Social Engineering

Definition

Social Engineering bezeichnet die gezielte psychologische Manipulation von Personen, um diese zur Preisgabe vertraulicher Informationen, zur Durchführung bestimmter Handlungen oder zur Umgehung von Sicherheitsmaßnahmen zu bewegen, statt technische Schwachstellen direkt auszunutzen.

Erklärung / Hintergrund

Social Engineering nutzt menschliche Eigenschaften wie Vertrauen, Hilfsbereitschaft, Angst oder Zeitdruck gezielt aus, um Personen zu Handlungen zu bewegen, die sie unter normalen Umständen nicht vornehmen würden, etwa die Preisgabe von Passwörtern oder die Freigabe von Zahlungen ohne ausreichende Prüfung.

Für Unternehmen ist Social Engineering relevant, weil es unabhängig von der Qualität technischer Schutzmaßnahmen wirkt, da es gezielt den Menschen als vermeintlich schwächstes Glied der Sicherheitskette anspricht, wodurch selbst technisch gut abgesicherte Unternehmen anfällig bleiben können.

Für Architektur- und Ingenieurbüros ist Social Engineering relevant, weil Mitarbeitende regelmäßig mit Auftraggebern, Subplanern und anderen externen Personen kommunizieren, wodurch Angreifer glaubwürdige Szenarien entwickeln können, um Zugangsdaten, vertrauliche Projektinformationen oder Zahlungen zu erschleichen.

Abzugrenzen ist Social Engineering von rein technischen Angriffsmethoden wie Exploits, die Softwareschwachstellen ausnutzen, während Social Engineering gezielt auf menschliches Verhalten abzielt. Phishing, Pretexting und CEO-Fraud sind allesamt konkrete Ausprägungen von Social Engineering. Dies zeigt, wie eng die einzelnen Konzepte der Cybersicherheit miteinander verzahnt sind.

Praxisrelevanz

Für Sie als Geschäftsführerin oder Geschäftsführer eines Planungsbüros ist Social Engineering relevant, weil Mitarbeitende regelmäßig mit Auftraggebern und Subplanern kommunizieren, wodurch Angreifer glaubwürdige Szenarien entwickeln können, um Zugangsdaten oder Zahlungen zu erschleichen, unabhängig davon, wie gut Ihre technischen Schutzmaßnahmen sind. Regelmäßige, praxisnahe Schulungen zur Erkennung solcher Manipulationsversuche gehören zu den wirksamsten Gegenmaßnahmen. Für die Cyberversicherung ist Social Engineering von zentraler Bedeutung, da viele Bedingungswerke speziell auf diese Angriffsform zugeschnittene Deckungsbausteine enthalten, etwa für Folgen von CEO-Fraud. Eine klare Verifikationskultur bei ungewöhnlichen Anfragen schützt Ihr Unternehmen wirksam. Ein realistisches Verständnis dieses Zusammenhangs hilft Ihnen zudem, Prioritäten bei der eigenen IT-Sicherheit sinnvoll zu setzen und im Beratungsgespräch zur Cyberversicherung fundierte Fragen zu stellen.

Praxisbeispiel

Ein Ingenieurbüro erlebt innerhalb weniger Monate mehrere unterschiedliche Social-Engineering-Versuche: zunächst eine Phishing-E-Mail, die sich als IT-Dienstleister ausgibt, anschließend einen Anruf, bei dem sich jemand als externer Prüfer ausgibt und um vertrauliche Informationen bittet. Dank regelmäßiger Schulungen zum Thema Social Engineering erkennen die betroffenen Mitarbeitenden beide Versuche als verdächtig und melden diese der IT-Abteilung, statt den Aufforderungen nachzukommen. Die konsequente Sensibilisierung der Belegschaft verhindert dadurch erfolgreich mehrere potenziell folgenreiche Täuschungsversuche. Der Vorfall wird intern dokumentiert und dient als Grundlage für weitere, gezielte Verbesserungen der eigenen IT-Sicherheit.

FAQ

Was ist Social Engineering?

Social Engineering bezeichnet die gezielte psychologische Manipulation von Personen, um diese zur Preisgabe vertraulicher Informationen zu bewegen.

Warum ist Social Engineering unabhängig von technischer Sicherheit wirksam?

Es zielt gezielt auf menschliches Verhalten statt auf technische Schwachstellen ab, wodurch selbst gut abgesicherte Unternehmen anfällig bleiben.

Warum ist Social Engineering für Ingenieurbüros relevant?

Regelmäßige Kommunikation mit Auftraggebern und Subplanern bietet Angreifern Gelegenheit für glaubwürdige Täuschungsversuche.

Welche konkreten Methoden zählen zu Social Engineering?

Zu den verbreitetsten Methoden zählen Phishing-Mails, Pretexting mit erfundenen Vorwänden und der sogenannte CEO-Fraud, bei dem sich Täter als Geschäftsleitung ausgeben.

Wie können Unternehmen sich vor Social Engineering schützen?

Regelmäßige Schulungen und eine klare Verifikationskultur bei ungewöhnlichen Anfragen bieten wirksamen Schutz.

Verwandte Begriffe

• Business Email Compromise (BEC) – stellt eine spezifische, E-Mail-basierte Ausprägung von Social Engineering dar.

• CEO-Fraud – nutzt Social-Engineering-Techniken, um die Autorität einer Führungsperson vorzutäuschen.

• Captcha – kann automatisierte, technisch unterstützte Social-Engineering-Versuche zusätzlich erschweren.

• Account freezing – kann als Reaktion nach einem erkannten Social-Engineering-Versuch relevant werden.