Einleitung
Business-Netzwerke wie LinkedIn und Xing sind wertvolle Plattformen, um Karrieren zu fördern, Kontakte zu knüpfen und Unternehmen sichtbar zu machen.
Doch genau diese Transparenz macht sie auch zu einer wichtigen Quelle für Passive Reconnaissance. Mitarbeiter verraten in ihren Profilen oft mehr, als ihnen bewusst ist – und liefern damit Angreifern wertvolle Hinweise für gezielte Attacken.
Welche Informationen geben Mitarbeiter preis?
1. Rollen & Verantwortlichkeiten
- Jobtitel wie „Senior Network Administrator“ oder „Cloud Security Engineer“ zeigen, wer mit kritischen Systemen arbeitet.
- Organigramme lassen sich durch Verknüpfungen und Abteilungen rekonstruieren.
2. Technologien & Tools
- Mitarbeiter schreiben häufig, mit welchen Systemen sie arbeiten:
- „Erfahrung mit AWS, Kubernetes, Splunk“
- „Kenntnisse in SAP HANA, Active Directory, Office 365“
- Damit verraten sie Teile der internen Infrastruktur.
3. Projekte & Zertifizierungen
- Erwähnte Projekte („Migration nach Azure“, „Einführung von Zero Trust“) zeigen aktuelle Schwerpunkte.
- Zertifikate (z. B. Cisco, Microsoft, Offensive Security) geben Hinweise auf eingesetzte Technologien.
4. Karrierestationen
- Frühere Arbeitgeber oder Projektpartner lassen sich nachvollziehen – potenzielle Lieferkettenbeziehungen.
- Häufig wechselnde Rollen können auf Know-how-Lücken im Unternehmen hindeuten.
Warum diese Infos für Recon wertvoll sind
- Angreifer: nutzen Daten für Spear-Phishing und Social Engineering.
- Pentester: erkennen realistische Angriffspfade.
- Verteidiger: verstehen, welche Informationen Mitarbeiter unbewusst preisgeben.
Beispiel: Ein Admin schreibt in sein Profil „Erfahrungen mit Cisco ASA Firewalls“. Angreifer wissen nun, welche Technologie im Einsatz ist – und können gezielt nach Schwachstellen suchen.
Risiken für Unternehmen
- Technologie-Exposition: Infrastruktur und Tools werden nach außen sichtbar.
- Gezielte Angriffe: Phishing-Mails können extrem glaubwürdig gestaltet werden.
- Lieferketten-Insights: Netzwerke von Partnern und Dienstleistern werden transparent.
- Reputation: Unbedachte Aussagen von Mitarbeitern können dem Unternehmen schaden.
Schutzmaßnahmen
- Awareness-Trainings: Mitarbeiter für Risiken sensibilisieren, ohne die Nutzung von Netzwerken zu verbieten.
- Richtlinien: Klare Guidelines, welche Informationen unbedenklich sind und welche vermieden werden sollten.
- Monitoring: Regelmäßige Überprüfung öffentlicher Profile auf kritische Informationen.
- Security Culture: Sicherheit als Teil der Unternehmenskultur etablieren, damit Mitarbeiter selbst Risiken erkennen.
Schreibe einen Kommentar