Was ist Social Engineering?

Social Engineering manipuliert Menschen, damit sie eine Handlung im Interesse des Angreifers ausführen: Informationen preisgeben, Geld überweisen, eine Datei öffnen, Zugang gewähren oder eine Sicherheitsregel umgehen. Der Angriff richtet sich nicht gegen eine vermeintliche „Schwäche des Menschen“, sondern gegen Vertrauen, Arbeitsabläufe und Entscheidungssituationen. Technische und organisatorische Lücken machen die Täuschung erst folgenreich.

Wie funktioniert Social Engineering?

1. Informationsgewinnung: Der Angreifer recherchiert Personen, Zuständigkeiten, Dienstleister, Sprachstil und aktuelle Ereignisse.
2. Vorwand: Er konstruiert eine plausible Rolle und Situation, etwa Support, Geschäftsführung, Bank oder neue Kollegin.
3. Kontakt und Vertrauen: Eine E-Mail, Nachricht, ein Anruf oder persönlicher Kontakt greift bekannte Details auf.
4. Druck und Handlung: Dringlichkeit oder Autorität soll die übliche Prüfung verkürzen.
5. Ausnutzung: Zugangsdaten, Zahlung, Fernzugriff oder geöffnete Datei ermöglichen den nächsten Angriffsschritt.
6. Spuren und Wiederholung: Der Angreifer löscht Nachrichten, hält die Geschichte aufrecht oder nutzt das kompromittierte Konto gegen weitere Kontakte.

Welche Formen gibt es?

Kampagnen kombinieren Kanäle. Eine E-Mail kündigt beispielsweise einen Anruf an; der Anrufer kennt bereits Rechnungsnummer und Namen. Deepfake-Audio oder -Video kann Glaubwürdigkeit erhöhen, ersetzt aber selten den sorgfältigen Vorwand und den missbrauchbaren Prozess.

Welche psychologischen Prinzipien werden genutzt?

Autorität („Die Geschäftsführung verlangt es“), Dringlichkeit („noch heute“), Knappheit, Angst, Hilfsbereitschaft, Neugier und Gegenseitigkeit verkürzen die bewusste Prüfung. Soziale Bewährtheit entsteht, wenn angeblich andere Kollegen bereits zugestimmt haben. Gute Prozesse rechnen mit diesen normalen menschlichen Reaktionen und verlangen bei riskanten Handlungen eine unabhängige Bestätigung.

Woran erkennt man einen Versuch?

• Die Anfrage wechselt unerwartet Kanal, Bankverbindung, Telefonnummer oder üblichen Prozess.
• Prüfung oder Rückruf über bekannte Kontaktdaten wird abgelehnt oder als zu langsam dargestellt.
• Die Person verlangt Passwort, MFA-Code, Remotezugriff oder die Bestätigung einer selbst nicht gestarteten Anmeldung.
• Absendername, tatsächliche Domain, Antwortadresse und Linkziel passen nicht vollständig zusammen.
• Ungewöhnliche Geheimhaltung, emotionale Drohung oder Belohnung soll eine Ausnahme rechtfertigen.

Fehlerfreie Sprache beweist keine Echtheit, und Tippfehler beweisen keinen Angriff. Wichtiger ist, ob Identität, Kontext und Handlung über einen unabhängigen, bereits bekannten Weg überprüfbar sind.

Wie schützen sich Unternehmen?

Awareness ist wichtig, darf aber nicht die letzte und einzige Kontrolle sein. Ein einzelner Fehler sollte nicht unmittelbar eine hohe Zahlung oder vollständige Kontoübernahme ermöglichen.

Was ist nach einem erfolgreichen Angriff zu tun?

1. Kontakt sofort über den internen Meldeweg weitergeben und Belege wie Nachricht, Header, Telefonnummer und Zeitpunkt erhalten.
2. Bei Zugangsdaten Sitzungen und Tokens widerrufen, Passwort zurücksetzen, MFA neu binden und Kontoaktivität prüfen.
3. Bei Zahlungen unverzüglich Bank, Zahlungsdienst und zuständige interne Stellen kontaktieren.
4. Betroffene Geräte und Konten untersuchen; Weiterleitung, Mailregeln und weitere Empfänger kontrollieren.
5. Rechtliche, Datenschutz- und Meldepflichten bewerten und andere mögliche Ziele warnen.

Schnelle Meldung ist wichtiger als Schuldzuweisung. Wer Nachteile befürchtet, wartet länger – und gibt dem Angreifer mehr Zeit.

Wie werden Social-Engineering-Tests durchgeführt?

Autorisierte Übungen definieren Ziel, erlaubte Kanäle, ausgeschlossene Personengruppen, Umgang mit Zugangsdaten, Abbruchkriterien und Ansprechpartner. Gemessen werden nicht nur Klicks, sondern auch Meldungen, Reaktionszeit, Prozessumgehungen und Wirkung technischer Kontrollen. Ergebnisse sollten Prozesse verbessern und gezieltes Lernen ermöglichen, nicht einzelne Beschäftigte bloßstellen. Physische Täuschung, Telefonaufzeichnungen oder Verarbeitung personenbezogener Daten benötigen eine besonders sorgfältige rechtliche und organisatorische Abstimmung.