Manipulation statt Technik
Angriffe, die den Menschen manipulieren statt die Technik, fasst man unter dem Begriff Social Engineering zusammen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) zählt sie zu den gefährlichsten Bedrohungen für Unternehmen — denn Firewall und Virenschutz helfen nicht, wenn jemand freiwillig ein Passwort verrät oder eine Überweisung auslöst.
Das ist keine Randerscheinung: 87 Prozent der deutschen Unternehmen waren 2025 von Angriffen betroffen. Vereinfacht gesagt:
Diee Angreifer wollen nicht die Tür aufbrechen — sie wollen, dass jemand sie ihnen aufhält.
Und das gelingt, weil unser Kopf zwei Geschwindigkeiten kennt. Im Alltag läuft vieles auf Autopilot: schnell, aus dem Bauch, nach bewährten Faustregeln. Das spart Kraft und funktioniert meistens gut. Erst wenn etwas nicht passt, schaltet das langsame, prüfende Denken ein — aber das kostet Aufmerksamkeit und lässt sich unterdrücken. Genau das tun Angreifer: Sie erzeugen Druck, Eile oder ein gutes Gefühl, damit der Autopilot am Ruder bleibt und das kritische Nachdenken erst gar nicht anspringt.
Wie weit Menschen einer Autorität folgen, untersuchte der Psychologe Stanley Milgram — mit verstörendem Ergebnis: Rund zwei Drittel gehorchten bis zur höchsten Stufe. Hier die Original-Dokumentation:
Erklärvideo (deutsch, ~5 Min.): studyflix — Milgram-Experiment
Nicht jeder Angriff kommt per E-Mail
Social Engineering läuft über jeden Kanal. Am Telefon gibt sich jemand als IT-Support aus und braucht „nur kurz" das Passwort. An der Tür folgt eine fremde Person mit vollen Händen ins Gebäude — und man hält ihr höflich auf, weil Zuschlagen unhöflich wäre. Im Zug oder Café liest jemand über die Schulter mit, während vertrauliche Daten auf dem Bildschirm stehen.
Im Zweifel: innehalten, prüfen, melden
Der Schutz ist kein technisches Werkzeug, sondern eine Gewohnheit in drei Schritten:
Niemand wird Sie dafür belangen,
dass Sie vorsichtig waren.
Der Angreifer investiert in eine gute Geschichte. Die Abwehr liegt darin, kurz aus der Geschichte herauszutreten und eine einzige Frage zu stellen: „Warum so dringend?"
Zum Weiterlesen:
die Techniken im Detail
Der folgende Teil gehört nicht zum Pflichtstoff — er ist für alle gedacht, die genauer wissen wollen, mit welchen benannten Methoden Angreifer arbeiten. Zum Verständnis der Lektion genügt der Teil oben; wer mag, klappt hier auf.
Der Psychologe Robert Cialdini beschrieb sechs Grundmuster, mit denen sich Menschen beeinflussen lassen — Angreifer nutzen sie gezielt und kombiniert:
Reziprozität (wer etwas gibt, bekommt eher etwas zurück),
Commitment/Konsistenz (wer A gesagt hat, sagt eher auch B),
soziale Bewährtheit (was andere tun, wirkt richtig),
Autorität, Sympathie und Knappheit (was selten ist, wirkt wertvoll).
Wie stark schon Reziprozität wirkt, zeigte eine Untersuchung der Universität Luxemburg: Wer vor der Frage nach dem Passwort eine Schokolade geschenkt bekam, gab es deutlich häufiger preis — 47,9 statt 29,8 Prozent.
Pretexting bezeichnet den vorbereiteten Vorwand, der vielen Angriffen vorausgeht. Der Angreifer denkt sich eine glaubwürdige Rolle aus — IT-Mitarbeiter, Lieferant, Behördenvertreter — und spielt sie überzeugend. Dafür recherchiert er vorab: Wer ist zuständig, welche Projekte laufen, wer ist der Vorgesetzte? Die Bruchstücke stammen aus öffentlichen Profilen und Firmenwebsites. Aus ihnen wird eine Geschichte, und die Geschichte macht den Angriff glaubwürdig.
Wie teuer das werden kann, zeigt ein dokumentierter Fall: Das US-Netzwerkunternehmen Ubiquiti Networks verlor 2015 rund 46,7 Millionen US-Dollar, weil Mitarbeitende Zahlungsanweisungen ausführten, die scheinbar von Führungskräften stammten. Die Täter hatten zuvor Struktur, Namen und Kommunikationsstil des Unternehmens studiert — keine Schadsoftware, kein Hacking-Werkzeug, nur eine gut vorbereitete Geschichte.
Beide bezeichnen das unbefugte Betreten eines gesicherten Bereichs im Windschatten eines Berechtigten. Beim Tailgating folgt der Angreifer unbemerkt — oft mit vollen Händen (Kartons, Kaffeebecher), sodass das Aufhalten der Tür wie ein selbstverständlicher Gefallen wirkt. Beim Piggybacking bittet er den Mitarbeitenden ausdrücklich („Würden Sie mir bitte kurz die Tür aufhalten?"), und dieser stimmt arglos zu. Der Unterschied liegt also darin, ob der Berechtigte es merkt oder nicht.
Das gezielte Beobachten von Bildschirmen, Tastaturen oder Unterlagen, um Passwörter, PINs oder vertrauliche Daten abzugreifen — im Zug, im Café, im Großraumbüro. Technisch anspruchslos, aber wirksam: Schon eine ungünstige Sitzposition genügt, eine Handykamera macht das Mitlesen auch aus einigen Metern möglich.
Baiting („Ködern") nutzt Neugier oder Gier: Der Angreifer legt einen verlockenden Köder aus, den das Opfer selbst aufgreift — anders als beim Phishing, wo die Nachricht zum Opfer kommt. Klassiker ist der präparierte USB-Stick mit Aufschrift „Gehälter 2026", der auf dem Firmenparkplatz liegt; wird er eingesteckt, startet Schadsoftware. Digitale Varianten sind vermeintlich kostenlose Downloads, Filme oder Musik mit verstecktem Schadcode. Grundregel: gefundene Datenträger niemals anschließen.
Scareware erzeugt gezielt Panik, um eine überstürzte Handlung zu erzwingen. Typisch ist ein Vollbild-Pop-up „Ihr Computer ist mit 5 Viren infiziert!", das zum Kauf nutzloser „Sicherheitssoftware" oder zum Anruf bei einer gefälschten Support-Hotline drängt. Merksatz: Echte Sicherheitswarnungen drängen nie zum sofortigen Kauf oder Anruf — im Zweifel den Browser schließen und die IT informieren.
Diese Maschen sind Social Engineering über einen bestimmten Kanal: Vishing ist der betrügerische Anruf, CEO-Fraud die gefälschte Anweisung im Namen der Chefetage (wie im Einstiegsfall), Spear-Phishing die gezielt auf eine Person zugeschnittene Nachricht. Ausführlich behandelt sie das Kapitel 1.3 (Phishing) — hier zählt nur: Es sind dieselben psychologischen Hebel, nur über E-Mail, SMS oder Telefon.
- BSI — Social Engineering, Faktor Mensch
- BSI — IT-Sicherheit am Arbeitsplatz
- Bitkom Wirtschaftsschutz 2025
- studyflix — Milgram-Experiment (Vertiefungsvideo)
Quellen zum Vertiefungsteil:
