Kurzdefinition: Social Engineering ist die gezielte psychologische Manipulation von Menschen, um sie zu sicherheitsschädlichem Handeln zu bewegen — Passwörter preiszugeben, Zahlungen auszulösen oder Zugang zu gewähren. Es umgeht die Technik, indem es Vertrauen, Autorität, Hilfsbereitschaft und Zeitdruck ausnutzt.
Was ist Social Engineering?
Angriff über den Menschen statt über die Technik. Der Angreifer täuscht eine Rolle oder Situation vor, um sein Opfer zu einer Handlung zu bewegen, die es sonst nicht täte.
Welche Formen gibt es?
Phishing (per Mail), Vishing (per Telefon), Pretexting (erfundene Vorwände), Baiting (Köder) und der CEO-Fraud (gefälschte Chef-Anweisung zu Zahlungen).
Warum ist es so wirksam?
Weil es menschliche Grundmuster ausnutzt: Vertrauen in Autorität, Hilfsbereitschaft, Angst und Zeitdruck. Diese Muster lassen sich technisch nicht abschalten.
Wie schützt man sich?
Durch Awareness, klare Prozesse (Vier-Augen-Prinzip bei Zahlungen, Rückrufverfahren) und eine Kultur, in der Nachfragen erwünscht ist — auch bei vermeintlichen Chef-Anweisungen.
Warum ist der CEO-Fraud so gefährlich?
Weil er Autorität und Dringlichkeit kombiniert. Eine gefälschte Anweisung der Geschäftsleitung setzt Mitarbeitende unter Druck, Prozesse zu überspringen.
Häufige Fehlannahmen
- „Nur Unaufmerksame fallen darauf herein.“ Nein. Professionelle Angriffe treffen jeden.
- „Technik schützt vor Social Engineering.“ Nur begrenzt. Es umgeht die Technik.
- „Eine Chef-Mail muss man sofort befolgen.“ Nein. Gerade sie sollte man verifizieren.
- „Social Engineering ist nur Phishing.“ Nein. Auch Telefon, Vorwände und Köder.
- „Nachfragen wirkt misstrauisch.“ Nein. Nachfragen sollte erwünscht sein.
Was die Geschäftsleitung tun sollte
- Sensibilisieren. Manipulationstechniken bekannt machen.
- Prozesse härten. Vier-Augen- und Rückrufverfahren bei Zahlungen.
- Kultur fördern. Nachfragen ausdrücklich erlauben.
- Üben. Realistische Szenarien trainieren.
Für die Geschäftsleitung
Social Engineering hackt den Menschen, nicht die Technik. Wer seine Belegschaft für Manipulationstechniken sensibilisiert, Zahlungsprozesse härtet und eine Nachfrage-Kultur schafft, entzieht auch dem CEO-Fraud den Boden.
Quellen
Allgemein anerkannte Grundlagen der Informationssicherheit (u. a. BSI-Grundschutz, ENISA-Leitlinien, ISO/IEC-27000-Reihe). Dieser Eintrag erklärt einen technisch-organisatorischen Begriff und zitiert keine amtliche Einzelnorm.
