Social Engineering
Kurz erklärt
Social Engineering bezeichnet Angriffe, die nicht die Technik überwinden, sondern die Menschen davor. Der Angreifer erzeugt Vertrauen, Zeitdruck oder Autorität und bringt jemanden dazu, freiwillig etwas herauszugeben oder zu tun: ein Passwort, eine Zahlung, eine Freigabe. Die Firewall bleibt dabei unberührt – sie war nie das Ziel.
Die Muster, die im Geschäftsalltag funktionieren
Der Chef, der gerade im Flugzeug sitzt. Eine Mail angeblich von der Geschäftsleitung verlangt eine dringende Zahlung und bittet darum, den üblichen Weg ausnahmsweise zu überspringen. Zeitdruck plus Autorität plus die Bitte um Diskretion – das ist die vollständige Bauanleitung.
Die geänderte Kontonummer. Eine bekannte Lieferantenrechnung kommt erneut, mit neuer IBAN und dem Hinweis auf einen Bankwechsel. Sie fällt erst auf, wenn der echte Lieferant mahnt.
Der hilfsbereite Support. Ein Anruf, der beim Einrichten helfen will und dabei nach dem Bestätigungscode fragt, der gerade auf dem Handy angekommen ist.
Warum Technik allein nicht reicht
Weil kein Angriff stattfindet, den ein Filter erkennen könnte. Eine Mail ohne Anhang, ohne Link und mit korrekter Grammatik ist technisch unauffällig – sie enthält nur eine Bitte.
Auch die Zwei-Faktor-Authentifizierung schützt nicht, wenn jemand den zweiten Faktor am Telefon vorliest. Sie verlagert das Ziel vom Passwort auf den Menschen; genau dorthin, wo Social Engineering ohnehin arbeitet.
Was in der Schweiz tatsächlich hilft
Ein Vier-Augen-Prinzip bei Zahlungen, das keine Ausnahme kennt. Der Angriff funktioniert über die Ausnahme, nicht über die Regel. Eine Regel mit Notfallklausel ist genau die Lücke, die gesucht wird.
Rückruf auf die bekannte Nummer, nie auf die in der Nachricht genannte. Das kostet zwei Minuten und schliesst die häufigste Variante vollständig.
Verdachtsfälle und echte Vorfälle nimmt in der Schweiz das Bundesamt für Cybersicherheit entgegen. Eine Meldung ist auch dann sinnvoll, wenn nichts passiert ist – sie ist die Datengrundlage, aus der die Lagebilder entstehen.
Wie wir damit umgehen
Wir behandeln es als Prozessfrage, nicht als Schulungsfrage. Ein Ablauf, der auch bei Zeitdruck trägt, wirkt zuverlässiger als jede Sensibilisierung – Menschen bleiben müde und in Eile.
Technisch flankiert wird das über IT-Security und einen Modern Workplace, in dem Identität und Gerät gemeinsam geprüft werden.
Verwandte Begriffe
Ein Begriff im Angebot, den niemand erklärt hat?
Im Strategiegespräch übersetzen wir das Angebot, das dir vorliegt – auch wenn es nicht von uns stammt.