Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von YouTube und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/3014 Danke!
[Musik]
[Applaus]
ja danke schön dass ich hier sein darf
schön dass Ihr alle hergekommen
seid zu meinem Talk über Social
Engineering alles was ihr immer über
Social Engineering wissen wolltet aber
nie die Zeit hatte zu erfragen ganz kurz
über mich wer ich so bin was ich so
mache ihr kennt mich hier unter Katana
als Speaker
UPS er will nur einmal okay im Real Life
heiße ich ili reitm ich bin Psychologe
also auch einer von diesen Psychologen
die sich hier manchmal einschleichen in
den Kongress ich bin social engineer und
derzeit wissenschaftlicher Mitarbeiter
und doktorant an der leibn Uni Hannover
im Fachgebiet usable Security privacy
ich mag nertkram ich mag Social
Engineering ich mag Forschung Geschichte
Daten und
privacy und das soll es dann auch schon
gewesen sein zu mir ich möchte diesen
Talk starten mit einer kleinen Story das
hier ist das was ich ST Diffusion unter
einem Großvater vorstellt es geht
nämlich um
meinen und der Stand eines Tages eben in
seiner Küche und hat einen Anruf
bekommen und er nimmt ab an der anderen
Seite ein kleines hollendes Mädchen
offensichtlich die
einfach geweint hat und meinte es ist so
schlimm und ähm hilft mir doch bitte und
meine Mama und das ist so alles so
schlimm und und dann wollte er erstmal
wissen wer überhaupt re wer ist denn da
ja die Enkelin und er meinte ja wer denn
jetzt die Anna oder die Jenny ja ja die
jenny ist dran und die Mama und die hat
so ein schlimmen Unfall gebaut und es
war alles total konfus und irgendwann
sag ich das Mädchen so ich geb dir jetzt
mal den Polizisten und dann hat sich
eine Männerstimme gemeldet ja hier ist
der Kommissar so und so ähm die Mutter
von der jenny hat hier einen ganz
schlimmen Unfall gebaut äh mit einem
Radfahrer der Radfahrer ist tot und da
müssen sie wir müssen jetzt erstmal so
den Vorgang hier klären in der
Zwischenzeit ist meine Großmutter dazu
gekommen hat mitgekriegt da ist ein
weinendes Mädchen am Telefon sie meinte
wer ist das denn und meinte mein großf
die Jenny und sie geht ran und hört eben
auch das Mädchen weinen und der Polizist
redet auf sie ein und meint so hey wir
müssen aufpassen dieses in wir müssen
den Untersuchungshaft nehmen und es gäbe
da die Möglichkeit sie über Kaution
freizulassen weil sonst könnte das sich
irgendwie hinziehen und er weiß auch
nicht ob das jetzt für die Tochter so
gut ist und meine Großmutter meinte ja
was was okay was kostet das denn und
dann meinte na ja 70 000
€ würde das kosten und meine Großmutter
war erstmal total perplex und meinte ich
weiß gar nicht ob ich so viel Geld habe
und worauf der Polizist natürlich
hilfreich gesagt hat ja gut wenn sie
vielleicht irgendwelchen Goldschmuck zu
Hause haben
oder irgendwelche Uhren dann könnten
sich da bestimmt irgendwie Lösungen
finden lassen wer fin meine Großmutter
schon erstmal sehr misstrauisch wurde
und gesagt hat so ich fahre jetzt zur
Polizei und promt wurde das Gespräch
auch
aufgelegt ja das kennen viele von euch
das ist der sogenannte Enkeltrick das
ist Social Engineering in rheinform und
ich finde dies was ich gerade erzählt
habe enthält alles was ich heute so ein
bisschen behandeln will ja es ist eine
Geschichte haha es enthält die
Wirkungsweise ein bisschen von Social
Engineering macht sie klar wie das
funktioniert und ähm zeigt auch so
Maßnahmen und das ist so der dritte Teil
in meinem Talk die ich so ein bisschen
beleuchten will was man da eigentlich
machen kann dagegen
wir arbeiten heute relativ stark
wissenschaftlich ich habe sehr sehr viel
gelesen für diesen Talk sehr sehr viel
Quellen rausgesucht m und wenn man
wissenschaftlich arbeitet braucht man am
Anfang eigentlich immer erstmal eine
Definition über das worüber man redet
wenn man stable Diffusion fragt was ein
stereotypical social engineer doing his
work ist
m kommt das hier dabei raus
seltsam ja es ist ein Mann okay der baut
da irgendwas also ich glaube das hat
nicht so ganz verstanden was das
bedeuten soll wenn wir die Praktiker
Fragen die wirklich Social Engineering
machen und dafür bezahlt werden dann
sagen die z.B das ist von Chris hny
Social Engineering is any act that
influences a person to take action that
not in best interest also jede Aktion
die Menschen dazu bringt was zu tun ob
das jetzt in ihrem besten Sinn ist oder
nicht finde ich persönlich sehr schön
die Wissenschaft ist da immer so ein
bisschen eingeschossen auf diesen
Security und Böse Aspekt hier haben wir
eine Definition ich kann diesen Namen
nicht aussprechen korrekt ich weiß es
nicht aber dieses paper auf jeden Fall
definiert es so Social Engineering is
focused on the exploitation of a human
in order to gain unauthorized access to
information man merkt da ist eine
Schiene drinne ja exploitation of a
human Ausnutzen von Menschen um
irgendeine Information zu gelangen die
man eigentlich nicht dranelangen sollte
okay zwei Varianten ich finde die erste
schöner und ich glaube das wird ein
bisschen klarer wenn man sich überlegt
wer macht denn überhaupt Social
Engineering ja da gibt's verschiedene
Akteure und ich habe das so ein bisschen
securitymäßig aufgesplittet wir haben
einmal die blackheads wir haben die
White heads auf der anderen Seite und
dazwischen ist irgendwie so ein
Mischmasch ja also greyheads nennt man
das auch manchmal und bei den blackheads
gibt's ganz klar die Kriminellen das
sind diese enkeltrickbetrüger das sind
Leute die euch fishing E-Mails schicken
und so weiter es gibt Geheimdienste die
Black hatget machen das ist ganz normal
das gehört dazu das ist deren Job und
auf der whehead Seite haben wir z.B
redteamer das sind eben diese
professionellen Leute die das im Sinne
des Guten machen die dafür angeheuert
werden um extra zu sehen haben wir
schmachstellen und wir haben Lin und
Lein und Geheimdienste sind so ein
bisschen auch teilweise im greahhead
Bereich unterwegs ob das absichtlich ist
oder
unabsichtlich weiß man nicht immer so
genau jetzt werde ihr wahrscheinlich
sagen ähm warum hast du die Hacker nicht
erwähnt äh ich habe Hacker überall
reingeschrieben weil ich persönlich
einmal finde dass wir das Wort aus
dieser negativen Definition der
Öffentlichkeit streichen müssen Hacker
ist wertneutral und hat nichts immer
zwingend was mit kriminellen
Handlungsweisen zu tun und deswegen
stehen die in allen drei
Kategorien und dann habe ich Lion
vergessen ne ja warum stehen hier
lien ganz einfach weil Lion der größte
Anteil an Social engineers sind immer ja
und ich werde euch auch garantieren ihr
alle
seid mal soenier gewesen oder seid es
sogar immer noch ja Beispiel
Kinder Kinder weinen künstlich um das zu
bekommen was sie wollen Social
Engineering emotionale
Manipulation
Eltern manipulieren Kinder wenn du jetzt
die Hausaufgaben machst darfst du eine
Stunde länger am PC sitzen Social
Engineering Verkäufer e dieser Schuh den
gibt's nur noch ein Monat und dann wird
die Edition vom Markt genommen also wenn
du i jetzt nicht kaufst gibt's sie nicht
mehr Social
Engineering und Politiker na ja die
Versprechen das Blau vom Himmel damit du
sie wählst also das sind quasi
berufliche social engineers nur ein
bisschen
anders natürlich wenn man über was
sprechen möchte muss man sich auch die
Geschichte
anschauen um zu verstehen wo es herkommt
und um es dann auch zu erklären und es
ist sehr lange Geschichte wenn wir uns
Social Engineering anschauen
tatsächlich wissen wir wer oder was der
allererste social engineer war überhaupt
ja und wir wissen das weil es eine
Quelle gibt die ist so ca 3000 Jahre alt
und die sagt eben dieser social
Ingenieur aus dieser
Quelle der war ein blackhead und viele
von euch denken sich jetzt vielleicht ha
interessant welcher mensch war das denn
nö nö n nö das war ein Tier
[Gelächter]
diese Schlange die letztendlich uns alle
verdammt hat nicht mehr im Paradies zu
sein nein Scherz natürlich das ist die
Bibel das muss man nicht unbedingt alles
wörtlich nehmen was da drin steht
schauen wir auch lieber mal Quellen an
wo wir sagen können das ist vielleicht
ein bisschen gefestigter was wissen
angeht und da würde ich so ein bisschen
mal vor 3000 vor Christus anfangen das
ist so das erste wo wir wirklich
schriftliche Quellen bekommen diesen
erhalten sind bis 1800 habe ich jetzt
erstmal gemacht danach sind wir ein
bisschen weiter das ist in der Zeit
alles sehr stark mit Geheimdienste
verknüpft weil Geheimdienste natürlich
natürlich auf Social Engineering
angewiesen sind um zu funktionieren das
erste was wir da haben ist das alte
Ägypten tatsächlich man weiß dass die im
Sudan ein großes Spionagenetzwerk hatten
was sie da genau gemacht haben ist nicht
so klar aber die haben sich auf jeden
Fall weil Sudan eine Kolonie war da
immer regelmäßig Informationen beschafft
was da so
abgeht wer kennt diese Maske hier das
ist verknüpft mit Griechenland das
stellt Agamemnon da das kennt man aus
der Ilias
m
und was man auch weiß ist dass zwischen
verschiedenen Stadtstaaten im antiken
Griechenland das auch Spionage gab
zwischen Athen zwischen Sparta die haben
regelmäßig Leute hin und her geschickt
um zu sehen wie was Funk was ist da in
der Politik los wie ist der ein
bewaffnungsstand und diese Leute mussten
natürlich auch Social enging benutzen um
sich dort ein es gibt sogar alte so
Texte wo primitive kryptografietechniken
beschrieben werden das ist sehr
interessant wir haben das alte Rom Rom
hatte einen sehr organisierten
Geheimdienst das nannte man
frumentarii die waren so ein bisschen
eine Mischung aus Stasi und
Auslandsgeheimdienst die haben
letztendlich im Reich geschaut ob es da
irgendwelche Dissidenten gibt und
natürlich bei Völkern die sie
unterjochen wollten oder schon haben
auch Informationen eingeholt wurden dann
auch 300 nach Christus auf gelöst weil
die so ein schlechten Ruf hatten das
hing ein bisschen damit zusammen dass
die Leute gefoltert haben nicht so
gut das hier ist ähm ein bisschen später
dann das ist einer der ersten Mönche die
von dem Papst in das mongolenreich
geschickt wurden da gab es mehrere
Versuche da diplomatische Beziehung
aufzubauen und der eigentliche Zweck
dieser Beziehungen die sind dann dahin
die haben Geschenke überbracht ähm der
eigentliche Zweck war natürlich die
Truppenstärke zu erforschen wie die
aufgebaut sind ihrer Organisation
was da am Hof abgeht da gab es mehrere
solche Missionen und das war gezieltte
Social Engineering vom Vatikan ja und
abschließend hier oder was heißt fast
abschließend hier haben wir noch Francis
wasingham das war ein britischer spymas
der hieß tatsächlich so dass war der
erste diesen Namen trug der hat
innerhalb Europas ein großes Netz an
Spionage aufgebaut hat die Leute dazu
bewegt ihn Information aus dem Vatikan
zukommen zu lassen oder eben auch aus
Englands Inneren heraus ja und der
Höhepunkt finde ich an dieser ganzen
Geschichte und die Liebe ich total das
ist die Geschichte von William chaloner
VSS Isaac Newton was man was viele nicht
wissen Isaac Newton war der Chef der
Royal Mint in England das ist die
münzprägebehörde zu dieser Zeit wurden
geschätzt ungefähr 10% der englischen
München Münzen gefälscht die im Umlauf
waren und William chona hatte da eine
nicht unbedeutende Hand drin das war der
Beste münzfelscher aus seiner Zeit und
was der mit Social Engineering zu tun
hatte war der hat immer seine Kollegen
social ingeniert dass sie für ihn
arbeiten und hinterher wenn sie ihn
quasi hochnehmen wollten hat er gesagt
nee nee nee nee also wenn ihr mich
hochnehmen wollt dann verpasst ihr ganz
viel weil für mich arbeiten ganz ganz
viele Leute die ich euch verraten kann
wenn ihr die H hops nehmt und nicht mich
das hat er die ganze Zeit gemacht also
mindestens dreimal
m hat funktioniert und irgendwann na ja
haben sie ihn halt trotzdem gehängt und
öffentlich ausgeweidet aber das
passiert jetzt finde ich die modernere
Geschichte um Social Engineering
spannend
die beginnt so um 1850 rum weil da
natürlich die Leute mehr lesen und
schreiben konnten und die Geschichten
auch stärker aufgeschrieben
wurden das erste was man so erwähnen
sollte war William Thompson das war der
schlechteste social Ingenieur aller
Zeiten und die Mensch der das Wort
conman geprägt hat ganz einfach deswegen
weil der zu Leuten hingegangen ist und
gesagt e gib mir mal deine Uhr oder gib
mir mal diese 1000 Pfund hat der mal
gemacht hat fünf Mal geklappt der ist
reich
geworden deswegen confidence man der hat
halt einfach dieses Selbstbewusstsein um
zu Leuten hinzugehen sagen gib gib
einfach mal hier der hat diesen Begriff
geprägt spannender finde ich dass es
hier auch Frauen gibt die hervorstechen
ja das ist ele Spitzeder das ist eine
Münchnerin diese Frau ist die erste
Person die ein funktionierendes ponsis
schem aufgebaut hat also quasi dieses
Schneeballsystem wie man es im deutschen
kennt die hat
eine Bank gegründet hat Investoren
gewonnen und diese Investoren mit dem
Geld der neuen Investoren bezahlt
insgesamt hat sie da 400 Millionen Mark
oder was das damals waren erwirtschaftet
glden glaube ich und sie hat eben neue
Investoren so ein bisschen social
engineiert dass S sagen hey ich habe ein
tolles System und so und einfach eine
Verkaufstaktik und hat war damit sehr
erfolgreich hat auch nie wurde auch nie
wirklich streng bestraft ist damit ganz
gut über die Runden
gekommen zweite Frau mattha Hari ist
wahrscheinlich den meisten hier in
Begriff war eine
Spionin die für die deutschen um den
Ersten Weltkrieg rum Information aus
Paris und Holland eingesammelt hat auch
sehr bekannt als eben in diesem Kontext
aber auch was sie gemacht hat war pures
Social
Engineering das ist eine meiner
Lieblingsgeschichten das ist Viktor
lustig das war der heißt wirklich so das
war ein österreich-ungarischer Mensch
der sich in Paris als Baron ausgegeben
hat und irgendwie in diese heiß sociy
eingeschmuggelt hat und das was ihn
berühmt gemacht hat war er ist
irgendwann mal zu sechs Schrotthändlern
gegangen und hat gesagt ja ich bin von
der Regierung und dieser Eifelturm der
der wird alt und wir wollen den
irgendwie neu bauen und jetzt suchen wir
natürlich Schrotthändler die uns diese
Altlast
abkaufen und nebenbei bemerkt ich bin ja
Beamter ihr wisst wie wenig Beamte
verdienen und jetzt natürlich die Frage
ihr seid alle sechs hier ich weiß nicht
wie mich das geben soll was die
schreuthändler natürlich verstanden
haben und einer von denen hat den dann
ein beträchtliches Bestechungsgeld und
die Summe für den eifeltur
bezahlt woraufhin dieser Mann ganz
schnell verschwunden ist aus
Paris und das war eben das was ihn
relativ legendär gemacht
hat aber UPS Verzeigung das wurde
getoppt hier ist kein Bild weil es für
diese Person keine verlässliche Quelle
gibt wie jemals ausgesehen hat das ist
ein Inder er wird natwalal genannt
dieser Mann ist a 2001
gestorben aber der war berühmt der hat
das tajch Mahal mehrere Male verkauft an
Menschen das indische Parlament verkauft
an Menschen inklusive Parlamentarier das
muss man sich mal vorstellen
ja
und andere Regierungsgebäude ist siebenm
aus dem Gefängnis ausgebrochen einmal
als 84-jähriger Rollstuhlfahrer ich weiß
[Applaus]
nicht ich weiß nicht wie aber er hat's
geschafft das ist so der King glaube ich
hier wenn wenn es um um um Trickbetrug
geht wir haben hier jemanden der ist mit
unserer Geschichte in Deutschland sehr
verknüpft das ist Markus Wolf das war
der Leiter der Hauptverwaltung
Aufklärung im Auslandsgeheimdienst der
DDR was eher unbekannt ist das war einer
der besten Geheimdienste die es jemals
gegeben hat die waren relativ
ungeschlagen in ihem Feld und auch
deswegen weil Markus Wolf die Romeo
Methode eingesetzt hat der hat quasi
Menschen oder Männer hauptsächlich
angeheuert um sich an Sekretärinnen
einflussreicher Persönlichkeit in
Westdeutschland ranzumachen die die dann
überzeugt haben Informationen an die
Agenten weiterzugeben das hatte sehr
sehr viel Erfolg und wenn man gewissen
Quellen glaubt ist da noch ganz viel
auch noch nicht aufgetaucht insofern war
der wohl sehr erfolgreich damit
ja und wenn wir über Social Engineering
reden darf man diesen Mann eigentlich
nicht vergessen das ist Kevin Mitnick
der ist in Security kison wahrscheinlich
sehr bekannt ich würde nicht sagen er
war der Social engineer der irgendwie
diese ganzen modernen Methoden erfunden
hat aber er war zumindest der der sie
bekannt gemacht hat er hat Sachen wie
simwapping ganz stark nach vorne
getrieben hat Social Engineering am
Telefon ganz stark ausgebaut und auch
darüber berichtet und wurde auch dann
später mit seinen Büchern relativ
bekannt dadurch sind auch interessant zu
lesen also wer da Interesse hat kann
sich Kevin mitn Bücher mal
durchlesen ja das war das jetzt bis
heute wie sieht es heute aus das meiste
heute ist fishing ja das brauchen wir
auch wieder eine Definition das von
Jansen und Solms ich finde die ganz
schön fishing electronically dees the
user to conform to some action
subsequently divolging sensitive
information also wir überzeugen oder wir
täuschen Leute elektronisch das ist
wichtig damit die uns quasi das tun was
wir von ihnen wollen und meistens geht's
dabei um sensitive
information das geht über verschiedene
Vektoren wir haben einmal E-Mail
e-mailfishing kennt wahrscheinlich jeder
bekommt jeder das ist normal es gibt
Telefon übers Telefon das nennt man dann
wishing ja also wenn Leute angerufen
werden das wurde hier am Anfang schon
erwähnt es gibt's über Messaging ihr
kennt diese diese DHL DPD messages
manchmal die da kommen so Ihr Paket
liegt irgendwo und Sie müssen da was
zahlen und es gibt mittlerweile auch
Dinge über deepfakes aber die sind so
irrelevant weil die sehr selten sind und
natürlich auch sehr viel Vorbereitung
brauchen das deswegen lasse ich jetzt
hier erstmal ein bisschen
unerwähnt natürlich gibt es immer noch
Social Engineering was in persona
funktioniert ja klassischer Fall ist
Industriespionage ja geheimdienstliche
Operation die fast auch immer
Industriespionage sind heutzutage
irgendwie verdeckte Ermittler bei der
bei den ja Strafverfolgungsbehörden und
natürlich
Trickdiebstahl wie beim Enkeltrick die
Schwierigkeiten Häufigkeit geht so ein
bisschen von E-Mail sehr sehr leicht bis
hin zu in persona was sehr sehr schwer
ist wenn man das richtig machen will und
genauso hält sich mit der Häufigkeit
E-Mail ich glaube es werden pro Jahr pro
Tag 3 Milliarden fishing E-Mails oder
Spam -Mails zumindest verschickt
ankommen tun 500 000 aber das ist immer
noch sehr viel ja Wicht interessant ist
es wenn man so den Return of Invest
anschaut al ist eher umgekehrt also
tatsächlich
oder es ist hält sich verhält sich so
ein bisschen schwieriger E-Mail hat
natürlich auch dementsprechend großen
Erfolg weil wenn einer klickt kriegst du
manchmal viel Geld okay aber in persona
klappt eigentlich meistens sehr gut weil
das immer Personen sind die das sehr gut
können und genauso verhält sich das auch
so ein bisschen
mit ja der der der Häufigkeit eben wie
gesagt wenn wir okay jetzt wissen wir wo
wir sind ne und was ich auch versprochen
habe ist dass ich mir ein bisschen die
Wirkung anschaue und da werde ich jetzt
erstmal drei Modelle vorstellen und die
kommen aus der Psychologie ihr kennt
vielleicht aus einem von Linus talks
dieses System 1 System 2 das machen wir
heute nicht weil ich a finde dass es ein
bisschen zu einfach ist und B auch nicht
so
schön das erste was wir brauchen ist das
vier ohrenmodell das kennen manche
vielleicht aus der
kommunikationsschulung in der
Arbeit das beschreibt
missverständnisquellen in der
Kommunikation und Missverständnisse sind
immer senderempfängerkonflikte in diesem
Modell jede Nachricht hat so viel Ebenen
Sachebene Selbstoffenbarung appellebene
Beziehungsebene und
die können Sender so meinen und
Empfänger anders verstehen und ich
möchte euch das jetzt mal so ein
bisschen zeigen wie das funktioniert am
Beispiel einer fishing E-Mail ja das ist
eine echte fishing E-Mail die mal so
rumgelaufen ist und ein Social engineer
wenn so eine fishing E-Mail schreibt
dann schreibt er die immer so wie es in
den Ohren der Empfänger ankommen soll ja
und dann gucken wir mal ja was ist denn
hier wir haben ja einmer die Sachebene
ja hier ist eine neue Datei das ist
relativ wertneutral ja wir haben die
selbstoffenbarungsebene das ist ein Bot
der mir das geschickt hat ja has been
shared with you automated Email relativ
klar wer hat mir schickt das ist ein Bot
die Beziehungsebene steht hier unten in
diesem kleinen Logo ja wir kennen uns du
benutzt meine Dienste ich bin
freundlich und der Appell ist wirklich
ganz klein log dich doch ein und guck
mal
nach das sind die feohen und so so so
funktioniert das wenn man das richtig
macht das zweite was ich besprechen will
ist kognitive Dissonanz haben bestimmt
auch schon ganz viele gehört
uraltes Konzept gibt's seit den 50ern 60
wurde das was ich hier zitiert habe von
Leon festinger kognitive Dissonanz ist
immer innerhalb einer Person wenn es
zwei Ereignisse gibt ich nenne jetzt mal
a und a Strich die sind erstrebenswert
für die Person aber die steheneinander
im Weg Beispiel ich hätte Bock Poker zu
spielen im Casino und ich habe
eigentlich kein Bock Geld zu verlieren
das sind zwei Ereignisse die
erstrebenswert sind aber sich im Weg
stehen da gibt es so ein paar
Moderatoren die dann entscheiden ob sich
für das eine oder das andere entschieden
wird grundsätzlich braucht man immer
Wahlfreiheit ja also ich habe die Wahl
das eine oder das andere zu tun es gibt
keine begrenzenden Faktoren die mich
daran hindern ja dann ist die Frage gibt
es negative Konsequenzen wenn ich das
eine oder das andere tue klar wenn ich
Poker Poker spiele kann ich Geld
verlieren wenn ich kein Poker Spiele
kann es sein dass mein Abend nicht so
toll wird wer weiß das schon und dann
ist das wichtige die internale
Rechtfertigung ja also kann ich es für
mich mit mir vereinbaren dass ich ein
bisschen Geld verliere aber Spaß habe
oder verzichte ich lieber auf den Spaß
und sag na ja dafür habe ich mein Geld
noch und kann das für was anderes
ausgeben und das führt dann dazu dass
entweder die eine oder die andere Option
gewählt wird und das wird sich dann
immer schön geredet hinterher so löst
man eine kognitive Dissonanz ein Social
engineer wenn es nur ein Ereignis gibt
und wir wollen das aber nicht dann
erzeugen wir ein neues Ereignis nämlich
B wir verändern die Rahmenbedingungen so
dass A
verliert oder wir beeinflussen die
Person in anderer Form das a verliert
dass sie a nicht mehr so toll findet
Einstellungen verändern geht alles
Beispiel so einmal kurz klatschen wer
dieses Gebäude
kennt
einmal wer es nicht kennt das ist der
cyberbunker ja das war ein Bunker in dem
sich ein paar Nerds eingeschlossen haben
und Hosting für alle möglichen Webseiten
betrieben haben ohne wirklich drauf zu
achten was das für Webseiten waren
natürlich sind so freie Geschichten dem
law enforcement ein Dorn im Auge und
deswegen wollten die das
Ausheben die Aushebung war nur durch
Social Engineering möglich weil wenn
alle Leute diesen Bunker waren bist du
da nicht reingekommen der war
zu was haben sie gesagt die hatten da
einen Informanten drin und der Informant
hat dann gesagt okay wir können es mal
probieren ich werde jetzt den Leuten
sagen dass ich irgendwie aus dem Projekt
austreten muss und ich würde einfach
wirklich gerne mit diesen Leuten die da
noch sind so eine Art Abschiedsfeier
machen dass wir was essen dass wir was
trinken dass wir alle mal miteinander da
ein bisschen Spaß haben bevor ich eben
weg bin
das Problem ist die hatten eine Regel
mindestens einer muss im Bunker bleiben
und diesen Bunker bewachen was hat der
Mensch gemacht genau das rahbedingungen
verändert ja komm einmal ist keinmal so
jung komm man nicht mehr zusammen ja ich
hätte wirklich gerne noch Bock mit euch
dazu trinken zu gehen irgendwie hat das
funktioniert die Leute sind essen und
trinken gegangen Ergebnis das
Sicherheitslevel von dem Bunker war
literally das ja ein
Vorhängeschloss was haben die Kollegen
vom law enforcement sich gedacht ja ne
easy kognitive Dissonanz powerful
stuff es gibt noch ein Modell und das
finde ich an sich schön das ist ein
bisschen komplex aber es erklärt
eigentlich jedes Social Engineering
super schön oder beschreibt es
zumindest das ganze heißt elaboration
likelihood Modell das sieht jetzt
Komplex aus aber das ist eigentlich
super einfach wir haben einmal eine
Quelle ja da kommt irgendwie eine
Nachricht
raus die Nachricht ist eine persasive
Nachricht also die soll irgendwien
überzeugen die kommt zur Empfänger
und dann kommt es drauf an hat
diefängerperson die Motivation das zu
tun was die Nachricht von dir verlangt
und überhaupt die Fähigkeit das zu tun
und Fähigkeit heißt es nicht im Sinn von
Skill sondern mehr Gelegenheit kann ich
das gerade eben tun gibt es äußere
Umstände die mich dar daran hindern ja
wenn Sie beides hat dann wird so eine
Message immer zentral verarbeitet das
heißt es wird pro und kontra abgewägt es
wird überlegt ist das die richtige
Entscheidung ist ist die falsche
Entscheidung und das führt dann
letztendlich zu einer Entscheidung z.B
Autokauf sehr komplexe Sache ich schau
mir die Texte jetzt an was welches Auto
ist besser will ich Elektro will ich
Diesel will ich was auch immer ja wenn
man das nicht hat diese Motivation und
Fähigkeit dann wirken periphäre Reize
und das ist die periphäre Route nennt
sich das ja das heißt Gefühle sind
wichtig Ausdruck ist wichtig
irgendwelche visualisierten Sachen sind
wichtig Emotionen sind wichtig und die
führen ja letztendlich zuur Entscheidung
die beste Beispiel dafürs parfüwerbung
niemand hört in der parfüwerbung oh
unser Parfüm enthält irgendwie diese
Zutat und diese Zutat es riecht nach
moschos nee du hörst tolle Musik du
siehst schöne Menschen du siehst tolle
Farben und dann irgendwie leom oder
irgendwie sowas und dann war's das das
ist periphäre Route es gibt keine
Argumente für
[Applaus]
Parfüm was macht jetzt ein engier wir
wollen auf keinen Fall diese zentrale
Route die Leute die machen sich dann
Gedanken deshalb blöd ja die sollen
nicht überlegen ob wir ehrlich sind die
sollen nicht überlegen ob ich recht habe
die sollen das machen was ich will das
heißt wir verändern wieder die
Rahmenbedingungen und gucken dass wir
auf diese periphereroute gehen und dann
geben wir ihn einen peripheren Reiz der
passt und hoffentlich wirkt das dann was
meine ich mit Rahmenbedingung ich habe
das jetzt schon paar mal gesagt drei
Sachen druckwahrnehmung Fokus das sind
Rahmenbedingungen ja Druck wird super
gerne erzeugt weil Druck verändert die
Wahrnehmung es gibt emotionalen Druck es
gibt Zeitdruck zeitduck FT auf zu
emotionalen Druck das verändert die
Wahrnehmung wir wir fokussieren die
Leute auf das was wir Sie auf das was
wir sie fokussieren wollen Magier machen
das auch oft ja die wedeln rechts mit
irgendwas in der Hand und in im linken
Ärmel haben sie das was sie dann später
irgendwie den Hut platzieren oder so das
ist genau dasselbe und Fokus auch wenn
wir die Leute auf spezifische Sachen
fokussieren die gar nicht so wichtig
sind können wir das wichtige irgendwie
links vorbeigleiten lassen das ist genau
das was social engineers machen
zumindest die
guten und das ist genau das was ich mit
Rahmenbedingungen noch meine und das
wird von allen Social Engers gemacht
blackhe greads das ist genau das worum
es
geht wenn wir das jetzt alles Wissen ist
es schön und gut weil diese Modelle
erklären oder sie beschreiben sie sagen
nicht wie das geht und das machen wir
jetzt es gibt drei Sachen die wichtig
sind B Prinzipien und Techniken und die
handeln wir erstmal ab aber zuerst mal
ganz genau was den überhaupt an Social
Engineering hat ein paar targets und die
hat haben alle hier garantiert ja
Wünsche Einstellungen Gewohnheiten
Bedürfnisse Wahrnehmung Emotionen und
noch viel viel mehr und das sind alles
targets die ich als Social enggenur
angreifen kann und für mich nutzen
kann bei wem wirkt also Social
Engineering bei allen sozialen Lebewesen
und ich habe das jetzt tatsächlich nicht
auf Menschen
beschränkt es gibt Sachen die sind
verschieden verteilt in der bei uns in
der Menschheit ja es gibt bestimmte
Eigenschaften die sind so mal wie die
grüne Kurve verteilt es gibt
Eigenschaften die sind wie die blaue
verteilt ein bisschen welche wie die
rote ja das ist egal und deswegen sind
die Effekte von Social Engineering auch
nie gleich ja man muss sich immer
überlegen wen hat man da vor sich und
deswegen ist Social Engineering auch ein
Glücksspiel Leute die gut mit Risiko und
Wahrscheinlichkeit umgehen können sind
tendenziell besser darin weil sie sich
ungefähr denken können wo es
hingeht aber kommen wir zu dem ersten
Ding was wirklich hilft ja das sind
kognitive Verzerrungen auf Englisch
heißt es verwende das
gleich das sind generelle Tendenzen oder
Denkmuster die Menschen einfach haben
woher die kommen weiß man nicht so genau
das ist schwer auch zu erforschen aber
die beeinflussen Erleben und Verhalten
das ist das worum es in der Psychologie
mal geht die Psychologen werden sich
jetzt denken ja geil ne
und dieses Erleben und Verhalten werden
in eine bestimmte Richtung verzerrt und
deswegen nennt man das kognitive
Verzerrung ich erkläre das gleich noch
was das ist es gibt ein paar von denen
ja so könnt ihr euch mal genau chauen
wenn ihr wollt von designx Code
zusammengestellt die sind empirisch
erforscht ich gebe euch mal ein paar
Beispiele das bekann die bekannteste
kognitive verzähung oder der bias den
kennt ihr garantiert alle ist der
confirmation bias ja man sucht gezielt
Informationen die die eigene Meinung die
man schon hat bestätigt oder man wählt
lieber Information aus die genau das tut
ja klassischer klassischer bias
klassische kognitive
Verzerrung was ich cool finde ist der
IKEA
Effekt das heißt so weil er nämlich
beschreibt dass Leute die etwas gemacht
haben oder die eine Sache selbst gebaut
haben diese Sache mehr
wertschätzen dieser
Effekt wird gerne von phonescamn
ausgenutzt die rufen gerne aus Indien an
und sagen hey du hast ein Problem an
deinem Computer die lassen dich dann 50
mal durchklicken und irgendwann kommt so
eine Standard Windows geht nicht
mehr weil ist halt nicht irgendwie und
unser Betriebssystem ist scheiße
Nachricht
und
und dann hat der User das ja selber
gemacht und denkt sich ja okay da muss
jetzt was falschein dann sagt der V ja
siehst du mal ne lad die mal hier unser
Patch runter und installierere das auf
deinem
Gerät framing Effekt super
wichtig angenommen wir sind eine Firma
wir wollen das blaue phon verkaufen das
blaue phon kostet 250 € so wollen wir
das verkaufen jetzt stellen wir aber
blöderweise noch dieses schwarze Phone
her und das schwarze Phone und das blaue
Phone die unterscheiden sich zwar aber
eigentlich wollen wir das Blau Phone
verkaufen weil da verdien wir mehr Geld
was machen wir wir setzen den
Preisunterschied so dass die Leute sagen
na ja das ist ja gar nicht mehr so viel
dann nehme ich lieber das blaue phon und
das ist genau
das geht im Kino mit Popcorn genauso ja
Leute wollen setzen die Preise so dass
die teuerste oder die teuerste Option
auch gleichzeitig dies die sich am
meisten
lohnt vollkommen normaler Effekt
funktioniert bei fast allem es gibt aber
einen Endgegner im bias
Game das ist der bias blind
spot das ist ein empirisch untersuchtes
Phänomen und das besagt dass Leute immer
glauben alle anderen Leute sind mehr
Gebi als
ich wer das schafft auszunutzen ist der
King unter social
engineers weil du dann Leute die bias
resistent sind oder glauben es zu sein
mit ihrer eigenen resisten schlagen
kannst und das ist schon mal
geil da geht es um so Sachen wie
Sympathie und so weiter und das spielt
in das nächste rein was ich mit euch
besprechen möchte und das ist auch schon
relativ bekannt eigentlich das sind die
principles of social influence die
gibt's schon seit den 80er Jahren hat
robertaldini
aufgestellt das sind ein paar Stück es
gibt Reziprozität ich gebe dir du gibst
mir ja Autorität bestes Beispiel dr best
diesen Typen gab es nie den haben die
erfunden damit da ein Zahnarzt steht und
der sagt du sollst diese Zahnbürste
kaufen ja Knappheit Mangel habe ich
vorher schon erwähnt der Schuhverkäufer
ja internale Verbindlichkeit und
externale
Konsistenz bisschen Erklärung notwendig
wahrscheinlich Verbindlichkeit heißt ich
habe schon mal ja gesagt wenn ich jetzt
nein sage stehe ich blöd da starker
Effekt kann man gut ausnutzen und
Konsistenz geht nach außen
Konsistenz heißt im Endeffekt ich möchte
nach außen wie ein sehr stabiler Mensch
wirken in meinem Verhalten ja also ich
möchte nicht irgendwie ab weil ich noch
mal das eine mal das andere tun sondern
ich bleibe konsistent in meinem
Verhalten sozialer Beweise ist super
easy kennt ihr alle aus der Werbung
95%% der Kunden schwören auf dieses
Produkt dreiviertel der Leute würden das
Kaufen Katzen würden bis K kaufen keine
Ahnung warum
aber das ist sozialer Beweis ja und
Sympathie ist das einfachste auf der
Welt ich mag dich deswegen hätte ich
gern dass du mir was sagst und ich das
dann mache relativ simpel es gibt sch
Anwendung dafür es gibt Technik die heiß
lowing das ist ich meine
Verkaufstaktik die nutzt Verbindlichkeit
und konsistenzstreben aus das haben wir
gerade schon besprochen und im Endeffekt
kann man das runterbrechen auf wir
verkaufen ein Bild und dann berechnen
wir jeden Pinselstrich
einzeln wurde auch schon mal
wissenschaftlich beschrieben voninio B
millerinio Kauf tauchen öfters auf les
mal der paperind cool Beispiel für
lowing wir haben Verkäufer wir haben Bob
fer sagt zu Bob hier guck mal dieser
leistungsstarke fruchtcomputer kostet
nur 1000
€ dann sagt Bob geil nehme ich eine
Stunde später sagt der Verkäufer ja gut
32 GG 500 gab Festplatte etc machen
inklusive Adapter 1900 € und dann sagt
Bob hab doch schon ja gesagt
gib das ist
lowbing jetzt K wir so ein bisschen die
Techniken und auch die Wissenschaft
dahinter kurze Zusammenfassung socialing
wirkt im Kopf alles Innere ist
angreifbar weil wir Menschen sind und
das geht auch nicht weg und selbst wenn
du glaubst dass es weggeht oder dass du
es weg hast unterliegst du ein bers D
werde ihr jetzt vielleicht sagen ja aber
Katana was ist denn mit dem tollen
Wissen über Unbewusstes Verhalten das
mir der Freundliche FBI Typ beigebracht
hat
okay reden wir über nonverbales
Verhalten
prinzipiell fange ich mit dem Beispiel
an es gibt das hier das ist powerping
das war ein super Hit in der
psychologischen Literatur das ist wenn
man sich so hinstellt irgendwie so oder
so ja und das für eine gewisse Zeit
macht dann soll das mehr
Selbstsicherheit und messbare positive
Änderungen Verhalten und Physiologie
geben cool ne haben sich die Leute
gedacht das wäre ja super wenn das
funktioniert das Ding hat einen
katastrophalens wissenschaftlichen
Absturz erlebt das konnte nicht
repliziert werden oder zumindest nur
sehr schlecht oft gab es keine
Kontrollgruppen oder schlechte
kontrollkonditionen ja eine Metaanalyse
hat nullffekte ergeben und letztendlich
haben sie dann zurückgerud gesagt ja
okay okay keine physiologischen oder
Verhaltensmerkmale aber dafür bestimmt
kognitive ja und Social eng wirkt ja im
Kopf und deswegen muss es gut
sein das haben sich die Praktiker im
Social Engineering natürlich angeguckt
und gesagt let's do this ja super
wichtig da gibt es halt so ein paar
Grundprobleme ja die Leute sagen D ja
man kann doch Emotionen auch im Gesicht
ablesen warum denn nicht ist dann das
nonverbale nicht wichtig oder was ja
klar kann man ja das gibt es das hat
paulman rausgefunden man kann Emotion an
Gesichtsausdrücken ablesen das ist
einigermaßen unbestritten sieht man hier
ne wenn man sich das mal so durchliest
wir haben hier oben Zorn
Ekel Freude Angst Trauer Überraschung
das ist relativ
einleuchtend blöd halt nur dass der
Körper Dinge entwickelt hat die ja viel
eindeutiger sind ne wir haben wütenden
Tonfall wir haben ekellaute wir haben
irgendwie lachen wir haben gluxsen wir
haben Schreie wir haben Körperhaltung
bei Angst wir haben Wein wir haben einen
sehr traurigen
Tonfall und wir haben Laute des
Erstaunens das ist alles viel
eindeutiger natürlich die frageman hat
das gesagt gesehen gesagt hey warum
können wir das nicht auch für Lügen
machen gibt's nicht einfach Sachen wo
man Leuten ansehen kann dass sie lügen
ja so Sachen die die machen unbewusst
h ich gedacht ja let du das ne Klassiker
Problem ist da gab es sehr sehr viele
Probleme mit diesen Studien
methodologisch teilweise schlecht
gemacht teilweise schwer replizierbar
alterstechnisch ohne Diversität
teilweise tautologische Designs was
Totschlagargument ist eigentlich aber es
ist trotzdem wichtig und dieses facial
Action coding System was daraus
entwickelt wurde ist immer noch sehr
hochumstritten das alles ist so ein
bisschen research die Grundidee ist es
gäbe nonverbale Kommunikation die
deception kennzeichnet und die Praktiker
haben das natürlich aufgeschnappt gesagt
hey das ist wichtig für Social
Engineering ja und deswegen ist es auch
irgendwie immer noch Teil dieses Mythos
das nonverbale Kommunikation in das
Toolkit jedes social engineers gehört
weil social engineers ja beruflich
deception machen die Qualität dieses
research ist leider mehr so eine se
Miami Folge mit
Laborkittel ich lasse jetzt hier a die
Studien Weg ihr könnt mich hinterher
Fragen nur gerne werden Wissenschaftler
verklagt wenn sie andere Wissenschaftler
kritisieren Highlights sind falsche
sitituationen schlechte statistische
Power teilweise werden nicht empirische
Quellen zitiert und so weiter und so
fort und wahrscheinlich ist die
Fehlerrate auch noch super hoch ne und
die Effekte sind sehr klein was auch
noch mal das größte Problem ist
hier haben wir jetzt eine postfaktische
weil das alle machen oder warum
ne das Problem ist Praktiker verlassen
sich auf Wissenschaftler die müssen ja
wissen was sie tun wenn die aber nicht
so genau wissen was die
tun und vielleicht irgendwas
rausbekommen was nicht so sicher ist ist
das schwierig dann haben die Probleme
das
einzuschätzen ich möchte da mal ein
bisschen den psychologischen Hintergrund
erklären davon ja gibt ein paar
Grundsätze da habe ich jetzt keine
Quellen dabei aber das müsste mir halt
einfach
glauben das erste ist Unbewusstes und
bewusstes haben oft nichts miteinander
zu tun wenn ihr ein klassischen
Amerikaner auf der Straße fragt wie
geht's dir sagt er am D fein innerlich
will er sich erschießen aber er sagt das
trotzdem das ist eine habitualisierte
Lüge das ist nicht dasselbe wie wirand
sagt ich habe diese Bank nicht ausgubt
ne neö das ist nicht dasselbe man kann
von unbewussten nie auf bewusstes
schließen und umgekehrt auch von
Handlungen nicht auf Unbewusstes oder
bewusstes schließen
zweitens unbewusst es wird oft bewusst
korrigiert ja wenn Freund euch fragt
kann mir umzukelfen den boter überhaupt
keinen Bock für sowas ne und dann sagst
du ja okay gut ich helf dir schon kein
Problem ja und denkst dir für Freunde
passt schon können wir machen das
übrigens kognitive
Dissonanz wurde gelöst es gibt ein paar
Nebensätze menschliches Verhalten
entspricht oft Normen oder Gesetzen und
die sind nicht immer sinnvoll das nennt
man maladaptiv in der Psychologie
Menschen sind routineanfällig Routinen
sind auch nicht unbedingt rational
begründet es gibt viele Leute die machen
irgendwas vom schlafenehen was damit gar
nichts zu tun hat aber Sie fühlen sich
besser
danach kulturelle Umgebung bestimmt oft
Normen und Gesetzen in Japan ist Social
Engineering anders als bei
uns gibt die Netflix Serie scam wenn
euch das interessiert und menschliches
Verhalten ist zum größten Teil gelernt
und das heißt es kann auch verlernt
werden und das alles schießt so ein
bisschen bei dieser nonverbalen
Kommunikation quer
Beispiel wir haben hier Alice und wir
haben hier Bob Alice möchte Bob über
Verhalten sagen dass sie ihn mag und
Alice ist vielleicht ein bisschen
schüchtern deswegen will sie das nicht
so diecht ansprechen deswegen nenn sie
sich geben irgendwi so ein Zeichen jetzt
hat Alice bestimmte Sachen Normen
Empathie Stereotype Ausdruck
ausdrucksvorstellungen Verständnis über
nonverbale Kommunikation oder Wissen und
all das durch diesen Filter ja läuft das
was is Bob sagen will und wenn das bei
Bob ankommt ist da auch so ein Filter
und das sind nämlich bobsnmen Bobs
Empathie Bob Stereotype Bobs Ausdruck
Bobs Verständnis über nonverbale
Kommunikation und Bobs wissen und ganz
ehrlich er wir's wahrscheinlich eh nicht
raffen es ist nie garantiert dass das
was du meinst auch in der Art und Weise
ankommt wenn du das nonverbal
machst jetzt die Frage ist das sinnvoll
untersuchbar meiner Meinung nach nö
und selbst wenn ich unrecht habe und die
Möglichkeit besteht bezweifle ich die
Ethik dessen und wenn wir die
Metaanalysen anschauen es scheint
wirklich irrelevant zu sein die Effekte
sind super super klein seid also
vorsichtig bei diesem ganzen nonverbalen
crap Maßnahmen das ist der wichtige Teil
was hilft was nicht Disclaimer ich
beziehe mich jetzt hier hauptsächlich
auf fishing weil die Wissenschaft sich
so ganz stark auf fishing fokussiert und
weil fishing das größte Problem im
Social Engineering ist was wir gerade
haben zumindest scale
was nicht so gut ist Punkt 1 fishing
Simulation kennt ihr alle ist aber mehr
so ein Spiel für CEOs dass die Zahl
runtergeht da gibt's ein paar paper dazu
hat sehr viel negativ Effekte
Vertrauensverlust Unternehmen seitens
der Mitarbeiter
selbstwirksamkeitsprobleme bei Mitarbeit
was IT security angeht und bestimmte
hiddencost die am Anfang nie quasi
gesehen werden zeitdruckbadarbeit ist
ganz schlecht für fishing recognition
das wissen wir auch schlechte
arbeitspsychologische Unternehmenskultur
wir sind hier in Deutschland das sind so
60% der Unternehmen oder nicht
mehr auch nicht gut für IT security
sensitizing Bildung allein hilft auch
nicht wirklich weiter und natürlich ein
schlechter gelernter Umgang mit E-Mails
ne E-Mails sind was was ich so nebenbei
mache was ich einmal beantworte und
rechts irgendwie habe ich noch keine
Ahnung was
offen hilft auch nicht und der übliche
müsst achten Sie auf falsche
Rechtsschreibung oder Gramma
da sind die Social engineers auch ein
bisschen klüger geworden in letzter
Zeit was hilft jetzt für alle egal ob
ihr wo er herkommt und was ihr tut die
Basis ist Bildung ja informiert euch
über fishing bleibt auf dem Laufenden es
gibt das fishingradar der
Verbraucherzentrale auf Mastodon z.B das
könnt ihr euch angucken da werden immer
aktuelle fishing E-Mails so ein bisschen
gezeigt und was da gerade so im Umlauf
ist wenn ihr euch einloggen müsst
irgendwo nehmt hochentropische
Passwörter und am besten noch Passwort
Manager die euch solche erstellen können
weil ihr selber könnt das nicht wenn
möglich steigt auf Pass Keys um dies
sind fishing resistant zumindest wenn
sie fo 2 verwenden
überprüft links in E-Mails wenn ihr sie
habt und nicht nur wenn ihr die E-Mail
habt sondern auch wenn ihr irgendwo
landet ja wenn ihr euch anmelden müsst
geht über Google oder irgendwelche
anderen Suchmaschinen die benutzt geht
extern rüber logt euch dann bei der
richtigen Seite ein und nimmt euch Zeit
für E-Mails wenn ihr sie
bearbeitet für
Organisationen gibt's ein paar andere
Sachen mestst wissen und
Selbstwirksamkeitserwartung hinsichtlich
IT security bei euren Mitarbeitern
gleichzeitig guckt was rauskommt und
macht dann Einzeltraining mit den
Mitarbeitern Gruppentraining haben
schlechte sozialpsychologische Effekte
auf Leute ja das wissen wir etabliert
Sicherheit als Teil der
Organisationskultur und macht euch eine
gute Organisationskultur wenn ihr noch
keine habt wenn ihr eine hohe
kündigungsrate habt habt ihr keine gute
Organisationskultur
und bitte gebt der IT security
Geld wie man so eine Organisationskultur
entwickelt auch mit Security das steht
hier in dieser dieser Grafik ja das ist
aus HCH
all da könnt ihr das
nachlesen das war's von mir ich habe
fertig hier findet mir mich auf mon wenn
ihr fragen habt
[Applaus]
ger wow das war ein Sprint ein Sprint
durch die Social Engineering Geschichte
und was es so alles mit sich bringt
Wahnsinn vielen Dank
okay hab ihr fragen wenn ihr Fragen habt
meldet euch oder geht zu den Mikros hier
im Saal und dann
wird wird euch geholfen werden hallo an
der eins magst du deine Frage stellen
hallo danke für den Vortrag ich habe
noch eine Frage du bist viel auf die
negativen Intention quasi eingegangen es
gibt ja auch positive Möglichkeiten das
zu nutzen z.B für positive Ernährung wo
man quasi die mechanism im Supermarkt
umdreht und eher Obst zugänglich macht
und so weiter hast du dazu auch
geforscht oder gibt's dazu auch Studien
ja gibt es die sind aber mehr so in
Richtung marketingpsychologie dann
verortet die bezeichnet das nicht
unbedingt als Social Engineering das
sind zwar framing Sachen z.B die sind
ganz wichtig aber die findet man eher in
der marketingpsychologie das ist jetzt
persönlich nicht so mein
Spezialgebiet aber gibt es auf jeden
Fall nur man muss ein bisschen anders
suchen
danke dir an der zwei haben wir noch
eine Frage bittte schön hallo vielen
Dank für deinen Talk erstmal mir ging
das vorhin zu schnell bei diesen fishing
Simulation was meintest du war noch mal
das Problem bei den
kommt drauf an worauf man genau schaut
prinzipiell gibt's Evidenz dass die
auf die Mitarbeitenden keine gute
Effekte haben das kann sein dass die
Vertrauensverlust ins Unternehmen
bekommen dadurch dass sie sich dann
irgendwie so ein bisschen betrogen
fühlen durch diese fishing Geschichten
ähm man das Ergebnis von diesen Dingern
ist auch immer so ein bisschen
zweifelhaft weil am Ende komm bekommst
du immer nur eine Prozentzahl raus wie
viele Leute gefischt wurden das ist
nicht wirklich hilfreich und du weißt
dann auch nicht wen du dann hinterher
noch Schulen musst ja und wenn du sagst
okay wir messen halt einfach wie die wie
gut die Leute sind durch Faktenwissen
z.B oder auch mit Selbstwirksamkeit dann
gibt's da viel bessere Wege wie man die
Leute stärker machen kann in terms of
cybecurity und das ist ja eigentlich das
Ziel okay vielen dank danke
dir haben wir noch Fragen signalengel
haben wir da vielleicht was ja ich nehme
kurz den signaläel dran dann komme ich
zu dir wir haben unter anderem die Frage
aus dem Internet welche Rolle werden
künstliche Intelligenz in der Zukunft
des Social Engineerings spielen können
also wie wie kann man sich dagegen whren
vielleicht was gibt's da an Mittel
Methoden was die Rolle angeht ich habe
da schon mal deepfakes erwähnt ne das
wird zunehmen glaube ich wenn auch sehr
langsam das muss sich erstmal in so
heimischen
rechensystemen machen lassen ohne
wirklich großen technischen
Aufwand zur Abwehr von Social
Engineering sind KI prinzipiell nicht so
gut geeignet einfach weil das ein
statistisches Problem ist es kommen
immer noch viel zu viele E-Mails durch
kann man machen aber und wird ja auch
schon gemacht so ein bisschen zumindest
von den großen Providern das hilft immer
noch nicht so ganz so gut wie natürlich
die Lage in der Zukunft genau ist das
kann ich nicht vus
sagen Danke dir dann haben wir noch an
der 3 eine
Frage
Hallo weißt du was die replikationskrise
so zu elaboration likelyhood sagt
m schwer zu sagen kommt immer so ein
bisschen drauf an was du genau testet
testest ich habe mich jetzt noch nicht
wirklich mit Studien beschäftigt die
genau sich spezifische Vorhersagen aus
Elm angeguckt haben
das theoretische
Modell ist immer schwer auch gerade was
so Replikationen
angeht man repliziert ja auch meistens
immer nur einzelne paper diese paper
ziehen irgendwelche Hypothesen aus einer
Theorie was das genau für die Theorie
aussagt ist müsste ich mir wirklich noch
mal genauer anschauen wenn du da gerne
was hast komm nachher noch mal auf mich
zurück ich würde da gerne drüber
sprechen so dann die eins bitte die
nächste Frage also ich glaub die vier
war vor mir dann nehmen die vier gerne
du hattest erwähnt dass die Scammer
besser geworden sind in rechtschrei und
Grammatik ich hatte jetzt das Gegenteil
einmal gehört nämlich dass sie bewusst
schlecht schreiben
um kritische Menschen im Voraus
auszufiltern und sich da einfacher zu
haben gibt es dafür Nachweise oder ist
es ja ein Mythos ich weiß nicht ob das
stimmt oder nicht ich habe jetzt bisher
ist ist vermutlich eine Theorie oder
müsste man sich in den Daten angucken
natürlich weiß man auch nie was die
Leute sich denken wenn sie fishing
E-Mails verschicken ne also es kann
schon sein ich weiß es nicht wäre doch
mal eine schicke Umfrage machst du deine
Rechtschreibfehler absichtlich oder ist
das eher ein
kunsttreff so jetzt die eins magst du ja
dieser negative Effekt von
Gruppentrainings dazu wird mich mehr
interessieren also Hintergrund ich bin
selber Trainerin mehr so im sportlich
künstlerischen Bereich aber ich gebe
auch super gerne Workshop für irgendwas
was ich weiß deswegen kannst du mehr
sagen in wann genau Gruppentrainings
nicht sinnvoll sind ähm das kommt so ein
bisschen drauf an wie groß die Gruppe
ist und worum es geht klar wenn du jetzt
im sportlichen Bereich bist ist es ja
noch mal was anderes weil da muss ja
jeder trotzdem individuell irgendwas tun
wenn wir jetzt so Sachen haben wo WIS
wie Wissensvermittlung dann wenn es eine
zu große Gruppe ist kann es gut sein
dass allein durch die Größe der Gruppe
sich viele Leute nicht trauen
individuell nachzufragen und dann nichts
verstehen ja
das gibt es genauso auch in
Besprechungen und selbst wenn Leute dann
was Teilen gibt es den sogenannten
Effekt des gemeinsamen Wissens da wird
dann meistens immer nur das gesagt was
alle anderen auch schon irgendwie sagen
gerade wenn es um Feedback geht das ist
nicht so hilfreich und wenn wir wirklich
das Ziel haben dass wir Individuen
Stärken in ihrer cybersurity competen
oder fishing kometenz bei der Erkennung
dann sind Einzeltrainings eigentlich the
way to
go fishing Kompetenz geil so an der dre
sind noch Fragen bittte
schön ja es wurde als Beispiel genannt
auch Politiker für Leute die Social
ingeniering betreiben hast du da also es
kam jetzt keine speziellen Beispiele im
Vortrag vor war das bewusste
Zurückhaltung wenn nein hast du
bestimmte besonders instruktive
Beispiele oder Namen wo man da noch mal
hinter gucken kann als erste Frage und
schau dir eine Bundestagsdebatte an das
ist jetzt so die die die grundsache ne
also Social Engineering geht ganz viel
überzeugungstechnik ja und diese ganzen
Modelle die ich gesagt habe sind ja im
Endeffekt Modelle die zur Überzeugung
dienen sollen und natürlich benutzen
Politiker Social Engineering dafür ja
irgendwelche rhetorical devices also
irgendwelche Aussprüche irgendwelche
Redewendungen sie strukturieren ihre
Reden so dass ihre argum Argumente
möglichst sinnvoll klingen auch wenn Sie
das manchmal gar nicht sind ja das ist
alles Social
Engineering nichts
Neues ja dann als Anschluss vielleicht
gleich du hat erwähnt dieses erste
System wo man dann eher kritisch drüber
nach denkt
äh genau was sind gute Möglichkeiten
Leute da in diese Schiene
reinzubringen Zeit ein Faktor und zwar
der der größere ja die Leute brauchen
Zeit für das Problem gerade wenn es
komplexe Probleme sind muss man den
Leuten Zeit geben um sie sich damit sie
sich damit befassen können und natürlich
dürfen die Probleme nicht ihren
horizontter übersteigen also wenn du
jetzt jemanden was von irgendwie harter
melware reverse engineering zählst und
das ist jemand der das nicht macht in
seinem Beruf dann wird diese Person das
natürlich nicht
können und dann fruchtet das auch nicht
das heißt man muss ungefähr abschätzen
kann die Person sich da sinnvoll
Gedanken dazu machen weil sie das nötige
Wissen hat und hat sie genügend Zeit
dafür hat sie genügend Raum fühlt sie
sich sicher das zu überlegen fühlt sie
sich un unter Druck gesetzt wenn nicht
ist das super apropos
Zeit es wird langsam etwas knapp ich
sehe jetzt noch zwei Fragen die würde
ich noch machen die eins bitte also ich
habe verstanden dass es Situation für
Social Ingenieuren gibt denen wir
ausgeliefert sind und welche zu denen
wir gerne und freiwillig laufen wie für
mich C3
z.B und es ich bin z.B in der ersten
Hälfte meines Lebens in einer großen
Maschine von Social ingenieuring und
ideologischer Indoktrinierung
aufgewachsen über das Schulsystem aber
auch die Sicherheitsapparate in Syrien
den man nichts also auch das ist aber
sehr offensichtliche Form von Social
Engineering so im Verhör wird gesagt
alle anderen Gefangenen haben genau
gesagt was du D sagst und die haben
deren Arsch gerettet also dann geben sie
dir 15 Minuten Zeit und dann kommst du
wieder rein und so weiter Schulsystem
ist für mich genau das
gleiche dann bin ich in Syrien auf in
Deutschland aufgewachsen und habe sowas
ähnliches gesehen also ich meine
natürlich ist das Bildungssystem bei uns
in Deutschland nicht so offensichtlich
dreist dabei dir zu sagen ich spiele
gerade mit dem Kopf und zwar so dumm
weil ich denke dass du dumm bist und ich
finde in Deutschland ist es halt nicht
viel anders und möchte gerne wissen ob
du Schulen und Universitäten bei uns
auch nicht als eine
kritische Apparate für Social
ingenierung
betrachtest das ist eine sehr komplexe
Frage ich ich glaube das kriege ich
jetzt in der Zeit nicht hin wir können
da gerne noch mal danach drüber
reden kurz gesagt tldr nein
glaube ich aber das hat verschiedene
Gründe die ich jetzt hier lutern müsste
Gesellschaft zusammenleben ist halt auch
im eine Art von Engineering oder genau
okay die letzte Frage die Nummer vi
vorher noch ganz kurz die Ansage wenn
ihr rausgeht nimmt ihr bitte euren Müll
mite und nicht rauchen no smoking in
theilding okay Nummer bitte deine Frage
ich woll Fragen icheter gesehen auf
shampoaschen oder so früher stand nach
der neuen tollen Formel heute steh
Bullshit kein Gedöns ist das Strategie
um diese ich bin nicht gebeist alle
anderen sind gebeist auszuhebeln oder
ist das vielleicht was anderes es ist
auf jeden Fall ein Werbeslogan ob die
Leute sich so viel Gedanken bei
Werbeslogans machen weiß ich
nicht die machen sich noch noch viel
mehr und kommen dann am Ende da raus
super okay signalengel okay allerletzte
Frage letzte Frage die hier noch von dem
Internet kommt sehr interessante Frage
gibt es eine Reaktionsweise wie man auf
Social Engineering reagieren kann wenn
man es bemerkt bei einer
Person
geh
gehen okay das nehme ich als super
Schlusswort Katana war mir ein großes
Fest vielen lieben Dank vielen lieben
Dank euch fürs
[Applaus]
zuhören
[Musik]