Social Engineering ist eine Form von Betrug, die auf zwischenmenschlichen statt digitalen Signalen beruht. Betrüger nutzen intimes Wissen über dein Unternehmen, deine Mitarbeiter, deine Projekte und mehr, um dich davon zu überzeugen, ihnen ein Passwort zurückzusetzen oder eine Zahlung zu genehmigen. Sie kombinieren dieses Wissen oft mit Dringlichkeit, um dich zu einer schnellen Entscheidung zu drängen.

Keine Liste von Warnsignalen bereitet jemanden darauf vor, da die Manipulation nicht über Technologie stattfindet. Sie geschieht im Kopf einer Person, während sie eine Entscheidung trifft.

Wir haben bereits grundlegend behandelt, was Social Engineering ist: die Definitionen, die gängigen Angriffskategorien und die allgemeinen Mechanismen manipulationsbasierter Angriffe im Vergleich zu rein technischen. Wie man ein effektives Security-Awareness-Programm aufbaut, Schulungen strukturiert, Intervalle festlegt und misst, ob all das funktioniert, ist ein separates Thema, über das wir ebenfalls geschrieben haben.

Dieser Artikel liegt genau dazwischen. Anstatt Definitionen oder Programmdesign geht es darum, was tatsächlich in deine Mitarbeiterschulung einfließen muss: die psychologischen Mechanismen, auf die Angreifer setzen, und wie echte Gegenwehr aussieht, wenn jemand direkt in der Situation ist, anstatt nur auf einer Folie darüber zu lesen.

Warum Social Engineering funktioniert: Sechs Hebel, ein blinder Fleck

Social Engineering ist nicht erfolgreich, weil Mitarbeiter unvorsichtig sind. Es funktioniert, weil es Denkmuster und Abkürzungen nutzt, die das menschliche Gehirn täglich verwendet, um alltägliche Entscheidungen schnell zu treffen – und diese dann auf das falsche Ziel lenkt. Robert Cialdinis Forschung zur Überzeugung hat vor Jahrzehnten sieben dieser Abkürzungen identifiziert, und sechs davon beschreiben fast jeden Social-Engineering-Versuch, dem ein Unternehmen begegnen wird:

  • Reziprozität
  • Knappheit
  • Autorität
  • Konsistenz
  • Soziale Bewährtheit
  • Einheit

Autorität

Betrüger setzen am häufigsten auf Autorität. Menschen kommen einer Bitte schneller nach, wenn sie scheinbar von einer Führungskraft, einem IT-Administrator oder einer externen Stelle wie einer Aufsichtsbehörde oder einem Lieferanten stammt – oft ohne zu prüfen, ob diese Autorität echt ist.

Dringlichkeit

Dringlichkeit verstärkt dies noch: Eine Frist, ein gesperrtes Konto oder eine Zahlung, die vor Bankschluss rausgehen muss, drängt Menschen zum Handeln und hält sie von der Überprüfung ab, weil sich das Innehalten zur Überprüfung so anfühlt, als würde es genau das Problem verursachen, mit dem der Angreifer droht.

Knappheit

Knappheit funktioniert auf die gleiche Weise in anderem Gewand: ein zeitlich begrenztes Angebot, ein einmaliges Zugriffsfenster, eine Nachricht, die andeutet, dass Zögern ein Verpassen bedeutet.

Soziale Bewährtheit

Soziale Bewährtheit überzeugt Menschen davon, dass eine Anfrage legitim ist, weil andere scheinbar bereits zugestimmt haben: „Die Finanzabteilung hat das bereits genehmigt“ oder ein Thread, der wie eine echte interne Unterhaltung aussieht. Sympathie nutzt den Beziehungsaufbau aus: Ein Angreifer, der freundlich und schmeichelhaft ist oder mit der Unternehmenskultur vertraut scheint, schwächt die Wachsamkeit der Zielperson ab, einfach indem er angenehm im Umgang ist.

Reziprozität

Reziprozität ist der unauffälligste der sechs Hebel: Ein kleiner Gefallen, eine scheinbar nützliche Information oder ein vorab gemachtes Kompliment erzeugen ein subtiles, oft unbewusstes Gefühl der Verpflichtung, sich dafür zu revanchieren.

Keiner dieser Hebel ist hochkomplex. Es sind dieselben Instinkte, die eine normale Zusammenarbeit am Arbeitsplatz ermöglichen. Jede Anfrage, die einen oder mehrere dieser Grundsätze nutzt, wirkt wie eine normale, leicht dringende Bitte – genau die Art von Bitte, auf die Menschen während ihrer gesamten Karriere trainiert wurden, schnell und hilfsbereit zu reagieren.

Die Angriffe, denen Mitarbeiter im geschäftlichen Kontext tatsächlich begegnen

Die meisten Organisationen konzentrieren sich auf Anti-Phishing-Maßnahmen und wir haben bereits über die Abwehr von Phishing-Angriffen geschrieben. Doch ein Social-Engineering-Training, das bei E-Mails aufhört, verfehlt das meiste, womit Mitarbeiter tatsächlich konfrontiert sind – insbesondere im Büro oder an hybriden Arbeitsplätzen, wo Telefonanrufe, Besucher und physischer Zugang nach wie vor zum Alltag gehören.

Vishing

Voice-Phishing oder Vishing setzt auf gefälschte Telefonanrufe oder Sprachnachrichten. Ein Anrufer gibt sich möglicherweise als IT-Support aus und bittet darum, das Passwort vor einem System-Update zu bestätigen, tritt als Bank zur Überprüfung einer Transaktion auf oder als Kurier, der einen Einmal-Code für die Zustellung benötigt.

Die Stimme eines Menschen vermittelt eine Dringlichkeit und Autorität, die Text nicht überzeugend vortäuschen kann. Genau deshalb bleibt diese Methode selbst bei Personen wirksam, die sich bei Phishing-E-Mails für aufmerksam halten. Zunehmend nutzen Angreifer auch Tools zum Klonen von Stimmen, um die Stimme eines echten Kollegen oder einer Führungskraft nachzuahmen, was das NCSC als wachsendes Risiko(neues Fenster) für Einzelpersonen und Organisationen eingestuft hat. Wir haben auch über die Prävention von Deepfakes geschrieben.

Pretexting

Beim Pretexting wird eine Geschichte erfunden, mit der ein Angreifer dann eine ungewöhnliche Anfrage rechtfertigt. Er gibt sich möglicherweise als neuer Lieferant aus, der Kontodaten benötigt, um eine Zahlung einzurichten, als Prüfer, der Zugriffsprotokolle anfordert, oder als Bewerber, der einen HR-Kontakt bittet, persönliche Daten für die Hintergrundüberprüfung zu bestätigen.

Das Szenario wird oft aus kleinen Teilen öffentlich zugänglicher Informationen zusammengesetzt, wie einer Berufsbezeichnung und einem Lieferantennamen, die kombiniert werden, um plausibel zu klingen.

Baiting

Baiting bietet etwas, das ein Mitarbeiter haben möchte: eine kostenlose Ressource, einen USB-Stick oder eine Festplatte mit Logo, ein Dokument mit dem Titel „Gehaltsübersicht Q3“, im Austausch für eine Handlung, die ein Gerät oder ein Konto gefährdet. Es funktioniert, weil es nicht auf die Art und Weise nach Vertrauen verlangt, wie es eine Phishing-E-Mail tut; stattdessen übernimmt die Neugier die Überzeugungsarbeit.

Tailgating

Tailgating oder Piggybacking ist der einzige Angriff auf dieser Liste, der nichts mit einem Bildschirm zu tun hat. Ein Angreifer folgt einem Mitarbeiter durch eine per Ausweis gesicherte Tür – oft mit Kisten in den Händen, in Arbeitskleidung oder indem er das Herannahen genau auf den Moment abstimmt, in dem das Aufhalten der Tür schlicht höflich ist. Es nutzt die Höflichkeit am Arbeitsplatz direkt aus, weshalb physische Sicherheitsschulungen in Programmen, die rein auf Posteingänge ausgerichtet sind, oft übersehen werden.

Wie echte Gegenwehr gegen Social-Engineering-Angriffe aussieht

Mitarbeitern einfach zu sagen, sie sollen „misstrauischer sein“, hält echtem Druck nicht stand. Misstrauen ist ein Gefühl und Angreifer versuchen gezielt, es außer Kraft zu setzen. Schulungen müssen diese vage Anweisung durch konkrete, wiederholbare Verhaltensweisen ersetzen, die nicht davon abhängen, dass jemand im Moment selbst bemerkt, manipuliert zu werden.

Immer verifizieren

Die Verifizierung über einen separaten Kanal ist die nützlichste Gewohnheit, die ein Unternehmen etablieren kann. Wenn eine Anfrage per E-Mail eingeht, bestätige sie telefonisch oder persönlich unter Verwendung einer bereits hinterlegten Telefonnummer oder eines Kontakts statt der in der Nachricht selbst angegebenen Daten. Diese eine Verhaltensweise vereitelt einen Großteil der Täuschungsversuche, ganz gleich, wie überzeugend der erste Kontakt war, da sie dem Angreifer die Kontrolle über den Verifizierungsschritt entzieht.

Tempo drosseln

Dringlichkeit muss als Signal zum Entschleunigen behandelt werden, nicht als Grund, einen Schritt zu überspringen. Mitarbeiter sollten darauf geschult werden, zu erkennen, wenn eine Anfrage sie dazu drängt, Schnelligkeit über Prozesse zu stellen, denn dieser Druck ist selten zufällig. Eine wirklich dringende, legitime Anfrage hält einem zweiminütigen Verifizierungsanruf stand; eine Anfrage, die diese Verzögerung nicht übersteht, sollte mit Misstrauen behandelt werden – unabhängig davon, von wem sie angeblich stammt.

Bestätigung einholen

Finanz- und Anmeldedatenanfragen sollten standardmäßig die Bestätigung einer zweiten Person erfordern, nicht nur als Ausnahme bei großen Transaktionen. Dies nimmt den sozialen Druck, auf den ein Angreifer setzt, wenn er einen einzelnen Mitarbeiter isoliert und auffordert, alleine zu handeln. Zudem gibt es diesem Mitarbeiter eine einfache, vorwurfsfreie Möglichkeit zu sagen: „Ich muss das kurz mit jemandem absprechen“, ohne unkooperativ oder misstrauisch zu wirken.

Beinahe-Vorfälle melden

Das Melden von Beinahe-Vorfällen schließt den Kreis. Ein Mitarbeiter, der einer Anfrage teilweise nachgekommen ist, gezögert hat, aber letztlich nachgegeben hat, oder im Nachhinein bemerkt, dass sich etwas falsch anfühlte, sollte ermutigt werden, dies auch nachträglich zu melden – selbst wenn scheinbar nichts schiefgegangen ist. Diese Berichte sind oft die früheste Warnung für ein Unternehmen, dass es ins Visier genommen wurde, und sie entstehen nur in einer Kultur, in der eine Meldung nicht zu Scham oder Schuldzuweisungen führt.

Der gleiche Instinkt gilt, sobald tatsächlich Geld oder Daten geflossen sind: Action Fraud(neues Fenster), die nationale Meldestelle für Betrug und Cyberkriminalität in Großbritannien, existiert, weil ein Vorfall umso nützlicher für alle anderen ist, die nach demselben Muster ins Visier genommen werden, je früher er gemeldet wird.

Warum Folien keine Abwehrkraft aufbauen – Simulationen aber schon

Über die sechs Hebel der Überzeugung zu lesen, ist für den Kontext nützlich, ändert aber das Verhalten unter echtem Druck genauso wenig, wie das Lesen über eine Brandschutzübung jemanden darauf vorbereitet, den nächsten Notausgang zu finden. Widerstandskraft gegen Manipulation ist eine geübte Fähigkeit und kein theoretisches Wissen aus einer Foliensammlung. Deshalb setzt das beste Social-Engineering-Training auf Simulationen statt auf reine Theorie.

Eine effektive Simulation konfrontiert Mitarbeiter mit einer realistischen Version des Drucks, dem sie tatsächlich begegnen: ein simulierter Anruf eines Lieferanten mit der Bitte um Kontoänderungen, eine fingierte dringende Anfrage von jemandem, der sich als Vorgesetzter ausgibt, oder ein fingierter Besucher, der darum bittet, durch eine gesicherte Tür hereingelassen zu werden – und gibt anschließend sofortiges, spezifisches Feedback statt einer bloßen Bestanden/Nicht-bestanden-Bewertung.

Das Ziel ist, Mitarbeiter den Druckmoment in einer sicheren Umgebung erleben zu lassen, zu erkennen, welcher Hebel betätigt wurde, und den Instinkt zu entwickeln, innezuhalten und nachzuprüfen, bevor es ernst wird.

Der Schwierigkeitsgrad sollte schrittweise steigen und die Szenarien sollten reale Rollen widerspiegeln. Jemand in der Finanzabteilung wird mit anderen Vorwänden konfrontiert als jemand am Empfang. Die Übung sollte mit einer Nachbesprechung enden, die den angewendeten Mechanismus erklärt und nicht nur zeigt, ob die Person bestanden hat.

Richtig umgesetzt macht eine Simulation die sechs psychologischen Hebel zu verständlichen und erkennbaren Konzepten für Mitarbeiter – und genau darum geht es bei Schulungen, die auch außerhalb des Schulungsraums bestehen sollen.

Menschen schulen, nicht nur Richtlinien

Social Engineering ist erfolgreich, weil es auf Instinkte abzielt, die gewöhnliche Teamarbeit ermöglichen: Vertrauen in Autorität, Reaktionsbereitschaft bei Dringlichkeit und das Unbehagen, jemanden infrage zu stellen, der ranghöher oder freundlich wirkt. Schulungen, die diese Angriffe nur definieren oder ihre Kategorien auflisten, lassen Mitarbeiter genauso ungeschützt wie zuvor – denn eine Definition zu erkennen und einen echten Manipulationsversuch im Moment zu durchschauen, sind völlig unterschiedliche Fähigkeiten.

Ein Lehrplan, der die sechs psychologischen Hebel benennt, zeigt, wie Vishing, Pretexting, Baiting und Tailgating im Arbeitsalltag tatsächlich auftreten, und Mitarbeitern konkrete, eingeübte Verhaltensweisen an die Hand gibt (separat verifizieren, Dringlichkeit als Warnsignal statt als Frist betrachten, eine zweite Person hinzuziehen, selbst Beinahe-Vorfälle melden), gibt ihnen etwas, das sie unter Druck wirklich anwenden können.

Verstärkt durch Simulationen statt Folien und unterstützt durch einzigartige Passwörter sowie MFA, die den Aktionsradius eines erfolgreichen Angriffs einschränken – diese Kombination macht aus bloßem Bewusstsein echte Widerstandskraft.

Nichts davon ersetzt die Arbeit am Aufbau des Schulungsprogramms selbst: Rhythmus, Struktur, Wiederholungsfrequenz und wie du misst, ob es ankommt. Das sind die Themen, die unser begleitender Leitfaden zum Aufbau eines Security-Awareness-Programms behandelt. Was hierher gehört, ist die Ebene unterhalb des Programms: die Psychologie, mit der Mitarbeiter tatsächlich konfrontiert sind, und die spezifischen, eingeübten Gewohnheiten, die standhalten, wenn der Druck real und nicht hypothetisch wird.

Ein Team, das eine Überzeugungstaktik benennen kann, während sie angewendet wird, und genau weiß, welche zweite Person vor dem Handeln hinzugezogen werden muss, ist ein grundlegend schwierigeres Ziel als ein Team, dem lediglich gesagt wurde, wachsam zu bleiben. Das ist die Lücke, die du mit dieser Art von Schulung schließen kannst.

Die Verbindung zu Anmeldedaten: Warum Schadensbegrenzung nach einem Fehler weiterhin wichtig ist

Schulungen verringern die Häufigkeit von erfolgreichem Social Engineering, können diese Zahl jedoch nicht auf null senken. Ein Programm, das mit diesem Ziel aufgebaut wird, wird immer scheitern. Irgendjemand wird irgendwann ein Passwort am Telefon weitergeben, auf eine gefälschte Anmeldeseite klicken oder ein Detail bestätigen, das geheim hätte bleiben sollen. Was den Schaden zu diesem Zeitpunkt begrenzt, ist nicht das Bewusstsein – es sind die Zugriffskontrollen, die bereits vor dem Anruf eingerichtet waren.

Anmeldedaten, die durch Social Engineering erbeutet wurden, nützen einem Angreifer viel weniger, wenn sie für jeden Dienst einzigartig und durch Multi-Faktor-Authentifizierung (MFA) geschützt sind. Einzigartige Passwörter verhindern, dass gefährdete Anmeldedaten für den Zugriff auf andere Dienste wiederverwendet werden, während MFA verhindern kann, dass das gestohlene Passwort allein Zugriff auf das zugehörige Konto gewährt.

Dies ist dieselbe Logik der Schadensbegrenzung, die in unseren Leitfäden zum Aufbau einer starken Sicherheitskultur am Arbeitsplatz und zur Erstellung robuster Passwort-Richtlinien behandelt wird. Es lohnt sich, dies hier zu wiederholen, da Social Engineering und Passworthygiene meist als getrennte Probleme behandelt werden, obwohl sie eigentlich zwei Phasen desselben Angriffs sind.

Ein Passwort-Manager für Unternehmen wie Proton Pass for Business sorgt dafür, dass diese Schadensbegrenzung auch im großen Maßstab realistisch aufrechterhalten werden kann, anstatt davon abzuhängen, dass einzelne Mitarbeiter daran denken, die Richtlinie zu befolgen.

Wenn Anmeldedaten über einen verwalteten Passwort-Tresor gespeichert, generiert und sicher geteilt werden – statt im Gedächtnis, in Browsern oder Tabellen –, ist ein einzelner erfolgreicher Social-Engineering-Versuch kein Einfallstor mehr für jedes System, auf das ein Mitarbeiter Zugriff hat.

Proton Pass for Business macht die Verwaltung von Anmeldedaten für jedes Teammitglied einfach, nicht nur für dein IT-Team:

Verringere das Risiko deines Teams für Social Engineering mit einem sicheren Passwort-Manager für Unternehmen.