IT-Wissen · Sicherheit

Social Engineering: Wenn nicht die Technik angegriffen wird, sondern der Mensch

Kurz erklärt

Social Engineering ist die gezielte Manipulation von Menschen, damit sie Sicherheitsregeln umgehen – etwa ein Passwort verraten, eine Datei öffnen oder eine Überweisung auslösen. Angegriffen wird nicht die Technik, sondern menschliches Vertrauen, Hilfsbereitschaft, Respekt vor Autorität und der Reflex, unter Zeitdruck zu handeln.

Beim Social Engineering überreden Angreifer Menschen zu einer Handlung, statt eine technische Lücke auszunutzen.
Die Hebel sind immer dieselben: Autorität, Dringlichkeit, Hilfsbereitschaft und Angst – Reflexe, die das kritische Nachdenken ausschalten.
Weil der Mensch das Ziel ist, hilft keine Software allein; entscheidend sind klare Abläufe und geschulte, wachsame Mitarbeitende.

Der Angriff zielt auf den Menschen, nicht auf die Technik

Die beste Firewall nützt wenig, wenn jemand freiwillig die Tür öffnet. Genau darauf setzt Social Engineering. Statt eine technische Lücke zu suchen, überreden Angreifer einen Menschen, das Sicherheitsnetz selbst zu umgehen: ein Passwort zu nennen, einen Anhang zu öffnen, eine Überweisung freizugeben oder einem angeblichen Techniker Zugang zu gewähren.

Das ist oft einfacher, als Systeme zu knacken. Menschen sind hilfsbereit, wollen keine Konflikte und handeln unter Druck schneller, als sie nachdenken. Ein Angreifer, der diese Reflexe geschickt bedient, braucht keine Schadsoftware – ein Telefonat oder eine gut gemachte Nachricht genügt.

Die immer gleichen Hebel

So unterschiedlich die Geschichten sind, die Angreifer erzählen: Die Werkzeuge dahinter wiederholen sich.

Autorität. Der Anrufer gibt sich als Geschäftsführung, als IT-Abteilung oder als Behörde aus. Wer glaubt, mit einer Respektsperson zu sprechen, hinterfragt seltener.
Dringlichkeit. „Das muss noch heute raus.” Zeitdruck soll das kritische Nachdenken verhindern.
Hilfsbereitschaft. Eine freundliche Bitte um einen kleinen Gefallen – die meisten Menschen sagen ungern Nein.
Angst. Eine angebliche Sperrung, eine Mahnung, eine Drohung. Angst treibt zu unüberlegtem Handeln.

Häufig werden mehrere Hebel kombiniert: der eilige Auftrag der Chefin, die vertraulich erledigt werden soll und keinen Aufschub duldet.

Warum keine Software allein davor schützt

Ein Virenscanner erkennt Schadcode. Er erkennt aber nicht, ob ein Anruf echt ist oder ob die Buchhaltung eine Überweisung freiwillig auslöst. Weil der Mensch das Ziel ist, greifen rein technische Maßnahmen zu kurz. Der bekannteste Fall ist der CEO-Betrug: eine gefälschte Mail oder ein Anruf im Namen der Geschäftsführung, der die Buchhaltung zu einer eiligen Zahlung an ein fremdes Konto bewegt. Kein System schlägt hier Alarm, weil formal alles korrekt aussieht.

Was hilft, sind klare Abläufe: ein Vier-Augen-Prinzip bei Zahlungen, feste Regeln für die Herausgabe von Zugängen und die Selbstverständlichkeit, im Zweifel zurückzurufen. Technik spielt dennoch eine Rolle – aber als Sicherheitsnetz, nicht als Bollwerk: Multi-Faktor-Authentifizierung fängt viel ab, weil ein verratenes Passwort allein dann nicht mehr genügt.

Wie sich der Mittelstand wappnet

Der Schutz vor Social Engineering ist zu einem großen Teil Organisation, nicht Technik. Mitarbeitende, die die Maschen kennen, halten kurz inne, bevor sie handeln. Verbindliche Prozesse für heikle Vorgänge nehmen dem Einzelnen die Last, in der Situation allein entscheiden zu müssen. Und eine Kultur, in der Nachfragen erwünscht ist, macht den entscheidenden Unterschied.

Damit das im Alltag trägt, braucht es jemanden, der die Regeln aufsetzt, die Belegschaft sensibilisiert und im Ernstfall ruhig reagiert. Bei kjello gehört das zum Betrieb dazu: Die technischen Schutzschichten aus Sicherheit und Compliance bei kjello und ein fester Ansprechpartner als IT-Abteilung als Service greifen ineinander – bereitgestellt vom Systemhaus hagel IT, damit Ihr Team im Zweifel nie allein dasteht.

Passend dazu bei kjello

Häufige Fragen zu Social Engineering

Ist Phishing nicht dasselbe wie Social Engineering?

Phishing ist eine Form von Social Engineering – die häufigste, per gefälschter Nachricht. Social Engineering ist der Oberbegriff und umfasst auch Anrufe, den vorgetäuschten Techniker vor Ort oder den Betrug per Chat. Gemeinsam ist allen, dass sie den Menschen überreden statt die Technik zu überwinden.

Wie schützt man sich gegen einen manipulierten Anruf?

Mit einer einfachen Regel: Bei ungewöhnlichen Bitten – vor allem, wenn es um Geld, Passwörter oder Zugänge geht – legen Sie auf und rufen über eine bekannte, selbst herausgesuchte Nummer zurück. Kein seriöser Anrufer nimmt Ihnen diesen Rückruf übel. Betrüger dagegen wollen genau das verhindern.

Kann man Mitarbeitende überhaupt darauf trainieren?

Ja, und es wirkt. Wer die typischen Maschen einmal kennt und weiß, dass Nachfragen ausdrücklich erwünscht ist, reagiert deutlich sicherer. Wichtiger als jährliche Pflichtschulungen ist eine Kultur, in der Misstrauen erlaubt und Melden selbstverständlich ist.

Diese Themen lieber abgeben?

kjello übernimmt Social Engineering und den Rest Ihrer IT als Service – betrieben von einem echten Systemhaus, ab 29 € pro Arbeitsplatz.

Angebot anfragen Zum IT-Wissen