Social Engineering: Wenn Vertrauen zur Sicherheitslücke wird

Ein Anruf vom Geschäftsführer, eine dringende Zahlungsanweisung oder eine vermeintlich harmlose Nachricht vom IT-Support: Nicht jeder Cyberangriff beginnt mit einer technischen Schwachstelle. Beim Social Engineering setzen Angreifer gezielt auf menschliche Verhaltensweisen. Mithilfe künstlicher Intelligenz werden solche Täuschungsversuche zunehmend überzeugender. Für Unternehmen stellt sich deshalb nicht nur die Frage, wie gut ihre IT geschützt ist, sondern auch, wie sicher ihre Mitarbeitenden mit ungewöhnlichen Anfragen umgehen.

Wenn plötzlich der Geschäftsführer anruft

Stellen Sie sich folgende Situation vor: In der Finanzbuchhaltung geht ein Anruf ein. Am anderen Ende meldet sich der Geschäftsführer. Es geht um eine wichtige, vertrauliche Angelegenheit. Eine Überweisung muss noch heute ausgeführt werden, möglichst ohne größere Rückfragen, da es sich um ein sensibles Geschäftsprojekt handelt.

Die Stimme ist vertraut, die Ausdrucksweise passt und auch die genannten Informationen erscheinen plausibel. Warum also an der Echtheit des Anrufs zweifeln?

Genau darin liegt die Gefahr.

Denn möglicherweise spricht am anderen Ende gar nicht der Geschäftsführer, sondern ein Betrüger, der dessen Stimme mithilfe künstlicher Intelligenz nachgebildet hat. Was zunächst wie eine gewöhnliche geschäftliche Anweisung erscheint, kann Teil eines gezielten Social-Engineering-Angriffs sein.

Dieses als CEO-Fraud bekannte Betrugsszenario verdeutlicht, warum klassische technische Schutzmaßnahmen allein nicht ausreichen. Selbst wenn sämtliche Systeme ordnungsgemäß funktionieren, können Angreifer versuchen, über die Mitarbeitenden an Geld, Informationen oder Zugriffsrechte zu gelangen.

Was ist Social Engineering?

Unter Social Engineering versteht man die gezielte Manipulation von Menschen, um Informationen zu erhalten, Sicherheitsmaßnahmen zu umgehen oder bestimmte Handlungen auszulösen.

Anders als bei Angriffen, die unmittelbar technische Schwachstellen ausnutzen, steht hier zunächst die zwischenmenschliche Kommunikation im Mittelpunkt.

Angreifer geben sich beispielsweise als Vorgesetzte, Kollegen, Dienstleister oder Mitarbeiter einer vertrauenswürdigen Organisation aus. Sie nutzen dabei Eigenschaften, die im Berufsalltag grundsätzlich erwünscht sind: Hilfsbereitschaft, Zuverlässigkeit, Verantwortungsbewusstsein und die Bereitschaft, Probleme schnell zu lösen.

Oft werden solche Angriffe sorgfältig vorbereitet. Informationen über Zuständigkeiten, Geschäftsbeziehungen oder aktuelle Projekte lassen sich unter anderem über Unternehmenswebsites, soziale Netzwerke und öffentlich zugängliche Veröffentlichungen recherchieren.

Je besser ein Angreifer die Abläufe innerhalb eines Unternehmens kennt, desto glaubwürdiger kann er auftreten.

Das Gefährliche an Social Engineering ist deshalb nicht unbedingt die offensichtlich verdächtige Anfrage. Es ist die Anfrage, die sich zunächst vollkommen normal anfühlt.

Welche Formen von Social Engineering gibt es?

Social Engineering beschränkt sich längst nicht auf gefälschte E-Mails. Angreifer nutzen unterschiedliche Kommunikationswege und passen ihre Vorgehensweise an die jeweilige Situation an.

Phishing und Spear-Phishing

Beim klassischen Phishing werden gefälschte E-Mails verschickt, die beispielsweise zur Eingabe von Zugangsdaten auffordern oder auf manipulierte Websites führen.

Spear-Phishing geht einen Schritt weiter: Die Nachrichten sind gezielt auf einzelne Personen oder Unternehmen zugeschnitten. Sie beziehen sich möglicherweise auf reale Geschäftspartner, bekannte Projekte oder interne Zuständigkeiten.

Dadurch wirken sie deutlich glaubwürdiger als eine allgemein formulierte Betrugsnachricht.

Vishing und Smishing

Beim Vishing erfolgt der Täuschungsversuch telefonisch. Ein vermeintlicher IT-Mitarbeiter bittet beispielsweise um die Bestätigung eines Anmeldecodes oder fordert dazu auf, einen Fernzugriff auf den Computer zu ermöglichen.

Smishing bezeichnet vergleichbare Angriffe per SMS oder anderen Kurznachrichten.

CEO-Fraud und Business Email Compromise

Beim CEO-Fraud geben sich Angreifer als Mitglieder der Geschäftsführung aus, um beispielsweise vertrauliche Informationen oder Überweisungen zu veranlassen.

Eng damit verbunden ist Business Email Compromise (BEC). Hier werden geschäftliche E-Mail-Kommunikationswege missbraucht, etwa durch gefälschte Absenderadressen oder kompromittierte Postfächer.

Besonders kritisch sind dabei Zahlungsanweisungen und kurzfristige Änderungen von Bankverbindungen.

QR-Code-Phishing und physische Täuschungsversuche

Auch manipulierte QR-Codes können auf gefälschte Anmeldeseiten führen. Diese Methode wird als Quishing bezeichnet.

Social Engineering findet allerdings nicht ausschließlich digital statt. Wer sich beispielsweise als Techniker oder Lieferant ausgibt, kann versuchen, unberechtigt Zugang zu Unternehmensräumen zu erhalten.

Die Methoden unterscheiden sich, das Grundprinzip bleibt gleich: Angreifer erzeugen eine glaubwürdige Situation, um Sicherheitsregeln zu umgehen.

Social Engineering und KI: Wenn selbst die vertraute Stimme kein Beweis mehr ist

Künstliche Intelligenz verändert die Möglichkeiten von Cyberkriminellen erheblich. Während sich betrügerische Nachrichten früher mitunter an auffälligen Formulierungen, Rechtschreibfehlern oder unpassender Sprache erkennen ließen, können solche Hinweise heute vollständig fehlen.

Generative KI ermöglicht es, überzeugende Nachrichten zu formulieren, Kommunikationsstile nachzuahmen und Informationen für gezielte Angriffe aufzubereiten.

Besonders problematisch ist die Entwicklung bei sogenannten Deepfakes.

Mithilfe entsprechender KI-Anwendungen lassen sich Stimmen künstlich nachbilden. Bereits kurze Audioaufnahmen können unter geeigneten Bedingungen ausreichen, um eine Stimme zu erzeugen, die einer realen Person stark ähnelt.

Für Unternehmen bedeutet das: Ein Anruf, der wie der eigene Geschäftsführer klingt, ist kein zuverlässiger Nachweis dafür, dass tatsächlich der Geschäftsführer spricht.

Auch Videoaufnahmen oder Videokonferenzen bieten nicht automatisch Sicherheit. KI-generierte oder manipulierte Bild- und Toninhalte können zur Identitätstäuschung eingesetzt werden.

Die zentrale Konsequenz ist eindeutig: Identität muss durch verlässliche Prozesse bestätigt werden – nicht allein durch Stimme, Erscheinungsbild oder vermeintliches Insiderwissen.

Warum ein Rückruf so wirkungsvoll sein kann

Kehren wir zum Beispiel aus der Finanzbuchhaltung zurück.

Ein Mitarbeiter erhält die vermeintliche Anweisung des Geschäftsführers, eine vertrauliche Überweisung durchzuführen.

Die richtige Reaktion besteht nicht darin, den Anrufer anhand seiner Stimme beurteilen zu wollen. Stattdessen sollte die Anfrage über einen unabhängigen, bereits bekannten Kommunikationsweg überprüft werden.

Das bedeutet konkret: Das Gespräch wird beendet und der Geschäftsführer unter seiner bekannten, intern hinterlegten Telefonnummer zurückgerufen. Nicht unter einer Nummer, die der Anrufer selbst nennt.

Anschließend erfolgt die Bearbeitung entsprechend den vorgesehenen Zahlungs- und Freigabeprozessen.

Diese zusätzliche Überprüfung ist weder unhöflich noch ein Zeichen mangelnden Vertrauens. Sie ist Bestandteil eines professionellen Sicherheitsbewusstseins.

Warum Social Engineering auch erfahrene Mitarbeitende treffen kann

Ein verbreiteter Irrtum besteht darin, dass ausschließlich unaufmerksame oder technisch unerfahrene Menschen auf Social Engineering hereinfallen.

Tatsächlich zielen solche Angriffe häufig auf alltägliche Entscheidungssituationen ab, in denen Menschen unter Zeitdruck handeln, Verantwortung übernehmen oder einer vermeintlich berechtigten Anweisung nachkommen möchten.

Dabei nutzen Angreifer insbesondere drei psychologische Mechanismen:

Autorität: Eine Anweisung scheint von einer Führungskraft oder einer anderen entscheidungsbefugten Person zu stammen.

Dringlichkeit: Die Angelegenheit muss angeblich sofort erledigt werden. Für eine ausführliche Überprüfung bleibt scheinbar keine Zeit.

Vertraulichkeit: Der Empfänger wird aufgefordert, möglichst niemanden einzubeziehen. Dadurch sollen übliche Abstimmungen und Kontrollmechanismen umgangen werden.

Jeder dieser Aspekte kann auch in einer völlig legitimen Geschäftssituation vorkommen. Ein dringendes Projekt ist nicht automatisch verdächtig. Ebenso wenig ist jede vertrauliche Information ein Hinweis auf Betrug.

Entscheidend ist vielmehr, ob eine Anfrage zum üblichen Ablauf passt.

Soll plötzlich eine Zahlung ohne die vorgesehenen Freigaben durchgeführt werden? Werden vertrauliche Zugangsdaten telefonisch verlangt? Soll ein etablierter Prozess ausnahmsweise umgangen werden?

Genau solche Abweichungen verdienen Aufmerksamkeit.

Social Engineering erkennen: Auf ungewöhnliche Abläufe achten

Nicht jede betrügerische Anfrage lässt sich anhand offensichtlicher Merkmale identifizieren. Deshalb reicht es nicht aus, ausschließlich auf verdächtige Links oder fehlerhafte Absenderadressen zu achten.

Mitarbeitende sollten vor allem dann genauer hinsehen, wenn eine Anfrage vom gewohnten Vorgehen abweicht.

Typische Warnsignale sind:

• Ungewöhnlicher Zeitdruck, insbesondere bei finanziellen Transaktionen.
• Die ausdrückliche Aufforderung, eine Angelegenheit geheim zu halten.
• Die Bitte, etablierte Freigabe- oder Kontrollprozesse zu umgehen.
• Unerwartete Änderungen von Bankverbindungen oder Zahlungswegen.
• Die Aufforderung, Passwörter, Anmeldecodes oder vertrauliche Informationen weiterzugeben.
• Ein Wechsel auf ungewohnte Kommunikationskanäle ohne nachvollziehbaren Grund.
• Ein vermeintlicher Vorgesetzter oder Dienstleister, der Rückfragen ausdrücklich unterbindet.

Wichtig ist dabei eine Unternehmenskultur, in der solche Auffälligkeiten angesprochen werden dürfen.

Wer eine ungewöhnliche Anfrage überprüft, verzögert nicht unnötig die Arbeit, sondern übernimmt Verantwortung für die Sicherheit des Unternehmens.

Das gilt unabhängig von der Position des vermeintlichen Auftraggebers.

Wie können sich Unternehmen vor Social Engineering schützen?

Wirksamer Schutz entsteht durch das Zusammenspiel organisatorischer, technischer und menschlicher Sicherheitsmaßnahmen.

1. Verbindliche Freigabeprozesse etablieren

Insbesondere bei Überweisungen, Änderungen von Bankverbindungen und der Weitergabe sensibler Informationen sollten eindeutige Regeln gelten.

Das Vier-Augen-Prinzip und festgelegte Freigabeverfahren dürfen nicht allein deshalb außer Kraft gesetzt werden, weil eine Anfrage besonders dringend erscheint oder angeblich von der Geschäftsführung stammt.

2. Identitäten unabhängig überprüfen

Ungewöhnliche oder sicherheitsrelevante Anfragen sollten über einen zweiten, vertrauenswürdigen Kommunikationsweg bestätigt werden.

Ein Rückruf über eine intern hinterlegte Telefonnummer ist dafür ein einfaches und wirksames Beispiel.

3. Technische Sicherheitsmaßnahmen ergänzen

Mehrfaktor-Authentifizierung, geeignete E-Mail-Sicherheitsmaßnahmen, restriktive Zugriffsrechte und aktuelle Schutzsysteme können das Risiko und die Auswirkungen bestimmter Angriffe reduzieren.

Sie ersetzen allerdings nicht die Prüfung ungewöhnlicher Geschäftsvorgänge.

4. Verdächtige Vorfälle frühzeitig melden

Mitarbeitende müssen wissen, an wen sie sich bei einem Verdacht wenden können.

Dabei sollte ausdrücklich gelten: Lieber eine auffällige Nachricht einmal zu viel melden als aus Unsicherheit schweigen.

Eine frühzeitige Meldung ermöglicht es der IT-Abteilung, mögliche Angriffe zu untersuchen und gegebenenfalls weitere Mitarbeitende zu warnen.

5. Sicherheitsbewusstsein kontinuierlich fördern

Technische und organisatorische Maßnahmen können nur dann zuverlässig ineinandergreifen, wenn Mitarbeitende die dahinterstehenden Risiken verstehen und die vorgesehenen Abläufe kennen.

Genau hier kommen regelmäßige Security-Awareness-Schulungen ins Spiel.

Warum regelmäßige Schulungen gegen Social Engineering unverzichtbar sind

Cyberkriminelle entwickeln ihre Methoden kontinuierlich weiter. Neue Kommunikationsplattformen, veränderte Arbeitsabläufe und KI-gestützte Täuschungsmöglichkeiten schaffen immer wieder neue Angriffsszenarien.

Eine einmalige Unterweisung kann deshalb nur der Anfang sein.

Regelmäßige Schulungen helfen Mitarbeitenden, typische Manipulationsmuster zu erkennen, aktuelle Betrugsmaschen einzuordnen und angemessen auf ungewöhnliche Situationen zu reagieren.

Dabei kommt es vor allem auf Praxisnähe an.

Ein theoretischer Vortrag über Phishing ist sinnvoll. Noch wirkungsvoller wird die Sensibilisierung jedoch, wenn Mitarbeitende anhand realistischer Beispiele nachvollziehen können, wie ein Angriff im eigenen Arbeitsumfeld aussehen könnte.

Für die Finanzabteilung können das gefälschte Zahlungsanweisungen sein. Im Personalwesen stehen möglicherweise manipulierte Bewerbungsunterlagen oder Anfragen nach personenbezogenen Daten im Mittelpunkt. Mitarbeitende im Kundenservice können mit betrügerischen Identitäts- und Supportanfragen konfrontiert werden.

Auch simulierte Phishing-Kampagnen und kurze, wiederkehrende Lerneinheiten können Bestandteil eines solchen Schulungskonzepts sein.

Entscheidend ist jedoch, dass es nicht darum geht, Mitarbeitende bei Fehlern zu ertappen.

Gute Security Awareness soll Handlungssicherheit schaffen, keine Angst vor Fehlentscheidungen.

Wer befürchten muss, für eine Rückfrage belächelt oder für einen gemeldeten Fehler bestraft zu werden, wird im Zweifel eher schweigen. Unternehmen benötigen deshalb eine Sicherheitskultur, in der kritisches Nachfragen ausdrücklich erwünscht ist.

Dazu gehört auch die Unterstützung durch Führungskräfte. Wenn die Geschäftsführung selbst darauf besteht, dass festgelegte Freigabeprozesse eingehalten werden, vermittelt sie eine wichtige Botschaft: Sicherheit hat auch dann Priorität, wenn es schnell gehen muss.

Fazit: IT-Sicherheit braucht Menschen, die im richtigen Moment nachfragen

Social Engineering zeigt, dass Informationssicherheit weit über Firewalls, Virenschutz und sichere Passwörter hinausgeht.

Angreifer nutzen Vertrauen, gewohnte Arbeitsabläufe und menschliche Verhaltensweisen, um ihre Ziele zu erreichen. Künstliche Intelligenz eröffnet ihnen zusätzliche Möglichkeiten, Identitäten glaubwürdig vorzutäuschen und Manipulationsversuche gezielter vorzubereiten.

Die Antwort darauf kann allerdings nicht sein, grundsätzlich jede Nachricht und jeden Anruf infrage zu stellen.

Vielmehr geht es darum, ein gesundes Sicherheitsbewusstsein zu entwickeln: Welche Anfrage passt zum üblichen Geschäftsablauf? Wo entstehen Unstimmigkeiten? Und wann ist eine zusätzliche Überprüfung angebracht?

Unternehmen, die klare Prozesse etablieren, ihre Mitarbeitenden regelmäßig sensibilisieren und eine offene Meldekultur fördern, schaffen dafür eine wichtige Grundlage.

Denn manchmal ist die wirksamste Sicherheitsmaßnahme weder kompliziert noch technisch anspruchsvoll.

Manchmal genügt es, bei einer ungewöhnlichen Anfrage zum Telefon zu greifen, selbst zurückzurufen und eine einfache Frage zu stellen: „Haben Sie diese Anweisung tatsächlich erteilt?“

Weiterführende Quellen

• Bundesamt für Sicherheit in der Informationstechnik (BSI): IT-Grundschutz, ORP.3 – Sensibilisierung und Schulung zur Informationssicherheit
• European Union Agency for Cybersecurity (ENISA): ENISA Threat Landscape 2025
• ENISA: Technical Implementation Guidance on Cybersecurity Risk Management Measures, Juni 2025
• Federal Trade Commission (FTC): Fighting Back Against Harmful Voice Cloning, April 2024