Warum ist Social Engineering so effektiv?

Jeden Tag durchsuchen unzählige Bots und KI Agenten das Internet nach Sicherheitslücken und versuchen Malware auf fremde Geräte zu bekommen. Firewalls, Antivirenprogramme und jede IT-Sicherheitssoftware beschützt diese Geräte durchgehend. Einige Unternehmen sind hier mittlerweile gut aufgestellt. Es bleibt jedoch eine unkontrollierbare Schwäche, die immer wieder dafür sorgt, dass schädliche Software ein Einfallstor findet: der Mensch. Als Social Engineering Attacken bezeichnet man Angriffe, die gezielt Schwächen im menschlichen Verhalten ausnutzen und durch Manipulation versuchen an vertrauliche Daten oder gar den Zugang zu einem gesicherten System zu kommen. Wir schauen uns heute genauer an, wie Social Engineering funktioniert und warum es immer noch so effektiv ist.

Seit wann gibt es Social Engineering?

Bereits lange vor dem digitalen Zeitalter gab es Techniken, die dem modernen Social Engineering ähneln. Vor allem Spione nutzten Täuschungen und Manipulationen, um an geheime Informationen zu kommen. Aber auch Kriminelle waren bereits in diesem Bereich unterwegs. Diese waren früher eher als Trickbetrüger bekannt und man kennt einige der Maschen noch heute. Anstatt eines Passworts erbeuten diese jedoch eher die Brieftasche ihres Gegenübers.
Der eigentliche Begriff „Social Engineering“ wurde bereits in den 1980er Jahren bekannt. Meist fällt der Begriff in einem Atemzug mit dem heute fast schon legendären Hacker Kevin Mitnick. Vor allem, da dieser sich selbst als „social engineer“ bezeichnete. Ihm gelang es, neben großen Unternehmen wie Nokia auch mehrfach in das Netzwerk des US-Verteidigungsministeriums einzudringen. Dies gelang ihm auch dadurch, dass er es schaffte, Passwörter über trickreiche Telefonanrufe zu ermitteln. Er ist einer der ersten und eindrucksvollsten Personen, die sehr erfolgreich mit Social Engineering Zugriff zu verschiedenen, teilweise gut geschützten, System bekamen.

Wie funktioniert Social Engineering?

Social Engineering Angriffe zielen direkt auf Menschen und deren Eigenschaften wie Neugier und Unsicherheit. Durch geschickte Manipulation gelingt es den Angreifern an Informationen zu gelangen und diese dann zu verwenden. Besonders durch vermeintliche Stresssituationen und Zeitdruck werden Menschen noch anfälliger für diese Form der Manipulation. Für den eigentlichen Angriff nutzen Kriminelle verschiedene Methoden. Eine davon, das „Phishing“ haben wir Ihnen dieses Jahr in einem anderen Beitrag bereits vorgestellt. Dabei wird, kurz gesagt, dem Opfer eine Nachricht gesendet mit einem falschen Link, um an dessen Daten zu gelangen.

Eine andere Technik, ist das so genannte „Baiting“. Hier wird dem Opfer ein verlockendes Angebot gemacht und es wird dadurch zur Installation von Schadsoftware oder zur Preisgabe von Informationen verleitet. Beispielsweise durch die Teilnahme an einem Gewinnspiel oder ein günstiges Produkt, das man dann erhält, wenn man bestimmte Anweisungen befolgt.

Häufig in einem Atemzug mit „Social Engineering“ wird auch der Begriff „Scam“ genannt. Dabei handelt es sich um eine bekannte Betrugsmaschen, bei denen beispielsweise Menschen auf einer Dating Plattform die große Liebe vorgegaukelt wird. Dies geschieht jedoch nur, um am Ende Geld durch das Opfer zu erhalten.

Um einen Social Engineering Angriff durchzuführen, nutzen Hacker häufig „Pretexting“, um noch glaubhafter zu wirken. Der Angreifer gibt sich dabei als eine andere Person aus und versucht durch geschicktes Lügen und Vortäuschen seiner falschen Identität an Informationen zu gelangen oder sein Opfer zu bestimmten Handlungen zu bringen. Das kann in Form von Phishing-Mails, aber auch Telefonanrufen passieren. Durch das Vertrauen zu der Persönlichkeit, die der Angreifer vorgibt zu sein, wird das Opfer manipuliert und leichter dazu gebracht, Daten preiszugeben.

Social Engineering kann in der Form von „Tailgating“ aber auch offline stattfinden. Der Angreifer möchte sich Zugang zu einem gesicherten Bereich eines Gebäudes verschaffen. Teilweise erfolgt diese Methode gemeinsam mit dem „Pretending“ indem der Angreifer vorgibt, seine Zugangskarte vergessen zu haben. Er folgt dann dem Mitarbeiter in den geschützten Bereich und lässt sich von ihm die Zugänge öffnen. Vor allem in größeren Unternehmen kann solch ein Angriff leicht erfolgen, da die Mitarbeiter sich nicht alle untereinander kennen.

Was sind die Auswirkungen von Social Engineering?

Erfolgreiche Social Engineering Angriffe gehen meist mit schwerwiegenden Folgen einher. Für Privatpersonen können gestohlene Daten zu finanziellen Verlusten, Identitätsdiebstahl und erheblichen persönlichen Belastungen führen.
Für Unternehmen sind die Folgen meist noch gravierender. Die finanziellen Schäden können schnell in den Millionenbereich gehen und ein Unternehmen in die Insolvenz treiben. Hinzu kommt der enorme Reputationsschaden, besonders wenn Daten von Kunden und Partnern abgeflossen sind. Oft können sich Unternehmen von einem Vorfall finanziell nicht mehr erholen. Ein Beispiel hierfür ist die deutsche Serviettenfirma Fasana, die nach einem erfolgreichen Phishing-Angriff im Jahr 2025 Insolvenz anmelden musste.
Für Unternehmen, die von Entwicklungen und Innovationen leben kann es erschwerend hinzukommen, wenn vertrauliche Geschäftsgeheimnisse oder technologische Errungenschaften in die Hände von Konkurrenten gelangen. Noch kritischer wird es, wenn der Social Engineering Angriff auf staatliche Organe gelingt, denn dann können interne oder sogar militärische Informationen an feindliche Staaten gelangen. Im schlimmsten Fall bedroht dies sogar die nationale Sicherheit.

Wie wird sich Social Engineering in der Zukunft entwickeln?

Die Zukunft von Social Engineering wird maßgeblich durch KI beeinflusst. Bereits jetzt ist dies spürbar. Waren Phishing-Mails vor zehn Jahren häufig noch durch viele Fehler oder Ungereimtheiten erkennbar, sorgt die KI bereits jetzt dafür, dass diese E-Mails in vielen verschiedenen Sprachen fehlerfrei erstellt und verschickt werden. Hinzu kommt maschinelles Lernen und die damit verbundene Analyse menschlicher Kommunikationsmuster. Dadurch können noch glaubwürdigere Nachrichten entstehen und auch Telefonanrufe mit Hilfe von Deep Fakes erstellt werden, die die Stimme einer bekannten Person imitieren. All das wird es immer schwerer machen Social Engineering Angriffe zu erkennen. Weiterhin sind diese mittlerweile deutlich leichter umzusetzen. Bots arbeiten mittlerweile völlig automatisiert, beginnend bei dem Versand von Phishing-Mails bis zum Empfangen der Zahlungen der Opfer.
Auf Verbraucherseite hingegen steigt die Nutzung digitaler Angebote fast täglich. Bereits jetzt haben viele Menschen ein Smart Home oder auch ein Smart Office. Das „Internet of Things“ (IoT) bietet eine große Angriffsfläche. Durch die Vernetzung der verschiedenen Geräte wird es Angreifern einfach gemacht in ein Netzwerk zu gelangen, da nicht jedes Gerät ausreichend geschützt ist. Auch hier kann es vermehrt zu Social Engineering Angriffen kommen.

Was kann man gegen Social Engineering Angriffe tun?

Natürlich kann man auf technischer Seite einige Vorbereitungen treffen. Beispielsweise eine Netzwerksegmentierung für den Fall eines gelungenen Angriffs. Auf diese Weise breitet sich Schadsoftware bestenfalls nicht im ganzen Unternehmen aus, sondern bleibt auf dem Gerät eines einzelnen Mitarbeiters. Ein gutes Monitoring-System überwacht zudem das ganze Netzwerk auf verdächtige Aktivitäten. Auch hierdurch kann ein Angriff deutlich schneller auffallen.
Der wichtigste Schritt ist jedoch, bei allen Mitarbeitern ein Bewusstsein für Gefahren von Cyberattacken zu schaffen. Mitarbeitende sollten regelmäßig geschult werden und moderne Social Engineering Attacken kennen lernen. Wir empfehlen auch regelmäßig fingierte Phishing-Mails einzusetzen, um den Mitarbeitender praktische Lernmöglichkeiten zu geben.
Dies kann auch bereits für kleine Unternehmen schon umsetzbar sein. Sprechen Sie uns gern auf unsere Phishing-Kampagnen und Awareness-Schulungen an. Wir beraten Sie gern.