Was ist Social Engineering?

Kurz erklärt

Social Engineering bezeichnet Angriffe, bei denen Menschen durch Täuschung dazu gebracht werden, vertrauliche Informationen preiszugeben, Zahlungen auszulösen oder Sicherheitsregeln zu umgehen. Statt technische Schutzmaßnahmen zu überwinden, nutzen Angreifer menschliche Eigenschaften wie Vertrauen, Respekt vor Autorität oder Hilfsbereitschaft. Es ist der Oberbegriff für viele bekannte Betrugsmaschen.

Wie funktioniert Social Engineering?

Am Anfang steht meist Recherche: Die Website, Social-Media-Profile und Firmenbucheinträge verraten, wer im Unternehmen wofür zuständig ist, mit welchen Lieferanten gearbeitet wird und wann die Geschäftsführung auf Urlaub ist. Mit diesem Wissen bauen Angreifer eine glaubwürdige Geschichte auf. Typische psychologische Hebel sind:

• Autorität: Die Anfrage kommt scheinbar von der Chefin, einer Behörde oder der Bank.
• Zeitdruck: Eine Frist läuft ab, ein Schaden droht, eine Entscheidung muss sofort fallen.
• Hilfsbereitschaft: Jemand steckt angeblich in Schwierigkeiten und braucht nur eine Kleinigkeit.
• Neugier und Angst: Ein Dokument mit „Gehaltsliste“ oder eine Mahnung soll zum Öffnen verleiten.

Die bekanntesten Methoden sind Phishing per E-Mail, Smishing per SMS und Vishing per Telefon. Dazu kommen Pretexting (eine erfundene Rolle, etwa als Prüfer oder Techniker), Baiting (ein präparierter USB-Stick, der „zufällig“ auf dem Parkplatz liegt) und Tailgating, bei dem sich jemand hinter einer berechtigten Person durch die Tür schiebt. Eine besonders teure Variante ist der CEO-Fraud.

Ein typisches Beispiel aus dem KMU-Alltag

Eine Zahnarztpraxis bekommt Besuch von einem Mann in Arbeitskleidung mit Werkzeugkoffer. Er stellt sich als Techniker der Druckerfirma vor, die angeblich ein Firmware-Update einspielen muss, und nennt den richtigen Druckerhersteller. Die Assistenz ist mitten im Betrieb und lässt ihn ins Hinterzimmer, wo auch der kleine Server steht. Nach zehn Minuten verabschiedet er sich. Erst Tage später fällt auf, dass ein unbekanntes Gerät am Netzwerk hängt und Daten nach außen sendet. Kein technischer Schutz wurde dabei „gehackt“, sondern nur die Freundlichkeit des Teams ausgenutzt.

Woran Sie Social Engineering erkennen

• Eine Anfrage weicht vom üblichen Ablauf ab und soll trotzdem schnell erledigt werden.
• Sie sollen Regeln umgehen oder niemandem davon erzählen.
• Die Person kennt viele Details, kann sich aber nicht eindeutig ausweisen.
• Ihr Bauchgefühl meldet sich, obwohl alles plausibel klingt.

So schützen Sie Ihr Unternehmen

• Klare Abläufe festlegen: Wer darf Zahlungen freigeben, Kontodaten ändern, Fremde in Räume lassen?
• Vier-Augen-Prinzip: Für Überweisungen und Änderungen an Bankdaten immer eine zweite Person einbinden.
• Identität unabhängig prüfen: Rückruf über bekannte Nummern, Termine beim Dienstleister bestätigen lassen.
• Besucher begleiten: Technik- und Serverräume nur in Begleitung betreten lassen.
• Offene Fehlerkultur: Wer einen Fehler meldet, wird nicht bloßgestellt. Je früher ein Vorfall bekannt ist, desto kleiner der Schaden.
• Öffentliche Informationen überprüfen: Nicht jede interne Zuständigkeit muss auf der Website stehen.

Was tun im Ernstfall?

Informieren Sie sofort die Geschäftsführung und Ihren IT-Dienstleister, ändern Sie betroffene Passwörter und stoppen Sie gegebenenfalls Zahlungen über Ihre Bank. Erstatten Sie Anzeige bei der Polizei, etwa über against-cybercrime@bmi.gv.at. Sind personenbezogene Daten betroffen, gilt die 72-Stunden-Meldepflicht an die Datenschutzbehörde. Antworten auf häufige Fragen finden Sie auch in unserer Cybersecurity-FAQ.