Social Engineering im vereinbarten Rahmen
Mail, Telefon und der Weg vor Ort, mit vorher festgelegten Grenzen. Der Bericht beschreibt Abläufe und nennt keine Namen.
Der Weg über Menschen führt an der Technik vorbei
Technische Maßnahmen halten technischen Angriffen stand. Ein Anruf aus der vermeintlichen IT, eine Mail mit einer plausiblen Rechnung oder jemand im Blaumann am Empfang umgehen sie.
Wir prüfen diese Wege in einem vorher vereinbarten Rahmen: welche Vorwände erlaubt sind, welche Bereiche ausgenommen bleiben und wann abgebrochen wird. Das Ergebnis beschreibt Abläufe, keine Personen.
Jeder Vorwand beginnt mit offener Recherche, OSINT: Namen, Rollen, Zuständigkeiten, laufende Projekte, Schreibweisen in der E-Mail-Adresse. Je genauer das ist, desto glaubwürdiger ist der Anruf und desto ehrlicher fällt die Übung aus.
Mail, Telefon und der Weg durch die Tür
Die Mail prüft, ob eine Anfrage ohne Rückfrage bearbeitet wird. Der Anruf prüft, ob sich jemand am Telefon ausweisen muss, bevor er ein Passwort zurücksetzen lässt. Der Besuch prüft, ob eine unbekannte Person mit Auftrag und Warnweste bis in den Serverraum kommt.
Jeder Weg endet an einer vereinbarten Grenze. Wir nehmen keine Daten mit. Wir melden, wo wir hingekommen wären. Namen nennen wir nicht. Wer eine Mail angeklickt hat, ist für den Bericht ohne Bedeutung; dass eine Rückfrage nirgends vorgesehen war, ist der Befund.
Wie eine Übung abläuft
Der Rahmen entscheidet über den Wert der Übung, nicht der Tag selbst. Er steht schriftlich, bevor der erste Anruf geht.
Rahmen festlegen
Welche Wege sind erlaubt, welche Bereiche bleiben ausgenommen, welche Vorwände sind ausgeschlossen, und wann wird abgebrochen. Der Betriebsrat sitzt hier mit am Tisch und die Zusage, nicht auf Personen auszuwerten, steht im Auftrag.
Offene Recherche
Namen, Rollen, Zuständigkeiten, laufende Projekte, das Schema der E-Mail-Adressen. Das ist dieselbe Arbeit, die ein Angreifer leistet, und sie bestimmt, welcher Vorwand überhaupt glaubwürdig ist.
Durchführung
Mail, Anruf und der Weg vor Ort, in der vereinbarten Reihenfolge. Jeder Schritt wird protokolliert, jeder endet an der vereinbarten Grenze und wir nehmen keine Daten mit.
Auswertung
Beschrieben werden Abläufe und Vorkehrungen, keine Personen. Der Befund ist nicht, wer geklickt hat, sondern dass an einer Stelle keine Rückfrage vorgesehen war.
Häufige Fragen zu Social Engineering
Die Simulation ist der wiederholbare Massenversand mit Quote und Lerneffekt. Social Engineering ist gezielt, nutzt Telefon und den Weg vor Ort dazu und arbeitet mit Vorwänden, die auf Ihr Haus zugeschnitten sind. Für den Anfang ist die Simulation der bessere Schritt.
Der gehört an den Tisch, bevor etwas beginnt. Wir werten nicht auf Personen aus und liefern keine Listen von Namen. Diese Zusage steht schriftlich im Auftrag und der Betriebsrat kann sie prüfen.
Dann hat der Test funktioniert. Wer geübte Angreifer erkennt, hat Glück gehabt oder ist misstrauisch. Ein Ablauf, der eine Rückfrage vorschreibt, hängt nicht an Tagesform.
Zertifizierungen und Mitgliedschaften.
Sprechen Sie mit uns.
Ein erstes Gespräch dauert in der Regel 30 Minuten. Wir schauen uns Ihre Ausgangslage an und sagen offen, ob wir der passende Partner sind.