Was ist Social Engineering? Methoden erkennen und Ihr Team schützen

Die beste Firewall hilft wenig, wenn jemand freundlich am Telefon nach dem Passwort fragt – und es bekommt. Genau darum geht es beim Social Engineering: Angreifer nutzen nicht technische Lücken, sondern menschliche Eigenschaften wie Hilfsbereitschaft, Respekt vor Vorgesetzten oder Zeitdruck.

Die gute Nachricht: Wer die Muster kennt, erkennt die meisten Versuche sofort. Dieser Artikel zeigt die häufigsten Maschen und was Ihr Unternehmen dagegen tun kann.

Was ist Social Engineering?

Social Engineering bezeichnet Angriffe, bei denen Täter Menschen so beeinflussen, dass sie vertrauliche Informationen preisgeben, Zahlungen auslösen oder Zugänge öffnen. Die Täter geben sich dabei als jemand aus, dem man vertraut: die Geschäftsführung, ein Kunde, der IT-Support, die Bank oder ein Paketdienst.

Das Ziel ist fast immer eines von dreien:

• Zugangsdaten, um sich in E-Mail-Konten, Cloud-Dienste oder Firmensysteme einzuloggen
• Geld, etwa durch eine dringende Überweisung auf ein fremdes Konto
• Schadsoftware, die über einen Anhang oder Link ins Firmennetz gelangt

Die häufigsten Methoden

Phishing

Gefälschte E-Mails, die wie echte Nachrichten von bekannten Absendern aussehen – mit einem Link zu einer nachgebauten Anmeldeseite. Klassiker: „Ihr Postfach ist voll“, „Ihre Rechnung liegt bereit“ oder „Bitte bestätigen Sie Ihr Konto“.

Spear-Phishing

Gezieltes Phishing gegen eine bestimmte Person. Die Täter recherchieren vorher, etwa über die Website oder Business-Netzwerke, und schreiben dann passgenau: mit echtem Projektnamen, echtem Kollegen und glaubwürdigem Anlass.

CEO-Fraud

Eine angebliche Nachricht der Geschäftsführung an die Buchhaltung: Eine vertrauliche, dringende Überweisung muss heute noch raus – bitte nicht darüber sprechen. Die Kombination aus Autorität, Zeitdruck und Geheimhaltung ist das typische Muster.

Vishing und Smishing

Dieselben Maschen per Telefon (Vishing) oder SMS bzw. Messenger (Smishing). Besonders verbreitet: ein Anruf vom „IT-Support“, der wegen eines angeblichen Problems einen Code oder eine Fernwartung braucht. Mit KI lassen sich Stimmen inzwischen täuschend echt nachahmen.

Pretexting

Der Täter baut eine glaubwürdige Geschichte auf – als neuer Dienstleister, Bewerber oder Kollege aus einer anderen Niederlassung – und sammelt Schritt für Schritt Informationen, die einzeln harmlos wirken.

Baiting und Tailgating

Beim Baiting liegt ein „verlorener“ USB-Stick auf dem Parkplatz, beim Tailgating geht jemand mit vollen Händen einfach hinter einem Mitarbeiter durch die gesicherte Tür. Beides setzt auf Neugier und Höflichkeit.

Woran Sie Social Engineering erkennen

Fast alle Versuche haben mindestens eines dieser Merkmale:

• Zeitdruck: „Sofort“, „heute noch“, „sonst wird Ihr Konto gesperrt“
• Autorität: Die Nachricht kommt angeblich von ganz oben oder von einer Behörde
• Geheimhaltung: „Bitte nicht mit Kollegen besprechen“
• Ungewöhnlicher Weg: Eine Bitte, die sonst nie per E-Mail, SMS oder Anruf kommt
• Abweichende Details: Absenderadresse, Link-Ziel oder Bankverbindung passen nicht ganz

Eine einfache Regel hilft in den meisten Fällen: Im Zweifel über einen bekannten Weg zurückfragen – also die Nummer aus dem Telefonverzeichnis wählen, nicht die aus der Nachricht.

So schützen Sie Ihr Unternehmen

1. Zwei-Faktor-Anmeldung überall: Selbst wenn ein Passwort abgegriffen wird, kommt der Täter ohne den zweiten Faktor nicht weiter.
2. Vier-Augen-Prinzip für Zahlungen: Neue Bankverbindungen und ungewöhnliche Überweisungen werden immer über einen zweiten Weg bestätigt.
3. Ein klarer Meldeweg: Jeder weiß, wohin verdächtige Nachrichten gehen – und niemand wird für eine Meldung oder einen Fehlklick kritisiert. Wer Angst vor Ärger hat, meldet nicht.
4. E-Mail-Domain absichern: Mit SPF, DKIM und DMARC wird es deutlich schwerer, Mails in Ihrem Namen zu fälschen.
5. Regelmäßig schulen: Kurze, praxisnahe Einheiten wirken besser als ein langer Vortrag im Jahr.
6. Üben unter echten Bedingungen: Eine Phishing-Simulation zeigt, wie gut der Schutz im Alltag funktioniert – und wo Schulung am meisten bringt.

Was bringt eine Phishing-Simulation?

Bei einer Simulation erhält Ihr Team realistische, aber harmlose Test-Nachrichten. Wer klickt, sieht einen kurzen Hinweis statt eines Schadens. Sie erfahren, welche Maschen in Ihrem Unternehmen funktionieren würden, und können gezielt nachschulen.

Wichtig ist ein fairer Rahmen: Die Simulation wird vorher sauber vereinbart, die Auswertung dient dem Lernen und nicht der Kontrolle Einzelner. Wie das im Detail aussieht, legen wir mit jedem Kunden individuell fest.

Wenn Sie wissen möchten, wie gut Ihr Unternehmen gegen Social Engineering aufgestellt ist, sprechen Sie uns an – mehr dazu auf unserer Seite zu Cyber Security.