Hadnagy / Schulman Human Hacking

Wie Social Engineering funktioniert und wie Sie sich dagegen schützen
1. Auflage 2021
ISBN: 978-3-86470-760-5
Verlag: books4success
Format: EPUB
Kopierschutz: 6 - ePub Watermark

E-Book, Deutsch, 320 Seiten

Christopher Hadnagy ist ein Meister-Hacker - allerdings nicht am Computer. Er hat sich darauf spezialisiert, Menschen zu hacken, das heißt, ihnen mit einfachen Techniken wertvolle Informationen zu entlocken, um so Situationen zu seinen Gunsten zu beeinflussen. Beruflich nutzt er diese Gabe, um Unternehmen dabei zu beraten, wie sie die Sicherheitslücke 'Mensch' schließen können. In seinem neuen Buch führt er das Human Hacking nun auf die persönliche Ebene. Er zeigt, wie jedermann Menschen auf seine Seite ziehen, die Körpersprache seines Gegenübers lesen und sich selbst vor Manipulationen durch andere schützen kann. Und er zeigt, wie wichtig es ist, sich zunächst selbst auf den Prüfstand zu stellen ... Ein faszinierendes, brandaktuelles Thema, präsentiert von einem der führenden Köpfe auf dem Gebiet.

Christopher Hadnagy ist ein Pionier auf dem Gebiet des Social Engineering. Als angesehener Sicherheitsexperte hat er rund um den Globus zum Thema gesprochen und gelehrt, unter anderem auch im Pentagon. Er ist Gründer und CEO von Social-­Engineer, LLC, einer Organisation, die Unternehmen dabei hilft, sich vor Social-Engineering-Angriffen zu schützen. Mit seiner Innocent Lives Foundation setzt er sich für die Aufdeckung und Verfolgung des Kinderhandels ein.

Autoren/Hrsg.

Hadnagy, Christopher

Schulman, Seth

Leseproben

EINLEITUNG
IHRE NEUEN
SUPERKRÄFTE
Es ist ein Uhr in der Nacht. Wir sitzen in einem gemieteten schwarzen Chevrolet Suburban und kriechen mit ausgeschalteten Scheinwerfern querfeldein durch ödes Buschland. Ich kneife die Augen zusammen, kurve im Mondlicht um Felsgestein, Gestrüpp und einige niedrige Bäume. Mein Kumpel Ryan krallt sich am Beifahrersitz so stark fest, dass die Knöchel weiß hervortreten. Alle paar Minuten dreht er den Kopf, um sicherzugehen, dass uns keiner folgt. Ich versuche ruhig zu bleiben, atme tief ein und aus. Unser Schweigen wird nur durchbrochen von gelegentlichen Flüchen, wenn der Wagen hart aufsetzt oder wir gerade wieder knapp einen Felsbrocken verfehlt haben. Im Kriechtempo fahren wir auf eine Reihe unauffälliger kastenförmiger Gebäude zu, die von riesigen Flutlichtanlagen und vereinzelten anderen Industrieleuchten angestrahlt werden. Genauer gesagt: Wir fahren auf den drei Meter hohen Sicherheitszaun zu, der mit Stacheldraht abschließt und zwischen uns und den Gebäuden steht. Eben, noch ein paar Kilometer vor dem Ziel, musste ich scharf bremsen, weil uns ein Kojote vors Auto rannte. Ich frage mich nur, was zum Henker wir hier eigentlich machen. 500 Meter vor dem Zaun sehe ich nun linkerhand eine breite, tiefe Furche. „Da?“, frage ich. „Gut“, sagt Ryan. Ich lenke den Wagen in die Vertiefung und versuche zu vermeiden, dass er vom dichten Buschwerk zerkratzt wird, das zu beiden Seiten aufragt. Erst als ich den tiefsten Punkt erreicht habe, halte ich an. Kein Wachmann und kein Arbeiter, der in dieser staubigen Einöde unterwegs ist, kann unser Auto sehen. Von jetzt an geht es für uns zu Fuß weiter. „Irgendwer zu sehen?“, frage ich und stelle den Motor ab. „Niemand“, sagt Ryan. „Dann los.“ Wir steigen aus und drücken leise die Türen zu. In dieser Gegend wimmelt es von Klapperschlangen und Skorpionen, weshalb wir uns auf Zehenspitzen vorantasten und auf die kleinste Bewegung achten. Wir öffnen den Kofferraum, ziehen eine Aluminiumleiter und ein paar Meter Seil heraus. Ansonsten haben wir keinerlei Gepäck – für den Fall, dass wir einmal schnell verschwinden müssen. „Okay“, sage ich und deute auf einen Zaunabschnitt zu unserer Linken. „Der dunkle Bereich da hinten. Da ist offenbar ein Scheinwerfer kaputt. Was Besseres werden wir kaum finden.“ Wir heben gemeinsam die Leiter hoch und gehen los. Es ist gespenstisch still, bis auf ein tiefes Brummen, das von den Gebäuden herüberschallt, und das leise Klappern der Leiter. Wir sind 80 Kilometer von der nächsten Stadt entfernt, unbewaffnet und ungebeten. Wenn uns hier etwas zustößt, wird niemand davon erfahren. Und es kann immer etwas passieren. Ich bin schon verhaftet worden und hatte eine Knarre an der Schläfe. Und das waren leichte Jobs im Vergleich zu dem hier. Ich kann Ihnen leider nicht sagen, von welchem Gelände die Rede ist oder wo es sich befindet. Ich kann Ihnen nur sagen, dass hinter diesem Stacheldraht eine mächtige Organisation über etwas wacht, das von immensem Wert ist. Ja, das, worüber sie wacht, ist derart wertvoll, dass die Organisation zig Millionen Dollar ausgegeben hat, um dieses Gelände zu bauen und es für Außenstehende – wie uns gesagt wurde – „ganz und gar unzugänglich“ zu machen. Es ist einer der sichersten Gebäudekomplexe der Welt. Hinter dem Stacheldraht patrouillieren Dutzende bestausgebildete Wachleute mit automatischen Waffen. Die ganze Nacht ziehen sie ihre Runden über das Gelände. Weitere Männer stehen auf hohen Geschütztürmen Wache. Mächtige Scheinwerfer schweifen in regelmäßigen Abständen über den Zaun, Hunderte Kameras verfolgen jede Bewegung auf dem Gelände und rund um den Einfassungszaun. Zudem sind diverse hoch entwickelte kostspielige Geräte im Einsatz, die ich nicht näher benennen darf. Und das alles nur zu einem einzigen Zweck: damit Typen wie Ryan und ich keinen Zutritt zum Gelände erlangen. Wir kennen die Sicherheitsmaßnahmen so genau, weil wir unseren Einsatz wochenlang vorbereitet haben. Von einem anderen Ort aus haben wir uns mittels Phishing und Vishing (Phishing per Telefon) detaillierte Informationen über den Komplex beschafft. In scheinbar unverfänglichen Gesprächen haben uns Personen, die hinter dem Stacheldraht und an anderen Standorten der Organisation arbeiten, operative Pläne, Einzelheiten in der Terminplanung und sogar die Namen von Mitarbeitern und Managern offengelegt, und zwar so viele Namen, dass wir in groben Zügen die Betriebshierarchie der Organisation an diesem Standort nachzeichnen konnten. In den letzten Tagen haben wir dann noch weitere Informationen gesammelt, indem wir uns persönlich auf dem Gelände umgesehen haben. Wir hatten herausgefunden, dass die Organisation dabei war, in der Nähe ein weiteres Gebäude zu errichten, und in dieser Woche die Grundsteinlegung feiern wollte. Dass wir im Internet keinerlei Informationen über den neuen Standort fanden, war für uns kein Hinderungsgrund. Ein Lokalredakteur hatte mehrere Artikel über den Bau verfasst, und so schmiedeten wir den Plan, uns für diesen Journalisten und einen Kollegen vom selben Blatt auszugeben. Um den Standort zu erfahren, rief unsere Mitarbeiterin Debra in der Zentrale an und gab sich als Assistentin des Journalisten aus. „Hallo“, sagte sie mit heller Stimme. „Mein Name ist Samantha, ich bin die Sekretärin von Pete Robichaud bei WXTT (Name des Fernsehsenders geändert). Er kommt am Samstag um 10:30 Uhr zur Eröffnungsfeier, um für unseren Sender darüber zu berichten. Ich hätte nur kurz ein paar Nachfragen dazu.“ „Einen Moment bitte“, sagte der Mann am anderen Ende der Leitung. Wahrscheinlich wollte er überprüfen, ob Pete (Name ebenfalls geändert) tatsächlich auf der Gästeliste stand. „Gut, schießen Sie los.“ „Okay, also als Erstes wollte ich fragen, was er mitbringen muss, um sich auszuweisen. Er braucht ein offizielles Dokument mit Foto, richtig?“ „Ja. Führerschein würde gehen. Oder ebenso ein Pass.“ „Gut, wunderbar. Dann, zweite Frage, er würde gern seine eigene Kameraausrüstung mitbringen. Geht das in Ordnung? Irgendwas, worauf er achten muss?“ „Geht klar“, sagte der Mann. „Aber er wird am Eingang natürlich durchsucht.“ „Selbstverständlich“, sagte unsere Mitarbeiterin. „Dann komme ich schon zu meiner letzten Frage … nur um sicherzugehen. Wir haben anscheinend seine Einladung verlegt, deshalb wollte ich nur noch mal nach der genauen Adresse fragen und wo er genau hinmuss.“ „Kein Problem“, sagte der Mann. Und gab uns genau die Information, die wir brauchten. Das Ganze wirkte wie ein belangloses Gespräch und dauerte kaum 30 Sekunden. Wahrscheinlich verschwendete der Mann am anderen Ende keinen weiteren Gedanken darauf. Aber es waren hier mehr als nur freundliche Worte ausgetauscht worden. Debra wollte eine einzige Information erhalten – die Adresse. Dazu stellte sie zunächst zwei Aufwärmfragen, um sich nach ganz einfachen Dingen zu erkundigen, die der Mann am anderen Ende der Leitung problemlos würde beantworten können. Diese Technik nennen wir in unserer Branche „Entgegenkommen“. Die Aufwärmfragen dienten dazu, dem Mann das Gefühl zu geben, er könne ihrer Erwartung entsprechen, ihre Fragen zu beantworten. Wenn er schon zwei Fragen beantwortet hat, ist er geneigter, auch die dritte zu beantworten, sofern sie nicht zu absonderlich ist und keinen Argwohn weckt. Debra schlug sogar selbst noch eine Antwort auf die erste Frage vor, womit sie ihm signalisierte, dass sie wusste, was sie tat, Erfahrung mit solchen Dingen besaß und alles seine Ordnung hatte. Debra wandte aber noch einige andere Techniken an. Die dritte Frage leitete sie damit ein, sie wolle nur „sichergehen“ – so als wüsste sie die Antwort bereits. Damit stellte sie die Frage auf eine Weise, dass es ihrem Gegenüber ganz normal vorkommen musste, sie gestellt zu bekommen. Und noch davor, als sie fragte, ob ihr Chef auf irgendetwas achten müsse, stellte sie sich dumm und bat den Mann am anderen Ende der Leitung damit indirekt darum, Lehrer zu spielen. Damit schmeichelte sie seinem Ego, sie erkannte seine Autorität an und machte ihn entspannter und gesprächsbereiter – all das zusätzlich erleichtert durch den Geschlechterunterschied. Dank dieses und anderer ähnlicher Gespräche konnten wir am Tag vor dem Fest das Gelände besuchen und hätten uns auch beinahe Zutritt verschafft. Doch dann schöpfte das Sicherheitspersonal Verdacht und hielt uns auf. Zuvor aber hatten wir bereits zahlreiche Einzelheiten über die Sicherheitsmaßnahmen und die Wachausbildung erfahren, welche Waffen die Wachen tragen und auf welche Bedrohungen sie achten, welche Kameras auf dem Gelände eingesetzt werden und so...

Über Autor(innen)

Christopher Hadnagy ist ein Pionier auf dem Gebiet des Social Engineering. Als angesehener Sicherheitsexperte hat er rund um den Globus zum Thema gesprochen und gelehrt, unter anderem auch im Pentagon. Er ist Gründer und CEO von Social-Engineer, LLC, einer Organisation, die Unternehmen dabei hilft, sich vor Social-Engineering-Angriffen zu schützen. Mit seiner Innocent Lives Foundation setzt er sich für die Aufdeckung und Verfolgung des Kinderhandels ein.