Security Awareness Glossar

Access Control umfasst Regeln und Technologien, die festlegen, wer welche Systeme, Daten oder Orte nutzen darf und was dort erlaubt ist.

Adaptive Training ist Security-Awareness-Training, das Inhalte, Schwierigkeit und Zeitpunkt laufend an Verhalten, Rolle und Risiko jeder Mitarbeiterin und jedes Mitarbeiters anpasst.

Adversary-in-the-Middle-Phishing (AiTM) nutzt einen Reverse Proxy zwischen Opfer und echter Login-Seite, um Session-Tokens zu stehlen und so die Multi-Faktor-Authentifizierung zu umgehen.

Adware ist Software, die unerwünschte Werbung anzeigt oder Nutzer dorthin umleitet, oft ihr Verhalten verfolgt und manchmal weitere Malware nach sich zieht.

Ein KI-Risikomanagement-Framework ist ein strukturierter Ansatz, um die Risiken der Entwicklung und Nutzung künstlicher Intelligenz zu identifizieren, zu bewerten und zu steuern.

Ein Algorithmus ist eine festgelegte Folge schrittweiser Anweisungen, die ein Computer ausführt, um ein Problem zu lösen oder eine Eingabe in eine Ausgabe umzuwandeln.

Angler Phishing ist eine Betrugsmasche in sozialen Medien, bei der Angreifer sich als Kundenservice eines Unternehmens ausgeben, um Zugangsdaten oder Informationen zu erbeuten.

Anomaly Detection ist die Erkennung von Aktivitäten, die vom normalen Muster abweichen, um mögliche Angriffe oder kompromittierte Konten aufzudecken.

Künstliche Intelligenz (KI) bezeichnet Computersysteme, die Aufgaben wie Sprachverstehen, Mustererkennung und Entscheidungen übernehmen, für die normalerweise menschliche Intelligenz nötig ist.

Die Attack Surface ist die Gesamtheit der technischen, physischen und menschlichen Einfallstore, die ein Angreifer nutzen könnte, um Zugang zu einer Organisation zu erhalten.

Authentifizierung ist der Vorgang, die Identität eines Nutzers, Geräts oder Systems vor der Zugangsgewährung zu prüfen, anhand von Faktoren wie Passwörtern, Geräten oder Biometrie.

Baiting ist eine Social-Engineering-Technik, die Opfer mit einem attraktiven Angebot oder Gegenstand wie einem kostenlosen Download oder USB-Stick lockt, damit sie Malware installieren oder Daten preisgeben.

Ein Browser-in-the-Middle-Angriff (BitM) bringt Opfer dazu, sich über einen vom Angreifer kontrollierten entfernten Browser anzumelden, wodurch der Angreifer trotz MFA eine vollständig authentifizierte Sitzung erhält.

Ein Brute-Force-Angriff ist ein automatisierter Versuch, Zugang zu erlangen, indem systematisch viele Passwort- oder Schlüsselkombinationen ausprobiert werden, bis eine funktioniert.

Business Email Compromise (BEC) ist E-Mail-basierter Betrug, bei dem Angreifer vertrauenswürdige Konten imitieren oder übernehmen, um Mitarbeitende zu Überweisungen oder zur Herausgabe von Daten zu verleiten.

CEO Fraud ist eine Betrugsmasche, bei der sich Angreifer als Führungskraft ausgeben, um Mitarbeitende unter Druck zu dringenden Zahlungen oder zur Herausgabe sensibler Informationen zu bewegen.

ClickFix ist eine Social-Engineering-Technik, die mit gefälschten Fehlermeldungen oder CAPTCHAs Nutzer dazu bringt, einen schädlichen Befehl auf ihrem eigenen Computer einzufügen und auszuführen.

Clone Phishing ist ein Phishing-Angriff, der eine echte, bereits erhaltene E-Mail kopiert und deren Links oder Anhänge durch schädliche ersetzt.

Credential Harvesting ist der Diebstahl von Benutzernamen, Passwörtern und anderen Zugangsdaten durch Täuschung, meist über gefälschte Login-Seiten.

Cyber Hygiene umfasst grundlegende, routinemäßige Sicherheitspraktiken, die Menschen und Organisationen befolgen, um Systeme und Daten zu schützen.

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die Cybersicherheitsanforderungen für Produkte mit digitalen Elementen über ihren gesamten Lebenszyklus festlegt.

Ein Data Breach ist ein Vorfall, bei dem personenbezogene oder vertrauliche Daten unbefugt eingesehen, offengelegt, verändert oder verloren werden.

Ein Deepfake ist mit KI erstelltes oder verändertes Audio, Video oder Bild, in dem eine reale Person scheinbar etwas sagt oder tut, das sie nie gesagt oder getan hat.

Device Code Phishing missbraucht den legitimen OAuth-Geräte-Login: Angreifer bringen Opfer dazu, einen vom Angreifer erzeugten Code auf einer echten Login-Seite einzugeben, wodurch der Angreifer Zugriffstokens erhält und die MFA umgeht.

Domain Spoofing ist das Fälschen oder Imitieren einer vertrauenswürdigen Domain in E-Mails oder auf Websites, damit betrügerische Nachrichten legitim wirken.

DORA (Digital Operational Resilience Act) ist eine EU-Verordnung, die Anforderungen an IKT-Risikomanagement, Vorfallmeldung, Tests und Schulungen für Finanzunternehmen festlegt.

HTML Smuggling ist eine Technik, die schädliche Dateien oder Phishing-Seiten in HTML-Anhängen versteckt und sie erst im Browser des Opfers zusammensetzt, um E-Mail- und Netzwerksicherheit zu umgehen.

Eine Human Firewall ist eine Belegschaft, die geschult ist, Cyberangriffe auf Menschen zu erkennen, abzuwehren und zu melden, und damit eine aktive Sicherheitsebene der Organisation bildet.

Human Risk Management (HRM) ist ein datengestützter Ansatz, um das durch menschliches Verhalten entstehende Cybersicherheitsrisiko in einer Organisation zu erkennen, zu messen und zu senken.

NIS2 ist die EU-Richtlinie (EU) 2022/2555, die Pflichten zu Cybersicherheits-Risikomanagement, Schulungen und Vorfallmeldungen für wesentliche und wichtige Einrichtungen in kritischen Sektoren festlegt.

OSINT (Open Source Intelligence) sind Informationen aus öffentlich zugänglichen Quellen, die Angreifer für gezieltes Social Engineering und Verteidiger zur Bewertung ihrer Exposition nutzen.

Phishing ist ein Social-Engineering-Angriff, bei dem Kriminelle täuschende Nachrichten im Namen vertrauenswürdiger Absender verschicken, um Zugangsdaten, Geld oder Daten zu stehlen oder Malware zu installieren.

Eine Phishing-Simulation ist ein kontrollierter, harmloser Angriff, den eine Organisation an die eigenen Mitarbeitenden sendet, um sie im Erkennen und Melden echter Phishing- und Social-Engineering-Angriffe zu schulen.

Pretexting ist eine Social-Engineering-Technik, bei der ein Angreifer ein glaubwürdiges Szenario und eine falsche Identität erfindet, um ein Opfer zur Herausgabe von Informationen oder zu einer Handlung zu bewegen.

Prompt Injection ist ein Angriff, der schädliche Anweisungen in Eingaben oder Inhalten versteckt, die ein KI-Modell verarbeitet, sodass es seine eigentlichen Anweisungen ignoriert, Daten preisgibt oder unerwünschte Aktionen ausführt.

Security Awareness Training schult Mitarbeitende darin, Cyberbedrohungen gegen Menschen wie Phishing, Social Engineering und Deepfakes zu erkennen und richtig zu reagieren, mit dem Ziel einer dauerhaften Verhaltensänderung.

Security Culture umfasst die gemeinsamen Werte, Einstellungen und alltäglichen Verhaltensweisen, die bestimmen, wie Menschen in einer Organisation mit Sicherheit umgehen.

Shadow IT ist die Nutzung von Software, Cloud-Diensten, Geräten oder KI-Tools für die Arbeit ohne Freigabe durch das IT- oder Security-Team.

Smishing (SMS-Phishing) ist ein Phishing-Angriff per Textnachricht oder Messenger, der Empfänger dazu bringt, Links anzuklicken, Daten preiszugeben oder Geld zu überweisen.

Social Engineering ist die Manipulation von Menschen, damit sie vertrauliche Informationen preisgeben, Zugang gewähren oder schädliche Handlungen ausführen, indem Vertrauen, Angst, Dringlichkeit oder Hilfsbereitschaft statt technischer Schwachstellen ausgenutzt werden.

Spam Bombing flutet das Postfach eines Opfers mit Tausenden E-Mails, oft als erster Schritt eines Angriffs, bei dem Kriminelle sich anschließend als IT-Support ausgeben, um Fernzugriff zu erhalten.

Spear Phishing ist ein gezielter Phishing-Angriff auf eine bestimmte Person oder Organisation, der recherchierte persönliche und geschäftliche Details nutzt, um die Nachricht besonders überzeugend zu machen.

Spoofing bedeutet, eine E-Mail, einen Anruf, eine Nachricht, eine Website oder eine Stimme so zu tarnen, dass sie von einer vertrauenswürdigen Quelle zu stammen scheint.

Vishing (Voice Phishing) ist ein telefonischer Social-Engineering-Angriff, bei dem sich Angreifer als vertrauenswürdige Person oder Organisation ausgeben, um Informationen, Zugangsdaten oder Zahlungen zu erlangen.

Voice Cloning ist der Einsatz von KI, um die Stimme einer realen Person nachzubilden, sodass Angreifer überzeugende Sprache für Betrug, Vishing und Identitätstäuschung erzeugen können.