Dieser Leitfaden bietet Ihnen alles, was Sie benötigen, um diese Art von Test zu verstehen, seinen Umfang festzulegen und ihn durchzuführen – mit praktischen Anleitungen, die Sie sofort umsetzen können.
Warum die menschliche Ebene testen?
Technologische Sicherheitsmaßnahmen sind nur so stark wie die Menschen, die mit ihnen interagieren. Social Engineering – die Kunst, Menschen so zu manipulieren, dass sie Handlungen vornehmen, die die Sicherheit gefährden – ist für einen erheblichen Prozentsatz der anfänglichen Zugangswege bei Datenschutzverletzungen verantwortlich. Allein Phishing ist für den grössten Teil der Verstösse im Gesundheitswesen, im Finanzwesen und im SaaS-Bereich verantwortlich. Das Testen Ihrer menschlichen Abwehrkräfte ist genauso wichtig wie das Testen Ihrer technischen.
Phishing-Simulationen
Der häufigste Social Engineering-Test simuliert E-Mail-basierte Phishing-Angriffe gegen Ihre Belegschaft. Tester erstellen realistische Phishing-E-Mails – geben sich als Lieferanten, Führungskräfte, IT-Support oder Dienstleister aus – und messen Klickraten, Raten der Übermittlung von Anmeldedaten und Melderaten. Die Ergebnisse zeigen, welche Abteilungen am anfälligsten sind und wo Schulungen fokussiert werden sollten.
Pretexting und Voice Phishing
Über E-Mails hinaus können Tester telefonbasiertes Pretexting (Vishing) verwenden, um Informationen zu extrahieren oder Mitarbeiter dazu zu manipulieren, Handlungen vorzunehmen – Geld überweisen, Passwörter zurücksetzen, VPN-Zugangsdaten bereitstellen. Diese Tests bewerten, ob Ihre Mitarbeiter die Identität des Anrufers überprüfen und etablierte Verfahren unter Druck befolgen.
Physisches Social Engineering
Für Organisationen mit physischen Standorten können Tester versuchen, sich unbefugten Zutritt zu Gebäuden durch Tailgating, Nachahmung oder Pretexting zu verschaffen. Dies testet Ausweissysteme, Besucherverfahren und die Bereitschaft der Mitarbeiter, unbekannte Gesichter zu hinterfragen.
Integration mit technischen Tests
Die wertvollsten Social Engineering-Tests sind in technische Pentests integriert. Eine Phishing-E-Mail liefert eine Payload; der Tester verwendet die erbeuteten Zugangsdaten, um auf interne Systeme zuzugreifen; der technische Pentest wird aus dem internen Netzwerk fortgesetzt. Dies demonstriert die vollständige Kill Chain vom anfänglichen Social Engineering über die technische Ausnutzung bis zum Datenzugriff.
Das Fazit
Technische Kontrollen schützen Systeme. Social Engineering-Tests schützen die Menschen, die diese Systeme nutzen. Die umfassendsten Security Testing-Programme bewerten beides – denn Angreifer werden es mit Sicherheit tun.