Social Engineering: Die häufigsten Angriffstechniken – und wie sich Unternehmen wirksam schützen

Der Mensch als grösste Schwachstelle: Firewalls und Multi-Faktor-Authentifizierung schützen vor technischen Angriffen – der wirksamste Angriffsvektor bleibt jedoch der Mensch. Social Engineering nutzt psychologische Mechanismen wie Vertrauen, Zeitdruck, Hilfsbereitschaft oder Respekt vor Autorität, um Mitarbeitende zur Preisgabe sensibler Daten oder zur Umgehung von Sicherheitsmassnahmen zu bewegen. Selbst beste technische Absicherung greift nur, wenn Mitarbeitende entsprechend sensibilisiert sind.

Die häufigsten Techniken
Phishing & Spear-Phishing: Massen-E-Mails mit gefälschten Rechnungen, Gewinnbenachrichtigungen oder Kontosperrungen zielen auf Zugangsdaten ab. Spear-Phishing ist personalisiert – Angreifer recherchieren gezielt über LinkedIn oder Unternehmenswebsites, um glaubwürdige, individuelle Nachrichten zu erstellen.

Tech-Support-Betrug: Ein vermeintlicher IT-Support-Mitarbeiter meldet ein angebliches technisches Problem und bringt das Opfer dazu, Fernzugriffssoftware zu installieren oder Zugangsdaten preiszugeben.

Pretexting (Vortäuschung einer Autorität): Angreifer erfinden eine glaubwürdige Legende – als IT-Support, Bank oder Behörde – meist telefonisch (Vishing) oder per SMS (Smishing), um Passwörter oder interne Informationen zu erlangen.

Caller-ID-Spoofing: Die angezeigte Rufnummer wird gefälscht, sodass eine vertrauenswürdige Nummer erscheint – häufig in Kombination mit Pretexting eingesetzt.

CEO-Fraud: Angreifer geben sich als Geschäftsführung aus und fordern dringende, vertrauliche Überweisungen – meist von Mitarbeitenden der Finanzabteilung. Hierarchie-Druck und Dringlichkeit machen diese Masche besonders wirksam.

Baiting & Quid-pro-quo: Ein vermeintlicher Vorteil (z. B. präparierter USB-Stick, kostenloser Download) oder eine angebotene Gegenleistung (z. B. IT-Hilfe) dient als Köder, um Zugangsdaten oder Systemzugriff zu erlangen.

Gemeinsamer Nenner fast aller Angriffe: Zeitdruck und emotionale Manipulation – das Opfer soll schnell und ohne Rückfragen handeln.

Wirksame Schutzmassnahmen

• Identität verifizieren: Bei Unsicherheit über unabhängig recherchierte, offizielle Kontaktdaten zurückrufen – nie über die im Anruf/der E-Mail angegebene Nummer.
• Keine sensiblen Daten preisgeben: Weder Banken noch IT-Support fragen Passwörter telefonisch oder per E-Mail ab.
• Unbekannte Absender kritisch prüfen: Im Zweifel nicht reagieren; seriöse Absender melden sich über einen anderen Kanal erneut.
• Social-Media-Angaben einschränken: Detaillierte Infos zu Position und internen Abläufen erleichtern gezielte Angriffe.
• Meldeprozesse etablieren: Klarer, unternehmensweiter Prozess für verdächtige Anrufe/E-Mails, ergänzt durch regelmässige Awareness-Schulungen und Phishing-Simulationen.
• Vier-Augen-Prinzip: Überweisungen und Änderungen an Zahlungsdaten grundsätzlich durch eine zweite Person freigeben lassen – unabhängig von der Dringlichkeit.
  
  

Social Engineering nutzt menschliches Verhalten statt technischer Schwachstellen aus – entsprechend muss der Schutz davor über reine IT-Massnahmen hinausgehen. Die Kombination aus klaren Prozessen, technischer Absicherung und gut geschulten, wachsamen Mitarbeitenden bietet den wirksamsten Schutz.

Sie möchten Ihre Mitarbeitenden gezielt sensibilisieren? Wir unterstützen Sie mit massgeschneiderten Awareness-Massnahmen und realitätsnahen Phishing-Simulationen. Wir sind für Sie da. Schnell. Agil. Zuverlässig.