Risikofaktor Mensch: Die Kunst des Social Engineering

Zum einen sind klare Kommunikationsregeln gefragt. Mitnick empfiehlt den Unternehmen, ihren freundlichen Helpdesk-Mitarbeitern auch mal ein klares Nein beziehungsweise eine Absage mit auf den Weg zu geben, wenn eine Anfrage ein auffälliges Verhaltensmuster aufweise oder nicht den internen Richtlinien entspreche. Pauschale Freundlichkeit sei nur dann ein Dienst am Kunden, wenn dieser auch tatsächlich anfrage und nicht ein vermeintlicher Angreifer, der auch noch zuvorkommend bedient werde.

Als die vier wichtigsten Ursachen, die dem Social Engineering von innen heraus den Boden bereiten, gelten schlechtes Betriebsklima, keine Karrierechancen, Lohndumping sowie mangelnde Fort- und Weiterbildungskonzepte. Parallel dazu findet überdurchschnittlicher Einsatz unten von ganz oben nur entsprechend wenig Widerhall und Lob. Und genau an dieser Schnittstelle setzen Plagiatoren mit Hilfe von Social-Engineering-Techniken an.

Der spektakulärste Fall ereignete sich im Februar 2005. Eine chinesische Studentin nahm ihr Praktikum beim französischen Automobilzulieferer Valeo auf. Li-Li W. war auffallend oft mit einem privaten Notebook anzutreffen. Bei einer Wohnungsdurchsuchung stießen die Ermittler auf mehrere Computer mit vertraulichen Daten.

Ähnliche Fälle lassen sich auf den Internetseiten der Landesämter für Verfassungsschutz nachvollziehen. Erst vor wenigen Wochen berichtete ein Hamburger Unternehmen, wie einige chinesische Praktikanten am Kopierer dabei ertappt wurden, wie sie nach Dienstschluss, quasi im Kerzenschein, Hunderte Seiten betriebsinternes Know-how kopierten. Diese schickten sie auf Firmenkosten säuberlich verpackt an ihr chinesisches Heimatunternehmen.

Den Raubkopierern und Wirtschaftsspionen allein mit den Mitteln der Strafverfolgung zu begegnen, läuft ins Leere. Zumal es auf der anderen Seite an jeglichem Unrechtsbewusstsein fehlt. Auch der moralische Fingerzeig auf China hilft wenig weiter, denn es gibt genug andere Staaten – auch aus den Reihen der High-Tech-Industrieländer -, die es dem Reich der Mitte gleichtun.

Als eine probate Gegenmaßnahme gegen Industrie- und Wirtschaftsspionage empfiehlt Mitnick, an zentralen Stellen anzusetzen, etwa der Verschlüsselung von Daten. Dort sei mindestens das so genannte Vier-Augen-Prinzip strikt zu beachten, statt profundes Geheimwissen nur auf eine Schulter zu verteilen.

Versagt im Unternehmen die menschliche Firewall gänzlich, sind statt hektischer Betriebsamkeit Lösungen gefragt. Für Sicherheitsexperten zaubert schon die erste Analyse überraschende Erkenntnisse hervor, etwa wenn der Geschäftspartner im Ausland mit automatischen Zugriffsrechten auf sensible Informationsbestände ausgestattet ist.