Cybersicherheit besteht nicht vor allem aus Technik und organisatorischen Maßnahmen, sondern spricht vor allem Menschen an. Unternehmen investieren in Sicherheitsrichtlinien, Zugangskontrollen und Verschlüsselung, um sich vor Cyberangriffen zu schützen. Doch Cyberkriminelle nutzen einen viel einfacheren Weg: Sie manipulieren Mitarbeitende, um vertrauliche Informationen oder Zugangsdaten zu erhalten.
Diese Methode nennt sich Social Engineering – eine gezielte Manipulation des menschlichen Verhaltens, um Sicherheitssysteme zu umgehen. Doch als Geschäftsführung können Sie den richtigen Rahmen setzen, um Ihr Unternehmen widerstandsfähiger gegen solche Bedrohung zu machen.
Social Engineering: Die unterschätzte Bedrohung
Social Engineering ist keine technische Attacke, sondern eine psychologische Manipulation. Angreifende täuschen eine vertrauenswürdige Identität oder Situation vor, um ihr Gegenüber dazu zu bringen, sensible Informationen preiszugeben oder bestimmte Aktionen auszuführen. Sie nutzen genau das aus, was uns als Menschen ausmacht:
✅ Vertrauen – Menschen glauben Personen, die sich als Kolleg:innen, Dienstleister:innen oder Vorgesetzte ausgeben
✅ Hilfsbereitschaft – sie möchten unterstützen, wenn jemand scheinbar in einer Notlage ist
✅ Respekt vor Autorität – sie hinterfragen Anweisungen von Führungspersonen oft nicht
✅ Routinen und Stress – in hektischen Momenten prüfen sie Anfragen weniger kritisch
Cyberkriminelle setzen gezielt auf diese Verhaltensweisen. Doch Sie als Geschäftsführung können Ihr Unternehmen so aufstellen, dass Mitarbeitende vorbereitet sind und nicht in diese Fallen tappen.
Welche Formen von Social Engineering gibt es?
Hier ein paar Beispiele:
1. Phishing – Die Massenmanipulation per E-Mail
Angreifende versenden täuschend echte E-Mails, die zum Anklicken eines Links oder zum Herunterladen einer Datei auffordern. Oft geht es darum, Zugangsdaten zu stehlen oder Schadsoftware zu installieren.
🔹 Typische Merkmale: Dringlichkeit („Sofort handeln!“), gefälschte Absender:innen, verdächtige Links
🔹 Beispiel: Eine E-Mail von „Microsoft“ fordert eine Passwortänderung – doch der Link führt zu einer gefälschten Anmeldeseite.
Schutzmaßnahmen als Geschäftsführung:
✔ Klare Richtlinien für den Umgang mit verdächtigen E-Mails definieren – Mitarbeitende sollten verdächtige Nachrichten nicht eigenständig beantworten, sondern melden
✔ Eine Unternehmenskultur fördern, in der Nachfragen erwünscht ist („Besser einmal mehr prüfen als einmal zu wenig“)
✔ Technische Schutzmaßnahmen wie sichere Authentifizierungsmethoden und erweiterte E-Mail-Filter implementieren
2. Spear-Phishing – Maßgeschneiderte Täuschung
Statt wahlloser Massenmails werden gezielt Führungskräfte oder Schlüsselpersonen angesprochen. Angreifende recherchieren vorher genau und erstellen hochgradig personalisierte Nachrichten.
🔹 Typische Merkmale: Individuelle Details, echte Namen und Unternehmensinfos, hoher Druck
🔹 Beispiel: Eine E-Mail vom „Steuerberatungsbüro“ fordert dringend eine Überweisung oder das Hochladen sensibler Daten.
Schutzmaßnahmen als Geschäftsführung:
✔ Sensible Unternehmensinformationen schützen – welche internen Informationen sind auf Social Media oder der Website wirklich nötig?
✔ Klare Zahlungs- und Freigabeprozesse für Überweisungen und vertrauliche Daten definieren
✔ Selbst als Vorbild agieren – keine vertraulichen Informationen per E-Mail freigeben, ohne vorher intern zu prüfen
3. CEO-Fraud – Der vorgetäuschte Chef-Befehl
Angreifende geben sich als Geschäftsführung oder Führungsperson aus und fordern Mitarbeitende auf, sensible Daten preiszugeben oder Geld zu überweisen.
🔹 Typische Merkmale: Hohe Dringlichkeit, ungewöhnliche Zahlungsanfragen, Kontakt über E-Mail oder Telefon
🔹 Beispiel: Eine „E-Mail der Geschäftsführung“ fordert eine Sofortüberweisung an eine neue Geschäftspartner:in.
Schutzmaßnahmen als Geschäftsführung:
✔ Verbindliche Freigabeprozesse für Zahlungen festlegen – keine Überweisung ohne schriftliche Bestätigung
✔ Eine sichere Identitätsprüfung etablieren – wie können Mitarbeitende sicherstellen, dass eine Anfrage wirklich von Ihnen stammt?
✔ Klar kommunizieren, dass kritische Anweisungen niemals ohne eine zweite Bestätigung erfolgen
4. Vishing – Die perfide Telefonmasche
Angreifende rufen an und geben sich als IT-Support, Bank oder Behörde aus, um Zugangsdaten oder andere Informationen zu erfragen.
🔹 Typische Merkmale: Autoritätsdruck, vorgetäuschte Dringlichkeit („Ihr Konto wird gesperrt!“)
🔹 Beispiel: Ein Anruf einer angeblichen IT-Fachkraft fordert zur Passwortbestätigung auf.
Schutzmaßnahmen als Geschäftsführung:
✔ Verbindliche Regeln festlegen, wie sich externe Anrufende identifizieren müssen
✔ Interne Verifizierungsprozesse definieren – niemand gibt am Telefon vertrauliche Daten weiter, ohne vorher eine interne Rückfrage zu stellen
✔ Mitarbeitende darauf aufmerksam machen, dass professionelle IT-Dienstleister:innen niemals nach Passwörtern fragen
5. Tailgating – Der ungebetene Besuch
Angreifende nutzen die Höflichkeit der Menschen aus, um sich Zugang zu gesicherten Bereichen zu verschaffen.
🔹 Typische Merkmale: Auftreten als „Kolleg:in“, „Lieferant:in“ oder „Techniker:in“
🔹 Beispiel: Jemand hält die Tür für eine fremde Person auf, die vorgibt, „nur kurz“ ins Büro zu müssen.
Schutzmaßnahmen als Geschäftsführung:
✔ Zugangskontrollen für externe Besucher:innen definieren
✔ Das Team sensibilisieren, freundlich, aber bestimmt nach Ausweisen oder Berechtigungen zu fragen
✔ Selbst als Vorbild agieren – wenn die Geschäftsführung sich an Sicherheitsprozesse hält, tun es die Mitarbeitenden auch
6. Quishing – Gefährliche QR-Codes
Angreifende nutzen manipulierte QR-Codes, um Nutzende auf gefälschte Webseiten zu leiten oder Schadsoftware auf Geräten zu installieren.
🔹 Typische Merkmale:
- Ein QR-Code in einer E-Mail, auf einem Flyer oder in einer Nachricht mit einer Aufforderung zur „dringenden Aktion“
- Eine scheinbar legitime Website öffnet sich nach dem Scannen, fordert aber zur Eingabe von Zugangsdaten auf
🔹 Beispiel:
Ein Mitarbeitender scannt einen QR-Code aus einer „offiziellen“ E-Mail seiner Bank, um sich einzuloggen. Die Website sieht echt aus, doch tatsächlich werden die Zugangsdaten gestohlen.
Schutzmaßnahmen als Geschäftsführung:
✔ Sensibilisierung für die Risiken von QR-Codes – niemals unüberlegt scannen
✔ Eigene Unternehmensprozesse für sichere QR-Code-Nutzung definieren
✔ Mitarbeitende ermutigen, Links aus QR-Codes manuell in den Browser einzugeben, statt direkt zu scannen
7. Smishing – Betrug per SMS oder Messenger
Angreifende versenden betrügerische SMS oder Messenger-Nachrichten, um Empfänger:innen zum Klicken auf schädliche Links oder zur Preisgabe von Informationen zu bewegen.
🔹 Typische Merkmale:
- SMS mit „dringenden“ Sicherheitswarnungen oder Lieferbenachrichtigungen
- Aufforderung zur Bestätigung von Kontoinformationen per Link
- Nachrichten mit angeblichen Problemen bei Bank- oder Unternehmenskonten
🔹 Beispiel:
Ein Mitarbeitender erhält eine SMS von „DHL“ mit der Aufforderung, eine Liefergebühr über einen Link zu bezahlen. Tatsächlich landet er auf einer Phishing-Seite, die seine Kreditkartendaten stiehlt.
Schutzmaßnahmen als Geschäftsführung:
✔ Sensibilisieren Sie das Team für die Gefahren von SMS- oder Messenger-Nachrichten mit Links
✔ Definieren Sie interne Prozesse, um offizielle Unternehmenskommunikation von Betrugsversuchen abzugrenzen
✔ Ermutigen Sie Mitarbeitende, ungewöhnliche SMS sofort zu melden
8. Dumpster Diving – Daten aus dem Papierkorb
Angreifende durchsuchen den Müll von Unternehmen oder Privatpersonen nach sensiblen Informationen wie Zugangsdaten, Dokumenten oder Hardware-Resten mit gespeicherten Daten.
🔹 Typische Merkmale:
- Das gezielte Durchsuchen von Papiermüll oder Elektroschrott nach sensiblen Informationen
- Gefahr besonders hoch bei ungeshredderten Dokumenten oder weggeworfenen Speichermedien
- Angreifende kombinieren gefundene Informationen mit Social Engineering-Techniken
🔹 Beispiel:
Eine Person findet im Papiermüll eines Unternehmens eine Liste mit internen Telefonnummern und nutzt diese für eine täuschend echte Social-Engineering-Attacke.
Schutzmaßnahmen als Geschäftsführung:
✔ Einführung eines sicheren Entsorgungssystems für vertrauliche Dokumente (z. B. Schredder oder gesicherte Sammelbehälter)
✔ Richtlinien für den Umgang mit alten Datenträgern und Hardware definieren – keine Festplatte oder USB-Stick ohne sichere Löschung entsorgen
✔ Sensibilisierung der Mitarbeitenden für die Gefahren von ungesicherten Informationen im Müll
Sie haben es sich sicher schon gedacht: Cybersicherheit beginnt im Chefsessel
Social Engineering nutzt menschliche Stärken als Schwächen aus. Doch Unternehmen können sich schützen, indem sie klare Regeln definieren, Mitarbeitende informieren und als Führungsebene mit gutem Beispiel vorangehen.
✅ Sicherheitsprozesse klar kommunizieren
✅ Mitarbeitende ermutigen, misstrauisch zu sein – Fragen ist keine Schwäche, sondern ein Schutzmechanismus
✅ Cybersicherheit vorleben – wenn die Geschäftsführung achtsam ist, wird es auch das Team sein
Machen Sie Ihr Unternehmen widerstandsfähiger gegen Social Engineering und setzen Sie auf eine starke Sicherheitskultur!
Mehr Informationen und Lösungen für KMU finden Sie hier: awareness4you.de.