eigentlich da an Schutz?
Weiß ich gerade nicht.
Naja.
Was hat sich denn noch geändert?
Ja, ich bin mir gar nicht sicher, ob sich das geändert hat, weil du die Codes erwähnt hast, weil heutzutage hast du vielleicht Two-Factor-Authentication, aber auch da gibt es ja mittlerweile genug Fälle, wo du am Telefon hängst mit irgendwem, der tippt deine Kontaktdaten ein, gibt dein Passwort ein, weil du es ihm vielleicht gegeben hast oder er es im Vorhinein rausbekommen hat und du rufst den jetzt an und sagst, hey, wir machen da ein Update auf deinem Konto, aber das muss bestätigt werden über Two-Factor und so weiter, ich sende dir den Two-Factor-Code.
kannst du mir den schnell am Telefon durchsagen.
Und dann triggerst du einfach den Login, durch den Login dieses Two-Factor-Authentication-Code versenden und die Person gibt dir die bei Telefon durch.
Und dann hast du den Two-Factor-Code.
Auch da gibt es hunderte von Fällen, die da bereits passiert sind und die funktionieren.
Das ist vielleicht kein physikalischer Code, der auf einem Post-it steht, wobei das wahrscheinlich mit Passworten immer noch ein Problem ist heutzutage, sondern du gibst dann halt einfach bei Telefon durch und das ist Two-Factor.
Im Prinzip, diese Codes an sich gibt es natürlich immer noch.
Es hat sich nur ein bisschen verlagert, wie das Ganze durchgeführt wird und vielleicht ist es heute halt eher das E-Mail oder Social Media oder der Messenger, was halt früher Telefon oder Fax war.
Naja, aber ich glaube schon, dass heutzutage mehr Möglichkeiten für Social Engineering gibt, ich nenne nur mal, dieses ganze Voice-Cloning und diese Deepfakes-Thematik.
Also wenn ich jetzt einfach mal diesen Podcast nehme, ich schneide mir 40 Beispiele raus, wahrscheinlich brauche ich noch nicht mal zu viele, von deiner Stimme, Wolfgang.
Ich knalle die bei Eleven Labs rein, mit hoher Wahrscheinlichkeit trainieren die mir ein sehr, sehr gutes Modell anhand deiner Stimme.
Und dann kann ich alles einsprechen, was in deiner Stimme wieder rausgeht, für ein Telefonat.
Mit einem deiner Freelancer-Kunden, weil du das vielleicht auch in diesem Podcast mal erwähnt hast.
Diese Möglichkeit gab es ja früher nicht.
Doch, in den Hollywood-Filmen gibt es diesen Stimmenverzerrer, den Batman auch immer hat, aber nun gut.
Also früher gab es natürlich die Möglichkeit, du gibst dich einfach als jemand anderer aus am Telefon.
Aber du kannst natürlich nicht dieselbe Stimme machen.
Das ist ganz klar.
War aber oft gerade in großen Organisationen auch gar nicht nötig.
Das kannst du jetzt halt wirklich gezielt, automatisiert mit AI wesentlich besser machen.
Das haben wir ja auch schon besprochen, diese ganzen Phishing-Attacken, die werden einfach immer besser.
Und der Next Step ist natürlich nicht nur die E-Mail, sondern auch Voice-Cloning, ganz klar.
Ja, aber nicht nur Voice-Cloning.
Du kannst ja auch, um weiteres Vertrauen zu bekommen, sagen, hey Wolfgang, lass uns doch mal kurz in den Call springen.
Du kriegst ja inzwischen auf Instagram und YouTube Videos, wie ein Mann sich vor die Kamera stellt und auf dem Parallelscreen hast du eine Dame.
die als Social Media Avatar genutzt wird, die wirklich aussieht wie eine reale Dame, natürlich komplett aufgehübscht und pipapo, dass da ganz viele Männer drauf anspringen.
Und das wird dann als Social Media Reels genutzt.
Also es gibt ja Fälle davon, wo ganze KI-Avatare so realistisch aussehen.
Das ist ja eigentlich für die ganze Social Engineering Thematik fatal.
Weil wir müssen uns nicht mehr nur auf Telefon beschränken, sondern können auch in den Teamscore springen.
Ich bin mir gar nicht sicher, ob der Raiffeisenmarkt davor geschützt wäre oder John Deere oder Fendt.
Du musst ja nicht immer die IT-Bude angreifen, sondern einfach mal den guten alten deutschen Mittelstand oder von mir aus auch einfach irgendeinen Konzern.
Es gibt ja etliche Konzerne in Deutschland oder auch in Österreich wahrscheinlich, die bei weitem nicht so fit sind in der IT.
Es gibt ja immer noch die Statistik, ich weiß nicht, vielleicht hast du die Zahl gerade im Kopf, dass weltweit...
nur unter 4% jemals mit KI schon mal was gemacht haben.
Also irgendwie so eine super schrecklich niedrige Zahl auf jeden Fall.
Und wir in unserem Umfeld denken ja, jeder proppt das jeden Tag 20 Mal.
Und jetzt reden wir über Video-Deepfakes und Voice-Klone.
Ich glaube, das ist auch das Problem.
Man spricht ja immer vom ...
Enkel-Trick, glaube ich, heißt das, oder?
Wenn der Enkel quasi bei der Oma anruft und sagt, er braucht Geld und so weiter, was jetzt natürlich noch einfacher wird.
Aber ich glaube, man muss sich schon bewusst sein, dass das auch eigentlich jeden treffen kann.
Auch uns, ein Freund von mir, ich kann mich erinnern, ist sogar zehn Jahre schon her, ein Administrator an der Universität, super security-orientiert, nur Linux-User und so weiter und nur Open Source und hat da wirklich großes Augenmerk drauf gelegt.
Was passiert?
Er bekommt eine Phishing-E-Mail im Urlaub, nur mobil.
schaut nicht direkt auf die Headers, klickt da drauf, gibt seine Login-Daten ein und zwei Tage später hat ihn dann irgendwie der zentrale Informatikdienst angerufen und hat gesagt, okay, über deinen E-Mail-Ekant fliegen irgendwie 15.000 E-Mails pro Tag, irgendwas ist da krumm.
Und du würdest es nie glauben bei so jemandem, dass man drauf reinfällt.
Aber das ist einfach wieder der Stress.
Er war im Urlaub, schnell, schnell, E-Mail, was ist da wieder ein neues Problem, muss man sich schnell einloggen.
relativ realistisch ausgesehen und das ist vor zehn Jahren gewesen.
Man klickt halt dann einfach mal schnell irgendwo drauf und ich glaube, da sind auch wir als Experten einfach nicht immun dagegen.
Das kann allen passieren und vor allem, wenn dann dieser ganze Stress, der Zeitdruck dazukommt.
Vielleicht ist man gerade müde, man hat irgendwas anderes im Kopf, man hat die Hierarchie, die vielleicht noch Druck macht in irgendeiner Form in der Firma.
Man hat die Routine, man macht irgendwie hunderte...
Tasks den ganzen Tag, die gleich sind, dann kommt halt der 100erste rein und da macht man den halt auch noch mit oder so.
Also sowas passiert eigentlich allen und davor ist man nicht gewappnet, glaube ich.
Also zu sagen, dass man irgendwie intelligenter als diese ganzen Tricks ist, ja, vielleicht geht der Enkeltrick nicht.
Aber wenn da was Gröberes aufgefahren wird und was Personalisiertes vor allem, dann wird das wirklich schwer.
Na, ich glaube, ich stimme dir zu, dass wir uns alle selbst überschätzen.
Ja, dieses mir würde das nie passieren.
Das ist, glaube ich, ein alter Hut.
Die bessere Frage wäre wohl, unter welchen Bedingungen könnte es mir passieren?
Die Login-Thematik könnte mir zum Beispiel nicht passieren.
Und ich hoffe, das machen alle unsere Hörerinnen und Hörer, denn nutzt einen scheiß Passwortmanager.
Denn auch da habt ihr die URL drin.
Und jetzt kommt meine Routine nämlich, ich gebe die gar nicht mehr ein.
Das bedeutet, mein Passwortmanager schlägt mir das vor.
Und der schlägt mir das natürlich nur unter der richtigen URL vor.
Das bedeutet, wenn ihr in eurem Passwortmanager eine URL drin habt, wo der Service da ist und euer Login, dann seid ihr eigentlich schon 99% phishing secure, wenn du deine Uni-Admin-Story da gerade rausgepackt hast.
Wobei man muss natürlich dazu sagen, also bei mir zum Beispiel mit meinem Setup Linux, KeyPass, XC, Connection zu Firefox, hin und wieder klappt diese Connection aus irgendeinem Grund nicht.
Und dann denke ich mir, ah ja, okay, funktioniert gerade wieder nicht und ich hole das Passwort manuell.
Es passiert mir immer wieder, ich probiere darauf zu achten, aber es passiert halt einfach, weil hin und wieder die Connection nicht läuft oder irgendwie eine URL nicht stimmt oder so, alte Einträge.
Man denkt sich da ja immer alles zurecht und denkt sich, ja, es wird schon so sein, es muss schon so stimmen.
Man macht sich da seine eigene Realität oft und das ist halt auch der Fehler.
Das solltest du auch mal debuggen, denn ich will jetzt nicht One Password loben, ich kenne mich mit KeePassX und deinem Setup, der ist nicht aus, aber da habe ich, in allen Browsern, die ich nutze, keine Probleme.
Und das würde ich wirklich debagen, denn das ist eine Nummer 1-Schutz.
Denn du sagst ja selber, die Frage ist nicht, ob du attackierst wirst.
Die Frage ist, wann.
Und jetzt kommt mal was zum Nachdenken.
Bist du dir sicher, dass du nicht schon attackiert wurdest?
Und dass es nicht erfolgreich war?
Weil wir hatten gerade über die langsamen Attacken gesprochen.
Was ist denn, wenn auf deiner Kiste irgendwas schläft?
Und es wird einfach nur, oder es läuft schon auf einem so low Volume.
Dass du es einfach gar nicht merkst.
Jeden Tag ein E-Mail oder zwei E-Mails aus deinem Postfach gesendet, das merkst du nie im Leben.
Das mal 4.000 sind 8.000 Spam-E-Mails pro Tag.
Das über ein Jahr.
Die machen einfach den Slow-Volume durch, fertig und lassen einfach laufen.
Ja, kann ich natürlich nicht sicherstellen, klar.
Ich probiere mal aufzupassen und das dann natürlich zu überprüfen, wenn ich es manuell mache, aber klar.
Wenn man das schnell, schnell im Stress, kann durchaus passieren.
Ich probiere sowieso auf keine Links in E-Mails zu klicken oder die Header sehr genau anzusehen.
Aber ja, man ist wieder mobil oder so, dann hat man wieder dieses alte Leiden.
Und auf mobil gibt es sowieso keine sinnvolle Connection, bei mir zumindest.
Macht durchaus Probleme, ja.
Aber das bringt uns zu den Schutzmaßnahmen, die jetzt natürlich auch nicht ganz so einfach sind.
Denn wir haben gerade gesagt, es trifft auch die Experten.
Was würdest du sagen, hilft bei der ganzen Thematik?
Ein Tipp, den ich zum Beispiel immer mache.
Und zwar bekomme ich ab und zu auch Kaltakquiseanrufe.
Irgendwelche Firmen wollen mir irgendwas verkaufen im Obserability-Bereich, weil ich sehr beruflich unterwegs bin.
Dann wollen die mit mir immer sprechen, bla bla bla.
Ab und zu nehme ich an, weil ab und zu nicht.
Je nachdem, ob die Nummer legitim aussieht und so.
Und dann sage ich, schicken Sie mir eine E-Mail mit den Informationen.
Ich melde mich, falls ich Interesse habe.
Dann fragen die immer, ist deine E-Mail-Adresse...
Das und das.
Dann sagen die immer was Aktives.
Dann sagen die auch was Falsches.
Dann sage ich einfach ja.
Dann weiß ich schon, okay.
Die Schutzmaßnahme ist hier.
Die Leute sollen dir eigentlich immer alles per E-Mail schicken.
Der Grund ist ganz einfach.
Dann kann ich auf den E-Mail-Header schauen.
Kommt das aus meiner Firma?
Ist das zertifiziert über die Domain?
Ist das legitim?
Und so weiter und so fort.
Und du bist nicht in dieser Hektik, denn...
Ich habe schon sehr, sehr viele Lizenzen erneuert und auch Verträge verhandelt und war da mit involviert.
Wenn du eine Firma hast und du hast einen Vertrag mit Atlassian oder ähnliches, dann hast du auch in der Regel einen Key Account Manager.
Und wenn du eine Gebühr für das nächste Jahr nicht überwiesen hast, da kommt es in der Regel nicht auf den einen oder anderen Tag drauf an.
Die sperren den Account in der Regel nicht sofort.
wenn da ein anderes Unternehmen hinterhängt.
Bei deinen privaten Dingern ist das was anderes.
Dein Netflix-Abo kann sein, dass das sofort down geht, wenn du nicht deine 11 Euro überwiesen hast.
Das ist fair.
Aber wenn da eine Firma hinterhängt mit 100 Mitarbeitern oder 200 Zugängen, dann kommt es in der Regel auf den Tag nicht drauf an, ob das überwiesen wird oder nicht, sondern da hängt in der Regel noch ein Key-Account-Manager dazwischen und so weiter und so fort.
Aber Netflix ruft dich auch nicht an.
Also die schicken vielleicht eine E-Mail und wenn dein Netflix einen Tag...
off ist, aus irgendeinem Grund, ja, dann sei es so.
Und bei einer E-Mail hast du ja, wie du richtig sagst, immer mehr Zeit.
Da kannst du die URL überprüfen.
Du kannst, statt auf den Link in der E-Mail zu klicken, kannst du einfach so Netflix eingeben, weil du weißt ja, wo dein Konto ist.
Du weißt, wie du dich einloggen kannst.
Du weißt, wie du deine Bankdaten dort einsehen kannst.
Also das Klassische funktioniert ja alles.
Und der ganze Druck ist ja nur gespielt.
Angenommen, jemand setzt euch unter Druck, dass der Geschäftsführer gerade irgendeinen Deal abschließen möchte.
Wenn die Gegenseite wirklich Interesse an dem Deal hat, kann man auch eine Stunde oder zwei oder drei noch warten.
Weil der Prozess ist dann sowieso schon wochenlang aktiv, um das mal jetzt ein bisschen überspitzt zu sagen.
Ja, die Frage ist auch, warum sollten die zu dir kommen und warum kennst du die Person nicht?
Also wenn wir jetzt mal Deepfakes weglassen.
Also irgendwas ist da dann ja auch faul.
Also ist zwar immer leicht gesagt, man soll sich nicht unter Stress, unter Druck setzen lassen.
Aber eigentlich ist es sicher das Beste, einfach mal einen Schritt zurück.
Man kann ja nochmal sagen, sorry, ich habe gerade keine Zeit oder sonst was, ruf mal in einer halben Stunde nochmal an, dann hat man auch Zeit zum Überlegen.
Oder ich rufe zurück, dann hast du schon mal eine Nummer.
Das hilft dir unter Umständen auch.
Also einfach da ein bisschen Speed rausnehmen, ist wahrscheinlich grundsätzlich.
Immer gut.
Ich meine, die ganzen Standard-Advices, dass man keinen Two-Factor am Telefon durchgeben soll und solche Sachen.
Ich glaube, die sind bei uns in der Tech-Szene jetzt sowieso weit verbreitet.
Aber wie gesagt, man ist irgendwo im Stress, im Urlaub, keine Ahnung und wird da aus irgendeinem Grund dumm getroffen, ist gerade müde, dann kann sowas natürlich auch passieren, klar.
Genau, diese Standard-Advice lassen wir jetzt einfach mal weg.
Aber auch ein sehr guter Tipp ist, In der Regel haben alle von euch irgendwie so einen Firmen-Chat-Messenger.
Sei es, weiß ich nicht, Slack oder MetaMost oder Microsoft Teams oder Skype for Business, wenn es das noch gibt.
Naja, ihr wisst, was ich meine.
Schreibt da einfach eure Geschäftsführerin an.
Hey, hast du mir gerade eine SMS geschrieben, dass ich den Betrag 4711 nach Adlessian überweisen soll?
Immer wenn ich sowas gehört oder selbst gemacht habe, ich habe noch nie eine negative Response bekommen.
Sondern es war immer dankbar, dass man da nicht reingefallen ist, dass man sich kurz gegengecheckt hat.
Und wenn es dann doch dringend ist, dann kann man immer noch den Gerd aus der Finanzabteilung anrufen, der dann die Überweisung macht.
In der Hoffnung, dass der Gerd dann nicht dich als Social Engineering Opfer.
Naja, ihr wisst schon.
Was man natürlich schon auch von der EntwicklerInnen-Seite sagen kann, ist, wenn man selber solche Systeme entwickelt, dass man halt auch immer damit rechnet, dass solche Menschen kompromittiert sind und halt vielleicht Fehler machen.
Und vielleicht kann man dann ja auf der technischen Seite...
irgendwas lösen oder Least Privilege, dass die Rechte nicht zu hoch sind, dass man sinnvolle Two-Factor hat, vielleicht keine SMS-Two-Factor ist eigentlich ja sowieso veraltet und nicht sicher, dass man halt da einfach von der technischen Seite auch alles macht.
Ich glaube, da könnte man wahrscheinlich ganze drei Episoden damit füllen, was man dort machen kann.
Aber gerade wir auf der Entwicklerseite sind da natürlich auch dementsprechend verantwortlich und dann noch zusätzlich natürlich auf der Prozessseite.
Gerade in großen Firmen, wo das ja viel eher auftritt, gibt es Prozesse und darum gibt es ja vielleicht auch Prozesse, damit man da eben nicht so einfach aus diesem Prozess ausbrechen kann.
Und so ein Prozess hilft ja auch, dass man dann vielleicht sagen kann, ja, aber das geht halt nicht so schnell, wir haben diesen Prozess.
Oder du kennst ja eh diesen Prozess, wir müssen das jetzt so machen und da braucht es irgendwie ein Approval.
Und dann kommt man da vielleicht auch nicht so unsympathisch rüber und es ist auch für einen selbst einfacher zu sagen, der Prozess ist schuld und ich bin nicht der Unfreundliche hier, sondern wir müssen halt dem Prozess folgen, sorry.
Also Prozesse sind nicht immer schlecht, wollt ihr damit sagen.
Also ich glaube als Schlussgedanke oder das, was wir sagen wollen, ist, Social Engineering ist kein Randthema.
Ich glaube, es wird immer populärer und besonders jetzt, weil einfach jeder diese Möglichkeiten hat.
Jeder bootet einfach mal so einen Nano-Banana und macht drei Fakes vom Wolfgang.
Und es betrifft einfach auch jede Abteilung in jeder Firma.
Und der Wolfgang hatte mir einen schönen Satz im Vorgespräch gesagt.
Die entscheidende Frage lautet nicht nur, kann jemand unser System hacken, sondern kann jemand eine berechtigte Person dazu bringen, das System für ihn zu öffnen?
Und das fand ich eigentlich ganz schön, denn es fängt mit diesen kleinen Informationen an.
Ihr wollt ins Büro, habt eure Zugangskarte und jemand steht mit einem Kaffee und drei Akten in der Hand, kommt nicht an seine Keycard.
Ich glaube, eins der...
Besten Gegenmaßnahmen bei sowas ist vielleicht auch einfach mal Nein zu sagen.
Man kann auch ein Net Nein sagen, auch wenn man einen Support angerufen hat.
Kannst du mir mal eben helfen?
Nein, ich kann dir nicht mal eben helfen.
Bitte öffne ein Ticket.
Und die Person kann dann natürlich kein Ticket eröffnen, weil sie natürlich kein Zugriff auf das Internet-Ticketsystem hat und so weiter.
Oder wenn ihr ins Büro wollt, hey, tut mir leid, ich verfolge nur die Regeln des Sicherheitsinspektors.
Ich würde dich bitten, dir zwei Minuten zu nehmen, den Kaffee auf den Boden zu stellen, die Ordner zur Seite zu legen und deine Kika zu nehmen und dann selbst.
Das muss man sich immer unfreundlich machen, das geht auch nett.
Und wenn die Person wirklich ein Mitarbeiter ist, dann weiß diese Person, dass es auch eigentlich richtig ist.
Und wenn man diese Person dann später trotzdem in der Kaffeeküche trifft, kann man dann sagen, hey, das war jetzt nicht persönlich gemeint, das tut mir leid, aber letzte Woche habe ich die Security-Schulung neu gemacht und da ist mir das nochmal aufgeschaut.
Internes Wissen ist eben nicht Identität.
Ich glaube, auf das muss man einfach aufpassen.
Also nur weil jemand irgendwas weiß und ein paar Infos hat, heißt es noch lange nicht, dass er...
alles darf und vertrauenswürdig ist.
Egal ob bei E-Mail, Telefon oder eben beim Eintritt in die Firma.
Und kennen wir alle, wie oft halten wir irgendwelche Türen für andere Leute auf.
Sehr, sehr oft, sehr, sehr oft.
Also, wenn du auch mal eine Social Engineering Attacke erlebt hast, vielleicht warst du sogar Teil der ganzen Sache, als Attacker oder als Opfer, schreib uns doch mal eine Mail, komm in unsere Discord Community.
Ich bin wirklich gespannt, denn dieses Feld finde ich...
richtig, richtig spannend.
Besonders was für einen Mut man aufbringen muss.
Ich weiß gar nicht, ob ich das könnte.
Und diese Konfidenz und dieses Selbstvertrauen.
Naja, ich bin auf deine Story gespannt.
Discord-Community, via E-Mail.
Du findest uns schon irgendwo auf Social Media.
Wenn nicht, ist das jetzt dein Ursinnt-Rechercheauftrag, uns zu finden.
Das war's von uns.
Wir hören uns nächste Woche.
Und tschüss.
Ciao.
Und da will man den Geschäftsführer natürlich jetzt nicht enttäuschen.
Du kannst natürlich weiter Druck aufbauen.
Ja, möchtest du, dass der, dass der Matthew oder...
Matthew ist ein duber Name.
Cloudflash-Chef.
Sollte man nicht machen.
Möchtest du, dass der Gerhard...
Gerhard ist auch ein Schatzname.
Möchtest du, dass die Gabi jetzt nicht den Deal closen kann?
Oder, ne?
Deswegen.