Social Engineering bezeichnet Angriffe, die nicht Technik, sondern Menschen täuschen: Vertrauen, Hilfsbereitschaft oder Zeitdruck werden ausgenutzt, um Zugang oder Informationen zu erlangen.
Social Engineering ist der Oberbegriff für Angriffe, die menschliches Verhalten statt technischer Schwachstellen ausnutzen. Der Angreifer bringt eine Person dazu, freiwillig etwas zu tun, das ihm Zugang verschafft: ein Passwort nennen, eine Tür aufhalten, einen Anhang öffnen, eine Überweisung freigeben. Die Hebel sind dabei immer dieselben – Autorität („Hier spricht die Geschäftsführung“), Dringlichkeit („Das muss in zehn Minuten raus“), Hilfsbereitschaft („Könnten Sie mir kurz helfen?“) und Vertrautheit („Wir haben uns auf der Messe gesehen“).
Social Engineering umfasst viele Spielarten: Phishing per E-Mail, Vishing per Telefon, Smishing per SMS, Pretexting als erfundene Geschichte und physische Methoden wie Tailgating oder der Besuch als vermeintlicher Techniker. In MITRE ATT&CK verteilen sich diese Methoden auf mehrere Techniken, darunter Phishing (T1566), Phishing for Information (T1598) und Impersonation (T1656).
So funktioniert es
Unabhängig vom Kanal durchläuft ein Social-Engineering-Angriff vier Phasen:
- Informationssammlung: Organigramme, Zuständigkeiten, Lieferanten, Sprachgebrauch und Termine werden aus öffentlichen Quellen zusammengetragen (OSINT).
- Beziehungsaufbau: Der Angreifer tritt in Kontakt, etwa durch eine harmlose erste Mail, einen Anruf mit Rückfrage oder ein Gespräch am Empfang. Er wirkt kompetent und unauffällig.
- Ausnutzung: Die eigentliche Bitte folgt in einem Moment, der plausibel erscheint und wenig Prüfung zulässt – Freitagnachmittag, Urlaubsvertretung, Jahresabschluss.
- Rückzug: Der Angreifer beendet den Kontakt so, dass kein Verdacht entsteht, oder nutzt das gewonnene Vertrauen für weitere Schritte.
Der Angriff funktioniert nicht, weil Menschen unaufmerksam wären, sondern weil Vertrauen und Kooperation Voraussetzungen jeder Zusammenarbeit sind. Ein Unternehmen, in dem niemand hilft, ohne einen Ausweis zu verlangen, wäre nicht arbeitsfähig.
Bedeutung für Unternehmen
Technische Kontrollen lassen sich kaufen, Verhalten nicht. Deshalb bleibt Social Engineering für Angreifer attraktiv, selbst wenn Firewall, EDR und Patch-Management auf hohem Niveau sind. Häufige Fehler auf Unternehmensseite: Awareness wird als jährliches Pflichtmodul verstanden statt als kontinuierlicher Prozess, Prozesse für Zahlungen und Passwort-Resets haben keine technische Hürde, und wer auf eine Täuschung hereinfällt, wird bloßgestellt statt ermutigt, es zu melden.
Für ein Red Team ist Social Engineering ein Werkzeug unter mehreren, um den Erstzugriff zu erlangen. Im Gegensatz zur reinen Awareness-Messung interessiert uns dabei die gesamte Kette: Welche Information hat den Angriff ermöglicht, welcher Prozess hat versagt, und hat das SOC die Folgeaktivität bemerkt?
Schutz und Prüfung
- Prozesse mit eingebauter Bremse: Vier-Augen-Prinzip bei Zahlungen, Rückruf über bekannte Nummern, verbindliche Identitätsprüfung vor MFA-Resets. Kein Prozess darf allein auf Glaubwürdigkeit beruhen.
- Technische Rückfallebene: Phishing-resistente MFA, Makro-Blockade, Application Allowlisting – damit ein Fehler eines Menschen nicht automatisch zur Kompromittierung führt.
- Fehlerkultur: Wer eine verdächtige Interaktion meldet, bekommt Dank und Rückmeldung, keine Rüge. Die Meldequote ist wichtiger als die Klickrate.
- Zielgruppengerechte Awareness-Schulung: Empfang, Helpdesk, Buchhaltung und Assistenz brauchen andere Szenarien als die Softwareentwicklung.
- Regelmäßig realistisch testen: Kampagnen über mehrere Kanäle, abgestimmt mit Betriebsrat und Datenschutz, idealerweise eingebettet in ein Social-Engineering-Assessment oder ein vollständiges Red Teaming.