Shoulder Surfing

Was ist Shoulder Surfing?

Shoulder Surfing braucht weder Malware noch ein gestohlenes Passwort. Jemand stellt sich dorthin, wo er Ihren Bildschirm lesen kann, hebt ein Handy und verlässt das Gebäude mit Daten, deren Abfluss kein Protokoll je zeigen wird. In dieser Übung landet ein gebuchter Besucher hinter Ihrem Stuhl, während ein Gehaltsabrechnungs-Export geöffnet ist. Sie üben, zu bemerken, wer in Sichtweite Ihres Bildschirms ist, ihn vor allem anderen zu sperren, einen Besucher zu bitten, an einem sinnvollen Ort zu warten, und aufzuschreiben, was sichtbar war, damit überhaupt eine Aufzeichnung existiert.

Was Sie lernen in Shoulder Surfing

• Behandeln Sie alles, was auf Ihrem Bildschirm angezeigt wird, als lesbar für jeden, der freie Sicht darauf hat
• Sperren Sie den Rechner als erste Reaktion auf einen Fremden an Ihrer Schulter, noch vor jedem Gespräch
• Verstehen Sie einen Besucherbadge als Zutrittsberechtigung für das Gebäude, nicht als Berechtigung, Ihre Arbeit zu sehen
• Bitten Sie jemanden, an einem sinnvollen Ort zu warten, ohne daraus eine Beschuldigung zu machen
• Melden Sie, was auf dem Bildschirm zu sehen war, denn ein Foto hinterlässt kein Protokoll, und Ihre Schilderung ist die einzige Aufzeichnung

Shoulder Surfing — Trainingsschritte

1. Die Gehaltsabrechnung prüfen

   Es ist ein ruhiger Dienstagmorgen im zweiten Stockwerk von Merrowvale Health. Die Gehaltsabrechnung für September ist vor ein paar Minuten fertig exportiert worden und wartet in der Warteschlange, bis die Zahlungsdatei um vier Uhr an die Bank geht. Ines Havelock, die die Personalabteilung leitet, schickt die übliche Anfrage.

2. Zwölf Zeilen auf einem Bildschirm

   Der Lauf öffnet sich genau so, wie Ines es beschrieben hat. Jede Zeile darin ist ein Mensch, der in diesem Gebäude arbeitet, daneben die Summe, die er mit nach Hause nimmt, und die letzten Ziffern seines Kontos. Es ist eine gewöhnliche interne Seite, geöffnet von jemandem, der dazu berechtigt ist, und sie bleibt so lange auf dem Bildschirm, wie die Prüfung dauert.

3. Warten auf die Personalabteilung

   Ein Mann kommt die Treppe hoch und bleibt kurz hinter dem Eingang des Stockwerks stehen. Badge sichtbar, Handy in einer Hand, mit dem leicht verlorenen Blick von jemandem, der gebeten wurde, hier zu warten, und dem allmählich die Dinge zum Anschauen ausgehen. Sein Termin ist mit der Personalabteilung. Bisher ist niemand heruntergekommen, um ihn abzuholen.

4. An Ihrer Schulter

   Aus Warten wird Umherlaufen. Er geht einmal quer über das Stockwerk, bleibt im Flur hinter Alices Stuhl stehen und hebt das Handy auf Augenhöhe. Er ist nah genug, um den Bildschirm zu lesen. Das Handy ist darauf gerichtet.

5. Ihn ansehen

   Bevor Sie etwas sagen, sehen Sie sich an, wer das eigentlich ist. Er versteckt sich nicht, er ist nicht in Eile, und er trägt den Badge, den der Empfang ihm heute Morgen ausgestellt hat.

6. Seine Erklärung

   Er merkt, dass er bemerkt wurde. Das Handy bewegt sich nicht, und was er sagt, ist die Art von Satz, den jeder sagen könnte, vorgetragen ohne eine Spur von Eile. Das erklärt das Handy. Es erklärt nicht die zwei Meter.

7. Antwort wählen

   Nichts an ihm wirkt bedrohlich, und die Ausrede kostet nichts – genau deshalb klärt sie nichts. Von hier aus lässt sich nicht sagen, ob das Handy wegen der Uhrzeit oder wegen des Bildschirms oben war, und der Gehaltsabrechnungslauf ist immer noch auf diesem Bildschirm zu sehen, direkt vor beiden.

8. Zuerst sperren

   Er tritt zurück und setzt sich in Bewegung, was nichts klärt. Er stand schon einige Sekunden dort, und es gibt keine Möglichkeit zu wissen, was auf seinem Handy ist. Der Bildschirm ist der einzige Teil davon, an dem Alice jetzt noch etwas ändern kann, und das dauert weniger als eine Sekunde.

9. Warten in der Mitte

   Er widerspricht nicht und geht auch nicht. Er bleibt in der Mitte des Stockwerks stehen, das Handy jetzt an der Seite gesenkt, und wartet dort, bis ihn jemand abholt. An ihm hat sich nichts geändert. Geändert hat sich, was er sehen kann.

10. Der eigentliche Fehler