Was ist Social Engineering?

Social Engineering einfach erklärt

Den Grundgedanken kennen Sie aus dem Alltag: Wer mit Warnweste und Klemmbrett selbstbewusst durch eine Tür geht, wird selten aufgehalten. Er sieht ja aus, als hätte er dort zu tun. Ein Schloss muss er nicht knacken – sein Auftreten genügt. Social Engineering überträgt diesen Trick auf Unternehmen: per E-Mail, am Telefon oder direkt vor Ort.

Statt mühsam nach technischen Lücken zu suchen, bringen Angreifer Beschäftigte dazu, ihnen freiwillig zu helfen: ein Passwort zu nennen, eine Datei zu öffnen, eine Überweisung freizugeben oder die Tür aufzuhalten. Das funktioniert, weil die Täter Eigenschaften ausnutzen, die im Arbeitsalltag eigentlich erwünscht sind – Hilfsbereitschaft, Vertrauen und der Wunsch, Aufgaben schnell zu erledigen.

Wichtig: Wer auf Social Engineering hereinfällt, ist nicht naiv. Die Angriffe sind professionell vorbereitet und treffen Menschen oft in einem stressigen Moment. Wie anfällig ein Unternehmen tatsächlich ist, lässt sich mit einem abgestimmten Social-Engineering-Test realistisch prüfen.

So funktioniert Social Engineering

Die meisten Angriffe folgen einem ähnlichen Muster:

1. Informationen sammeln: Die Täter werten frei zugängliche Quellen aus – Firmenwebsite, Stellenanzeigen, berufliche Netzwerke. Diese Recherche heißt OSINT (Open Source Intelligence).
2. Vorwand aufbauen: Sie schlüpfen in eine glaubwürdige Rolle, etwa als IT-Support, Lieferant, neue Kollegin oder Geschäftsführer. Fachleute nennen das Pretexting.
3. Kontakt aufnehmen und Druck erzeugen: Das geschieht per E-Mail, Telefon, Kurznachricht oder persönlich. Typische Hebel sind Autorität („Der Chef braucht das sofort“), Dringlichkeit, Angst oder ein kleines Geschenk.
4. Ziel erreichen: Das Opfer gibt Daten preis, installiert Schadsoftware, überweist Geld oder gewährt Zutritt.

Bekannte Formen sind Phishing per E-Mail, Vishing per Telefon und Smishing per SMS. Hinzu kommt der CEO-Fraud: Täter geben sich als Geschäftsführung aus und weisen Zahlungen an. Auch präparierte USB-Sticks als Köder (Baiting) und das unauffällige Mitgehen durch eine gesicherte Tür (Tailgating) gehören dazu.

Ein Beispiel aus der Praxis

Die Office-Managerin eines Ingenieurbüros erhält einen Anruf. Der Anrufer stellt sich als Techniker des IT-Dienstleisters vor, nennt den Namen des zuständigen Betreuers und erwähnt ein laufendes Projekt – alles Informationen, die er vorher im Internet gefunden hat. Er kündigt ein dringendes Sicherheitsupdate an.

Kurz darauf kommt eine E-Mail mit dem Link zu einem Fernwartungsprogramm. Die Office-Managerin installiert es, weil alles stimmig wirkt. Zum Schluss bittet der Anrufer noch um den Bestätigungscode auf ihrem Smartphone, „damit das Update durchläuft“.

Damit hat er Zugriff auf ihren Rechner und ihr E-Mail-Konto. Eine einfache Regel hätte den Angriff gestoppt: Rückruf beim Dienstleister über die bekannte Nummer.

Warum ist das für Unternehmen wichtig?

Firewalls, Virenschutz und Verschlüsselung helfen wenig, wenn jemand Angreifern freiwillig die Tür öffnet. Social Engineering ist deshalb häufig der erste Schritt größerer Angriffe – vom Datendiebstahl bis zur Verschlüsselung ganzer Netze durch Ransomware. Gefälschte Zahlungsanweisungen verursachen zudem direkte finanzielle Schäden.

Auch der Gesetzgeber hat das Thema im Blick. Die NIS2-Richtlinie zählt Schulungen zur Cybersicherheit zu den Pflichtmaßnahmen betroffener Unternehmen. Die Mitglieder der Geschäftsleitung müssen sogar selbst an Schulungen teilnehmen.

So schützen Sie sich

• Verbindliche Prozesse: Zahlungen und geänderte Bankverbindungen nur nach Rückruf über eine bekannte Nummer und im Vier-Augen-Prinzip freigeben.
• Klare Regeln für Zugangsdaten: Passwörter und Bestätigungscodes werden nie weitergegeben – auch nicht an die IT oder die Geschäftsführung.
• Sensibilisierung: Regelmäßige, praxisnahe Schulungen machen aktuelle Maschen bekannt.
• Offene Fehlerkultur: Wer einen Fehler meldet, wird nicht bestraft. Nur so erfahren Sie früh von einem Angriff.
• Zutritt regeln: Besucherausweise, begleitete Gäste und gesicherte Türen erschweren unbefugten Zutritt.
• Weniger preisgeben: Prüfen Sie, welche Details über Abläufe und Personen öffentlich sichtbar sind.
• Realistisch testen: Abgestimmte, simulierte Angriffe zeigen, wo Prozesse greifen und wo nicht. Binden Sie Betriebsrat und Datenschutz dabei frühzeitig ein.

Wie Rootsektor unterstützt

Unter Social Engineering & physische Tests bieten wir autorisierte Simulationen von Phishing, Anrufen und Zutrittsversuchen an – so ausgewertet, dass einzelne Mitarbeitende nicht bloßgestellt werden. Mit Security Awareness & Phishing-Simulation stärken wir Ihr Team anschließend gezielt. Eine OSINT-Analyse zeigt, welche Informationen Angreifer schon heute über Ihr Unternehmen finden.