Social Engineering (deutsch: soziale Manipulation) ist eine Angriffsmethode, bei der Angreifer nicht technische Schwachstellen ausnutzen, sondern Menschen — durch Täuschung, Vertrauensaufbau und psychologische Tricks. Der Mensch gilt als das schwächste Glied der IT-Sicherheit, und genau dort setzt Social Engineering an.
Typische Angriffsformen
- Phishing: Gefälschte E-Mails oder Webseiten, die Zugangsdaten abfragen oder Malware verbreiten — die häufigste Form.
- Pretexting: Der Angreifer erfindet eine glaubwürdige Geschichte (Vorwand), um an Informationen zu kommen, etwa als vermeintlicher Support-Mitarbeiter.
- Baiting: Eine echte oder digitale „Köder" (USB-Stick, verseuchter Download), die Neugier auslösen soll.
- Shoulder Surfing: Direktes Mitlesen von Passwörtern oder PINs über die Schulter des Opfers.
- Quid pro quo: Angreifer bieten eine scheinbare Gegenleistung (z. B. Hilfe bei einem Problem) und verlangen dafür Zugang oder Daten.
Warum funktioniert Social Engineering?
Grundlage sind psychologische Mechanismen wie Autorität (vermeintlicher Chef oder Behörde), Dringlichkeit („Ihr Konto wird in 24 Stunden gesperrt"), Gefälligkeit („Helfen Sie mir kurz") und Neugier. Diese Muster unterbrechen das normale Misstrauen und lassen das Gegenüber schneller handeln.
Schutzmaßnahmen
- Sensibilisierung und regelmäßige Schulung aller Mitarbeiter (Security-Awareness).
- Zwei-Faktor-Authentifizierung als zweite Verteidigungslinie, falls Zugangsdaten abgefischt wurden.
- Klare Prozesse: Passwörter und sensible Daten nie per Telefon oder E-Mail herausgeben, Rückruf bei unerwarteten Anfragen.
- Vorsicht bei E-Mail-Anhängen und Links — auch wenn der Absender bekannt wirkt.
Verwandte Grundlagen: Phishing, Brute-Force-Angriff, Keylogger, Man-in-the-Middle-Angriff, Zero-Trust-Modell.