DEF CON 34: Elizabeth Rasnick zieht eine Linie von Sherlock Holmes zur modernen Social-Engineering-Taktik

Rasnick beschrieb Social Engineering als ein Set wiederkehrender Muster, das von Bedrohungsakteuren bis heute nach denselben Grundprinzipien genutzt werde. Dazu gehörten das Ausnutzen von Vertrauen, das Erzeugen von Dringlichkeit, das Spiel mit menschlicher Neugier und der Einsatz von Ablenkung. Genau diese Elemente fand sie auch in den Holmes-Erzählungen wieder: das Ziel kennen, glaubwürdig auftreten, einen Handlungsanlass schaffen, Emotionen ausnutzen, Verhalten beobachten und die eigene Taktik anpassen.

In der Phase „Ziel kennen“ greifen Angreifer laut Rasnick auf Open-Source-Informationen zurück, etwa auf soziale Netzwerke, um Details über Arbeitsplatz oder Umfeld einer Person zu sammeln. Wie erfolgreich eine Social-Engineering-Kampagne wird, hänge wesentlich von diesen Vorabinformationen ab. Sind die Informationen erst einmal zusammengetragen, konstruieren Angreifer einen plausiblen Anlass zum Handeln. Dabei setzen sie gezielt auf Emotionen, indem sie Menschen traurig oder ängstlich machen oder ihnen eine verlockende Chance in Aussicht stellen.

„Wir wissen, wie Menschen reagieren werden, und wir planen diese Reaktion ein“, sagte Rasnick. Gerade diese Vorhersagbarkeit sei der Kern des Problems. Deshalb bezeichnete sie Vertrauen als die „eigentliche Angriffsfläche“. Die Technik habe sich zwar stark weiterentwickelt, die psychologischen Hebel dahinter jedoch kaum.

Als Beispiel für moderne Täuschung nannte Rasnick realistische Deepfake-Videos, mit denen Ziele manipuliert werden sollen. Den Vergleich zu Holmes zog sie über dessen Verkleidungen und drastische Methoden zur Informationsbeschaffung. In den Detektivgeschichten gehe die Imitation so weit, dass Holmes sich unter falscher Identität sogar mit einem Hausmädchen verlobt habe, um an Informationen zu gelangen.

Auch konkrete Betrugsmuster verglich Rasnick mit literarischen Vorlagen. So stellte sie „Sherlock Holmes: Der Bund der Rothaarigen“ — eine Geschichte, in der sich eine Organisation als echt ausgibt — heutigen Betrugsmaschen mit gefälschten Stellenanzeigen gegenüber. Dabei locken Angreifer Bewerber zunächst an, um ihnen anschließend Phishing-Links zu schicken.

Ein weiterer Teil des Vortrags drehte sich um die Abgrenzung zwischen offensiver Sicherheitsarbeit und Kriminalität. Rasnick verglich Holmes und dessen fiktiven Gegenspieler James Moriarty mit heutigen defensiven und offensiven Sicherheitsprofis. In einem Quiz mit dem Titel „Ist es Sherlock oder ist es Moriarty?“ lagen laut Rasnick zunächst alle falsch: Viele der beschriebenen Schritte von Aufklärung bis Manipulation seien von Holmes selbst eingesetzt worden, während Moriarty in diesem Vergleich zunächst nicht der Urheber gewesen sei.

Holmes sei im Grunde ein moderner Penetrationstester, erklärte Rasnick. Auftraggeber hätten ihn engagiert, um Rätsel zu lösen, und dafür habe er einem Sechs-Punkte-Schema folgend Aufklärung betrieben, Vertrauen aufgebaut, Ablenkung erzeugt, Dringlichkeit geschaffen, Reaktionen analysiert und seine Taktik angepasst. Der entscheidende Unterschied zu Moriarty liege nicht in den Techniken, sondern in Absicht und Legitimation. Moriarty handle kriminell und mit böswilliger Absicht; er habe sogar ein geheimes kriminelles Syndikat geführt.

Diese Trennlinie gelte auch heute, sagte Rasnick. Ethische und nicht ethische Hacker verwendeten dieselben Methoden. Wenn sie ihren Studierenden ethisches Hacken beibringe, erkläre sie den Unterschied mit Formalien: Beauftragte Sicherheitsprüfer arbeiten mit Verträgen und liefern am Ende Berichte ab. Nicht ethische Hacker müssten sich darum nicht kümmern. Auf ihre zugespitzte Frage, ob es etwas besser mache, wenn Holmes so handle, gab sie selbst die Antwort: Entscheidend seien Absicht und Legitimität.