Social Engineering bezeichnet die psychologische Manipulation von Personen mit dem Ziel, unberechtigt an vertrauliche Informationen oder Zugang zu gesch\u00fctzten Systemen und Bereichen zu gelangen. Angreifer nutzen dabei menschliche Verhaltensweisen wie Vertrauen, Hilfsbereitschaft oder Autorit\u00e4tsh\u00f6rigkeit<\/strong> aus, anstatt technische Schwachstellen direkt anzugreifen. Der Begriff beschreibt eine \u00fcbergeordnete Angriffsmethode und keinen einzelnen technischen Angriffstyp: Phishing-E-Mails, Anrufe eines vermeintlichen IT-Technikers oder pr\u00e4parierte USB-Sticks sind unterschiedliche Formen des Social Engineering \u00fcber unterschiedliche Kan\u00e4le. Laut BSI bietet die Kommunikation \u00fcber digitale Kan\u00e4le wie E-Mail ein besonders g\u00fcnstiges Umfeld, weil Angreifer ihr Gegen\u00fcber dort nicht wie im direkten Gespr\u00e4ch \u00fcber alle Sinne hinweg t\u00e4uschen m\u00fcssen.<\/p>\n Statt technische Schwachstellen anzugreifen, nutzen Angreifer bei Mitarbeitern eines Versicherers menschliches Vertrauen, Hilfsbereitschaft oder Autorit\u00e4tsh\u00f6rigkeit aus, was rein technische Schutzma\u00dfnahmen allein nicht zuverl\u00e4ssig verhindern k\u00f6nnen. Weil ungew\u00f6hnliche Anfragen im Kundenkontakt und im Schadenmanagement nicht immer leicht von legitimen Vorg\u00e4ngen zu unterscheiden sind, erg\u00e4nzt eine geschulte R\u00fcckfragepraxis<\/strong> die technischen Schutzma\u00dfnahmen um eine wichtige menschliche Kontrollinstanz. Gerade dort, wo Kundendaten und Zahlungsvorg\u00e4nge im Tagesgesch\u00e4ft ohnehin wechseln, f\u00e4llt eine mit Social Engineering vorbereitete Anfrage schwerer auf als in einem starren Prozess.<\/p>\n Viele Social-Engineering-Angriffe kombinieren drei Elemente: eine glaubw\u00fcrdige Rolle des Angreifers, einen plausiblen Vorwand f\u00fcr die Anfrage und einen psychologischen Hebel wie Zeitdruck, Autorit\u00e4t oder Hilfsbereitschaft. Die Rolle kann ein IT-Techniker, ein Vorgesetzter oder ein externer Dienstleister<\/strong> sein, je nachdem, welcher Zugang zum Ziel f\u00fchrt. Wie \u00fcberzeugend diese Rolle wirkt, kann von Details abh\u00e4ngen, etwa Fachbegriffen, einem passenden Vorwand-Ticket oder einer bekannt wirkenden internen Kennung.<\/p>\n Der Vorwand liefert einen Grund, der eine ungew\u00f6hnliche Bitte rechtfertigt, etwa eine dringende Systemst\u00f6rung oder eine ausstehende Zahlung. Der psychologische Hebel sorgt daf\u00fcr, dass die Zielperson eher reagiert als nachfragt: Autorit\u00e4tsh\u00f6rigkeit l\u00e4sst Anweisungen unhinterfragt erscheinen, Zeitdruck verk\u00fcrzt die Pr\u00fcfung<\/strong>, und Hilfsbereitschaft macht ein Nein unangenehm. Angreifer k\u00f6nnen vorab \u00f6ffentlich zug\u00e4ngliche Informationen aus sozialen Netzwerken oder der Unternehmenswebseite sammeln, um Rolle und Vorwand glaubw\u00fcrdig zu gestalten. Je genauer diese Vorbereitung ausf\u00e4llt, desto schwerer l\u00e4sst sich die Anfrage allein am Inhalt als T\u00e4uschung erkennen.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,398],"class_list":["post-33663","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-social-engineering"],"acf":{"card_description":"Social Engineering nutzt menschliche Verhaltensweisen statt technischer Schwachstellen, um an vertrauliche Daten oder Zug\u00e4nge zu gelangen.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Social Engineering","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Social Engineering bezeichnet die psychologische Manipulation von Personen mit dem Ziel, unberechtigt an vertrauliche Informationen oder Zugang zu gesch\u00fctzten Systemen und Bereichen zu gelangen, indem menschliche Verhaltensweisen statt technischer Schwachstellen ausgenutzt werden.","at_a_glance":[{"bullet":"Phishing, Vishing, Pretexting oder Baiting sind typische Formen des Social Engineering."},{"bullet":"Weil der Mensch selbst das Angriffsziel ist, k\u00f6nnen rein technische Schutzma\u00dfnahmen allein Social Engineering nicht zuverl\u00e4ssig verhindern."},{"bullet":"Baiting mit pr\u00e4parierten USB-Sticks, Pretexting am Telefon und Phishing per E-Mail nutzen psychologische Hebel wie Vertrauen, Autorit\u00e4t, Zeitdruck, Hilfsbereitschaft oder Neugier \u00fcber unterschiedliche Kan\u00e4le."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Beim CEO-Fraud gibt sich ein Angreifer per E-Mail als Gesch\u00e4ftsf\u00fchrer aus und weist die Buchhaltung an, dringend eine hohe Summe auf ein fremdes Konto zu \u00fcberweisen."},{"example":"Ein Angreifer ruft als vermeintlicher IT-Techniker an und bittet einen Mitarbeiter, sein Passwort zur Fehlerbehebung telefonisch mitzuteilen."},{"example":"Per Phishing-E-Mail, die eine bekannte Organisation imitiert, werden Empf\u00e4nger auf eine gef\u00e4lschte Login-Seite gelockt, um ihre Zugangsdaten abzugreifen."},{"example":"Ein Angreifer hinterl\u00e4sst pr\u00e4parierte USB-Sticks auf dem Parkplatz eines Versicherers, in der Erwartung, dass Mitarbeiter aus Hilfsbereitschaft oder Neugier den Fund an einem Firmenrechner anschlie\u00dfen."}],"misconception":[{"myth":"Social Engineering betrifft nur unaufmerksame oder technisch unerfahrene Mitarbeiter.","reality":"Beim Social Engineering werden laut BSI menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorit\u00e4t ausgenutzt, um Personen geschickt zu manipulieren. Weil T\u00e4ter dabei tief sitzende menschliche Dispositionen und Bed\u00fcrfnisse ausnutzen, ist es laut BSI schwer, sich zuverl\u00e4ssig gegen diese Angriffsform zu sch\u00fctzen."}],"faq":null,"compare_answer":"","compare":null,"variants":[{"title":"Dark-Pattern","inline_description":"Dark-Pattern sind Gestaltungsmuster in Benutzeroberfl\u00e4chen, die Nutzer zu unbeabsichtigten Entscheidungen verleiten.","description":"Solche Muster t\u00e4uschen \u00fcber Bedeutung und Folgen von Schaltfl\u00e4chen, Voreinstellungen oder Hinweisen und lenken Klicks gezielt um. Im Umfeld von Phishing dienen sie dazu, Zustimmungen, Eingaben oder Freigaben zu erschleichen.","source":"","key":""},{"title":"Fake-Captcha","inline_description":"Fake-Captcha ist eine gef\u00e4lschte Sicherheitsabfrage, die Besucher zu sch\u00e4dlichen Klicks oder Eingaben verleitet.","description":"Die Abfrage imitiert die Optik echter Captcha-Pr\u00fcfungen, verlangt aber etwa das Best\u00e4tigen von Benachrichtigungen oder das Ausf\u00fchren von Befehlen. Das vermeintliche Routineverfahren senkt die Wachsamkeit der Besucher.","source":"","key":""},{"title":"Fake-Support-Betrug","inline_description":"Fake-Support-Betrug meldet gef\u00e4lschte Warnungen oder St\u00f6rungen und verlangt Fernzugriff, Zahlungen oder Zugangsdaten.","description":"Die T\u00e4ter melden gef\u00e4lschte Warnungen oder St\u00f6rungen und bieten angebliche Hilfe an. Dabei fordern sie Fernzugriff, Zahlungen oder Zugangsdaten und nutzen die Verunsicherung der Betroffenen aus.","source":"","key":""},{"title":"Gewinnspiel-Betrug","inline_description":"Gewinnspiel-Betrug bezeichnet T\u00e4uschungen mit erfundenen Preisen, um Daten oder Zahlungen von Teilnehmern zu erlangen.","description":"Opfer erhalten die Nachricht, sie h\u00e4tten gewonnen, und sollen zur Auszahlung pers\u00f6nliche Angaben machen oder vorab Geb\u00fchren entrichten. Der versprochene Gewinn existiert nicht; das Gewinnversprechen ist nur der Aufh\u00e4nger.","source":"","key":""},{"title":"K\u00f6derung","inline_description":"K\u00f6derung ist eine Methode, bei der ein verlockendes Angebot oder Objekt Opfer zu einer sch\u00e4dlichen Handlung verleitet.","description":"Als K\u00f6der dienen etwa kostenlose Downloads oder zur\u00fcckgelassene Datentr\u00e4ger. Neugier oder Gier der Person ersetzen den technischen Einbruch; erst die eigene Handlung l\u00f6st die Infektion oder die Preisgabe von Daten aus.","source":"","key":""},{"title":"Layer-8-Angriff","inline_description":"Layer-8-Angriff bezeichnet im Fachjargon einen Angriff, der den Menschen statt der Technik ins Ziel nimmt.","description":"Der Begriff stammt aus dem Fachjargon: \u00dcber den sieben technischen Schichten des OSI-Modells steht scherzhaft der Anwender als achte Schicht. Angriffe auf dieser Ebene setzen auf T\u00e4uschung und Fehlverhalten statt auf Schwachstellen.","source":"","key":""},{"title":"Online-Anlagebetrug","inline_description":"Online-Anlagebetrug lockt mit erfundenen Renditeversprechen auf falsche Plattformen, auf denen Auszahlungen ausbleiben.","description":"T\u00e4ter bauen \u00fcber Anzeigen, Chats oder soziale Netzwerke Vertrauen auf und f\u00fchren scheinbare Gewinne vor. Die Einzahlungen flie\u00dfen an die T\u00e4ter, w\u00e4hrend Auszahlungen ausbleiben oder mit neuen Forderungen verkn\u00fcpft werden.","source":"","key":""},{"title":"Reverse-Social-Engineering","inline_description":"Reverse-Social-Engineering ist ein Vorgehen, bei dem das Opfer von sich aus den Angreifer um Hilfe bittet.","description":"Der Angreifer verursacht zuerst ein Problem und pr\u00e4sentiert sich anschlie\u00dfend als Ansprechpartner f\u00fcr die L\u00f6sung. Weil die Kontaktaufnahme vom Opfer ausgeht, wirkt die angebotene Hilfe besonders glaubw\u00fcrdig.","source":"","key":""},{"title":"Romance-Scam","inline_description":"Romance-Scam t\u00e4uscht \u00fcber Dating-Portale eine Beziehung vor und schildert sp\u00e4ter angebliche Notlagen.","description":"\u00dcber Dating-Portale oder soziale Netzwerke bauen die T\u00e4ter \u00fcber l\u00e4ngere Zeit emotionale N\u00e4he auf und schildern dann angebliche Notlagen. Die aufgebaute Bindung dient dazu, Zahlungen zu rechtfertigen.","source":"","key":""},{"title":"USB-Drop-Angriff","inline_description":"USB-Drop-Angriff ist ein Angriff mit pr\u00e4parierten USB-Datentr\u00e4gern, die an auffindbaren Orten liegen gelassen werden.","description":"Finder stecken den Datentr\u00e4ger aus Neugier an einen Rechner an, wodurch Schadcode ausgef\u00fchrt werden kann. Der Angriff verbindet einen physischen K\u00f6der mit menschlicher Neugier und umgeht so Schutz auf Netzwerkebene.","source":"","key":""},{"title":"Vertrauenserschleichung","inline_description":"Vertrauenserschleichung bezeichnet das gezielte Erwecken von Vertrauen, um Opfer zur Preisgabe von Daten zu bewegen.","description":"T\u00e4ter geben sich als vertrauensw\u00fcrdige Person oder Stelle aus und nutzen Autorit\u00e4t, Hilfsbereitschaft oder vermeintliche Bekanntschaft. Sie bildet die psychologische Grundlage vieler Manipulationsformen.","source":"","key":""},{"title":"Xing-Social-Engineering","inline_description":"Xing-Social-Engineering ist Social Engineering, das das berufliche Netzwerk Xing f\u00fcr Kontakte und Informationen nutzt.","description":"Angreifer nutzen Profilangaben zu Position, Arbeitgeber und Kontakten, um glaubw\u00fcrdige Ansprachen vorzubereiten. Berufliche Netzwerke liefern daf\u00fcr Recherchematerial und einen scheinbar seri\u00f6sen Rahmen.","source":"","key":""},{"title":"YouTube-Scam","inline_description":"YouTube-Scam setzt auf Videos, Kommentare oder Kan\u00e4le mit gef\u00e4lschten Gewinn- und Investitionsversprechen.","description":"Typisch sind gef\u00e4lschte Gewinn- und Investitionsversprechen sowie Links zu sch\u00e4dlichen Seiten in Beschreibung oder Kommentaren. Die Reichweite der Plattform macht viele Betroffene gleichzeitig erreichbar.","source":"","key":""},{"title":"YouTube-Spam","inline_description":"YouTube-Spam bezeichnet massenhaft verbreitete unerw\u00fcnschte Kommentare oder Videos auf YouTube, oft mit Betrugslinks.","description":"Oft handelt es sich um automatisiert gepostete Nachrichten mit Verweisen auf Fake-Angebote oder Schadseiten. Spam ist die Streuform, aus der sich gezielte Betrugsversuche entwickeln k\u00f6nnen.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33642,33654,33638,33636,33671,33658,33682,33645],"pillar_link":null,"sources":[{"publisher":"","name":"Social Engineering \u2013 der Mensch als Schwachstelle","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Verbraucherinnen-und-Verbraucher\/Cyber-Sicherheitslage\/Methoden-der-Cyber-Kriminalitaet\/Social-Engineering\/social_engineering.html","doc_type":"","group":"used"},{"publisher":"","name":"Social Engineering (Empfehlungen f\u00fcr Unternehmen und Organisationen)","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Unternehmen-und-Organisationen\/Informationen-und-Empfehlungen\/Empfehlungen-nach-Gefaehrdungen\/Social-Engineering\/social-engineering_node.html","doc_type":"","group":"further"},{"publisher":"","name":"Phishing, Technique T1566","url":"https:\/\/attack.mitre.org\/techniques\/T1566\/","doc_type":"","group":"further"},{"publisher":"","name":"ENISA Threat Landscape 2020 \u2013 Phishing","url":"https:\/\/www.enisa.europa.eu\/sites\/default\/files\/publications\/ETL2020%20-%20Phishing%20A4.pdf","doc_type":"","group":"further"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-03"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert Social Engineering?<\/h2>\n
Woran erkenne ich Social Engineering?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Ungew\u00f6hnliche Dringlichkeit bei der Anfrage<\/td>\n Bitte soll ohne R\u00fcckfrage oder Verz\u00f6gerung erf\u00fcllt werden<\/td>\n<\/tr>\n \n Anfrage nach Passw\u00f6rtern oder Authentisierungscodes<\/td>\n seri\u00f6se Stellen fordern nicht dazu auf, Passw\u00f6rter oder Authentisierungscodes telefonisch oder per E-Mail weiterzugeben<\/td>\n<\/tr>\n \n Vorget\u00e4uschte Autorit\u00e4t oder Amtsstellung<\/td>\n Anrufer oder Absender gibt sich als Vorgesetzter, IT-Support, Dienstleister oder Beh\u00f6rde aus<\/td>\n<\/tr>\n \n Gefundene Datentr\u00e4ger oder Anh\u00e4nge aus unbekannter Quelle<\/td>\n USB-Stick oder E-Mail-Anhang stammt nicht aus einem bekannten, erwarteten Vorgang<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n