Was ist Social Engineering: Methoden, Ablauf und was wirklich dagegen hilft

Kein Angreifer bricht eine Verschlüsselung, wenn er stattdessen jemanden fragen kann. Social Engineering ist die Manipulation von Menschen mit dem Ziel, an Informationen, Zugangsdaten oder Geld zu kommen - oder eine Handlung auszulösen, die dem Angreifer nützt. Die Technik dahinter ist oft trivial. Entscheidend ist, ob der Vorwand glaubwürdig ist.

Dieser Artikel geht durch, warum diese Angriffe so zuverlässig funktionieren, wie sie in vier Phasen ablaufen, welche Methoden aktuell in Deutschland auftreten, was künstliche Intelligenz daran verändert hat, was in der Praxis dagegen wirkt und wie sich die eigene Widerstandsfähigkeit messen lässt.

Warum es funktioniert

Nicht weil Menschen unaufmerksam sind. Sondern weil Angreifer gezielt Verhaltensmuster nutzen, die im Arbeitsalltag normalerweise nützlich sind:

• Autorität. Eine Anweisung von oben wird seltener hinterfragt. Das ist der Kern jedes CEO-Fraud.
• Zeitdruck. „Bis 16 Uhr, sonst platzt der Abschluss.“ Druck verkürzt die Prüfung.
• Hilfsbereitschaft. Wer im Support arbeitet, ist dafür bezahlt, Probleme zu lösen - nicht dafür, Anrufer zu misstrauen.
• Vertrautheit. Ein bekannter Name, ein laufender E-Mail-Thread, ein Logo an der richtigen Stelle. Vertrautheit ersetzt Prüfung.
• Angst vor Konsequenzen. „Ihr Konto wird in 24 Stunden gesperrt.“

Der wirtschaftliche Grund ist banal: Ein Exploit für eine ungepatchte Software kostet Zeit oder Geld und funktioniert nach dem nächsten Update nicht mehr. Eine überzeugende E-Mail kostet zehn Minuten und funktioniert weiter.

Die vier Phasen eines Angriffs

1. Recherche. Wer arbeitet wo, wer berichtet an wen, welche Systeme werden benutzt, wer ist gerade im Urlaub. Alles davon steht öffentlich in Karriereseiten, Netzwerkprofilen, Pressemitteilungen und Stellenanzeigen - eine ausgeschriebene Stelle nennt oft die eingesetzte Software gleich mit. Wie das im Detail abläuft, beschreiben wir im Artikel KI und OSINT.
2. Vertrauensaufbau. Der Vorwand wird gebaut: eine plausible Rolle, ein plausibler Anlass, ein plausibler Kanal. Häufig mit einem harmlosen ersten Kontakt, der nichts verlangt.
3. Ausnutzung. Die eigentliche Bitte - ein Klick, eine Anmeldung, eine Überweisung, ein Passwort-Reset, ein aufgehaltener Tür.
4. Rückzug. Spuren beseitigen, Zugang absichern, Weiterleitungsregeln im Postfach anlegen. Genau hier entscheidet sich, ob der Vorfall in Tagen oder erst in Monaten auffällt.

Die häufigsten Methoden

Business E-Mail Compromise ist dabei die wirtschaftlich teuerste Variante, weil sie keinen Schadcode braucht: Der Angreifer sitzt in einem echten Postfach und ändert in einer echten Rechnung eine IBAN. Es gibt nichts zu erkennen, was ein Virenscanner erkennen könnte.

Was künstliche Intelligenz verändert hat

Die klassischen Ratschläge lauteten: auf Rechtschreibfehler achten, auf unpersönliche Anreden achten. Beide sind nicht mehr brauchbar.

• Sprachqualität. Fehlerfreies, idiomatisches Deutsch ist heute kostenlos verfügbar. Der auffällige Übersetzungsfehler als Warnsignal ist weg.
• Personalisierung im Massenbetrieb. Was früher Handarbeit für ein einzelnes hochwertiges Ziel war, läuft jetzt automatisiert für tausend Empfänger - jeweils mit richtigem Vorgesetzten, richtigem Projekt und richtigem Tonfall.
• Synthetische Stimmen. Wenige Sekunden Audiomaterial aus einem Podcast, einem Webinar oder einer Sprachnachricht reichen für eine überzeugende Nachbildung. Wir haben das im Artikel Deepfake-Betrug und Vishing im Detail beschrieben.
• Video in Echtzeit. Der Sprung von der Stimme zum Gesicht in einer Videokonferenz ist inzwischen vollzogen.

Die praktische Folge: Erkennung am Inhalt trägt nicht mehr. Was trägt, ist Verifikation über einen zweiten, unabhängigen Kanal - und zwar über eine Nummer aus dem Verzeichnis, nicht über die Nummer aus der Nachricht.

Was tatsächlich dagegen wirkt

Technisch:

• Phishing-resistente Mehrfaktor-Authentifizierung nach FIDO2 beziehungsweise WebAuthn. Der entscheidende Unterschied zu SMS-Codes und Einmalpasswörtern: Der Schlüssel bindet sich an die echte Domain, deshalb kann eine vorgeschaltete Phishing-Seite ihn nicht weiterreichen.
• Nummernabgleich statt einfacher Push-Bestätigung, damit MFA-Fatigue nicht funktioniert.
• SPF, DKIM und DMARC mit einer durchsetzenden Richtlinie, damit die eigene Domain nicht gefälscht werden kann.
• Sichtbare Kennzeichnung externer E-Mails direkt im Nachrichtentext.
• Vier-Augen-Prinzip für Zahlungen ab einer Schwelle und für jede Änderung von Bankverbindungen - unabhängig davon, wer sie anweist.

Organisatorisch:

• Ein Verifikationsverfahren, das jeder kennt. Ungewöhnliche Anweisung? Rückruf über die Nummer aus dem internen Verzeichnis. Das muss eine Regel sein, keine persönliche Entscheidung.
• Eine Meldung, die nichts kostet. Ein Meldeknopf im Mailprogramm und die glaubwürdige Zusage, dass eine Fehlmeldung folgenlos bleibt. Wer eine Rüge fürchtet, meldet nicht - und dann erfahren Sie es aus dem Bericht des Angreifers.
• Wiederkehrende, kurze Schulungen zur Cybersicherheit statt einer jährlichen Pflichtveranstaltung. Wirkung ist eine Frage der Frequenz, nicht der Länge.

Wie sich Widerstandsfähigkeit messen lässt

Vermuten reicht nicht. Eine beauftragte Social-Engineering-Simulation misst drei Zahlen:

• Klickrate - wie viele haben den Link geöffnet.
• Eingaberate - wie viele haben Zugangsdaten eingegeben. Das ist der Schaden.
• Meldequote - wie viele haben den Vorfall gemeldet, und wie schnell.

Die dritte Zahl ist die wichtigste und wird am häufigsten weggelassen. Eine Organisation, in der 12 % klicken, aber 60 % innerhalb von zehn Minuten melden, ist deutlich widerstandsfähiger als eine, in der 4 % klicken und niemand etwas sagt. Klicken wird immer jemand. Ob Sie es rechtzeitig erfahren, ist die Frage, die zählt.

Zwei Bedingungen für eine Simulation, die nicht schadet: Die Auswertung erfolgt aggregiert, nicht personenbezogen, und in Deutschland ist die Beteiligung des Betriebsrats von Anfang an einzuplanen. Eine Kampagne, die einzelne Mitarbeitende bloßstellt, senkt die Meldequote dauerhaft - Sie zahlen dann dafür, Ihr wichtigstes Frühwarnsystem abzuschalten.

Wenn Sie es wegen einer Vorgabe angehen

Social Engineering ist auch dort relevant, wo es um Nachweise geht. NIS2 verlangt in Artikel 21 Absatz 2 unter anderem Schulungen im Bereich Cybersicherheit, und ISO 27001 fordert in Anhang A 6.3 Sensibilisierung, Ausbildung und Schulung. Ein dokumentierter Simulationsdurchlauf mit Vorher-Nachher-Messung ist der übliche Nachweis dafür, dass diese Maßnahme nicht nur existiert, sondern wirkt.

Wie das in die restliche Nachweiskette passt, steht auf den Seiten zu NIS2 und ISO 27001.

Social Engineering - häufige Fragen

Passende Haxoris-Leistungen: Social-Engineering- und Phishing-Tests · Mitarbeiterschulungen zur Cybersicherheit · Red Teaming — Simulation eines realen Angriffs