Social Engineering — einfach erklärt

Was ist Social Engineering?

Social Engineering bezeichnet Angriffsmethoden, bei denen nicht Server, Firewalls oder Software das Ziel sind, sondern der Mensch selbst. Angreifer nutzen psychologische Tricks, um Mitarbeitende zu einer Handlung zu bewegen, die sie unter normalen Umständen nicht ausführen würden — eine Überweisung freigeben, ein Passwort weitergeben, einen Anhang öffnen oder jemandem Zutritt zum Gebäude gewähren.

Der Grundgedanke dahinter: Die beste Firewall nützt wenig, wenn jemand freiwillig die Tür öffnet. Deshalb gilt der Mensch in der IT-Sicherheit zu Recht als eigenständiges Angriffsziel — und nicht als bloße Randnotiz neben der Technik.

Wie funktioniert Social Engineering?

Angreifer setzen dabei fast immer auf dieselben psychologischen Hebel:

1. Dringlichkeit — Es muss angeblich sofort gehandelt werden, für Nachfragen bleibt keine Zeit. Diese künstliche Eile soll verhindern, dass die Situation in Ruhe geprüft wird.
2. Autorität — Die Anfrage kommt scheinbar von der Geschäftsführung, einer Behörde oder einem bekannten Lieferanten. Wer eine Anweisung von „oben” erhält, hinterfragt sie seltener.
3. Vertrauen und Sympathie — Angreifer geben sich als Kollege, IT-Support oder Dienstleister aus und nutzen bestehende Beziehungen oder höfliches Entgegenkommen gezielt aus.
4. Neugier oder Angst — Eine angebliche Rechnung, eine Mahnung oder eine verlockende Nachricht sorgt dafür, dass ein Anhang geöffnet oder ein Link angeklickt wird, ohne lange nachzudenken.

Diese Maschen zeigen sich in ganz unterschiedlichen Kanälen: als E-Mail, als Telefonanruf, als Nachricht über Messenger oder sogar persönlich am Empfang. Phishing und der sogenannte CEO-Fraud sind die bekanntesten Spielarten von Social Engineering.

Worauf KMU achten sollten

1. Klare Prozesse statt Bauchentscheidungen. Zahlungsfreigaben und Passwortänderungen sollten nie allein auf Zuruf erfolgen, sondern einem festen, dokumentierten Ablauf folgen.
2. Vier-Augen-Prinzip bei kritischen Vorgängen. Gerade bei Überweisungen oder Zugriffsänderungen senkt eine zweite prüfende Person das Risiko spürbar.
3. Feste Rückfragewege einrichten. Bei ungewöhnlichen Anfragen — auch von der vermeintlichen Chefin oder dem Chef — gehört ein Rückruf über eine bekannte, unabhängige Nummer zum Standard.
4. Regelmäßige Schulung statt einmaliger Belehrung. Awareness ist kein einmaliges Thema, sondern muss immer wieder aufgefrischt werden, weil sich die Maschen der Angreifer stetig weiterentwickeln.
5. Fehler dürfen gemeldet werden, ohne Angst vor Konsequenzen. Wer merkt, dass er auf einen Trick hereingefallen ist, muss das sofort melden können — je schneller das passiert, desto geringer der Schaden.

Social Engineering in der Praxis

Ein typisches Szenario: Die Buchhaltung erhält eine E-Mail, die angeblich von der Geschäftsführung stammt. Der Ton ist knapp, die Anfrage dringend: Eine Zahlung an einen neuen Lieferanten müsse noch heute raus, es gebe keine Zeit für Rückfragen. Die Absenderadresse sieht auf den ersten Blick passend aus, der Name stimmt. Genau diese Kombination aus Zeitdruck und scheinbarer Autorität ist der Kern von Social Engineering — nicht ein technischer Trick, sondern ein psychologischer.

Ein kurzer Rückruf bei der Geschäftsführung über die bekannte Telefonnummer hätte den Betrugsversuch in diesem Fall sofort aufgedeckt. Genau solche einfachen, aber verbindlichen Prozesse sind es, die ein Unternehmen wirksam schützen, wenn die Technik allein nicht mehr ausreicht.

Wie sich Social Engineering in ein rundes IT-Sicherheitskonzept einordnet und welche organisatorischen Maßnahmen dagegen wirklich helfen, zeigen wir bei IT-Sicherheit von LNIT.