Social-Engineering-Angriffe nutzen Täuschung und psychologische Manipulation, um Menschen dazu zu bringen, vertrauliche Informationen preiszugeben, Geld zu überweisen, schädliche Dateien zu öffnen oder unbefugten Zugriff zu gewähren. Statt sich ausschließlich auf technische Schwachstellen zu verlassen, nutzen Angreifer Vertrauen, Angst, Neugier, Dringlichkeit, Autorität und den Wunsch zu helfen aus.

Zu den verbreiteten Formen gehören Phishing-E-Mails, betrügerische Telefonanrufe, SMS-Betrug, die Nachahmung von Führungskräften, Business Email Compromise und KI-generierte Sprach- oder Video-Imitationen. Diese Angriffe können Einzelpersonen, Unternehmen, Behörden, Gesundheitsdienstleister, Bildungseinrichtungen und Nutzer von Kryptowährungen betreffen.

Der wirksamste Schutz kombiniert Sicherheitsbewusstsein mit unabhängiger Überprüfung, Multifaktor-Authentifizierung (MFA), starken Zugriffskontrollen und einem klaren Verfahren zur Meldung verdächtiger Aktivitäten. Da Social Engineering häufig legitime Geschäftsabläufe missbraucht, sollte die Überprüfung in Zahlungs-, Kontowiederherstellungs-, Zugriffs- und Datenaustauschprozesse integriert werden, anstatt allein dem individuellen Urteilsvermögen überlassen zu bleiben.

Was ist ein Social-Engineering-Angriff?

Ein Social-Engineering-Angriff ist der Versuch, jemanden zu einer Handlung zu manipulieren, die die Sicherheit beeinträchtigt. Ein Angreifer kann sich als vertrauenswürdige Person ausgeben, einen Notfall erfinden, eine verlockende Belohnung anbieten oder eine überzeugende gefälschte Website erstellen, um Zugangsdaten, Geld, vertrauliche Informationen oder Systemzugriff zu erlangen.

Im Gegensatz zu einem konventionellen technischen Angriff, der direkt eine Software-Schwachstelle ausnutzt, bringt Social Engineering das Opfer häufig dazu, selbst die Handlung auszuführen, die den Angriff ermöglicht. So kann ein Mitarbeiter beispielsweise eine E-Mail erhalten, die scheinbar vom Finanzdirektor des Unternehmens stammt und eine dringende Zahlung auf ein neues Lieferantenkonto verlangt. Befolgt der Mitarbeiter die Anweisungen, ohne die Anfrage unabhängig zu überprüfen, kann die Organisation Geld verlieren, selbst wenn ihre Systeme ansonsten sicher sind.

Zentrale Merkmale von Social Engineering

• Ausnutzung von Vertrauen: Der Angreifer gibt sich als jemand aus, den das Opfer kennt oder respektiert.
• Dringlichkeit: Die Nachricht setzt das Opfer unter Druck, bevor es die Fakten prüfen kann.
• Angst: Der Angreifer droht mit Kontosperrung, rechtlichen Konsequenzen oder finanziellen Verlusten.
• Neugier: Eine Nachricht oder ein Anhang verspricht interessante, vertrauliche oder unerwartete Informationen.
• Autorität: Der Angreifer behauptet, das Management, den technischen Support, eine Bank oder eine Behörde zu vertreten.
• Manipulierte Anreize: Dem Opfer werden Geld, Hilfe, Zugriff oder eine Belohnung für seine Kooperation angeboten.

Social Engineering kann eingesetzt werden, um Zugangsdaten zu stehlen, Finanzbetrug zu begehen, Schadsoftware zu installieren, Ransomware-Angriffe zu ermöglichen oder vertrauliche Geschäftsinformationen zu erlangen.

10 Beispiele für Social-Engineering-Angriffe

Die folgenden Beispiele zeigen, wie verbreitete Methoden funktionieren, wie man sie erkennt und wie man sicher darauf reagiert.

1. Phishing-E-Mails

Phishing ist eine Social-Engineering-Methode, bei der Angreifer betrügerische E-Mails oder Nachrichten versenden, die scheinbar von legitimen Organisationen stammen. Ziel ist es, Empfänger dazu zu bringen, auf schädliche Links zu klicken, Anmeldedaten preiszugeben, gefährliche Anhänge herunterzuladen oder Zahlungsinformationen zu übermitteln.

So kann ein Mitarbeiter eine E-Mail erhalten, in der behauptet wird, das Firmen-E-Mail-Konto werde deaktiviert, wenn er sein Passwort nicht sofort bestätigt. Die Nachricht enthält einen Link zu einer gefälschten Anmeldeseite, die das Branding des Unternehmens kopiert. Sobald die Zugangsdaten eingegeben wurden, kann der Angreifer sie abfangen und versuchen, auf das echte Konto zuzugreifen.

Warnzeichen sind unerwartete Aufforderungen zur Bestätigung von Passwörtern oder Zahlungsdaten, Absenderadressen, die legitime Domains imitieren, aber nicht mit ihnen übereinstimmen, Links zu unbekannten oder falsch geschriebenen Domains, unerwartete Anhänge, Aufforderungen zur Aktivierung von Makros sowie Nachrichten, die Druck erzeugen oder unmittelbare Konsequenzen androhen.

Um das Risiko zu reduzieren, sollten Anfragen über einen vertrauenswürdigen Kanal überprüft, offizielle Websites direkt aufgerufen und nicht angeforderte Links vermieden werden. Verdächtige Nachrichten sollten dem zuständigen Sicherheitsteam gemeldet werden. MFA und phishing-resistente Authentifizierung können das Risiko einer Kontenübernahme zusätzlich senken.

2. Spear-Phishing und Whaling

Spear-Phishing ist ein gezielter Phishing-Angriff, der auf eine bestimmte Person oder Organisation zugeschnitten ist. Whaling ist eine Form des gezielten Phishings, die sich auf Führungskräfte oder andere besonders wertvolle Ziele konzentriert.

Angreifer können Berufsbezeichnungen, Geschäftsbeziehungen, öffentliche Ankündigungen und Social-Media-Profile recherchieren, um ihre Nachrichten glaubwürdiger zu machen. So könnte ein Finanzmanager eine E-Mail erhalten, die scheinbar vom Finanzvorstand stammt. Die Nachricht könnte sich auf eine kürzlich erfolgte Übernahme beziehen und den Manager auffordern, ein angeblich vertrauliches Dokument zu prüfen. Das Dokument kann zu einer gefälschten Anmeldeseite führen, oder die Nachricht kann direkt auf die Preisgabe sensibler Informationen abzielen.

Warnzeichen sind unerwartete Anfragen zu vertraulichen Dokumenten, Nachrichten, die echte Projekte erwähnen, aber ungewöhnliche Handlungen verlangen, Aufforderungen zur Umgehung standardmäßiger Genehmigungsprozesse sowie ungewöhnliche Anweisungen von Führungskräften, selbst wenn der Schreibstil authentisch wirkt.

Ungewöhnliche Anfragen sollten unabhängig überprüft werden, insbesondere wenn sie Zugangsdaten, vertrauliche Daten oder Zahlungen betreffen. Organisationen sollten Genehmigungsabläufe, rollenbasierte Zugriffskontrollen und gezielte Sicherheitsschulungen für Mitarbeiter mit finanziellen oder administrativen Berechtigungen einsetzen.

3. Smishing: Betrügerische SMS-Nachrichten

Smishing ist Phishing über SMS oder andere Textnachrichten. Angreifer geben sich als Lieferdienste, Banken, Behörden, Online-Marktplätze oder Kontosupport-Teams aus.

In einem typischen Szenario erhält eine Person eine SMS, in der behauptet wird, ein Paket könne erst zugestellt werden, wenn eine geringe Gebühr bezahlt wurde. Der Link führt zu einer gefälschten Zahlungsseite, die Kartendaten und persönliche Informationen sammelt. Andere Nachrichten behaupten, ein Bankkonto sei gesperrt worden oder eine verdächtige Transaktion müsse sofort bestätigt werden.

Warnzeichen sind unerwartete Zustell- oder Sicherheitsmeldungen, verkürzte oder unbekannte Links, Anfragen nach Passwörtern, Zahlungskartendaten oder Einmalpasscodes sowie Drohungen, dass ein Konto gesperrt wird, wenn der Empfänger nicht sofort handelt.

Unerwartete Zahlungslinks sollten nicht geöffnet werden. Zustell- oder Kontoinformationen sollten über die offizielle App oder Website des Anbieters geprüft werden. Wenn eine Nachricht angeblich von einer Bank stammt, sollte die Bank über eine verifizierte Telefonnummer kontaktiert werden.

4. Vishing: Sprach-Phishing und Telefonbetrug

Beim Vishing versuchen Angreifer über Telefonanrufe oder Sprachnachrichten, Opfer zur Preisgabe vertraulicher Informationen, zur Autorisierung von Zahlungen oder zur Gewährung von Kontozugriff zu bewegen. Sie können sich als Bankmitarbeiter, Behördenvertreter, technische Supportmitarbeiter oder Führungskräfte ausgeben. Manche nutzen Caller-ID-Spoofing, damit der Anruf scheinbar von einer legitimen Organisation stammt.

Beispielsweise kann ein Anrufer behaupten, in der Betrugsabteilung einer Bank zu arbeiten, und sagen, das Konto des Empfängers werde angegriffen. Anschließend fordert er einen Einmalpasscode an, um die Transaktion zu stoppen. Gibt das Opfer den Code weiter, kann der Angreifer ihn zur Autorisierung des Kontozugriffs oder einer Transaktion verwenden.

Warnzeichen sind Anfragen nach Passwörtern, Einmalpasscodes oder Wiederherstellungscodes, Druck zur Überweisung von Geld auf ein angeblich sicheres Konto, Anweisungen zur Installation von Fernzugriffssoftware, Drohungen, Geheimhaltungsforderungen oder die Aufforderung, normale Verfahren zu umgehen.

Unerwartete Anrufe, in denen vertrauliche Informationen verlangt werden, sollten beendet werden. Die Organisation sollte anschließend unabhängig über ihre offiziellen Kontaktdaten kontaktiert werden. Authentifizierungscodes dürfen Anrufern niemals mitgeteilt werden. Ebenso sollte kein Login bestätigt werden, den man nicht selbst gestartet hat.

5. Pretexting und Identitätsvortäuschung

Beim Pretexting erfindet ein Angreifer eine glaubwürdige Identität oder Situation, um jemanden zur Preisgabe von Informationen oder zur Ausführung einer Handlung zu bewegen. Identitätsvortäuschung ist eine verbreitete Methode, um diese falsche Identität zu etablieren. Der Angreifer kann sich als IT-Techniker, Lieferant, Prüfer, Kollege, Personalvermittler oder Kunde ausgeben.

So kann jemand einen Mitarbeiter kontaktieren und behaupten, zum internen IT-Team zu gehören. Der Anrufer erklärt, eine Systemmigration laufe gerade, und bittet den Mitarbeiter, seine Anmeldedaten zu bestätigen. Die Geschichte wirkt plausibel, weil die Organisation tatsächlich technische Wartungsarbeiten durchführt, doch die Identität des Anrufers wurde nicht überprüft.

Warnzeichen sind Anfragen nach Informationen außerhalb der üblichen Zuständigkeit, die Weigerung, standardmäßige Identitätsprüfungen zu durchlaufen, ein vertrauter Name in Verbindung mit einer unbekannten Telefonnummer oder E-Mail-Adresse sowie Anfragen nach vertraulichen Informationen unter dem Vorwand eines Audits oder Notfalls.

Identitäten sollten über eine unabhängig ermittelte Kontaktmethode bestätigt werden. Für Kontowiederherstellung, technischen Support und Zugriffsanfragen sollten dokumentierte Verfahren eingehalten werden. Mitarbeiter sollten ermutigt werden, ungewöhnliche Anfragen ohne Angst vor Kritik zu hinterfragen.

6. Business Email Compromise (BEC)

Business Email Compromise ist eine Betrugsform, bei der Angreifer kompromittierte E-Mail-Konten oder überzeugende Identitätsvortäuschungen nutzen, um Geschäftszahlungen zu manipulieren oder vertrauliche Informationen zu erlangen. BEC-Angriffe richten sich häufig gegen Finanzteams, Führungskräfte, Lieferanten sowie für Gehaltsabrechnung oder Kreditorenbuchhaltung zuständige Mitarbeiter.

Das FBI Internet Crime Complaint Center meldete weltweit ungefähr $55.5 Milliarden an offengelegten Verlusten im Zusammenhang mit gemeldeten BEC-Vorfällen zwischen October 2013 und December 2023. Dabei handelt es sich um eine kumulierte, auf Beschwerden basierende Zahl, nicht um eine Schätzung der jährlichen Verluste oder einen Beleg dafür, dass jeder Vorfall auf dieselbe Methode zurückging.

Ein typisches Beispiel ist ein Mitarbeiter der Kreditorenbuchhaltung, der eine E-Mail erhält, die scheinbar von einem regelmäßigen Lieferanten stammt. Darin wird mitgeteilt, dass der Lieferant sein Bankkonto geändert habe, und der Mitarbeiter wird angewiesen, die nächste Zahlung auf das neue Konto zu überweisen. Die E-Mail kann von einem kompromittierten Lieferantenkonto stammen, wodurch die Anfrage besonders schwer von legitimer Korrespondenz zu unterscheiden ist.

Warnzeichen sind Änderungen von Lieferantenbankdaten, unerwartete Aufforderungen zu dringenden oder vertraulichen Überweisungen, geringfügige Veränderungen an einer E-Mail-Adresse oder Domain sowie Bitten, Transaktionen geheim zu halten oder normale Genehmigungen zu umgehen.

Änderungen von Zahlungsdaten sollten über eine zuvor bekannte Telefonnummer oder einen anderen vertrauenswürdigen Kanal bestätigt werden. Für Überweisungen mit hohem Wert sollten unabhängige Genehmigungen und eine doppelte Autorisierung erforderlich sein. Zudem sollten Zahlungsanomalien überprüft werden. E-Mail-Authentifizierungstechnologien wie SPF, DKIM und DMARC können vor bestimmten Formen von E-Mail-Spoofing schützen, beseitigen jedoch weder das Risiko von Identitätsvortäuschungen noch von kompromittierten Konten.

7. Baiting und schädliche USB-Geräte

Baiting nutzt Neugier, finanzielle Anreize oder den Wunsch aus, etwas Nützliches zu erhalten. Angreifer können gefälschte Downloads, kostenlose Software, Preise oder physische Geräte anbieten, die zu einer Schadsoftware-Infektion oder zum Diebstahl von Informationen führen.

Beispielsweise findet jemand auf einem Büroparkplatz einen USB-Stick mit der Aufschrift „Confidential Payroll“ und schließt ihn aus Neugier an einen Arbeitscomputer an. Enthält das Gerät schädliche Dateien oder nutzt es eine Schwachstelle aus, kann es den Computer oder das Unternehmensnetzwerk gefährden.

Warnzeichen sind nicht angeforderte USB-Sticks oder Speichermedien, als kostenlose Premiumsoftware beworbene Downloads, unerwartete Dateien mit ungewöhnlichen Berechtigungsanforderungen und Angebote, für die Sicherheitsfunktionen deaktiviert werden müssen.

Unbekannte Speichermedien sollten niemals an Arbeits- oder Privatcomputer angeschlossen werden. Stattdessen sollten zugelassene Softwarequellen, Endpoint-Schutz, Anwendungskontrollen und Richtlinien zur Beschränkung nicht genehmigter Wechselmedien eingesetzt werden.

8. Tailgating und physisches Social Engineering

Beim Tailgating betritt eine unbefugte Person einen geschützten Bereich, indem sie einer berechtigten Person durch einen gesicherten Eingang folgt. Der Angreifer kann sich als Lieferant, Auftragnehmer, Besucher oder Kollege ausgeben, der seine Zugangskarte vergessen hat.

So kann eine Person mit mehreren Kartons einen Mitarbeiter beim Betreten eines gesicherten Büros ansprechen und ihn bitten, die Tür offen zu halten, weil sie die Hände voll hat. Lässt der Mitarbeiter die Person ohne Autorisierungsprüfung hinein, kann der Angreifer Zugang zu Büros, Geräten, Dokumenten oder Netzwerkausrüstung erhalten.

Warnzeichen sind Personen, die Kontrollen der Zugangskarten umgehen möchten, Besucher ohne gültigen Identitätsnachweis, unbeaufsichtigte Personen in geschützten Bereichen sowie Bitten, aus Höflichkeit physische Sicherheitsverfahren zu ignorieren.

Jede Person sollte das vorgesehene Zugangskontrollverfahren nutzen. Mitarbeiter sollten Besucher höflich zum Empfang verweisen, anstatt unüberprüften Zutritt zu gewähren. Besuchsprotokolle, Zugangskarten, Sicherheitspersonal und Anti-Tailgating-Kontrollen können den Schutz verbessern.

9. Watering-Hole-Angriffe

Bei einem Watering-Hole-Angriff wird eine Website oder Online-Ressource kompromittiert, die Mitglieder einer bestimmten Zielgruppe wahrscheinlich besuchen. Ziel ist es, Opfer über eine Website zu erreichen, der sie bereits vertrauen. Anders als bei herkömmlichem Phishing muss der Angreifer dem Opfer möglicherweise keine direkte Nachricht senden.

Beispielsweise kompromittieren Angreifer eine Website, die häufig von Fachleuten einer bestimmten Branche genutzt wird. Besucher können auf schädliche Inhalte stoßen, die versuchen, Browserschwachstellen auszunutzen oder sie auf betrügerische Seiten umzuleiten. Ein erfolgreicher Angriff kann vertrauliche Informationen offenlegen oder einen weiteren Angriff ermöglichen.

Warnzeichen sind unerwartete Weiterleitungen von bekannten Websites, Sicherheitswarnungen oder ungewöhnliches Browserverhalten, Aufforderungen zur Installation unbekannter Software oder Browser-Erweiterungen sowie unerklärte Downloads von Websites, die normalerweise keine Downloads erfordern.

Browser, Betriebssysteme und Sicherheitstools sollten aktuell gehalten werden. Empfehlenswert sind seriöser Endpoint-Schutz, die Einschränkung unnötiger Browserberechtigungen und die Untersuchung unerwarteter Downloads oder Weiterleitungen. Website-Betreiber sollten ihre Software pflegen, auf unbefugte Änderungen überwachen und Sicherheitslücken umgehend beheben.

10. KI-generierte Identitätsvortäuschung und Deepfakes

Künstliche Intelligenz kann Angreifern dabei helfen, überzeugende Nachrichten, synthetische Stimmen, veränderte Bilder und realistische Video-Imitationen zu erstellen. Diese Werkzeuge können Social Engineering besonders überzeugend machen, vor allem in Verbindung mit Informationen aus öffentlich zugänglichen Quellen.

KI-gestützte Angriffe können sich mit Phishing, Vishing, Spear-Phishing und Business Email Compromise überschneiden. KI ist ein Werkzeug, das bestehende Methoden verstärken kann, und keine vollständig eigenständige Angriffskategorie.

In einem Beispiel erhält ein Mitarbeiter einen Videoanruf, der scheinbar eine Führungskraft zeigt, die eine dringende Überweisung verlangt. Die Stimme klingt vertraut, und der Anrufer bezieht sich auf echte Unternehmensprojekte. Der Mitarbeiter hält die Anfrage für authentisch und beginnt die Überweisung, ohne den normalen Genehmigungsprozess einzuhalten.

Warnzeichen sind ungewöhnliche finanzielle Anfragen während unerwarteter Anrufe, Druck zur Umgehung normaler Zahlungsabläufe, die Weigerung, die Identität über einen separaten Kanal zu bestätigen, sowie unerwartete Änderungen im Kommunikationsverhalten, selbst wenn Stimme oder Video echt wirken.

Es sollten etablierte Verfahren zur Identitätsprüfung und Zahlungsfreigabe genutzt werden. Ungewöhnliche Anfragen sind über einen separaten, vertrauenswürdigen Kanal zu bestätigen. Für risikoreiche Transaktionen sollten vereinbarte interne Prüfmethoden verwendet werden. Man sollte sich nicht ausschließlich auf Bildfehler, unnatürliche Sprache oder andere vermeintliche Deepfake-Merkmale verlassen. Synthetische Medien können überzeugend sein, und auch legitime Aufnahmen können ungewöhnlich aussehen oder klingen.

Reale Fälle von Social Engineering und Cyberangriffen

Dokumentierte Vorfälle zeigen, warum Organisationen sowohl ihre Technologie als auch die Menschen schützen müssen, die sie nutzen. Allerdings ist nicht jeder größere Sicherheitsvorfall nachweislich ein Social-Engineering-Vorfall. Diese Unterscheidung ist wichtig, um zu bewerten, was tatsächlich geschehen ist und welche Lehren sich vernünftigerweise daraus ziehen lassen.

Target Corporation: Der Datendiebstahl von 2013

Im December 2013 gab Target einen unbefugten Zugriff bekannt, der ungefähr 40 Millionen Kredit- und Debitkartenkonten betraf. Das Unternehmen teilte später mit, dass außerdem Informationen zu bis zu 70 Millionen Personen gestohlen wurden. Untersuchungen dokumentierten Schadsoftware auf Kassensystemen.

Der Vorfall wird häufig im Zusammenhang mit der Sicherheit von Drittanbietern und Risiken in der Lieferkette betrachtet. Das Bestehen einer Geschäftsbeziehung zu einem Anbieter bedeutet jedoch nicht, dass jedes Detail des ursprünglichen Angriffs als bestätigte Social-Engineering-Methode beschrieben werden sollte.

Die sicherheitsbezogene Lehre lautet, dass Organisationen den Zugriff Dritter begrenzen, Verbindungen von Anbietern überwachen, sensible Systeme segmentieren und verdächtige Aktivitäten in ihren Netzwerken untersuchen sollten.

Sony Pictures Entertainment: Der Cyberangriff von 2014

Im November 2014 wurde Sony Pictures Entertainment Opfer eines schweren Cyberangriffs mit zerstörerischer Schadsoftware sowie dem Diebstahl geschützter Informationen, personenbezogener Mitarbeiterdaten und vertraulicher Kommunikation. Das FBI veröffentlichte im December 2014 die Ergebnisse seiner Untersuchung.

Der Vorfall zeigt, wie ein Cyberangriff Geschäftsabläufe, vertrauliche Kommunikation, die Privatsphäre von Mitarbeitern und geistiges Eigentum beeinträchtigen kann. Organisationen sollten getestete Backups vorhalten, privilegierten Zugriff beschränken, Netzwerke überwachen, Reaktionspläne für Sicherheitsvorfälle entwickeln und sich auf die betrieblichen Folgen eines schweren Angriffs vorbereiten.

Business Email Compromise: Dokumentierte finanzielle Verluste

Business Email Compromise ist eine weitere gut dokumentierte Bedrohung. Das FBI hat erhebliche kumulierte Verluste im Zusammenhang mit BEC-Beschwerden gemeldet. Dies zeigt, dass Identitätsvortäuschungen und betrügerische Zahlungsanweisungen erheblichen finanziellen Schaden verursachen können.

Das entscheidende Risiko besteht nicht nur darin, dass eine betrügerische E-Mail überzeugend aussieht. Entscheidend ist, dass der Empfänger möglicherweise berechtigt ist, Geld zu bewegen, Lieferantendaten zu ändern oder vertrauliche Informationen offenzulegen.

Zahlungsanweisungen sollten unabhängig überprüft, die Initiierung von Zahlungen von ihrer Genehmigung getrennt und klare Verfahren für ungewöhnliche finanzielle Anfragen festgelegt werden.

Was diese Vorfälle gemeinsam haben

Aus diesen Fällen ergeben sich mehrere praktische Lehren:

• Technische Kontrollen müssen durch solide betriebliche Verfahren unterstützt werden.
• Der Zugriff Dritter sollte auf das Notwendige beschränkt werden.
• Mitarbeiter benötigen eine einfache Möglichkeit, verdächtige Aktivitäten zu melden.
• Finanzielle und privilegierte Handlungen sollten eine angemessene Überprüfung erfordern.
• Reaktionspläne für Sicherheitsvorfälle sollten vor einem Angriff getestet werden.

Diese Lehren sind nützlicher, als anzunehmen, jeder größere Sicherheitsvorfall sei durch denselben psychologischen Trick verursacht worden.

Warum funktionieren Social-Engineering-Angriffe?

Social Engineering ist erfolgreich, wenn ein Angreifer die Entscheidungsfindung einer Person beeinflusst, bevor diese die Anfrage überprüft. Mehrere psychologische Faktoren machen solche Angriffe wirksam:

• Autoritätsbias: Menschen können einer Person gehorchen, die behauptet, Manager, Polizist oder IT-Spezialist zu sein.
• Dringlichkeit: Zeitdruck verringert die Möglichkeit zu prüfen, ob eine Anfrage legitim ist.
• Angst: Drohungen im Zusammenhang mit Geld, Arbeitsplatz, rechtlichen Konsequenzen oder Kontosperrung können impulsives Handeln auslösen.
• Neugier: Unerwartete Dateien, sensationelle Behauptungen und verlockende Angebote bringen Menschen zum Klicken.
• Vertrauen und Vertrautheit: Angreifer imitieren Kollegen, Lieferanten, Freunde oder Familienmitglieder.
• Reziprozität: Wer Hilfe oder eine Belohnung anbietet, erwartet möglicherweise eine Gegenleistung.
• Routine und Ablenkung: Beschäftigte können Anfragen genehmigen, ohne die üblichen Kontrollen anzuwenden.

Diese Faktoren sind kein Beleg dafür, dass Opfer nachlässig oder unintelligent sind. Social Engineering ist darauf ausgelegt, normales menschliches Verhalten auszunutzen, einschließlich der natürlichen Tendenz, vertrauten Personen zu vertrauen und auf dringende Situationen zu reagieren. Wirksame Prävention erleichtert sichere Entscheidungen, indem sie Überprüfungen in alltägliche Prozesse integriert.

Wie lassen sich Social-Engineering-Angriffe verhindern?

Der beste Schutz verbindet individuelles Bewusstsein mit organisatorischen Sicherheitskontrollen. Schulungen sind wichtig, aber von Mitarbeitern sollte nicht erwartet werden, jeden ausgefeilten Identitätsbetrugsversuch allein zu erkennen.

Für Einzelpersonen

• Unerwartete Anfragen überprüfen. Den Absender über eine bekannte Telefonnummer, eine offizielle App oder eine unabhängig verifizierte E-Mail-Adresse kontaktieren.
• Verdächtige Links und Anhänge vermeiden. Beim Prüfen eines Kontos oder Dienstes die offizielle Website direkt aufrufen.
• Authentifizierungscodes niemals weitergeben. Einmalpasswörter, Wiederherstellungscodes oder Passwörter nicht an unerwartete Anrufer oder Absender weitergeben.
• Multifaktor-Authentifizierung aktivieren. Wenn verfügbar, phishing-resistente Methoden wie Passkeys oder Hardware-Sicherheitsschlüssel bevorzugen.
• Einzigartige Passwörter verwenden. Ein seriöser Passwortmanager kann dabei helfen, für jeden Dienst unterschiedliche Passwörter zu erstellen und zu speichern.
• Software aktuell halten. Sicherheitsupdates für Betriebssysteme, Browser, Anwendungen und mobile Geräte installieren.
• Öffentlich zugängliche persönliche Informationen begrenzen. Informationen vermeiden, die Identitätsvortäuschungen oder gezieltes Phishing erleichtern könnten.
• Verdächtige Nachrichten melden. Die Meldefunktion der jeweiligen Plattform nutzen oder die imitierte Organisation kontaktieren.

Für Organisationen

Organisationen sollten technische Schutzmaßnahmen, klare Verfahren und regelmäßige Schulungen kombinieren. Sicherheitsübungen sollten die Widerstandsfähigkeit verbessern und nicht dazu dienen, Mitarbeiter zu beschämen.

Organisationen sollten Meldequoten, Reaktionszeiten, wiederkehrende Schwachstellen und die Wirksamkeit von Korrekturmaßnahmen messen, statt sich ausschließlich auf Klickraten zu verlassen. Für einen umfassenderen Rahmen des Risikomanagements können das NIST Cybersecurity Framework und die CISA-Leitlinien zum Erkennen und Melden von Phishing herangezogen werden.

Was tun, wenn man auf einen Social-Engineering-Betrug hereingefallen ist?

Wer auf einen verdächtigen Link geklickt, vertrauliche Informationen geteilt, unerwartete Software installiert oder Geld überwiesen hat, sollte sofort handeln. Die richtige Reaktion hängt davon ab, welche Informationen offengelegt wurden.

1. Betroffene Konten sichern. Über ein vertrauenswürdiges Gerät kompromittierte Passwörter ändern, aktive Sitzungen möglichst widerrufen und offengelegte Wiederherstellungsdaten zurücksetzen. Das E-Mail-Konto sollte zuerst gesichert werden, wenn es zum Zurücksetzen anderer Passwörter verwendet werden kann.

2. Bank oder Zahlungsdienstleister kontaktieren. Wenn Geld oder Zahlungsinformationen betroffen sind, sollte der Vorfall sofort gemeldet werden. Je nach Situation kann eine Rückholung der Überweisung, eine Zahlungssperre oder der Ersatz einer Karte beantragt werden. Eine Wiederherstellung ist nicht garantiert, daher ist schnelles Handeln wichtig.

3. Vorfall melden. Das IT- oder Sicherheitsteam der Organisation, den imitierten Dienst oder die zuständige nationale Meldestelle für Cyberkriminalität informieren. Verdächtige Nachrichten und Transaktionsdaten sollten aufbewahrt werden.

4. Betroffene Geräte prüfen. Nach der Installation von Software oder dem Öffnen eines verdächtigen Anhangs sollte ein vertrauenswürdiger Sicherheitsexperte oder das IT-Team der Organisation kontaktiert werden. Ein möglicherweise kompromittiertes Gerät sollte gegebenenfalls vom Netzwerk getrennt und bis zur Prüfung nicht für sensible Transaktionen verwendet werden.

5. Auf weiteren Missbrauch achten. Kontobewegungen, Finanzabrechnungen, Passwort-Reset-Warnungen und identitätsbezogene Benachrichtigungen überprüfen. Auch auf Folgebetrug achten, der bereits offengelegte Informationen ausnutzt.

Wenn der Vorfall Kryptowährungen betrifft, sollten das betroffene Börsenkonto und das E-Mail-Konto sofort gesichert werden. Wurden Wiederherstellungsphrasen oder Private Keys offengelegt, ist die zugehörige Wallet als kompromittiert zu betrachten. Es sollte vertrauenswürdige, wallet-spezifische Unterstützung zur Wiederherstellung eingeholt werden. Blockchain-Transaktionen sind im Allgemeinen nicht umkehrbar, und kein Wiederherstellungsdienst kann garantieren, dass gestohlene Gelder zurückerlangt werden.

Statistiken und Quellen zu Social Engineering

Statistiken können das Ausmaß der Cyberkriminalität verdeutlichen, allerdings nur, wenn ihre Definitionen, Berichtszeiträume und Einschränkungen klar sind.

Das FBI gab im April 2025 bekannt, dass sein Internet Crime Report für 2024 859,532 Beschwerden über mutmaßliche Internetkriminalität und gemeldete Verluste von mehr als $16 Milliarden enthielt. Dies entspricht einem Anstieg von 33 % gegenüber 2023. Die Zahlen beziehen sich allgemein auf gemeldete Internetkriminalität und messen nicht ausschließlich Verluste durch Social Engineering.

Der 2024 Data Breach Investigations Report von Verizon stellte fest, dass Pretexting in mehr als 40 % der untersuchten Social-Engineering-Vorfälle vorkam, während Phishing in 31 % vorkam. Diese Prozentsätze beschreiben den analysierten Datensatz des Berichts und nicht die Wahrscheinlichkeit, dass ein einzelner Phishing-Versuch erfolgreich ist.

Die kumulierten BEC-Zahlen des FBI zeigen, dass betrügerische Geschäftskommunikation sowohl bei inländischen als auch bei internationalen Opfern zu Verlusten führen kann. Die Zahlen beruhen auf Beschwerden und sollten nicht als vollständige Erfassung aller weltweiten Vorfälle interpretiert werden.

Bei der Bewertung einer Statistik zu Social Engineering sollte man fragen, welches Jahr oder welcher Berichtszeitraum abgedeckt wird, ob Angriffe, Angriffsversuche, Vorfälle, bestätigte Sicherheitsverletzungen, Beschwerden oder finanzielle Verluste gemessen werden, ob die Zahl weltweit oder auf ein Land beziehungsweise eine Branche begrenzt ist, ob die Quelle Beobachtungen meldet oder eine Prognose erstellt und welche Einschränkungen die Quelle nennt.

Zahlen zu Vorfällen, Erfolgsquoten von Angriffen, Kosten von Sicherheitsverletzungen und gemeldeten Betrugsverlusten sollten nicht zu einem einzigen Vergleich zusammengeführt werden. Diese Messgrößen beschreiben unterschiedliche Sachverhalte und sind nicht direkt austauschbar. Für laufende Recherchen können der Verizon Data Breach Investigations Report und die jährlichen FBI-IC3-Berichte herangezogen werden. Vor der Veröffentlichung jährlicher Statistiken sollte geprüft werden, ob neuere Ausgaben vorliegen.

Häufig gestellte Fragen

Was ist ein Beispiel aus dem echten Leben für einen Social-Engineering-Angriff?

Ein häufiges Beispiel ist ein betrügerischer Telefonanruf, bei dem sich jemand als Bankmitarbeiter ausgibt und einen Kunden zur Preisgabe eines Einmalpasscodes auffordert. Der Angreifer kann diesen Code verwenden, um auf ein Konto zuzugreifen oder eine Transaktion zu autorisieren. Die sichere Reaktion besteht darin, den Anruf zu beenden und die Bank über einen unabhängig überprüften Kanal zu kontaktieren.

Welche Arten von Social-Engineering-Angriffen kommen am häufigsten vor?

Zu den verbreiteten Arten gehören Phishing, Spear-Phishing, Smishing, Vishing, Pretexting, Identitätsvortäuschung, Business Email Compromise, Baiting und Tailgating. Watering-Hole-Angriffe und KI-generierte Identitätsvortäuschungen sind weitere Methoden, mit denen bestimmte Ziele erreicht oder getäuscht werden können.

Was ist der Unterschied zwischen Phishing und Social Engineering?

Phishing ist eine Form von Social Engineering. Dabei werden typischerweise täuschende E-Mails, Nachrichten, Websites oder andere Kommunikationsmittel verwendet, um Informationen zu stehlen oder unsichere Handlungen auszulösen. Social Engineering ist der umfassendere Begriff und umfasst auch Telefonbetrug, physische Identitätsvortäuschung, betrügerische Zahlungsaufforderungen und andere Formen der Manipulation.

Wie funktionieren Social-Engineering-Angriffe?

Angreifer recherchieren ihre Ziele, entwickeln eine glaubwürdige Geschichte und nutzen Vertrauen, Dringlichkeit, Angst, Neugier oder Autorität aus. Anschließend versuchen sie, das Opfer zur Preisgabe von Informationen, zum Anklicken eines Links, zur Installation von Software, zur Genehmigung eines Zugriffs oder zur Überweisung von Geld zu bewegen. Überprüfungsverfahren und Sicherheitskontrollen können diesen Ablauf unterbrechen.

Warum sind Social-Engineering-Angriffe gefährlich?

Sie können technische Schutzmaßnahmen umgehen, indem sie legitime Nutzer dazu bringen, mit ihren eigenen Berechtigungen bestimmte Handlungen auszuführen. Mögliche Folgen sind Finanzbetrug, Identitätsdiebstahl, kompromittierte Konten, Datenschutzverletzungen, Schadsoftware-Infektionen, Betriebsstörungen und Reputationsschäden.

Wie macht KI Social-Engineering-Angriffe überzeugender?

KI kann Angreifern helfen, personalisierte Nachrichten zu erstellen, Schreibstile nachzuahmen, synthetische Stimmen zu erzeugen sowie manipulierte Bilder oder Videos zu erstellen. Dadurch kann Identitätsvortäuschung überzeugender werden, ein erfolgreicher Angriff ist jedoch nicht garantiert. Unabhängige Identitätsprüfungen und etablierte Genehmigungsprozesse bleiben unverzichtbar.

Wie können Unternehmen Social-Engineering-Angriffe verhindern?

Unternehmen sollten regelmäßige Sicherheitsschulungen mit MFA, Zugriffen nach dem Prinzip der geringsten Berechtigung, E-Mail-Sicherheit, unabhängiger Zahlungsprüfung, Kontrollen für Anbieter, Verfahren zur Reaktion auf Vorfälle und leicht zugänglichen Meldewegen kombinieren. Risikoreiche Anfragen sollten unabhängig von der ursprünglichen Nachricht überprüft werden.

Sind kleine Unternehmen durch Social Engineering gefährdet?

Ja. Kleine Unternehmen können durch gefälschte Rechnungen, die Nachahmung von Lieferanten, Versuche der Kontenübernahme, betrügerischen technischen Support und Phishing angegriffen werden. Begrenzte Sicherheitsressourcen können die Gefährdung erhöhen. Daher sind grundlegende Maßnahmen wie einzigartige Passwörter, MFA, Zahlungsprüfung, Backups und Mitarbeiterschulungen besonders wichtig.

Was sollte ich tun, wenn ich versehentlich auf einen Phishing-Link geklickt habe?

Es sollten keine weiteren Informationen eingegeben und keine weiteren Dateien heruntergeladen werden. Wurden Zugangsdaten übermittelt, sollte das betroffene Passwort über ein vertrauenswürdiges Gerät geändert und aktive Sitzungen möglichst widerrufen werden. Nach der Installation von Software sollte Sicherheitshilfe eingeholt werden. Die Nachricht sollte gemeldet und das betroffene Konto auf verdächtige Aktivitäten überwacht werden.

Wie erkenne ich einen BEC-Betrug?

Achten Sie auf unerwartete Zahlungsanweisungen, Änderungen von Lieferantenkonten, ungewöhnliche Anfragen von Führungskräften und Druck zur Umgehung etablierter Verfahren. E-Mail-Adressen und Schreibstile können imitiert werden. Finanzielle Anweisungen sollten daher über einen vertrauenswürdigen, separaten Kommunikationskanal überprüft werden.

Welche Rolle spielen soziale Medien bei Social Engineering?

Öffentliche Profile können berufliche Rollen, persönliche Interessen, Geschäftsbeziehungen, Reisepläne und organisatorische Details offenlegen. Angreifer können diese Informationen für glaubwürdige Identitätsvortäuschungen nutzen. Unnötige öffentliche Angaben sollten begrenzt und unerwartete Anfragen auch dann überprüft werden, wenn sie echte persönliche oder berufliche Details enthalten.

Kann Multifaktor-Authentifizierung Social-Engineering-Angriffe verhindern?

MFA kann das Risiko einer Kontenübernahme nach einem Passwortdiebstahl reduzieren, verhindert jedoch nicht jeden Social-Engineering-Angriff. Angreifer können versuchen, Opfer zur Genehmigung betrügerischer Login-Anfragen oder zur Preisgabe von Authentifizierungscodes zu bringen. Phishing-resistente Authentifizierung wie Passkeys oder Sicherheitsschlüssel bietet einen stärkeren Schutz gegen viele Methoden des Zugangsdaten-Phishings.

Fazit

Social-Engineering-Angriffe nutzen menschliches Vertrauen und menschliche Entscheidungsprozesse aus, um Zugriff auf Informationen, Konten, Systeme oder Geld zu erhalten. Phishing-E-Mails, betrügerische Telefonanrufe, Identitätsvortäuschung, Business Email Compromise, physisches Eindringen und KI-generierte Täuschungen sind unterschiedliche Methoden, verfolgen aber dasselbe grundlegende Ziel: ein Opfer zu einer unsicheren Handlung zu bewegen.

Der stärkste Schutz kombiniert menschliches Bewusstsein mit praktischen Sicherheitsmaßnahmen. Einzelpersonen sollten unerwartete Anfragen überprüfen, Authentifizierungsdaten schützen und verdächtige Aktivitäten melden. Organisationen sollten Zahlungskontrollen durchsetzen, Zugriffe begrenzen, ihre Systeme absichern und es Mitarbeitern erleichtern, ungewöhnliche Anweisungen zu hinterfragen.

Reale Cybervorfälle zeigen, warum weder Technologie noch Schulungen allein ausreichen. Eine widerstandsfähige Sicherheitsstrategie betrachtet Menschen, Prozesse, Drittanbieter und Technologie als miteinander verbundene Bestandteile derselben Verteidigung.

Quelle: Cryptsy. Verfasst von Ethan Blackburn.