Social Engineering

Wer in ein fremdes Computersystem eindringen will, hat zwei Wege. Der eine führt über technische Lücken, also Fehler in der Software. Der andere führt über die Menschen, die das System benutzen. Social Engineering ist dieser zweite Weg. Der Angreifer bringt sein Opfer durch Täuschung dazu, ihm selbst die Tür zu öffnen: ein Passwort zu verraten, eine Überweisung auszulösen oder eine Datei anzuklicken. Der Begriff kommt aus dem Englischen und meint ungefähr „Menschen so bearbeiten, dass sie das Gewünschte tun“.

Der Mensch als schwächste Stelle der Sicherheitskette

Technische Schutzmaßnahmen sind in den letzten Jahren deutlich besser geworden. Passwörter werden verschlüsselt gespeichert, Software wird laufend mit Sicherheitsupdates versorgt. Menschen dagegen lassen sich nicht patchen. Sie sind hilfsbereit, unter Zeitdruck und respektieren Autorität. Genau diese Eigenschaften nutzt Social Engineering aus.

Für Unternehmen ist das ein Kostenrisiko in Millionenhöhe. Ein bekanntes Muster heißt „Chef-Masche“: Eine Mail scheint vom Vorstand zu kommen und verlangt eine dringende, geheime Überweisung ins Ausland. Mitarbeiter in der Buchhaltung haben so schon zweistellige Millionenbeträge überwiesen. Kein Virenscanner der Welt erkennt eine Mail, die technisch völlig harmlos ist und nur eine Lüge enthält.

Deshalb steht Social Engineering in Sicherheitsberichten regelmäßig weit oben. Ein sehr großer Teil erfolgreicher Angriffe beginnt damit, dass ein Mensch getäuscht wird — nicht damit, dass jemand Verschlüsselung knackt. Sicherheit ist damit keine rein technische Frage, sondern auch eine Frage von Schulung und Arbeitsabläufen.

Vom Vorwand bis zur Überweisung: der typische Ablauf

Am Anfang steht Recherche. Der Angreifer sammelt öffentlich verfügbare Informationen: Namen von Vorgesetzten, Abteilungsstrukturen, Urlaubsfotos, den Namen des Hausmeisterdienstes. Berufsnetzwerke und Firmenwebseiten liefern das meiste davon kostenlos. Je genauer diese Vorbereitung, desto glaubwürdiger die spätere Geschichte.

Dann folgt der Vorwand, im Fachjargon „Pretexting“ genannt. Der Angreifer gibt sich als jemand aus, dem man normalerweise glaubt: IT-Support, Bank, Paketdienst, neuer Kollege. Dazu kommt ein Druckmittel. Beliebt sind knappe Fristen, drohende Kontosperrungen oder die Bitte, die Sache bitte niemandem zu erzählen. Unter Zeitdruck prüfen Menschen weniger genau.

Die Varianten haben eigene Namen. Phishing bedeutet Täuschung per Massenmail, Spear-Phishing meint dasselbe, aber auf eine einzelne Person zugeschnitten. Vishing läuft über Telefonanrufe, Smishing über SMS. Manchmal ist der Angriff auch ganz analog: Jemand trägt zwei Kaffeebecher und bittet höflich, ihm die Sicherheitstür aufzuhalten. Das nennt man Tailgating.

Wenn KI die Stimme des Chefs nachbaut

Künstliche Intelligenz hat Social Engineering deutlich gefährlicher gemacht. Früher verrieten sich Betrugsmails oft durch holprige Grammatik. Heute schreiben Sprachmodelle fehlerfreie, höfliche Geschäftsmails in jeder Sprache und in Sekunden. Damit lässt sich der Aufwand für maßgeschneiderte Angriffe fast beliebig vervielfachen.

Noch heikler sind Deepfakes, also künstlich erzeugte Stimmen und Videos echter Personen. Es gibt dokumentierte Fälle, in denen Beschäftigte in einer Videokonferenz mit angeblichen Kollegen saßen und Millionen überwiesen. Alle Gesichter im Anruf waren gefälscht. Aus einigen Sekunden Sprachaufnahme lässt sich heute eine überzeugende Stimmkopie erstellen.

Im Alltag begegnet dir Social Engineering trotzdem meist unspektakulär: die SMS über ein wartendes Paket, der Anruf vom „Microsoft-Support“, die Nachricht mit einer neuen Handynummer und der Anrede „Hallo Mama“. Der Schutz ist immer derselbe Reflex. Nicht auf dem Weg antworten, über den die Nachricht kam, sondern selbst zurückrufen — über eine Nummer, die du bereits kennst. Ein zweiter Anmeldeschritt per App oder Hardwareschlüssel hilft zusätzlich, weil ein gestohlenes Passwort dann allein nichts wert ist.