Social Engineering bezeichnet Angriffe, bei denen Menschen gezielt psychologisch manipuliert werden, damit sie vertrauliche Informationen preisgeben, Sicherheitsvorkehrungen umgehen oder schädliche Handlungen ausführen.
Auch genannt: soziale Manipulation, „Faktor Mensch“-Angriff
Die beste Alarmanlage nützt nichts, wenn jemand dem Einbrecher freiwillig die Tür öffnet. Social Engineering setzt genau dort an: Statt technische Schutzmaßnahmen zu überwinden, überzeugen Angreifende Menschen davon, ihnen zu helfen, etwa indem sie sich als Vorgesetzte, IT-Support oder Bankmitarbeitende ausgeben.
Angreifende nutzen menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Neugier, Angst oder Respekt vor Autorität. Typisch ist eine erfundene Ausgangslage (ein sogenannter Vorwand), oft verbunden mit Zeitdruck: „Ihr Konto wird gesperrt“, „Die Geschäftsführung braucht sofort eine Überweisung“. Vorab sammeln sie häufig öffentlich verfügbare Informationen, etwa aus Firmenwebsites oder sozialen Netzwerken, um überzeugender aufzutreten. Der Kontakt kann per E-Mail, Telefon, Messenger oder persönlich erfolgen, zum Beispiel beim Mitgehen durch eine Zutrittstür.
Eine Mitarbeiterin in der Buchhaltung erhält eine E-Mail, die scheinbar von der Geschäftsführung stammt: Eine vertrauliche Übernahme erfordere heute noch eine dringende Überweisung, bitte diskret behandeln. Absenderadresse und Tonfall wirken echt. Ohne Rückfrage über einen zweiten, bekannten Kanal wäre die Zahlung ausgeführt – der Schaden entstünde, obwohl kein System technisch „gehackt“ wurde.
Social Engineering ist eine Angriffsmethode, kein legitimes Verfahren – mit einer Ausnahme: Sicherheitsverantwortliche testen mit Einverständnis der Organisation gezielt, wie widerstandsfähig Beschäftigte gegen solche Versuche sind, und schulen sie darauf. Angreifende nutzen die Methode für Betrug, den Diebstahl von Zugangsdaten, das Einschleusen von Schadsoftware oder für Spionage. Sie taucht oft als erster Schritt einer längeren Angriffskette auf.
Ein verbreiteter Irrtum lautet, nur unaufmerksame Menschen fielen darauf herein. Tatsächlich sind die Methoden gerade darauf ausgelegt, auch aufmerksame Personen in Stress- oder Vertrauenssituationen zu überrumpeln. Technische Maßnahmen helfen, ersetzen aber keine Sensibilisierung: Eine Multi-Faktor-Authentifizierung erschwert etwa den Missbrauch gestohlener Passwörter, schützt aber nicht davor, dass jemand freiwillig einen Freigabecode weitergibt. Wirksam sind klare Abläufe, etwa Rückfragen über einen zweiten Kanal und das Vier-Augen-Prinzip bei Zahlungen.
Nicht zu verwechseln mit Phishing: Phishing ist eine besonders verbreitete Form des Social Engineering, bei der gefälschte Nachrichten oder Websites eingesetzt werden, während Social Engineering auch Telefonanrufe oder persönliche Kontakte umfasst. Ebenso zu unterscheiden von Malware, die technisch schädlichen Code bezeichnet, und von Authentifizierung, dem Nachweis einer Identität, den Angreifende durch Täuschung zu umgehen versuchen.