Die Kunst der Täuschung E-Book

Kevin D. Mitnick

• Herausgeber: MITP
• Kategorie: Wissenschaft und neue Technologien
• Serie: mitp Professional
• Sprache: Deutsch

Seitenzahl: 594

Veröffentlichungsjahr: 2012

Beschreibung

• Social Engineering und Human Hacking als Gefahr für die IT-Sicherheit erkennen
• Mit vielen unterhaltsamen und lehrreichen Beispielszenarien
• Von einem der bekanntesten Hacker der Welt

Der legendäre Hacker Kevin Mitnick enthüllt in diesem Buch, wie die größte Schwachstelle in jedem IT-Sicherheitssystem für Angriffe genutzt werden kann - der Mensch.

Kevin Mitnick, einst der meistgesuchte Verbrecher der USA, saß fünf Jahre im Gefängnis, weil er in zahlreiche Netzwerke großer Firmen eingebrochen war. Dabei bediente er sich häufig nicht nur seiner umfassenden technischen Hacker-Kenntnisse, sondern überlistete praktisch jedes Sicherheitssystem, indem er sich Passwörter erschlich, in Mülltonnen nach sicherheitsrelevanten Informationen suchte und falsche Identitäten vorgaukelte.

In diesem Buch führt Mitnick führt den Leser in die Denk- und Handlungsweise des Social Engineering ein, beschreibt konkrete Betrugsszenarien und zeigt eindrucksvoll die dramatischen Konsequenzen, die sich daraus ergeben. Dabei nimmt Mitnick in vielen unterhaltsamen und lehrreichen Beispielen sowohl die Perspektive des Angreifers als auch des Opfers ein und erklärt damit sehr eindrucksvoll, wieso die Täuschung so erfolgreich war. Und noch wichtiger: wie man sich effektiv dagegen schützen kann.

Leseprobe

DRM

Impressum

Bibliografische Information der Deutschen Nationalbibliothek

Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über <http://dnb.d-nb.de> abrufbar.

ISBN 978-3-8266-8689-4

1. Auflage 2013

E-Mail: [email protected]

Telefon: [phone]

Telefax: +49 6221/489-410

www.mitp.de

© 2013 mitp, eine Marke der Verlagsgruppe Hüthig Jehle Rehm GmbH Heidelberg, München, Landsberg, Frechen, Hamburg

Lektorat: Ernst-Heinrich-Pröfener

electronic publication: III-satz, Husby, www.drei-satz.de

Dieses Ebook verwendet das ePub-Format und ist optimiert für die Nutzung mit dem iBooks-reader auf dem iPad von Apple. Bei der Verwendung anderer Reader kann es zu Darstellungsproblemen kommen.

Der Verlag räumt Ihnen mit dem Kauf des ebooks das Recht ein, die Inhalte im Rahmen des geltenden Urheberrechts zu nutzen. Dieses Werk, einschließlich aller seiner Teile, ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheherrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Dies gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und Einspeicherung und Verarbeitung in elektronischen Systemen.

Der Verlag schützt seine ebooks vor Missbrauch des Urheberrechts durch ein digitales Rechtemanagement. Bei Kauf im Webshop des Verlages werden die ebooks mit einem nicht sichtbaren digitalen Wasserzeichen individuell pro Nutzer signiert.

Bei Kauf in anderen ebook-Webshops erfolgt die Signatur durch die Shopbetreiber. Angaben zu diesem DRM finden Sie auf den Seiten der jeweiligen Anbieter.

Die Kunst der Täuschung

Risikofaktor Mensch

Kevin D. Mitnick & William L. Simon

Übersetzung aus dem amerikanischen Englisch von Jürgen Dubau

Social Engineering

Social Engineering benutzt Techniken der Beeinflussung und Überredungskunst zur Manipulation oder zur Vortäuschung falscher Tatsachen, über die sich ein Social Engineer eine gefälschte Identität aneignet. Damit kann der Social Engineer andere zu seinem Vorteil ausbeuten, um mit oder ohne Verwendung von technischen Hilfsmitteln an Informationen zu gelangen.

Vorwort

Als menschliche Wesen werden wir mit dem inneren Bedürfnis geboren, unsere Umgebung zu erkunden. In jungen Jahren waren Kevin Mitnick und ich beide zutiefst neugierig auf die Welt und begierig darauf, uns zu beweisen. Oft wurden wir bei unseren Anstrengungen belohnt, neue Dinge zu erfahren, Rätsel zu lösen und bei Spielen zu gewinnen. Aber gleichzeitig brachte uns unsere Umwelt Verhaltensregeln bei, die unserem inneren Forschungsdrang Fesseln anlegten. Sowohl für unsere größten Wissenschaftler und technologischen Vordenker als auch für Leute wie Kevin Mitnick bedeutet es die größte Erregung, diesem Drang nachzugeben, und damit konnten wir Dinge erreichen, die niemand anders für möglich gehalten hatte.

Kevin Mitnick ist eine der großartigsten Personen, die ich kenne. Fragen Sie ihn, und er wird geradeheraus sagen, dass es bei seiner Tätigkeit – Social Engineering – darum geht, andere zu betrügen. Aber Kevin ist kein Social Engineer mehr. Und sogar, als er noch einer war, ging es ihm niemals darum, sich zu bereichern oder anderen Schaden zuzufügen. Das bedeutet nicht, dass dort draußen nicht irgendwelche gefährlichen und destruktiven Kriminelle Social Engineering einsetzen, um einen echten Schaden hervorzurufen. Tatsächlich hat Kevin genau aus diesem Grund dieses Buch geschrieben: Um Sie vor solchen Leuten zu warnen.

Kevin Mitnicks Buch „Die Kunst der Täuschung” zeigt, wie verletzbar wir alle für die Zudringlichkeiten eines Social Engineers sind – die Regierung, die Geschäftswelt und jeder von uns persönlich! In diesen sicherheitsbewussten Zeiten geben wir eine Menge Geld für die Technologien aus, die unsere Computernetzwerke und Daten schützen sollen. Dieses Buch zeigt auf, wie simpel es ist, die Insider hereinzulegen und den gesamten technologischen Schutz zu umgehen.

Egal, ob Sie bei der Regierung oder in einem Wirtschaftsunternehmen arbeiten – dieses Buch gibt Ihnen die Mittel in die Hand, die Arbeit eines Social Engineers zu verstehen und zu durchkreuzen. Kevin und sein Co-Autor Bill Simon setzen erfundene Geschichten ein, die unterhaltsam sind und Ihnen gleichzeitig die Augen öffnen. So erwecken sie die Techniken aus der Unterwelt des Social Engineerings zum Leben. Nach jeder Geschichte bieten sie praktische Richtlinien an, mit denen Sie sich gegen die beschriebenen Lücken und Bedrohungen schützen können.

Eine rein technologische Sicherheit übersieht riesige Löcher, die von Leuten wie Kevin geschlossen werden können. Lesen Sie dieses Buch, und Sie werden schließlich erkennen, dass wir alle uns von den Mitnicks unter uns helfen lassen müssen.

Steve Wozniak

Einleitung

Einige Hacker zerstören anderer Leute Dateien oder Festplatten, sie werden Cracker oder Vandalen genannt. Manche Hacker kümmern sich nicht darum, die technologischen Grundlagen zu erlernen, sondern laden sich einfach Hacker-Programme herunter, mit denen sie in Computersysteme einbrechen – diese werden Skript Kiddies genannt. Erfahrenere Hacker mit Programmierkenntnissen entwickeln Hacker-Programme und stellen sie ins Web oder in Newsgroups. Und dann gibt es die Personen, die keine technologischen Interessen haben, sondern den Computer als Hilfsmittel nutzen, um Geld, Waren oder Dienste zu ergaunern.

Trotz des durch die Medien geschaffenen Mythos’ „Kevin Mitnick” bin ich kein bösartiger Hacker.

Aber ich greife vor.

Der Anfang

Mein Weg ist wohl schon früh vorgezeichnet gewesen. Um die Zukunft habe ich mir keine Sorgen gemacht, aber ich langweilte mich. Mein Vater verließ uns, als ich drei war, und seitdem verdiente meine Mutter unseren Lebensunterhalt als Kellnerin. Damals war ich die meiste Zeit meines Wachseins alleine – das Einzelkind einer Mutter, die lange und schwere Tage nach einem manchmal sehr wechselhaften Dienstplan zu arbeiten hatte. Ich war mein eigener Babysitter.

Ich wuchs in einem Ort im San Fernando Valley auf, von wo aus ich ganz Los Angeles erforschen konnte, und als ich zwölf war, hatte ich eine Möglichkeit entdeckt, kostenlos im gesamten Stadtgebiet von Los Angeles herumzufahren. Eines Tages bemerkte ich, dass die Gültigkeit der Tickets dadurch kontrolliert wurde, wie der Fahrer die Tickets lochte, um Datum, Zeit und Wegstrecke zu kennzeichnen. Bei einem freundlichen Fahrer erfuhr ich mit bedacht gewählten Fragen, wo man diesen besonderen Locher kaufen könne.

Mit den Transfertickets sollte man auf seiner Reiseroute in andere Busse umsteigen können, aber ich fand heraus, wie ich sie einsetzen musste, um überall hin fahren zu können, ohne zu bezahlen. Es war ein Kinderspiel, Blankotickets zu organisieren. An jeder Endstation waren die Mülleimer voller halbbenutzter Ticketbücher, die von den Fahrern nach Feierabend weggeworfen worden waren. Mit einem Stapel unbenutzter Tickets und dem Locher konnte ich meine eigenen Transfers stanzen und das gesamte Busnetz von Los Angeles befahren. Nach kurzer Zeit kannte ich den Busfahrplan so gut wie auswendig. Das war ein frühes Beispiel für mein überraschendes Gedächtnis, mit dem ich mir bestimmte Arten von Informationen merken konnte; ich kann mich auch heute noch sehr gut an Telefonnummern, Passworte und andere scheinbar triviale Details erinnern – bis zurück in meine Kindheit.

Ein anderes persönliches Interesse, das sich schon ganz früh herausbildete, war meine Faszination für die Kunst des Zauberns. Hatte ich erst mal herausgefunden, wie ein neuer Trick funktionierte, übte ich solange, bis ich ihn endlich gemeistert hatte. Durch das Zaubern entdeckte ich gewissermaßen, dass es mir Freude machte, geheimes Wissen zu erlangen.

Vom Phone Phreak zum Hacker

Meine erste Begegnung mit dem, was, wie ich später erfuhr, Social Engineering genannt wird, fand während meiner Zeit in der Highschool statt, als ich einen anderen Schüler traf, der sich mit einem Hobby namens Phone Phreaking beschäftigte. Das ist eine Art des Hackens, bei dem man das Telefonnetzwerk erforscht, indem man Telefonsysteme und Angestellte der Telefongesellschaften ausnützt. Er hat mir prima Tricks mit Telefonen gezeigt, wie man z.B. alle Informationen herauskriegt, die eine Telefongesellschaft über einen Kunden besitzt, und wie man mit einer Geheimnummer kostenlose Ferngespräche führen kann. (In Wahrheit war es nur für uns umsonst. Viel später fand ich heraus, dass es überhaupt keine Geheimnummer war, sondern die Telefonate auf irgendein Firmenkonto gebucht wurden.)

So lernte ich Social Engineering kennen – das war sozusagen mein Kindergarten. Mein Freund und ein anderer Phone Phreaker, den ich später kennen lernte, ließen mich zuhören, wie sie unter einem Vorwand die Telefongesellschaft anriefen und Dinge erzählten, die ihnen eine gewisse Glaubwürdigkeit verschafften. Ich erfuhr von unterschiedlichen Abteilungen der Telefongesellschaften und lernte Jargon und Abläufe kennen. Aber dieses „Training” währte nicht lange; das war auch nicht nötig, denn ich probierte selbst alles aus und lernte ständig dazu, so dass ich meine ersten Lehrer bald überrundete.

Damit war die Richtung abgesteckt, die mein Leben in den nächsten fünfzehn Jahren nehmen sollte.

In der Highschool hatte ich am meisten Spaß daran, mir den unautorisierten Zugang zu einer Telefonzentrale zu verschaffen und dann die Zugangsberechtigungen eines anderen Phone Phreakers zu verändern. Wenn er dann von zu Hause ein Telefonat führen wollte, hörte er eine Ansage, er solle eine Münze einwerfen, weil die Schaltzentrale der Telefongesellschaft aus der Art der Verbindung geschlossen hatte, er telefoniere von einem Münzfernsprecher aus.

Ich vertiefte mich immer mehr in alles, was mit Telefonen zusammenhing, nicht nur Elektronik, Schaltungen und Computer, sondern auch Organisation und Abläufe der Telefongesellschaften und die Terminologie. Nach einiger Zeit wusste ich wohl mehr über das Telefonsystem als viele Angestellte. Und dabei entwickelte ich meine Geschicklichkeit beim Social Engineering derart, dass ich im Alter von 17 Jahren die meisten Angestellten der Telefongesellschaften praktisch zu allem überreden konnte, egal ob ich persönlich oder am Telefon mit ihnen sprach.

Meine Karriere als Hacker, über die vielfältig berichtet wurde, begann in der Highschool. Ich kann hier nicht auf Einzelheiten eingehen, aber ein wichtiger Beweggrund für meine ersten Hacks war der Wunsch nach Anerkennung durch die Hacker-Gruppe.

Damals benutzten wir den Ausdruck Hacker für eine Person, die viel Zeit mit dem Herumbasteln an Hard- und Software verbrachte, um entweder effektivere Programme zu entwickeln oder unnötige Schritte zu vermeiden und schneller mit einer Sache fertig zu werden. Dieser Begriff wird heute sehr abwertend im Sinne eines „bösartigen Kriminellen” verwendet. In diesem Buch gebrauche ich die Bezeichnung so wie früher – in einem freundlicheren Zusammenhang.

Nach der Highschool studierte ich Computerwissenschaften im Computer Learning Center in Los Angeles. Nach einigen Monaten fand der Computermanager der Schule heraus, dass ich mir Schwachstellen des Betriebssystems zunutze gemacht hatte und volle administrative Berechtigungen auf ihren IBM-Minicomputern besaß. Die besten Computerexperten des Lehrkörpers konnten nicht herausfinden, wie mir das gelungen war. Man machte mir ein Angebot, das ich nicht ablehnen konnte, und das war wohl eins der frühesten Beispiele, wie eine Firma einen Hacker angeworben hat. Ich konnte mir aussuchen, ob ich ein Projekt zur Verbesserung der Computersicherheit durchführen wolle oder gesperrt werde, weil ich das System gehackt hatte. Natürlich entschied ich mich für das Projekt und machte später meinen Abschluss cum laude.

Ich werde Social Engineer

Vielen Leuten ist das Aufstehen morgens eine Qual, weil ihnen vor dem sprichwörtlichen Alltagstrott graust. Mir war das Glück beschert, dass ich meine Arbeit genoss. Sie können sich insbesondere nicht vorstellen, mit welcher Freude mich die Herausforderung und der Lohn einer Tätigkeit als Privatdetektiv erfüllte. Ich verfeinerte meine Talente in der Schauspielkunst namens Social Engineering (wie man Leute dazu bringt, Dinge für ihnen fremde Personen auszuführen, die sie normalerweise nicht tun würden) und wurde dafür auch noch bezahlt.

Für mich war es keine Schwierigkeit, als Social Engineer zum Fachmann zu werden. Seit Generationen war meine Familie von der Seite meines Vaters her mit dem Verkaufen beschäftigt, und so könnte die Kunst der Beeinflussung und Überredung eine vererbte Charaktereigenschaft sein. Wenn Sie diesen Wesenszug mit der Neigung kombinieren, andere zu täuschen, haben Sie das Profil eines typischen Social Engineers.

Man könnte sagen, bei der Stellenbeschreibung eines Trickbetrügers gebe es zwei Spezialisierungen. Jemand, der andere anschwindelt und sie um ihr Geld betrügt, gehört zur Unterkategorie des Grifters (Gauner). Jemand, der Täuschung, Betrug und Überredung bei Firmen einsetzt, um in der Regel an deren Informationen zu gelangen, wird als Social Engineer bezeichnet. Schon in der Zeit, als ich mit den Bustickets herumtrickste (als ich noch zu jung war, um zu erkennen, dass das etwas Böses war), erkannte ich bei mir das Talent, Geheimnisse herauszufinden, die ich eigentlich nicht kennen sollte. Auf dieses Talent baute ich mit Täuschung und dem richtigen Jargon auf und entwickelte ein ausgefeiltes Geschick in der Manipulation.

Um mein Geschick in diesem Gewerbe auszubauen (wenn ich es denn ein Gewerbe nennen darf), wählte ich einen kleinen Aspekt einer Information, die mir eigentlich gleichgültig war, und dann versuchte ich, am Telefon jemanden zu überreden, mir diese Info zu verraten, einfach nur, um meine Fähigkeiten zu schulen. Auf die gleiche Art und Weise, wie ich meine Zaubertricks einstudierte, übte ich den Einsatz verschiedener Vorwände ein. Durch diese Probeläufe fand ich schnell heraus, dass ich praktisch jede gewünschte Information erlangen konnte.

Jahre später beschrieb ich es in meiner Aussage im Kongress vor den Senatoren Lieberman und Thompson folgendermaßen:

Ich habe unerlaubten Zugang zu einigen der weltweit größten Unternehmen erlangt und erfolgreich einige der hartnäckigsten Computersysteme geknackt, die jemals entwickelt worden sind. Dabei habe ich mich technischer und nicht-technischer Mittel bedient, um mir den Quellcode verschiedener Betriebssysteme und Telekommunikationsgeräte zu beschaffen, damit ich ihre Schwachstellen und internen Funktionsweisen studieren konnte.

Meine gesamten Aktivitäten sollten nur der Befriedigung meiner eigenen Neugier dienen. Ich wollte meine Möglichkeiten kennen lernen und geheime Informationen über Betriebssysteme, Handys und alles andere, was mich neugierig machte, erfahren.

Schlussbemerkung

Ich habe seit meiner Verhaftung erkannt, dass meine Handlungen illegal waren und ich Verletzungen des Datenschutzes begangen habe.

Meine Neugier hat mich zu den Verbrechen motiviert. Ich wollte so viel wie möglich darüber erfahren, wie Telefonnetze arbeiten und wie es sich mit der Computersicherheit verhält. Ich wurde von dem Kind, das Zaubertricks liebte, zum weltweit berüchtigten Hacker – von Regierungen und Unternehmen gefürchtet! Wenn ich an mein Leben in den vergangenen dreißig Jahren zurückdenke, muss ich mir eingestehen, dass ich durch meinen Wunsch, Technologien zu begreifen, mein Bedürfnis nach guten intellektuellen Herausforderungen und meine Neugier einige sehr schlechte Entscheidungen getroffen habe.

Mittlerweile bin ich ein neuer Mensch geworden. Ich nutze meine Talente und das umfassende Wissen, das ich über Informationssicherheit und Taktiken des Social Engineering angesammelt habe, um Regierungen, Firmen und Einzelpersonen dabei zu helfen, Bedrohungen ihrer Informationssicherheit zu erkennen, zu vermeiden und zu begegnen.

In diesem Buch kann ich auf eine weitere Art und Weise meine Erfahrungen für andere nützlich machen, die sich gegen die weltweiten Aktivitäten bösartiger Informationsdiebe schützen wollen. Ich hoffe, Sie finden die Storys unterhaltsam, erhellend und lehrreich.

Vorbemerkung

Dieses Buch enthält eine Fülle von Informationen über Datensicherheit und Social Engineering. Damit Sie sich problemlos zurechtfinden, folgt eine Übersicht über den Aufbau dieses Buches.

In Teil I enthülle ich das schwächste Glied der Sicherheitskette und zeige auf, warum Ihre Firma und Sie persönlich durch Angriffe von Social Engineers bedroht sind.

Sie erfahren in Teil II, wie ein Social Engineer mit der menschlichen Leichtgläubigkeit und Ihrem Bedürfnis, hilfsbereit zu sein, spielt und wie er sich Ihr Vertrauen und Ihre Sympathie zunutze macht, um sein Ziel zu erreichen. Ich demonstriere Ihnen durch fiktive Geschichten typische Angriffsformen, bei denen ein Social Engineer in viele verschiedene Rollen schlüpft. Sie meinen, dass Ihnen bisher noch nie einer über den Weg gelaufen sei? Von wegen! Wenn Ihnen ein Szenario aus diesem Buch bekannt vorkommt, sind Sie wahrscheinlich schon mit einem Social Engineer aneinander geraten. Aber wenn Sie die Kapitel 2 bis 9 gelesen haben, wissen Sie, wie Sie die Oberhand behalten, wenn der nächste Social Engineer an die Tür klopft.

Teil III führt Ihnen in fiktiven Storys vor Augen, wie der Social Engineer immer höher pokert, indem er sich frei auf Ihrem Firmengelände bewegt, alle Ihre High-Tech-Sicherheitssysteme durchkreuzt und die allerheiligsten Daten Ihres Unternehmens klaut. Die Szenarien aus diesem Abschnitt sensibilisieren Sie für Bedrohungen, die von der einfachen Rache eines Angestellten bis hin zu Computer-Terrorismus reichen können. Wenn Ihnen die Sicherheit Ihrer privaten Daten und die Informationen, mit denen Sie Ihre Firma am Laufen halten, etwas wert sind, sollten Sie die Kapitel 10 bis 14 von vorne bis hinten genau durchlesen.

Hier sei noch einmal darauf hingewiesen, dass (wenn nicht anders angegeben) alle Beispiele aus diesem Buch frei erfunden sind!

In Teil 4 geht es ans Eingemachte: Wir nehmen uns vor, wie man erfolgreich einen Social Engineering-Angriff auf Ihre Firma abwehrt. Meinen Vorschlag für ein sinnvolles Sicherheitstraining finden Sie in Kapitel 15. Und Kapitel 16 könnte Ihren Hals retten – darin führe ich Ihnen eine vollständige Sicherheitsrichtlinie vor, die Sie an Ihre Organisation anpassen und sofort umsetzen können, um Ihre Daten und Ihr Unternehmen abzusichern.

Abschließend finden Sie eine Übersicht aller vorgeschlagenen Sicherheitsmaßnahmen mit Checklisten, Tabellen und Schaubildern. Hier sind alle wichtigen Informationen zusammengefasst, mit denen Ihre Angestellten täglich Social Engineering-Angriffe vereiteln können. Durch diese Hilfsmittel bekommen Sie wertvolle Informationen an die Hand, mit denen Sie Ihr eigenes Sicherheitstrainingsprogramm erstellen können.

Über das ganze Buch verteilt finden Sie eine Reihe von nützlichen Elementen: Texthervorhebungen erklären den speziellen Jargon von Hackern und Social Engineers, und kurze Mitnick-Spots bieten Ihnen wertvolle Hinweise zum Umsetzen einer Sicherheitsstrategie. Mit Anmerkungen und Info-Kästen wird schließlich Ihr Hintergrundwissen erweitert.

Teil 1: Hinter den Kulissen

Kapitel 1: Das schwächste Glied der Kette

Ein Unternehmen kann sich die besten Sicherheitstechnologien geleistet haben, die für Geld zu kriegen sind. Die Angestellten sind so gut ausgebildet, dass sie alle sensiblen Daten besonders aufmerksam sichern, bevor sie abends nach Hause gehen. Alle Firmengebäude werden von den besten Sicherheitsfirmen des Landes rund um die Uhr bewacht.

Und trotzdem ist dieses Unternehmen immer noch absolut gefährdet!

Sie können alle Expertentipps zur Datensicherheit befolgen, sorgsam alle empfohlenen Sicherheitsprogramme installieren und bei der Absicherung der Systemkonfiguration durch die Aktualisierung der Software durch und durch wachsam sein.

Trotzdem sind auch Sie immer noch absolut gefährdet!

Der menschliche Faktor

Als ich vor einiger Zeit vor dem amerikanischen Kongress aussagte, führte ich aus, dass ich Passwörter und andere sensible Daten von Firmen oft dadurch bekam, dass ich mich als jemand anderes ausgab und dann einfach danach gefragt habe.

Es ist ein natürliches Bedürfnis, sich nach vollkommener Geborgenheit zu sehnen, aber das führt viele Menschen dazu, sich mit einem falschen Sinn von Sicherheit zufrieden zu geben. Nehmen wir den verantwortungsbewussten und fürsorglichen Hausbesitzer, der in seine Tür ein absolut einbruchssicheres Schloss eingebaut hat, um sein Zuhause, seine Frau und Kinder zu schützen. Nun ist er zufrieden, dass er seine Familie gut vor Eindringlingen bewahren kann. Aber was ist, wenn der Einbrecher ein Fenster einschlägt oder den Code für das Garagentor knacken kann? Da könnte man doch ein robustes Sicherheitssystem installieren, oder? Das ist besser, aber immer noch keine Garantie. Ob mit oder ohne teure Schlösser – der Hausbesitzer bleibt gefährdet.

Warum? Weil der menschliche Faktor die eigentliche Schwachstelle der Sicherheitskette ist.

Sicherheit ist allzu oft nur eine Illusion, die häufig durch Leichtgläubigkeit, Arglosigkeit oder Ignoranz verschlimmert wird. Vom berühmtesten Wissenschaftler des 20. Jahrhunderts, Albert Einstein, stammt das Zitat: „Zwei Dinge sind unendlich: das Universum und die menschliche Dummheit. Aber bei dem Universum bin ich mir noch nicht ganz sicher.” Letzten Endes können Angriffe durch Social Engineering erfolgreich sein, wenn Menschen dumm sind oder – was viel weiter verbreitet ist – einfach keine Ahnung von grundlegenden Sicherheitspraktiken haben. Mit der gleichen Einstellung wie unser sicherheitsbewusster Hausbesitzer halten viele Profis aus der Informationsbranche an dem Irrtum fest, sie hätten ihre Firmen weitgehend gegen Angriffe abgeschirmt, weil sie Standard-Sicherheitsprodukte installiert haben: Firewalls, Zugangsbeschränkungssysteme oder widerstandsfähigere Authentifizierungsgeräte wie zeitbasierte Tokens oder biometrische Smart Cards. Jeder, der glaubt, dass allein die Anwendung von Sicherheitsprodukten ausreiche, echte Sicherheit zu gewährleisten, gibt sich mit der Illusion von Sicherheit zufrieden. Damit folgen diese Leute einem Wunschdenken: sie werden unweigerlich früher oder später einen Sicherheitszwischenfall hinnehmen müssen.

Der berühmte Sicherheitsberater Bruce Schneier drückt es so aus: „Sicherheit ist kein Produkt, sondern ein Prozess.” Darüber hinaus ist Sicherheit keine technologische Angelegenheit, sondern ein menschliches und ein Management-Problem.

In dem Maße, wie Forscher immer bessere Sicherheitstechnologien entwickeln und damit die Möglichkeit verringern, dass technische Schwachstellen ausgenutzt werden können, werden Angreifer immer mehr den Hebel beim menschlichen Faktor ansetzen. Es ist oft ein Kinderspiel, die menschliche Firewall zu knacken. Das erfordert außer einem Telefonanruf keine Investitionen und beinhaltet nur ein minimales Risiko.

Ein klassischer Fall von Täuschung

Was ist die größte Bedrohung für die Sicherheit Ihres geschäftlichen Kapitals? Ganz einfach: der Social Engineer – ein skrupelloser Zauberer, der Ihre Aufmerksamkeit auf seine linke Hand zieht, während er mit rechts Ihre Geheimnisse klaut. Diese Type ist oft so freundlich, wortgewandt und entgegen-kommend, dass es Ihnen eine Freude ist, ihm begegnet zu sein.

Schauen wir uns ein Beispiel für Social Engineering an. Nicht viele erinnern sich heutzutage noch an den jungen Mann namens Stanley Mark Rifkin und sein kleines Abenteuer mit der jetzt geschlossenen Security Pacific National Bank in Los Angeles. Über seine Eskapaden ist in sehr unterschiedlichen Versionen berichtet worden. Rifkin selbst hat (wie ich) niemals seine eigene Geschichte erzählt, und so basiert das Folgende auf veröffentlichten Meldungen.

Der Code wird geknackt

Im Jahre 1978 schlenderte Rifkin eines Tages hinüber in die Buchungsabteilung der Security Pacific National Bank, zu dem nur befugtes Personal Zutritt hatte. Dort wurden täglich Überweisungen im Werte von mehreren Milliarden Dollar veranlasst.

Er arbeitete für eine externe Firma, die im Auftrag der Bank ein Datensicherungssystem für die Buchungsabteilung entwickelte, falls die Computer dort einmal abstürzen sollten. Das berechtigte ihn, die Transferprozeduren einzusehen, und somit hatte er Einblick, wie die Bank die Durchführung von Überweisungen abwickelte. Er erfuhr, dass Bankangestellte, die zur Anweisung von Buchungen berechtigt waren, jeden Morgen einen streng bewachten neuen Code erhielten, den sie für die Anrufe in der Buchungsabteilung benötigten.

In der Buchungsabteilung sparten sich die Angestellten die Mühe, jeden Tag einen neuen Code auswendig zu lernen: Sie übertrugen den Code auf einen Notizzettel und brachten diesen an einer leicht sichtbaren Stelle an. An diesem speziellen Tag im November hatte Rifkin einen besonderen Grund für seinen Besuch. Er wollte einen Blick auf dieses Papier werfen.

Er notierte sich einige Dinge über Verfahrensweisen in der Buchungsabteilung, offensichtlich um sicherzustellen, dass sich das Datensicherungssystem korrekt in die regulären Systeme einpasst. Nebenbei las er heimlich den Sicherheitscode für den heutigen Tag und merkte ihn sich. Einige Minuten danach verließ er den Raum. Wie er später aussagte, fühlte er sich, als hätte er den Hauptgewinn einer Lotterie bekommen.

Da gibt es dieses Schweizer Konto ...

Als er den Raum gegen 15 Uhr verließ, marschierte er direkt zu einem Münzfernsprecher im marmornen Foyer des Gebäudes. Er warf eine Münze ein und wählte die Nummer der Buchungsabteilung. Nun wechselte er seine Rolle und verwandelte sich vom Unternehmensberater Stanley Rifkin in den Kollegen namens Mike Hansen aus der Internationalen Abteilung der Bank.

Nach einer Zeugenaussage verlief das Gespräch in etwa wie folgt:

„Hallo”, sagte er zu der jungen Frau am anderen Ende der Leitung, „hier ist Mike Hansen von der Internationalen Abteilung.”

Sie fragte nach der Büronummer. Das war eine übliche Prozedur, und seine Antwort war vorbereitet: „286.”

Die junge Frau fragte nun: „In Ordnung. Wie lautet der Code?”

Rifkin meinte später, dass an diesem Punkt sein von Adrenalin getriebener Herzschlag „ordentlich einen zulegte”. Er erwiderte geschmeidig: „4789.” Dann fuhr er mit den Anweisungen für eine Buchung über „exakt zehn Millionen zweihunderttausend Dollar” an die Irving Trust Company in New York als Gutschrift für die Woschod Handelsbank von Zürich in der Schweiz fort, bei der er schon ein Konto eingerichtet hatte.

„In Ordnung, das habe ich”, sagte die Frau. „Jetzt brauche ich noch die bürointerne Abrechnungsnummer.”

Rifkin brach der Schweiß aus. Mit dieser Frage hatte er nicht gerechnet. Ihm schien bei seinen Nachforschungen etwas durch die Lappen gegangen zu sein. Aber es gelang ihm, in seiner Rolle die Fassung zu bewahren, tat so, als ob alles in Ordnung sei und antwortete, ohne zu zögern: „Oh, das muss ich gerade mal nachprüfen. Ich rufe gleich wieder an.” Erneut tauschte er die Rollen und telefonierte mit einer anderen Abteilung der Bank, wobei er sich diesmal als ein Angestellter aus der Buchungsabteilung ausgab. Er bekam die Abrechungsnummer und rief die junge Frau zurück.

Sie nahm die Nummer entgegen und bedankte sich. (Unter diesen Umständen muss man es als höchst ironisch ansehen, dass sie sich bei Rifkin bedankte.)

Auf der Zielgeraden

Ein paar Tage danach nahm Rifkin ein Flugzeug in die Schweiz, ließ sich das Geld bar auszahlen und übergab für einen Beutel Diamanten mehr als acht Millionen Dollar an eine russische Agentur. Er flog zurück und passierte problemlos mit den Diamanten in einem Geldgürtel den amerikanischen Zoll. Er hatte den größten Banküberfall der Geschichte durchgezogen – und dabei weder eine Waffe und noch nicht mal einen Computer gebraucht. Seltsamerweise brachte ihm diese Eskapade später einen Eintrag im Guiness-Buch der Rekorde in der Kategorie „Größter Computerbetrug”.

Stanley Rifkin hat die Kunst der Täuschung eingesetzt – die Fertigkeiten und Techniken, die man heute Social Engineering nennt. Dafür brauchte er bloß eine durchdachte Planung und gute Redegewandtheit.

Und darum geht es in diesem Buch – um die Techniken des Social Engineering (darin bin ich Ihr ergebener Diener) und wie Sie sich und Ihre Firma davor schützen können.

Worin liegt die Bedrohung?

Die Rifkin-Story macht sehr deutlich, wie irreführend unser Sicherheitsbedürfnis sein kann. Jeden Tag kommen solche Fälle vor – gut, vielleicht nicht in der Größenordnung von 10 Millionen Dollar, aber nichtsdestotrotz verursachen sie schwere Schäden. Vielleicht verlieren Sie gerade in diesem Moment Geld oder jemand klaut die Pläne eines neuen Produkts – und Sie erfahren es nicht einmal. Wenn Ihr Unternehmen bisher verschont geblieben ist, stellt sich nicht die Frage, ob es passiert, sondern wann.

Wachsende Besorgnis

In einem Gutachten über Computerverbrechen aus dem Jahre 2001 berichtete das Computer Security Institute, dass 85 % der an der Untersuchung beteiligten Unternehmen in den vergangenen 12 Monaten Verletzungen der Computersicherheit aufgedeckt haben. Diese Zahl ist erstaunlich: Nur 15 von 100 beteiligten Organisationen teilten mit, dass es im vergangenen Jahr keine Sicherheitsverletzungen gegeben hat. Ähnlich verblüffend war die Zahl der Organisationen, die nach eigenen Berichten aufgrund von Sicherheitslücken bei Computern finanzielle Verluste erlitten: 64 %. Mehr als die Hälfte wurden also finanziell geschädigt. In einem einzigen Jahr!

Meine eigenen Erfahrungen führen mich zu der Annahme, dass die Zahlen bei solchen Berichten in gewisser Weise aufgebläht sind. Ich habe kein großes Vertrauen in die Art und Weise, wie man diese Untersuchungen durchführt. Das heißt nicht, dass man die Nachteile vernachlässigen kann – die Schäden sind weitreichend! Wer nicht auf Sicherheitsprobleme ausgerichtet plant, hat ein Versagen gleich mit eingebaut.

Die kommerziellen Sicherheitsprodukte, die bei den meisten Unternehmen eingesetzt werden, sollen hauptsächlich Schutz gegen Amateur-Hacker wie die gemeinhin als Skript Kiddies bekannten Jugendlichen bieten. Tatsächlich sind diese Möchtegern-Hacker mit ihrer selbst heruntergeladenen Software kaum mehr als nur ärgerlich. Größere Verluste – und hier liegt die wahre Bedrohung – muss man von erfahrenen Angreifern mit klar definierten Zielen befürchten, die aus Geldgier handeln. Diese Personen konzentrieren sich auf jeweils ein Ziel, wogegen die Amateure versuchen, so viele Systeme wie möglich zu infiltrieren. Die Amateure bei den Computer-Eindringlingen stellen einfach auf Quantität ab, aber die Profis zielen auf qualitativ wertvolle Daten.

Sicherheitsprogramme für Unternehmen benötigen Technologien wie Authentifizierungssysteme (zur Identitätsprüfung), Zugangskontrollen (für die Verwaltung von Zugangsberechtigungen für Daten und Computersysteme) und Frühwarnsysteme gegen Computer-Einbrecher (die elektronische Entsprechung zur Alarmanlage). Dennoch geben Unternehmen heute immer noch mehr Geld für Kaffeemaschinen aus als für Maßnahmen zum Schutz der Firma gegen Sicherheitsangriffe.

Genau wie ein Ganove einer Versuchung nicht widerstehen kann, reizt es den Hacker immens, einen Weg um die Abschirmungen durch Hochsicherheitstechnologien herum zu finden. Und meistens beginnen sie damit, den Hebel bei den Anwendern dieser Technologien anzusetzen.

Betrügerische Praktiken

Es gibt eine populäre Redewendung, dass nur ein abgeschalteter Computer ein sicherer Computer sei. Clever, aber verkehrt: Der Schwindler überredet einfach jemanden, ins Büro zu gehen und diesen PC einzuschalten. Wenn Ihr Gegner Ihre Daten herauskriegen will, kommt er auch ans Ziel, gewöhnlich auf verschiedenen Wegen. Das ist nur eine Frage von Zeit, Geduld, Hartnäckigkeit und Ausstrahlung. Und hier kommt die Kunst der Täuschung ins Spiel.

Um Sicherheitsmaßnahmen auszutricksen, muss ein Angreifer, Eindringling oder Social Engineer einen Weg finden, einen vertrauensvollen User so zu täuschen, dass er Informationen weitergibt, oder die arglose Zielperson derart zu überlisten, dass sie den Zugang freigibt. Wenn vertrauensvolle Angestellte so getäuscht, beeinflusst oder manipuliert werden, dass sie sensible Daten weitergeben oder Handlungen ausführen, die einem Eindringling ein Schlupfloch bieten, kann keine Technologie der Welt Ihre Organisation schützen. Manchmal kann ein Dechiffrierer den Klartext einer kodierten Botschaft entschlüsseln, wenn er über eine Schwachstelle des Codes die Verschlüsselungs-technologie umgehen kann, und genau so täuschen Social Engineers bei Ihren Angestellten falsche Tatsachen vor, um den Sicherheitstechnologien auszuweichen.

Vertrauensmissbrauch

Erfolgreiche Social Engineers besitzen meist sehr gute soziale Kompetenzen. Sie sind charmant, höflich und einem gleich sympathisch – Charakterzüge, mit denen schnell eine Beziehung und ein Vertrauensverhältnis aufgebaut werden kann. Ein erfahrener Social Engineer ist in der Lage, über die Taktiken und Strategien seines Gewerbes sich praktisch alle gewünschten Informationen anzueignen.

Ausgefuchste Techniker haben durchdachte Lösungen für den Bereich der Informationstechnologie entwickelt, um die mit dem Einsatz von Computern verbundenen Risiken zu minimieren. Aber dabei haben sie die signifikanteste Schwachstelle übersehen: den menschlichen Faktor. Trotz unseres Verstandes stellen wir Menschen – Sie, ich und alle anderen – immer noch das bedrohlichste Risiko für unsere gegenseitige Sicherheit dar.

Unser nationaler Charakter

Uns ist diese Bedrohung nicht bewusst, insbesondere nicht in der westlichen Welt. Vor allem in den Vereinigten Staaten sind wir nicht darauf trainiert, argwöhnisch miteinander umzugehen. Wir haben gelernt, dass wir „unseren Nächsten lieben” und einander vertrauensvoll begegnen sollen. Denken Sie daran, wie schwierig es für Organisationen des Nachbarschaftsschutzes ist, die Leute dazu zu bringen, ihre Häuser und Autos abzuschließen. Diese Art von Schwachstelle ist offensichtlich, und sie wird trotzdem von vielen ignoriert, die es vorziehen, in einer Traumwelt zu leben – bis sie auf die Nase fallen.

Wir wissen, dass nicht alle Menschen aufrichtig und ehrlich sind, aber nur allzu oft leben wir so, als ob alle es wären. Diese liebenswürdige Unschuld ist der Grundstoff des amerikanischen Lebens, und es ist sehr schmerzhaft, dies aufzugeben. Als Nation haben wir in unsere Vorstellung von Freiheit eingebaut, dass die Orte am lebenswertesten sind, an denen man am wenigsten Schloss und Riegel braucht.

Die meisten Leute gehen von der Annahme aus, dass sie von anderen nicht getäuscht werden, und gründen dies auf den Glauben, dass die Wahrscheinlichkeit einer Täuschung recht gering sei. Der Angreifer wiederum berücksichtigt dieses weitverbreitete Wunschdenken und lässt seine Bitte so ver-nünftig erscheinen, dass sie völlig unverdächtig wirkt, während er gleichzeitig das Vertrauen des Opfers missbraucht.

Die Arglosigkeit der Organisationen

Ganz deutlich wurde diese Arglosigkeit, die Teil unseres nationalen Charakters ist, als Computer zum ersten Mal miteinander verbunden wurden. Erinnern Sie sich daran, dass der Vorläufer des Internet – das ARPAnet (das Advanced Research Projects Agency Network des Verteidigungsministeriums) – für die Verteilung von Informationen zwischen Regierungs-, Forschungs- und Bildungseinrichtungen konzipiert war. Man hatte sich gleichzeitig mit der Informationsfreiheit den technischen Fortschritt zum Ziel gesetzt. Darum haben viele Bildungseinrichtungen seinerzeit bei den frühen Computersystemen wenig oder gar nicht auf Sicherheit geachtet. Jemand wie der besonders freigeistige berühmte Software-Entwickler Richard Stallman weigerte sich sogar, sein Konto mit einem Passwort zu schützen.

Als dann das Internet für eCommerce eingesetzt wurde, wandelten sich die Gefahren einer schwachen Sicherheit in unserer verdrahteten Welt dramatisch. Der Ausbau der Technologie wird aber nicht das Problem lösen, das der Mensch für die Sicherheit darstellt.

Schauen wir uns nur die heutigen Flughäfen an. Zwar sind Sicherheitsmaßnahmen allgegenwärtig, aber trotzdem alarmieren uns Medienberichte über Reisende, die Sicherheitsvorkehrungen umgehen konnten und potenzielle Waffen an Kontrollpunkten vorbeischmuggelten. Wie kann das sein in einer Zeit, in der sich alle unsere Flughäfen in einem derartigen Alarmzustand befinden? Sind die Metalldetektoren kaputt? Nein. Das Problem liegt nicht bei den Maschinen. Das Problem ist der menschliche Faktor: das Personal an den Maschinen. Die Flughafenbehörden können die Nationalgarde aufstellen und Metalldetektoren und Systeme zur Erkennung von Gesichtern installieren, aber deutlich hilfreicher wäre die Ausbildung des Sicherheitspersonals an vorderster Front, wie man Reisende korrekt überprüft.

Das gleiche Problem findet sich in den Regierungs- und Bildungseinrichtungen und Unternehmen auf der ganzen Welt. Trotz der Anstrengungen aller Sicherheitsprofis bleiben Informationen nicht gut genug geschützt. Bis nicht das schwächste Glied in der Sicherheitskette – der Mensch – gestärkt worden ist, bleiben Daten für Angreifer mit den Fähigkeiten eines Social Engineers leicht zu pflücken.

Mehr als jemals zuvor müssen wir unser Wunschdenken ablegen und uns der Techniken gewahr werden, die diejenigen anwenden, die die Vertraulichkeit, Integrität und Verfügbarkeit unserer Computer und Netzwerke angreifen wollen. Wir haben eingesehen, dass wir im Straßenverkehr defensiv fahren sollten, und nun ist es an der Zeit, die Praxis eines defensiven Umgangs mit Computern zu akzeptieren und zu erlernen.

Die Gefährdung durch einen Einbruch in Ihre Privatsphäre, Ihre Gedanken oder das Informationssystem Ihrer Firma mag solange irreal erscheinen, bis er tatsächlich stattfindet. Um eine derart kostspielige Dosis Realität zu vermeiden, sollte jedem die Bedeutung klar werden, warum wir wachsam und ausgebildet sein müssen, um aggressiv unser Informationskapital, unsere persön-lichen Daten und die kritischen Infrastrukturen unseres Landes schützen zu können. Und diese Vorsichtsmaßnahmen müssen wir heute treffen!

Terror und Täuschung

Natürlich ist Täuschung nicht das exklusive Instrument des Social Engineers. Realer Terrorismus bringt die größten Schlagzeilen, und uns wird so deutlich wie niemals zuvor klar, wie es gefährlich in der Welt zugeht. Die Zivilisation ist immer noch bloß eine dünne Schicht Tünche.

Die Angriffe auf New York und Washington D.C. im September 2001 haben uns allen Furcht und Schrecken eingeflößt – nicht nur in Amerika, sondern bei allen wohlgesinnten Menschen weltweit. Wir sind jetzt alarmiert, dass es überall auf der Welt besessene Terroristen gibt, die gut ausgebildet nur darauf warten, uns mit weiteren Angriffen zu verheeren.

Die kürzlich verstärkten Bemühungen unserer Regierung haben unser Sicherheitsbewusstsein deutlich erhöht. Wir müssen wachsam bleiben und uns gegen jegliche Form von Terrorismus schützen. Wir müssen lernen, wie Terroristen auf bösartige Weise sich falsche Identitäten verschaffen, die Rolle eines Studenten oder Nachbarn einnehmen und mit der Menge verschmelzen. Sie verschleiern ihre wahren Beweggründe, während sie sich gegen uns verschwören – dabei verwenden sie ähnliche Tricks wie die, über die Sie in diesem Buch lesen werden.

Und obwohl sich Terroristen meines Wissens bisher noch nicht aus der Trickkiste des Social Engineers bedient haben, um Unternehmen, Trinkwasserkläranlagen, Kraftwerke oder andere vitale Komponenten unserer nationalen Infrastruktur zu infiltrieren, besteht diese Gefahr auf jeden Fall, denn es ist einfach viel zu leicht. Ich hoffe, dass dieses Buch dazu beiträgt, das nötige Sicherheitsbewusstsein in den oberen Etagen der Unternehmen zu wecken, denn nötige Richtlinien zur Datensicherheit werden kein bisschen zu früh kommen.

Über dieses Buch

Die Sicherheit eines Unternehmens ist eine Frage der Balance. Zu wenig Sicherheit macht Ihre Firma angreifbar, aber ein Übermaß an Sicherheit steht bei der Durchführung der alltäglichen Arbeit im Weg und hemmt das Wachstum und den Erfolg des Unternehmens. Die Herausforderung besteht in der Aufgabe, einen Ausgleich zwischen Sicherheit und Produktivität zu schaffen.

Andere Bücher über die Sicherheit von Unternehmen beschäftigen sich vor allem mit der Technologie von Hard- und Software und berücksichtigen nicht genug die größte aller Bedrohungen: dass man Menschen täuschen kann. In diesem Buch habe ich mir dagegen zum Ziel gesetzt, Sie, Ihre Mitarbeiter und andere Angestellte Ihres Unternehmens über die Gefahren der Manipulation aufzuklären und über die Schutzmaßnahmen zu informieren, mit denen Sie verhindern, weiterhin Opfer zu sein. Dieses Buch konzentriert sich hauptsächlich auf nicht-technische Methoden, mit denen Eindringlinge Informationen stehlen und die Integrität von Daten kompromittieren, von denen man fälschlicherweise annimmt, sie seien geschützt, oder die Arbeitsergebnisse Ihres Unternehmens zerstören.

Meine Aufgabe wird durch eine einfache Wahrheit erschwert: Jeder von uns wurde von den größten Social-Engineering-Experten aller Zeiten manipuliert: den eigenen Eltern. Sie haben stets Mittel und Wege gefunden, dass wir das tun – „nur zu deinem Besten!” –, was sie von uns erwarten. Eltern werden auf die gleiche Art zu großartigen Geschichtenerzählern, wie Social Engineers geschickt absolut plausible Geschichten, Begründungen und Rechtfertigungen entwickeln, um an ihr Ziel zu kommen. Ja, wir sind allesamt durch unsere Eltern geformt worden: mehr oder weniger wohlwollende Social Engineers.

Wir sind anfällig für Manipulationen, weil dieses Training uns darauf konditioniert hat. Unser Leben wäre sehr schwierig, wenn wir dauernd aufpassen, andere verdächtigen und uns darum kümmern müssten, nicht von jemanden reingelegt zu werden, der uns ausnutzen will. In einer perfekten Welt würden wir anderen ohne weiteres vertrauen und davon ausgehen, dass die Menschen, denen wir begegnen, ehrlich und zuverlässig sind. Aber unsere Welt ist weit davon entfernt, perfekt zu sein, und so ist es notwendig, einen hohes Maß an Wachsamkeit zu halten, um die Täuschungsversuche unserer Gegner abzuwehren.

In den Hauptteilen 2 und 3 dieses Buches können Sie die Social Engineers in Aktion erleben. Sie werden über Folgendes lesen:

Was Phone Phreaks schon vor Jahren herausgefunden haben: eine raffinierte Methode, um von einer Telefongesellschaft eine nicht eingetragene Telefonnummer zu erfahren.

Verschiedene Methoden, wie ein Angreifer sogar von wachsamen und argwöhnischen Angestellten Benutzernamen und Passwörter ergaunern kann.

Wie ein Angreifer einen Betriebsleiter dazu brachte, ihm beim Diebstahl geheimster Produktinformationen der Firma behilflich zu sein.

Mit welchen Methoden ein Angreifer eine Angestellte zum Herunterladen einer Software überreden konnte, die alle ihre Tastatureingaben aufzeichnen kann und die Details per Email an den Angreifer schickt.

Wie Privatdetektive an private und Firmendaten kommen, so dass es Ihnen zweifellos kalt den Rücken herunterlaufen wird.

Vielleicht denken Sie, wenn Sie einige der Geschichten aus Teil 2 und 3 lesen, das sei unmöglich: Niemand könne wirklich mit diesen Lügen, schmutzigen Tricks und Intrigen durchkommen, von denen Sie auf diesen Seiten lesen. Die Realität ist: Jede Geschichte schildert Ereignisse, die möglich sind und die es schon gegeben hat. Viele davon geschehen jeden Tag irgendwo auf der Welt, vielleicht ja sogar in Ihrer Firma, während Sie dieses Buch lesen.

Das Material aus diesem Buch wird Ihnen wirklich die Augen öffnen, wenn Sie Ihre Firma abschirmen wollen, aber Sie können auch Ihre ganz persönlichen Daten schützen und die Einbruchsversuche eines Social Engineers in Ihr Privatleben abwehren.

In Teil 4 dieses Buches wechseln wir die Gangart. Mein Ziel ist, Sie in Ihrer Firma beim Aufbau und der Umsetzung der nötigen Richtlinien und bei der Durchführung von Aufklärungstrainings zu unterstützen. Dadurch können Sie die Wahrscheinlichkeit verringern, dass Ihre Angestellten jemals wieder von einem Social Engineer hereingelegt werden. Ein Verständnis der Strategien, Methoden und Taktiken eines Social Engineers wird Ihnen dabei helfen, vernünftige Kontrollen einzusetzen, um Ihr informationstechnologisches Kapital abzusichern, ohne die Produktivität der Firma zu unterminieren.

Kurzum, ich habe dieses Buch geschrieben, um Sie vor dem Social Engineering als einer gefährlichen Bedrohung zu warnen, und Ihnen dabei behilflich zu sein, das Risiko für Ihre Firma und Angestellten, auf diese Art ausgenutzt zu werden, zu senken.

Oder vielleicht sollte ich sagen, dass sie überhaupt jemals wieder ausgenutzt werden.

•••

Teil 2: Hinter den Kulissen

Kapitel 2: Scheinbar harmlose Daten

Worin besteht nach Ansicht der meisten Leute die wahre Bedrohung der Social Engineers? Wo sollten Sie Ihre Wachen aufstellen?

Wenn das Ziel darin besteht, ein besonderes Firmengeheimnis zu erschleichen – sagen wir, ein bedeutsames Firmenpatent oder den Quellcode einer Software –, dann braucht man, bildlich gesprochen, doch einfach nur einen besseren Safe und mehr schwer bewaffnete Wachen, oder?

Aber in der Realität beginnt die Verletzung der Sicherheit einer Firma oft schon mit dem Gauner, der versucht, an ganz unschuldige, alltägliche Fitzelchen Informationen zu gelangen. Die meisten Leute im Unternehmen sehen überhaupt keinen Grund, gerade diese Informationen zu schützen und nicht weiterzugeben.

Der versteckte Wert der Informationen

Viele der vordergründig harmlosen Informationen eines Unternehmens sind für einen Social Engineer von hohem Wert, weil sie eine wesentliche Rolle für ihn dabei spielen können, sich einen Anschein von Glaubwürdigkeit zu geben.

In meinem Buch werde ich Ihnen zeigen, wie Social Engineers arbeiten, indem Sie selbst „Zeuge” der Angriffe werden. Manchmal werden die Handlungen aus der Sicht der Opfer dargestellt, wobei Sie ihren Standpunkt einnehmen und abschätzen können, wie Sie selbst (oder Ihre Angestellten oder Mitarbeiter) reagiert hätten. In vielen anderen Fällen werden Sie die gleichen Ereignisse aus der Perspektive des Social Engineer erleben.

In der ersten Geschichte nehmen wir uns eine Schwachstelle aus der Finanzwelt vor.

CreditChex

Lange Zeit haben sich die Briten mit einem sehr muffigen Bankensystem abgefunden. Als ordentlicher, aufrechter Bürger war es Ihnen nicht möglich, einfach in eine Bank zu gehen und ein Konto zu eröffnen. Erst wenn ein anderer, schon bekannter Kunde über Sie ein Empfehlungsschreiben ausstellte, hat eine Bank in Betracht gezogen, Sie als Kunde anzunehmen.

Das ist ein ganz schöner Unterschied zu der scheinbar egalitären Welt der Banken von heute. Und die moderne Leichtigkeit des Geschäftemachens wird doch nirgendwo deutlicher als im freundlichen, demokratischen Amerika, wo praktisch jeder einfach in eine Bank kommen und ein Konto einrichten kann, oder? Nun, nicht ganz. In Wahrheit haben die Banken verständlicherweise eine natürliche Abneigung dagegen, für jemanden ein Konto zu eröffnen, der dafür bekannt ist, ungedeckte Schecks auszustellen. Das wäre genauso willkommen wie ein Führungszeugnis mit einem Eintrag über Bankraub oder einer Vorstrafe wegen Unterschlagung. So ist es eine übliche Praxis vieler Banken, bei einem zukünftigen potenziellen Kunden eine schnelle Überprüfung vorzunehmen.

Eine der großen Unternehmen, mit denen die Banken für diese Informationen Kontrakte abgeschlossen haben, wollen wir hier CreditChex nennen. Für ihre Klienten leisten sie wertvolle Arbeit, aber auch dem pfiffigen Social Engineer können sie ungewollt sehr nützliche Dienste bieten.

Der erste Anruf: Kim Andrews

„Guten Tag. Sie sind verbunden mit der National Bank, Kim am Apparat. Möchten Sie heute ein Konto einrichten?”

„Hallo Kim, ich habe da eine Frage. Wird bei Ihnen CreditChex eingesetzt?”

„Ja, sicher.”

„Wenn Sie bei CreditChex anrufen, wie nennen Sie die Nummer, die Sie dort angeben – bezeichnet man das als ‚Händlerkennung’?”

Pause. Sie prüft die Frage und überlegt, worum es hier überhaupt geht und ob sie eine Antwort geben solle.

Ohne zu zögern, fährt der Anrufer fort: „Ich arbeite nämlich an einem Buch, in dem es um Privatdetektive geht.”

„Ah ja”, sagt sie, nun mit neuem Zutrauen in der Stimme, denn es freut sie, einem Schriftsteller behilflich zu sein.

„Also heißt das ‚Händlerkennung’, richtig?”

„Genau.”

„Okay, großartig. Ich möchte nämlich im Buch den richtigen Ausdruck benutzen. Vielen Dank, Sie waren eine große Hilfe. Auf Wiederhören, Kim.”

Der zweite Anruf: Chris Talbert

„National Bank, Abteilung für Kontoeröffnung, Chris am Apparat.”

„Hallo Chris, hier spricht Alex”, sagt der Anrufer. „Ich bin vom Kundendienst bei CreditChex. Wir machen gerade eine Untersuchung, um unsere Dienste zu verbessern. Haben Sie ein paar Minuten Zeit für mich?”

Das hat sie natürlich, und der Anrufer fährt fort:

„Dann wollen wir mal anfangen – wie sind Ihre Öffnungszeiten?” Sie beantwortet diese Frage und alle weiteren.

„Wie viele Angestellten in Ihrer Filiale nutzen unseren Service?”

„Wie oft rufen Sie wegen einer Anfrage an?”

„Welche unserer 0800-Nummern haben wir für Sie zugewiesen?”

„Sind unsere Vertreter stets höflich und zuvorkommend gewesen?”

„Wie schnell sind unsere Bearbeitungszeiten?”

„Wie lange sind Sie schon in der Bank beschäftigt?”

„Welche Händlerkennung verwenden Sie zur Zeit?”

„Ist es jemals vorgekommen, dass Sie bei den Daten, die wir Ihnen zur Verfügung stellen, etwas Unkorrektes entdeckt haben?”

„Haben Sie vielleicht Vorschläge, wie wir unseren Service für Sie verbessern könnten?”

Und:

„Wären Sie bereit, regelmäßige Fragebögen auszufüllen, wenn wir sie an Ihre Zweigstelle senden?”

Sie willigt ein, man plaudert noch ein bisschen, dann legt der Anrufer auf, und Chris geht wieder an ihre Arbeit.

Der dritte Anruf: Henry McKinsey

„CreditChex, Henry McKinsey am Apparat. Was kann ich für Sie tun?”

Der Anrufer sagt, er sei von der National Bank. Er gibt die korrekte Händlerkennung an und nennt dann den Namen und die Sozialversicherungsnummer der Person, über die er Informationen haben möchte. Henry fragt nach dem Geburtsdatum, und der Anrufer gibt auch das an.

Nach kurzer Zeit liest Henry die Anzeige auf seinem Bildschirm vor:

„1998 hat Wells Fargo einmal einen NSF über 2.066 Dollar gemeldet.” NSF – nonsufficient funds – ist der übliche Banker-Begriff für ungedeckte Schecks.

„Gab es danach irgendwelche weiteren Aktivitäten?”

„Nein, nichts mehr.”

„Hat es andere Nachfragen gegeben?”

„Schaun wir mal. Oh ja, zwei, beide vom letzten Monat. Third United Credit Union of Chicago.” Beim nächsten Namen kam er ins Trudeln und musste ihn buchstabieren: Schenectady Mutual Investments. „Das ist in New York State”, fügte er hinzu.

Privatdetektiv bei der Arbeit

Alle drei Anrufe wurden von der gleichen Person durchgeführt: einem Privatdetektiv, den wir hier Oscar Grace nennen wollen. Grace hatte einen neuen Klienten – einer seiner ersten. Bis vor kurzem war er noch ein Cop gewesen, und er fand, dass bei seiner neuen Arbeit ihm einiges ganz leicht von der Hand ging, aber anderes seine Ressourcen und seine Erfindungsgabe richtig herausforderte. Diese Sache hier fiel in die letztere Kategorie.

Die abgebrühten Privatschnüffler aus den Romanen – die Sam Spades und Philip Marlowes – haben nächtelang in Autos herumgesessen, um jemandem beim Seitensprung zu erwischen. Im wahren Leben arbeiten Privatdetektive genauso. Wenn sie für Eheleute herumschnüffeln, die sich bekriegen, wird darüber wenig berichtet, aber es ist trotzdem wichtig – diese Methode hat viel mehr mit dem Geschick eines Social Engineers zu tun hat als damit, bei einer nächtlichen Überwachung gegen Langeweile zu kämpfen.

Die neue Klientin von Grace war eine Dame, die so aussah, als habe sie ganz schön viel Geld für Kleidung und Schmuck zur Verfügung. Sie kam eines Tages in sein Büro und setzte sich in den Ledersessel, der einzige, auf dem kein Papier gestapelt war. Sie stellte ihre große Handtasche mit dem Gucci-Logo ihm zugekehrt auf den Tisch und teilte ihm mit, sie plane, ihrem Mann zu sagen, sie wolle die Scheidung, aber sie gab zu, dass da „noch ein ganz kleines Problem” sei.

Es sah so aus, als sei ihr Ehegatte schon einen Schritt weiter. Er hatte sich das Ersparte auszahlen lassen und ebenfalls eine noch größere Summe aus dem Börsendepot genommen. Sie wollte wissen, wo er ihr gemeinsames Vermögen nun untergebracht hat, aber ihr Scheidungsanwalt war ihr dabei keine große Hilfe. Grace vermutete, dass der Anwalt einer der hochgekommenen Rechtsanwälte aus der schnieken Vorstadt sei, der sich bei so einem Dreck wie der Suche nach verstecktem Geld nicht die Finger schmutzig machen wollte.

Was konnte Grace für sie tun?

Er versicherte ihr, die Sache sei ein Kinderspiel, setzte das Honorar plus Spesen fest und nahm gleich einen Scheck als Anzahlung.

Dann machte er sich an die Arbeit. Wie nimmt man eine Sache in Angriff, die einem vorher noch nicht untergekommen ist und bei der man keine rechte Vorstellung davon hat, wie man die Wege des Geldes herausfinden soll? Man tastet sich Schritt für Schritt voran. Und hier ist aus zuverlässigen Quellen die Geschichte von Grace.

•••

Ich kannte CreditChex und wusste, wie die Banken diese Dienste nutzen – meine Ex-Frau war bei einer Bank beschäftigt. Aber der betriebsinterne Jargon und die Verfahrensweisen waren mir nicht vertraut, und es wäre reine Zeitverschwendung, meine Ex danach zu fragen.

Schritt eins: Sich erst mal die Begrifflichkeiten aneignen und herausfinden, wie man die Anfrage so stellt, dass es sich anhört, als wüsste ich, wovon ich rede. Als ich bei der Bank anrief, war die junge Dame – Kim – erst einmal misstrauisch, als ich sie fragte, wie sie sich bei einem Anruf bei CreditChex ausweise. Sie zögerte und wusste nicht, ob sie es mir sagen solle. Hat mich das aus dem Tritt gebracht? Kein Stück. Im Gegenteil, ihr Zögern hat mir ein wichtiges Zeichen gegeben: es war ein Hinweis, dass ich einen für sie glaubwürdigen Grund angeben muss. Als ich ihr vorschwindelte, ich recherchiere für ein Buch, hat das ihr Misstrauen beschwichtigt. Behaupte einfach, du seiest Schriftsteller oder Drehbuchautor, und alle Türen stehen dir offen.

Bei ihr konnte ich auch noch andere nützliche Dinge erfahren – z.B. welche Informationen CreditChex benötigt, um die Person, wegen der man anruft, zu identifizieren, oder nach welchen Daten man überhaupt fragen kann, und dann das ganz große Ding: wie Kims Händlerkennung lautete. Ich war schon drauf und dran, diese Frage zu stellen, aber bei ihrem Zögern ging meine Alarmglocke an. Die Story von der Buch-Recherche hat sie geschluckt, aber sie war noch nicht völlig überzeugt. Wenn sie gleich von Anfang an bereitwilliger gewesen wäre, hätte ich sie nach noch mehr Details über ihre Arbeitsabläufe gefragt.

Auf jeden Fall muss man sich aus dem Bauch heraus entscheiden und immer genau zuhören, was die Zielperson sagt und wie sie es sagt. Diese Lady hörte sich so clever an, dass ihr Alarm losgehen würde, wenn ich zu viele ungewöhnliche Fragen stelle. Und obwohl sie keine Ahnung hatte, wer ich war oder von welchem Apparat aus ich anrief, darf man es in diesem Geschäft nicht riskieren, dass die Leute sich gegenseitig vor einem Anrufer warnen, der Infos über die Firma haben will. Denn auf keinen Fall wollte ich verbrannte Erde hinterlassen – vielleicht muss ich ein anderes Mal wieder das gleiche Büro anrufen.

Ich achte stets auf kleine Signale, die mir deutlich machen, wie kooperativ eine Person ist. Die Skala reicht von „Sie scheinen ein sehr netter Mensch zu sein, und ich glaube alles, was Sie sagen” bis hin zu „Ruft die Polizei, dieser Typ führt Böses im Schilde”.

Jargon

Ziel: Das Opfer eines Betruges

Verbrannte Erde: Man spricht davon, dass ein Angreifer verbrannte Erde hinterlässt, wenn er ein Opfer spitzkriegen lässt, dass ein Angriff stattgefunden hat. Wenn ein Opfer erst einmal alarmiert ist und auch andere Kollegen oder die Vorgesetzten über den Angriff informiert, wird es extrem schwierig, diese Quelle bei zukünftigen Angriffen zu nutzen.

Bei Kim hatte ich den Eindruck, sie sei gerade auf der Grenze, und darum habe ich jemanden aus einer anderen Abteilung angerufen. Bei meinem zweiten Anruf hat der Trick mit der Umfrage wie ein Zauberspruch gewirkt. Bei dieser Taktik stelle ich die wichtigen Fragen einfach mitten unter den unwichtigen, die keine Konsequenzen nach sich ziehen, sondern mir den Eindruck von Glaubwürdigkeit verschaffen. Bevor ich mich an die Frage mit der Händlerkennung bei CreditChex wagte, habe ich Kim noch in letzter Minute getestet, indem ich ihr die persönliche Frage stellte, wie lange sie schon bei der Bank beschäftigt sei.

Eine persönliche Frage ist wie eine Tellermine – einige Leute gehen einfach drüber weg und kriegen nichts mit. Bei anderen fliegt sie in die Luft, und die Schotten gehen runter. Wenn ich also eine persönliche Frage stelle und sie antwortet, wobei sich der Klang ihrer Stimme nicht ändert, dann heißt das, diese Anfrage macht sie nicht skeptisch. Ich kann auf Nummer sicher gehen und einfach die gewünschte Frage stellen, ohne ihren Argwohn zu wecken, und höchstwahrscheinlich kriege ich von ihr die gewünschte Antwort.

Da ist noch eine Sache, die jeder gute Schnüffler weiß: Hör niemals mit dem Gespräch auf, gleich nachdem du die Schlüsselinformation bekommen hast. Noch zwei, drei Fragen, ein kleiner Plausch, und dann ist es in Ordnung, sich zu verabschieden. Wenn sich das Opfer später überhaupt noch an Details aus dem Gespräch erinnern kann, waren es wahrscheinlich die letzten paar Fragen, und den Rest hat es dann vergessen.

So hat Chris mir also die Händlerkennung und die Telefonnummer gegeben, bei der sie für Nachfragen anruft. Ich wäre noch zufriedener gewesen, wenn ich herausgekriegt hätte, wie viel Infos man überhaupt von CreditChex bekommen kann. Aber ich wollte den Bogen nicht überspannen.

Nun war es, als ob ich einen Freifahrtschein bei CreditChex hatte. Ich konnte jederzeit anrufen und Dinge nachfragen. Ich brauchte noch nicht einmal für diesen Service bezahlen. Wie sich herausstellte, teilte mir der Vertreter von CreditChex bereitwillig die Infos mit, die ich haben wollte: zwei Stellen, bei denen der Ehemann meiner Klientin kürzlich eine Kontoeröffnung beantragt hatte. Und wo war nun das Vermögen, nach dem seine Ex-Frau in spe suchte? Natürlich bei den Banken, die mir der Kollege bei CreditChex aus der Liste vorlas.

Trickanalyse

Alle diese Winkelzüge basieren auf einer fundamentalen Taktik des Social Engineerings: Wie komme ich an Informationen, die ein Firmenangestellter irrtümlich für ungefährlich hält?

Die erste Bankangestellte hat die Terminologie bestätigt, wie man die bei CreditChex verwendete Identifikationsnummer nennt: die Händlerkennung. Der zweite Angestellte gab die Telefonnummer heraus, über die man CreditChex erreichen kann, und darüber hinaus das allerwichtigste Stück Information: die Händlerkennung der Bank. Alle diese Daten erschienen den Angestellten harmlos und unschädlich. Die Bankangestellte hat ja geglaubt, sie spreche mit jemandem von CreditChex – was sollte so schlimm dabei sein, diese Nummer herauszugeben?

Damit war der Grundstein für den dritten Anruf gelegt. Grace besaß alles, was er brauchte, um bei CreditChex anzurufen und als Vertreter einer der Banken – der National Bank – durchzugehen, für die CreditChex tätig ist, und einfach nach den gewünschten Informationen zu fragen.

Wie ein geschickter Taschendieb, der hinter Ihrem Geld her ist, geht Grace beim Stehlen von Informationen vor, indem er sich gut in Menschen einfühlt. Ihm war die Taktik vertraut, die Schlüsselfragen unter lauter unwichtigen Dingen zu verstecken. Er wusste, dass bei dem zweiten Angestellten eine persönliche Frage als Test auf seine Kooperationsbereitschaft eingesetzt werden konnte, bevor er ganz unschuldig nach der Händlerkennung fragte.

Gegen den Fehler der ersten Angestellten, den Sprachgebrauch für die Identifikationsnummer von CreditChex herauszugeben, kann man sich praktisch nicht schützen. Diese Information ist in der Welt der Banken derart weit verbreitet, dass sie unwichtig erscheint – ein Paradebeispiel an Harmlosigkeit. Aber die zweite Angestellte – Chris – hätte nicht so bereitwillig die Fragen beantworten sollen, ohne definitiv überprüft zu haben, ob der Anrufer tatsächlich die Person ist, für die er sich ausgab. Sie hätte wenigstens nach dem Namen und der Nummer des Anrufers fragen und zurückrufen sollen. Bei späteren Nachfragen hätte sie eine Notiz besessen, unter welcher Nummer der Anrufer erreichbar gewesen ist. Im Falle eines Rückrufs wäre es für den Angreifer ungleich schwerer gewesen, sich als jemand von CreditChex auszugeben.

Mitnick

Eine Händlerkennung entspricht in diesem Zusammenhang einem Passwort. Ginge das Bankpersonal damit um wie mit einer PIN für Euroscheck-Karten, könnte es die heikle Natur dieser Information gebührend würdigen. Gibt es in Ihrer Organisation einen internen Code oder eine Nummer, die nicht mit genügend Sorgfalt behandelt wird?

Noch besser wäre ein Anruf bei CreditChex gewesen – unter Verwendung einer Nummer aus der Telefonliste der Bank, jedoch nicht mit einer, die vom Anrufer angegeben wird. So hätte festgestellt werden können, ob die Person wirklich dort beschäftigt ist und ob dieses Unternehmen tatsächlich eine Kundenbefragung durchführt. Berücksichtigt man die realen Gegebenheiten und den Zeitdruck, unter dem die meisten Menschen heutzutage arbeiten müssen, verlangt diese Art von Bestätigungsanruf viel ab, außer ein Angestellter argwöhnt, es sei gerade ein Angriff im Schwange.

Kopfjagd auf Ingenieure

Weithin bekannt ist die Tatsache, dass Firmen zur Vermittlung von Fachkräften – sogenannte Headhunter – beim Rekrutieren von neuem Personal Social Engineer-Taktiken einsetzen. Davon schauen wir uns nun ein Beispiel an.

Ende der neunziger Jahre nahm eine ethisch nicht sehr vorbildliche Personalvermittlungsagentur einen neuen Klienten unter Vertrag, eine Firma, die nach Elektrotechnik-Ingenieuren mit Erfahrungen in der Telekommunikation suchte. Die Chefin dieses Projekts war eine Dame, die mit einer dunklen Stimme und einer sexy Ausstrahlung beschenkt war, die sie nutzte, um jemanden für sich einzunehmen und am Telefon eine erste Beziehung herzustellen.

Die Dame nahm sich vor, einen Feldzug gegen einen Handyservice-Anbieter zu starten, um ein paar Ingenieure finden zu können, die bereit wären, auf die Seite der Konkurrenz zu wechseln. Nun konnte sie aber nicht einfach in der Zentrale anrufen und sagen: „Bitte verbinden Sie mich mit jemandem, der fünf Jahre Berufserfahrung hat.” Aus Gründen, die später deutlicher werden, begann sie stattdessen ihren Angriff auf fähige Arbeitskräfte mit der Suche nach einem Happen Information, der scheinbar überhaupt keine Vertraulichkeit besitzt. Informationen, die von Unternehmensangestellten an jeden weitergegeben werden, der danach fragt.

Der erste Anruf: Der Empfangschef

Die Angreiferin nennt sich Didi Sands und ruft im Firmenbüro des Handyservice-Anbieters an. Die Unterhaltung verläuft teilweise wie folgt:

Sekretärin:Schönen guten Tag. Sie sprechen mit Marie, was kann ich für Sie tun?

Didi: Können Sie mich mit der Logistikabteilung verbinden?

S:Ich weiß nicht genau, ob wir so etwas haben. Ich schaue mal in meiner Liste nach. Wer spricht, bitte?

D: Mein Name ist Didi.

S: Befinden Sie sich im Gebäude, oder ... ?

D: Nein, ich rufe von außerhalb an.

S: Und wie heißen Sie weiter?

D:Didi Sands. Ich hatte die Durchwahl zur Logistikabteilung, aber ich habe sie vergessen.

S: Einen Augenblick, bitte.

Um einen möglichen Verdacht zu zerstreuen, stellt Didi an diesem Punkt eine beiläufige Frage, um ein wenig Konversation zu treiben und deutlich zu machen, dass sie von „innerhalb” der Firma stammt und mit den örtlichen Gegebenheiten vertraut ist.

D:In welchem Gebäude befinden Sie sich – im Hauptgebäude oder in Lakeview?

S: Im Hauptgebäude. (Pause). Die Durchwahl ist 805 555 6469.

Für den Fall, dass der Anruf bei der Logistikabteilung nicht das Gewünschte ergeben sollte, sorgt Didi für einen Plan B und sagt, sie wolle ebenfalls mit der Immobilienabteilung sprechen. Auch diese Nummer bekommt sie von der Sekretärin. Als Didi darum bittet, gleich mit der Logistikabteilung verbunden zu werden, versucht die Sekretärin es, aber der Anschluss ist besetzt.

An diesem Punkt fragt Didi nach einer dritten Nummer, der Verbindung zur Debitoren-Abteilung, die sich in einer Filiale in Austin, Texas, befindet. Die Sekretärin bittet sie, einen Moment zu warten, und legt den Anruf in eine Warteschleife. Ruft sie jetzt beim Sicherheitsdienst an und berichtet, sie habe einen verdächtigen Anruf erhalten und glaube, da wäre etwas nicht ganz astrein? Keineswegs, und Didi macht sich kein bisschen Sorgen. Sie ist nur eine kleine Belästigung, aber für die Sekretärin ist das alles einfach Teil ihres Alltags. Nach etwa einer Minute ist die Sekretärin wieder am Apparat, schaut nach der Nummer für die Debitoren-Abteilung und stellt Didi durch.

Der zweite Anruf: Peggy

Peggy: Debitoren-Abteilung, Peggy am Apparat.

Didi: Hallo Peggy, hier ist Didi aus Thousand Oaks.

P: Hallo Didi.

D: Na, wie läuft’s denn so?

P: Alles prima.

Didi benutzt nun einen in der Geschäftswelt gebräuchlichen Ausdruck, der den Zuordnungscode der Ausgaben in einer Bilanz einer bestimmten Organisation oder Arbeitsgruppe bezeichnet.

D: Ausgezeichnet. Ich habe da eine Frage: Wie finde ich die Kostenstelle für eine bestimmte Abteilung heraus?

P: Da müssen Sie den Budget-Analysten dieser Abteilung herausfinden.

D: Wissen Sie zufällig, wer der Budget-Analyst für Thousand Oaks ist – also für die Zentrale? Ich muss hier ein Formular ausfüllen, und ich kenne die richtige Kostenstelle nicht.

P: Ich weiß bloß, wenn einer die richtige Kostenstelle braucht, dann ruft er den Budget-Analyst an.

D: Haben Sie für Ihre Abteilung dort in Texas auch eine Kostenstelle?

P: Ja, wir haben hier unsere eigene Kostenstelle, aber eine vollständige Liste bekommen wir auch nicht.

D: Wie viele Stellen hat diese Kostenstelle? Wie heißt das zum Beispiel bei Ihnen?

P: Nun, ähmm, gehören Sie zu 9WC oder SAT?

Didi hatte keine Ahnung, auf welche Abteilungen oder Gruppen sich das bezog, aber das kümmerte sie nicht. Sie antwortete:

D: 9WC.

P: Dann sind das normalerweise vier Stellen. Von wo kommen Sie noch mal, bitte?

D: Zentrale, Thousand Oaks.

P: Ah, hier ist eine für Thousand Oaks. Sie lautet 1A5N, und N wie in Nancy.

Weil sie sich lange genug mit einer hilfsbereiten Person beschäftigt hat, findet Didi die gewünschte Kostenstelle heraus – und hier haben wir eines der Informationhäppchen, bei denen niemand glaubt, sie seien schützenswert, weil sie für keinen Außenstehenden irgendeinen Wert zu haben scheinen.

Der dritte Anruf: Eine hilfreiche falsche Nummer

Didis nächster Schritt ist nun, die Nummer der Kostenstelle zu etwas wirklich Wertvollem auszubauen, indem sie wie ein Poker-Chip eingesetzt wird.

Sie beginnt, indem sie bei der Immobilienabteilung anruft und vorgibt, sich verwählt zu haben. Sie setzt ein mit einem „Entschuldigen Sie vielmals, dass ich Sie belästige, aber ...” und behauptet dann, sie sei eine Kollegin, die ihr Telefonverzeichnis der Firma verloren habe, und wen sie denn anrufen müsse, wenn sie ein neues bestellen wolle. Der Mann am anderen Ende sagt, die gedruckte Ausgabe wäre nicht mehr aktuell, weil man auf das Verzeichnis auf der Intranet-Seite der Firma zugreifen könne.

Didi sagt, sie bevorzuge einen Ausdruck davon, und der Mann sagt, sie solle sich an die Abteilung für Öffentlichkeitsarbeit wenden, und dann sucht er unaufgefordert die Nummer heraus und gibt sie ihr – vielleicht, um die Lady, die sich so sexy anhört, noch ein bisschen länger in der Leitung zu haben.

Der vierte Anruf: Bart von der Öffentlichkeitsabteilung

In der Öffentlichkeitsabteilung hat sie einen Mann namens Bart am Apparat. Didi sagt, sie käme von Thousand Oaks, und sie hätten einen neuen Berater, der eine Ausgabe des Firmenverzeichnisses benötige. Sie merkt an, dass eine gedruckte Ausgabe für den Berater praktischer wäre, auch wenn sie nicht topaktuell sei. Bart erwidert, sie möge bitte ein Anforderungsformular ausfüllen und ihm zusenden.

Didi bedauert, ihr seien die Formulare ausgegangen und hier sei Hochbetrieb und ob Bart nicht so nett sein und für sie das Formular ausfüllen könne? Mit ein wenig zuviel Enthusiasmus willigt er ein, und Didi teilt die Details mit. Als Lieferadresse gibt sie eine bei Social Engineers als „Mail Drop” bekannte Einrichtung an, in diesem Fall ein Unternehmen, das Briefkästen vermietet, bei dem ihre Firma Postfächer für Gelegenheiten wie diese eingerichtet hat.

Nun erweist sich das frühere Klinkenputzen als nützlich: Die Kosten für das Verzeichnis und den Versand müssen berechnet werden. Kein Problem – Didi gibt die Kostenstelle von Thousand Oaks an:

„1A5N, und N wie in Nancy.”