Social Engineering einfach erklärt
Wörtlich übersetzt bedeutet der Begriff so viel wie „soziale Beeinflussung“. Angegriffen wird kein Programm, sondern das Urteil eines Menschen. Die Cybersicherheitsbehörde des Bundes (BSI) nennt Hilfsbereitschaft, Vertrauen, Angst und Respekt vor Autorität als die Eigenschaften, an denen Täter ansetzen. Neugier wirkt ähnlich, etwa bei einem Dateinamen wie „Gehaltsliste_2026“.
Mit Leichtgläubigkeit hat das wenig zu tun. Die Rolle ist sorgfältig gewählt, und die Bitte passt zur Lage: kurz vor Feierabend, mitten im Monatsabschluss oder mit Bezug auf einen Vorgang, der tatsächlich läuft.
Die Hebel im Arbeitsalltag
Die Hebel lassen sich an Situationen festmachen, die in kleinen und mittleren Unternehmen alltäglich sind:
- Hilfsbereitschaft: Ein Anrufer gibt sich als Kollege aus der Niederlassung aus, hat „gerade keinen Zugriff“ und bittet darum, ihm eine Datei weiterzuleiten.
- Autorität: Eine Nachricht im Namen der Geschäftsführung verlangt eine vertrauliche Zahlung. Diese Form heißt CEO-Fraud.
- Angst: Eine angebliche Behörde oder Bank droht mit Sperrung oder Bußgeld, wenn nicht heute noch etwas bestätigt wird.
- Neugier: Ein gefundener USB-Stick oder ein Link zu „Fotos von der Betriebsfeier“ verleitet zum Öffnen.
Gefährlich wird eine Masche vor allem, wenn mehrere Hebel zusammenkommen. Eine Anfrage, die freundlich beginnt, mit bekannten Namen arbeitet und am Ende Zeitdruck aufbaut, lässt kaum Raum zum Nachdenken. Dieses Muster zu durchschauen, ist ein zentrales Ziel der Sensibilisierung.
Kanäle: E-Mail, Telefon und Besuch
Für Täuschungen per E-Mail, SMS oder Messenger hat sich der Begriff Phishing eingebürgert. Am Telefon fällt Manipulation schwerer auf, weil keine Absenderadresse zu prüfen ist und die Rufnummer gefälscht sein kann. Das BSI nennt als Beispiel falsche Anrufe vermeintlicher Systemadministratoren, die zur angeblichen Fehlerbehebung nach dem Passwort fragen.
Auch der persönliche Kontakt gehört dazu: eine Person, die sich am Empfang als Techniker eines Dienstleisters vorstellt, oder ein Besucher, der kurz einen freien Netzwerkanschluss nutzen möchte. Das nötige Wissen finden Täter in offenen Quellen: Eine Teamseite nennt Ansprechpersonen, ein Jobangebot verrät die eingesetzte Branchensoftware, ein Messebericht den Namen des wichtigsten Kunden.
Die Bestellung, die der Stammkunde nie aufgegeben hat
Angenommen, ein Fachhändler für Werkzeuge und Befestigungstechnik mit 28 Mitarbeitenden erhält eine Bestellung per E-Mail. Absender ist scheinbar der Einkauf eines langjährigen Kunden, Name und Signatur stimmen, nur die Domain weicht um einen Buchstaben ab. Bestellt werden hochwertige Akkugeräte, geliefert werden soll ausnahmsweise an eine Baustellenadresse. Als der Innendienst nachfragt, ruft ein freundlicher Herr an, entschuldigt sich für die Eile und bestätigt alles.
Die Ware geht heraus, die Rechnung an den echten Kunden bleibt unbezahlt, denn dort hat niemand bestellt. Danach legt der Händler eine Regel fest: Abweichende Lieferadressen und Bestellungen über einem festgelegten Wert werden über die Telefonnummer bestätigt, die im Kundenstamm hinterlegt ist. Außerdem lernt der Innendienst, bei ungewohnten Wünschen die vollständige Absenderadresse zu prüfen, nicht nur den angezeigten Namen.
Drei Ebenen gegen Manipulation
Im Fall oben gab es keinen Schadcode und keinen Einbruch ins Netz. Weder ein Virenschutz noch eine Firewall bekamen also etwas zu sehen, worauf sie hätten reagieren können: Gehandelt hat jemand aus dem Innendienst mit ganz normalen Befugnissen. Wirksam ist deshalb ein Zusammenspiel:
- Abläufe: Rückruf über bekannte Nummern bei Zahlungen, Bankdaten und ungewöhnlichen Bestellungen; die feste Vereinbarung, dass Kennwörter und Anmeldecodes am Telefon tabu sind, egal wer danach fragt.
- Menschen: Wer typische Maschen kennt und einen einfachen Meldeweg hat, hält eher inne. Das Stichwort dafür lautet Security Awareness.
- Technik: Mailfilter, Hinweise auf externe Absender, die Multi-Faktor-Authentifizierung und knapp bemessene Rechte begrenzen den Schaden, wenn doch jemand getäuscht wird.
Hinzu kommt der Umgang mit Fehlern. Ein Betrieb, in dem ein Verdacht ohne Vorwürfe ausgesprochen werden darf, erfährt früher davon und kann Konten sperren oder eine Zahlung noch anhalten lassen.
Wie ProNet unterstützt
Wir sichern die Systeme im laufenden Betrieb ab, etwa mit Mailfiltern, Anmeldeschutz und einem Rechtekonzept mit knappen Befugnissen. Zu unserer Betreuung gehört außerdem eine Grundsensibilisierung, in der Ihr Team die gängigen Manipulationstricks kennenlernt. Den Überblick gibt unsere Seite IT-Sicherheit für Unternehmen. Wie Filter und Absenderprüfung gefälschte Nachrichten abfangen, zeigt die Seite zur E-Mail-Sicherheit für Unternehmen.