In diesem Artikel

Ein angeblicher Microsoft-Mitarbeiter ruft dich an. Dein Chef bittet plötzlich per Nachricht um eine dringende Zahlung. Oder eine E-Mail fordert dich auf, dein Konto sofort zu bestätigen.

Nicht jeder Cyberangriff beginnt mit einer technischen Sicherheitslücke.

Manchmal versuchen Angreifer einfach, dich zu einer bestimmten Handlung zu bewegen.

Genau darum geht es bei Social Engineering.

Was ist Social Engineering?

Social Engineering bezeichnet Angriffe, bei denen Menschen manipuliert werden sollen.

Das Ziel kann beispielsweise sein, dass du:

  • Zugangsdaten preisgibst
  • auf einen Link klickst
  • eine Datei öffnest
  • eine Zahlung ausführst
  • eine MFA-Anfrage bestätigst
  • vertrauliche Informationen weitergibst
  • einem Angreifer Zugang zu einem Gebäude oder System ermöglichst

Dabei muss der Angreifer nicht zwingend eine technische Schwachstelle ausnutzen.

Stattdessen versucht er, eine Situation zu schaffen, in der sich die gewünschte Handlung für dich plausibel oder dringend anfühlt.

Warum funktioniert Social Engineering?

Menschen treffen jeden Tag sehr viele Entscheidungen.

Wir vertrauen bekannten Namen, reagieren auf dringende Situationen und helfen anderen Menschen.

Das ist grundsätzlich normal und wichtig.

Angreifer versuchen jedoch genau diese Verhaltensweisen gezielt auszunutzen.

Besonders häufig spielen folgende Faktoren eine Rolle.

Vertrauen

Eine Nachricht scheint von einer bekannten Organisation oder Person zu kommen.

Zum Beispiel:

  • Microsoft
  • deine Bank
  • ein Paketdienst
  • dein Arbeitgeber
  • ein Arbeitskollege
  • deine Geschäftsleitung

Je vertrauter der Absender wirkt, desto weniger hinterfragen wir die Anfrage möglicherweise.

Autorität

Ein Angreifer gibt sich als jemand aus, dessen Anweisungen normalerweise befolgt werden.

Beispielsweise:

  • Geschäftsleitung
  • Vorgesetzter
  • IT-Support
  • Bankmitarbeiter
  • Behörde

Eine Aussage wie:

„Das muss heute noch erledigt werden. Bitte behandeln Sie die Anfrage vertraulich.“

kombiniert beispielsweise Autorität mit Zeitdruck.

Zeitdruck

Du sollst reagieren, bevor du genügend Zeit hast, die Situation zu prüfen.

Typische Beispiele sind:

  • „Ihr Konto wird heute gesperrt.“
  • „Die Rechnung muss sofort bezahlt werden.“
  • „Wir benötigen den Code innerhalb der nächsten Minuten.“
  • „Bitte bestätigen Sie die Anmeldung sofort.“

Angst

Manchmal soll die Sorge vor negativen Konsequenzen eine schnelle Reaktion auslösen.

Zum Beispiel:

  • Konto wird gesperrt
  • Kreditkarte wurde angeblich missbraucht
  • Paket kann nicht zugestellt werden
  • Steuer oder Rechnung sei noch offen
  • Gerät sei angeblich mit Malware infiziert

Angst kann dazu führen, dass Menschen zuerst handeln und erst danach überprüfen.

Hilfsbereitschaft

Nicht jeder Angriff klingt bedrohlich.

Manche Angreifer wirken freundlich und brauchen scheinbar nur kurz deine Hilfe.

Zum Beispiel:

„Ich bin neu und komme nicht in mein Konto. Kannst du mir schnell helfen?“

oder:

„Ich habe mein Telefon gewechselt. Kannst du mir diesen Code weitergeben?“

Gerade im Arbeitsalltag kann Hilfsbereitschaft gezielt ausgenutzt werden.

Neugier

Auch Neugier kann ein Auslöser sein.

Beispielsweise durch Nachrichten wie:

  • „Vertrauliche Gehaltsliste“
  • „Fotos vom Firmenanlass“
  • „Ihre Beschwerde“
  • „Dokument wurde mit Ihnen geteilt“

Der Inhalt soll interessant genug wirken, damit du spontan öffnest oder klickst.

Welche Formen von Social Engineering gibt es?

Social Engineering ist kein einzelner Angriff.

Es ist vielmehr eine Methode, die über verschiedene Kommunikationswege eingesetzt werden kann.

Phishing

Beim klassischen Phishing erfolgt die Kontaktaufnahme meistens über E-Mail.

Das Ziel ist häufig, dich auf eine gefälschte Webseite zu führen oder einen Anhang zu öffnen.

Smishing

Smishing ist Phishing über SMS oder andere Textnachrichten.

Typisch sind beispielsweise angebliche Paketbenachrichtigungen oder Meldungen zu Konten und Zahlungen.

Vishing

Vishing bezeichnet Social Engineering per Telefon.

Ein Angreifer kann sich beispielsweise als Bank, IT-Support oder Behörde ausgeben.

QR-Phishing

Bei QR-Phishing oder Quishing wirst du über einen QR-Code auf eine betrügerische Webseite geführt.

Der QR-Code kann in einer E-Mail, auf einem Brief oder sogar auf einem physischen Objekt angebracht sein.

CEO Fraud

Beim CEO Fraud gibt sich ein Angreifer als Führungsperson aus.

Das Ziel ist häufig eine dringende Zahlung, der Kauf von Geschenkkarten oder die Weitergabe vertraulicher Informationen.

Physisches Social Engineering

Social Engineering findet nicht nur digital statt.

Ein Angreifer kann beispielsweise versuchen:

  • einer Person durch eine gesicherte Tür zu folgen
  • sich als Techniker auszugeben
  • einen präparierten USB-Stick zu platzieren
  • telefonisch interne Informationen zu sammeln

Die psychologischen Prinzipien dahinter sind dieselben.

Ein Angriff kann mehrere Kanäle kombinieren

Moderne Social-Engineering-Angriffe müssen nicht auf einen einzigen Kommunikationsweg beschränkt sein.

Du erhältst beispielsweise zuerst eine E-Mail.

Kurz danach ruft angeblich der Support an.

Oder du erhältst eine SMS, nachdem du zuvor bereits eine gefälschte Webseite besucht hast.

Dadurch kann die Situation glaubwürdiger wirken.

Woran erkennst du einen Social-Engineering-Versuch?

Es gibt kein einzelnes Merkmal, das jeden Angriff zuverlässig verrät.

Bestimmte Situationen sollten dich aber aufmerksam machen.

  • Eine Anfrage kommt unerwartet
  • Es wird ungewöhnlicher Zeitdruck aufgebaut
  • Du sollst Zugangsdaten oder Sicherheitscodes weitergeben
  • Eine unerwartete MFA-Anfrage soll bestätigt werden
  • Geld soll kurzfristig auf ein neues Konto überwiesen werden
  • Eine vertrauliche Handlung soll geheim bleiben
  • Ein bekannter Prozess soll plötzlich umgangen werden
  • Eine Person möchte Informationen, die sie normalerweise nicht benötigt
  • Eine ungewöhnliche Anfrage kommt über einen neuen Kommunikationskanal

Nicht jedes dieser Merkmale bedeutet automatisch Betrug.

Mehrere ungewöhnliche Punkte zusammen sind jedoch ein guter Grund, die Situation genauer zu prüfen.

Die wichtigste Schutzmassnahme: über einen zweiten Weg prüfen

Wenn eine Anfrage ungewöhnlich oder sensibel ist, solltest du sie nicht über denselben Kommunikationsweg verifizieren, über den sie gekommen ist.

Beispiel:

Du erhältst eine ungewöhnliche E-Mail von deinem Chef.

Antworte nicht einfach:

„Hast du das wirklich geschickt?“

Wenn das E-Mail-Konto übernommen wurde, kann der Angreifer auch darauf antworten.

Besser:

  • persönlich nachfragen
  • bekannte Telefonnummer verwenden
  • internen Chat über einen bekannten Kontakt öffnen
  • offiziellen Support selbst aufrufen
  • Bank über die offizielle Telefonnummer kontaktieren

Gib Passwörter und Sicherheitscodes niemals weiter

Seriöse Support-Mitarbeitende benötigen normalerweise nicht dein Passwort.

Auch MFA-Codes oder Bestätigungscodes solltest du nicht an andere Personen weitergeben.

Besonders vorsichtig solltest du sein, wenn dich jemand telefonisch durch einen Login führt und dabei Codes oder Bestätigungen verlangt.

MFA erhöht die Sicherheit eines Kontos deutlich. Social Engineering kann diese zusätzliche Schutzschicht aber umgehen, wenn eine betrügerische Anmeldung von der betroffenen Person selbst bestätigt wird.

Bestätige keine unerwarteten MFA-Anfragen

Du erhältst plötzlich eine Anmeldung auf deinem Smartphone, obwohl du dich gerade nirgendwo einloggen möchtest?

Dann:

nicht bestätigen.

Eine unerwartete MFA-Anfrage kann bedeuten, dass jemand bereits dein Passwort kennt und versucht, sich mit deinem Konto anzumelden.

  • Anfrage ablehnen
  • Passwort bei Verdacht ändern
  • Konto auf unbekannte Anmeldungen prüfen
  • bei einem Firmenkonto die IT oder Security informieren

Im Unternehmen: Prozesse schützen Menschen

Gute Security sollte nicht davon abhängen, dass jede einzelne Person jede Angriffsmethode kennt.

Unternehmen können Prozesse schaffen, die Social Engineering schwieriger machen.

Zum Beispiel:

  • Zahlungen ab einem bestimmten Betrag durch zweite Person freigeben
  • Änderungen von Bankverbindungen separat bestätigen
  • klare interne Meldewege definieren
  • MFA verwenden
  • Mitarbeitende regelmässig sensibilisieren
  • ungewöhnliche Anfragen über einen zweiten Kanal bestätigen
  • vertrauliche Informationen nur nach klar definierten Regeln weitergeben

Solche Prozesse helfen auch dann, wenn ein Angriff sehr professionell gemacht ist.

Was tun bei einer verdächtigen Anfrage?

Wenn dir eine Situation ungewöhnlich vorkommt:

  • Nicht unter Druck reagieren
  • Keine Passwörter oder Sicherheitscodes weitergeben
  • Links und Anhänge nicht vorschnell öffnen
  • Identität über einen unabhängigen Kommunikationsweg bestätigen
  • Bei Zahlungsanfragen bekannte Prozesse einhalten
  • Verdächtige Nachrichten im Unternehmen melden
  • Bei Unsicherheit lieber einmal mehr nachfragen

Social Engineering bedeutet nicht, dass Menschen das Problem sind

Menschen sind kein technischer Fehler im System.

Angreifer nutzen Eigenschaften aus, die im Alltag normalerweise sinnvoll sind:

Vertrauen, Hilfsbereitschaft, Schnelligkeit und Zusammenarbeit.

Gute Cyber Security versucht deshalb nicht, Menschen für Fehler zu bestrafen.

Sie schafft Wissen und Prozesse, die es einfacher machen, ungewöhnliche Situationen rechtzeitig zu erkennen.

Die einfache Regel für den Alltag

Wenn jemand unerwartet möchte, dass du schnell etwas bestätigst, Geld überweist, Zugangsdaten eingibst, einen Sicherheitscode weitergibst oder eine normale Sicherheitsregel umgehst, halte kurz inne.

Stelle dir drei Fragen:

  • Habe ich diese Anfrage erwartet?
  • Ist diese Handlung normalerweise wirklich notwendig?
  • Kann ich die Anfrage über einen unabhängigen Weg bestätigen?

Diese wenigen Sekunden können bei Social Engineering einen grossen Unterschied machen.