Social Engineering bezeichnet die psychologische Manipulation von Personen mit dem Ziel, unberechtigt an vertrauliche Informationen oder Zugang zu geschützten Systemen und Bereichen zu gelangen, indem menschliche Verhaltensweisen statt technischer Schwachstellen ausgenutzt werden.
Auf einen Blick
Phishing, Vishing, Pretexting oder Baiting sind typische Formen des Social Engineering.
Weil der Mensch selbst das Angriffsziel ist, können rein technische Schutzmaßnahmen allein Social Engineering nicht zuverlässig verhindern.
Baiting mit präparierten USB-Sticks, Pretexting am Telefon und Phishing per E-Mail nutzen psychologische Hebel wie Vertrauen, Autorität, Zeitdruck, Hilfsbereitschaft oder Neugier über unterschiedliche Kanäle.
Was ist Social Engineering?
Social Engineering bezeichnet die psychologische Manipulation von Personen mit dem Ziel, unberechtigt an vertrauliche Informationen oder Zugang zu geschützten Systemen und Bereichen zu gelangen. Angreifer nutzen dabei menschliche Verhaltensweisen wie Vertrauen, Hilfsbereitschaft oder Autoritätshörigkeit aus, anstatt technische Schwachstellen direkt anzugreifen. Der Begriff beschreibt eine übergeordnete Angriffsmethode und keinen einzelnen technischen Angriffstyp: Phishing-E-Mails, Anrufe eines vermeintlichen IT-Technikers oder präparierte USB-Sticks sind unterschiedliche Formen des Social Engineering über unterschiedliche Kanäle. Laut BSI bietet die Kommunikation über digitale Kanäle wie E-Mail ein besonders günstiges Umfeld, weil Angreifer ihr Gegenüber dort nicht wie im direkten Gespräch über alle Sinne hinweg täuschen müssen.
Statt technische Schwachstellen anzugreifen, nutzen Angreifer bei Mitarbeitern eines Versicherers menschliches Vertrauen, Hilfsbereitschaft oder Autoritätshörigkeit aus, was rein technische Schutzmaßnahmen allein nicht zuverlässig verhindern können. Weil ungewöhnliche Anfragen im Kundenkontakt und im Schadenmanagement nicht immer leicht von legitimen Vorgängen zu unterscheiden sind, ergänzt eine geschulte Rückfragepraxis die technischen Schutzmaßnahmen um eine wichtige menschliche Kontrollinstanz. Gerade dort, wo Kundendaten und Zahlungsvorgänge im Tagesgeschäft ohnehin wechseln, fällt eine mit Social Engineering vorbereitete Anfrage schwerer auf als in einem starren Prozess.
Wie funktioniert Social Engineering?
Viele Social-Engineering-Angriffe kombinieren drei Elemente: eine glaubwürdige Rolle des Angreifers, einen plausiblen Vorwand für die Anfrage und einen psychologischen Hebel wie Zeitdruck, Autorität oder Hilfsbereitschaft. Die Rolle kann ein IT-Techniker, ein Vorgesetzter oder ein externer Dienstleister sein, je nachdem, welcher Zugang zum Ziel führt. Wie überzeugend diese Rolle wirkt, kann von Details abhängen, etwa Fachbegriffen, einem passenden Vorwand-Ticket oder einer bekannt wirkenden internen Kennung.
Der Vorwand liefert einen Grund, der eine ungewöhnliche Bitte rechtfertigt, etwa eine dringende Systemstörung oder eine ausstehende Zahlung. Der psychologische Hebel sorgt dafür, dass die Zielperson eher reagiert als nachfragt: Autoritätshörigkeit lässt Anweisungen unhinterfragt erscheinen, Zeitdruck verkürzt die Prüfung, und Hilfsbereitschaft macht ein Nein unangenehm. Angreifer können vorab öffentlich zugängliche Informationen aus sozialen Netzwerken oder der Unternehmenswebseite sammeln, um Rolle und Vorwand glaubwürdig zu gestalten. Je genauer diese Vorbereitung ausfällt, desto schwerer lässt sich die Anfrage allein am Inhalt als Täuschung erkennen.
Woran erkenne ich Social Engineering?
| Signal | Woran erkennbar |
|---|---|
| Ungewöhnliche Dringlichkeit bei der Anfrage | Bitte soll ohne Rückfrage oder Verzögerung erfüllt werden |
| Anfrage nach Passwörtern oder Authentisierungscodes | seriöse Stellen fordern nicht dazu auf, Passwörter oder Authentisierungscodes telefonisch oder per E-Mail weiterzugeben |
| Vorgetäuschte Autorität oder Amtsstellung | Anrufer oder Absender gibt sich als Vorgesetzter, IT-Support, Dienstleister oder Behörde aus |
| Gefundene Datenträger oder Anhänge aus unbekannter Quelle | USB-Stick oder E-Mail-Anhang stammt nicht aus einem bekannten, erwarteten Vorgang |
Schutz im Ernstfall
Vorbeugen
- Schulung der Mitarbeiter zu Social-Engineering-Maschen und typischen Vorwänden
- Feste Rückruf- und Verifikationsregeln über bekannte oder unabhängig verifizierte Kontaktdaten bei ungewöhnlichen Anfragen
- Passwörter oder Authentisierungscodes nicht telefonisch oder per E-Mail weitergeben
- Unbekannte USB-Sticks oder Datenträger nicht an Firmenrechner anschließen
Was tun im Ernstfall
- Verdächtigen Kontakt nicht weiter beantworten und intern melden
- Betroffene Zugangsdaten umgehend ändern beziehungsweise sperren lassen, wenn sie offengelegt wurden
- Vorfall an die interne Sicherheitsstelle melden, damit weitere Konten geprüft werden
Beispiele aus der Praxis
- Beim CEO-Fraud gibt sich ein Angreifer per E-Mail als Geschäftsführer aus und weist die Buchhaltung an, dringend eine hohe Summe auf ein fremdes Konto zu überweisen.
- Ein Angreifer ruft als vermeintlicher IT-Techniker an und bittet einen Mitarbeiter, sein Passwort zur Fehlerbehebung telefonisch mitzuteilen.
- Per Phishing-E-Mail, die eine bekannte Organisation imitiert, werden Empfänger auf eine gefälschte Login-Seite gelockt, um ihre Zugangsdaten abzugreifen.
- Ein Angreifer hinterlässt präparierte USB-Sticks auf dem Parkplatz eines Versicherers, in der Erwartung, dass Mitarbeiter aus Hilfsbereitschaft oder Neugier den Fund an einem Firmenrechner anschließen.
Die Varianten im Detail (14)
Dark-Pattern Dark-Pattern sind Gestaltungsmuster in Benutzeroberflächen, die Nutzer zu unbeabsichtigten Entscheidungen verleiten.
Solche Muster täuschen über Bedeutung und Folgen von Schaltflächen, Voreinstellungen oder Hinweisen und lenken Klicks gezielt um. Im Umfeld von Phishing dienen sie dazu, Zustimmungen, Eingaben oder Freigaben zu erschleichen.
Fake-Captcha Fake-Captcha ist eine gefälschte Sicherheitsabfrage, die Besucher zu schädlichen Klicks oder Eingaben verleitet.
Die Abfrage imitiert die Optik echter Captcha-Prüfungen, verlangt aber etwa das Bestätigen von Benachrichtigungen oder das Ausführen von Befehlen. Das vermeintliche Routineverfahren senkt die Wachsamkeit der Besucher.
Fake-Support-Betrug Fake-Support-Betrug meldet gefälschte Warnungen oder Störungen und verlangt Fernzugriff, Zahlungen oder Zugangsdaten.
Die Täter melden gefälschte Warnungen oder Störungen und bieten angebliche Hilfe an. Dabei fordern sie Fernzugriff, Zahlungen oder Zugangsdaten und nutzen die Verunsicherung der Betroffenen aus.
Gewinnspiel-Betrug Gewinnspiel-Betrug bezeichnet Täuschungen mit erfundenen Preisen, um Daten oder Zahlungen von Teilnehmern zu erlangen.
Opfer erhalten die Nachricht, sie hätten gewonnen, und sollen zur Auszahlung persönliche Angaben machen oder vorab Gebühren entrichten. Der versprochene Gewinn existiert nicht; das Gewinnversprechen ist nur der Aufhänger.
Köderung Köderung ist eine Methode, bei der ein verlockendes Angebot oder Objekt Opfer zu einer schädlichen Handlung verleitet.
Als Köder dienen etwa kostenlose Downloads oder zurückgelassene Datenträger. Neugier oder Gier der Person ersetzen den technischen Einbruch; erst die eigene Handlung löst die Infektion oder die Preisgabe von Daten aus.
Layer-8-Angriff Layer-8-Angriff bezeichnet im Fachjargon einen Angriff, der den Menschen statt der Technik ins Ziel nimmt.
Der Begriff stammt aus dem Fachjargon: Über den sieben technischen Schichten des OSI-Modells steht scherzhaft der Anwender als achte Schicht. Angriffe auf dieser Ebene setzen auf Täuschung und Fehlverhalten statt auf Schwachstellen.
Online-Anlagebetrug Online-Anlagebetrug lockt mit erfundenen Renditeversprechen auf falsche Plattformen, auf denen Auszahlungen ausbleiben.
Täter bauen über Anzeigen, Chats oder soziale Netzwerke Vertrauen auf und führen scheinbare Gewinne vor. Die Einzahlungen fließen an die Täter, während Auszahlungen ausbleiben oder mit neuen Forderungen verknüpft werden.
Reverse-Social-Engineering Reverse-Social-Engineering ist ein Vorgehen, bei dem das Opfer von sich aus den Angreifer um Hilfe bittet.
Der Angreifer verursacht zuerst ein Problem und präsentiert sich anschließend als Ansprechpartner für die Lösung. Weil die Kontaktaufnahme vom Opfer ausgeht, wirkt die angebotene Hilfe besonders glaubwürdig.
Romance-Scam Romance-Scam täuscht über Dating-Portale eine Beziehung vor und schildert später angebliche Notlagen.
Über Dating-Portale oder soziale Netzwerke bauen die Täter über längere Zeit emotionale Nähe auf und schildern dann angebliche Notlagen. Die aufgebaute Bindung dient dazu, Zahlungen zu rechtfertigen.
USB-Drop-Angriff USB-Drop-Angriff ist ein Angriff mit präparierten USB-Datenträgern, die an auffindbaren Orten liegen gelassen werden.
Finder stecken den Datenträger aus Neugier an einen Rechner an, wodurch Schadcode ausgeführt werden kann. Der Angriff verbindet einen physischen Köder mit menschlicher Neugier und umgeht so Schutz auf Netzwerkebene.
Vertrauenserschleichung Vertrauenserschleichung bezeichnet das gezielte Erwecken von Vertrauen, um Opfer zur Preisgabe von Daten zu bewegen.
Täter geben sich als vertrauenswürdige Person oder Stelle aus und nutzen Autorität, Hilfsbereitschaft oder vermeintliche Bekanntschaft. Sie bildet die psychologische Grundlage vieler Manipulationsformen.
Xing-Social-Engineering Xing-Social-Engineering ist Social Engineering, das das berufliche Netzwerk Xing für Kontakte und Informationen nutzt.
Angreifer nutzen Profilangaben zu Position, Arbeitgeber und Kontakten, um glaubwürdige Ansprachen vorzubereiten. Berufliche Netzwerke liefern dafür Recherchematerial und einen scheinbar seriösen Rahmen.
YouTube-Scam YouTube-Scam setzt auf Videos, Kommentare oder Kanäle mit gefälschten Gewinn- und Investitionsversprechen.
Typisch sind gefälschte Gewinn- und Investitionsversprechen sowie Links zu schädlichen Seiten in Beschreibung oder Kommentaren. Die Reichweite der Plattform macht viele Betroffene gleichzeitig erreichbar.
YouTube-Spam YouTube-Spam bezeichnet massenhaft verbreitete unerwünschte Kommentare oder Videos auf YouTube, oft mit Betrugslinks.
Oft handelt es sich um automatisiert gepostete Nachrichten mit Verweisen auf Fake-Angebote oder Schadseiten. Spam ist die Streuform, aus der sich gezielte Betrugsversuche entwickeln können.
Häufiger Irrtum
Mythos „Social Engineering betrifft nur unaufmerksame oder technisch unerfahrene Mitarbeiter.“
Richtig Beim Social Engineering werden laut BSI menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität ausgenutzt, um Personen geschickt zu manipulieren. Weil Täter dabei tief sitzende menschliche Dispositionen und Bedürfnisse ausnutzen, ist es laut BSI schwer, sich zuverlässig gegen diese Angriffsform zu schützen.
