Social Engineering − Definition, Beispiele und wie du dich schützen kannst

Social Engineering ist die emotionale Manipulation von Menschen mit dem Ziel, vertrauliche Informationen wie Zugangsdaten zu erbeuten. Vor allem Zugangsdaten zu IT-Infrastrukturen werden im Nachgang häufig genutzt, um schwerwiegendere Folgeangriffe durchzuführen, wie etwa Ransomware-Attacken. Technisches Wissen brauchen Angreifer dafür kaum. Wird Social Engineering eingesetzt, um Zugriff auf Systeme zu erlangen, spricht man von Social Hacking.

Gemeinsam ist allen Methoden: Angreifer geben sich illegalerweise als jemand anderes aus, um Vertrauen zu erschleichen.

• Phishing: Täuschung durch gefälschte E-Mails, Webseiten oder Nachrichten. Varianten:
  • Voice-Phishing (Vishing): Telefonbetrug mit KI-generierter Stimme
  • SMS-Phishing (Smishing): Gefälschte SMS oder WhatsApp-Nachrichten
  • QR-Code-Phishing (Quishing): Manipulierte QR-Codes (z. B. mittels Aufkleber wie im Fall von Easypark)
  • Brief-Phishing: Gefälschte Behördenschreiben, die zu Zahlungen auffordern
• Impersonation:
  Betrüger geben sich als andere (fiktive) Personen (z. B. Geschäftsführung) aus, um auf Mitarbeitende Druck auszuüben und im Anschluss Informationen zu erhalten.
• Deep Fake:
  Real wirkende, manipulierte Medien (Fotos, Videos, Audio) zur Täuschung.
• Quid pro quo:
  Versprechen von vermeintlichen Vorteilen im Tausch gegen sensible Infos.

• Scareware:
  Erzeugt Angst durch falsche Warnmeldungen, die unerwartet und gefolgt von einem lauten Warnton erscheinen. Es wird suggeriert, dass Schadcode auf dem PC entdeckt wurde. Für das vermeintliche Sicherheits-Update (das eigentliche Schadprogramm) wird Geld gefordert.
• Honey Pot:
  Flirtangriffe mit dem Ziel, kompromittierendes Material (z. B. Nacktfotos) zu erlangen und damit zu erpressen.

• Ben Wallace: Der britische Verteidigungsminister fiel auf einen Deep Fake-Anruf eines russischen Comedians herein, der sich als ukrainischer Premierminister ausgegeben hatte. Auch wenn kein faktischer Schaden entstanden ist, zeigt der Anruf, wie leicht Angriffe an sensiblen Punkten durchgeführt werden können 

• Robin Sage: Fake-Profil kontaktiert Mitarbeitende des US-Geheimdienstes und des Weißen Hauses und erbeutet sensible Daten.
• Jüngste Vorfälle verdeutlichen, dass Social Engineering zunehmend auch für Angriffe auf die Lieferkette (Supply-Chain-Angriffe) genutzt wird.
  • npm-Fall: Entwickler wird via Typosquatting zu einer Fake-Seite gelockt. Er gab seine Zugriffsdaten ein und die Angreifer schleusten manipulierte Pakete ein.
  • Node.js-Angriff: Durch Zugang über gefälschte E-Mails erhielten Angreifer Zugriff auf zentrale Projektbereiche.

Beide Fälle zeigen, wie schnell durch Social Engineering Methoden erheblicher Schaden entsteht. Umso wichtiger ist eine kontinuierliche Sensibilisierung der Entwickler-Community für solche Bedrohungen.

Ein wirksames Mittel zum Schutz von Online-Konten ist die Zwei-Faktor-Authentifizierung (2FA). Sie stellt eine zusätzliche technische Hürde dar und erschwert Angreifern den direkten Zugriff erheblich. Doch selbst diese Sicherheitsebene ist nicht unverwundbar: Bei der sogenannten Multi-Faktor-Fatigue geben Angreifer sich z. B. als IT-Support aus und belästigen das Opfer mit Push-Anfragen – bis es nachgibt. So geschehen beim Hack von Activision Blizzard.

Es kursieren immer wieder gefälschte E-Mails, die angeblich von mittwald stammen. Prüfe verdächtige Mails mit unserem Phishing-Validator. Im Zweifel kontaktiere unseren Kundenservice.

Der beste Schutz vor Betrug ist, Inhalt und Aufmachung kritisch zu hinterfragen. Phishing Mails fallen oft durch Rechtschreibfehler oder seltsame Absenderadressen auf. Viele Deep Fakes haben eine schlechte Ton- oder Bildqualität. Gleichzeitig helfen diese Regeln:

• Teile in sozialen Medien nur das Nötigste.
• Klicke nur auf vertrauenswürdige Links.
• Nutze Passwort-Manager – sie erkennen gefälschte Login-Seiten.
• Aktiviere, wo möglich, 2FA.
• Gib keine sensiblen Daten an Unbekannte weiter.

Wir schulen unsere Mitarbeiter*innen regelmäßig zu allen relevanten Security-Entwicklungen. Mit unseren Kund*innen teilen wir unsere Infos über Blog, Agenturhub und Social Media. Auch unsere Kundenkommunikation ist abgesichert: Deshalb fragen wir dich am Telefon nach deinem Verifizierungscode.