Social Engineering bezeichnet die gezielte psychologische Manipulation von Personen, um diese zur Preisgabe vertraulicher Informationen, zur Durchführung bestimmter Handlungen oder zur Umgehung von Sicherheitsmaßnahmen zu bewegen, statt technische Schwachstellen direkt auszunutzen.
Social Engineering nutzt menschliche Eigenschaften wie Vertrauen, Hilfsbereitschaft, Angst oder Zeitdruck gezielt aus, um Personen zu Handlungen zu bewegen, die sie unter normalen Umständen nicht vornehmen würden, etwa die Preisgabe von Passwörtern oder die Freigabe von Zahlungen ohne ausreichende Prüfung.
Für Unternehmen ist Social Engineering relevant, weil es unabhängig von der Qualität technischer Schutzmaßnahmen wirkt, da es gezielt den Menschen als vermeintlich schwächstes Glied der Sicherheitskette anspricht, wodurch selbst technisch gut abgesicherte Unternehmen anfällig bleiben können.
Für Architektur- und Ingenieurbüros ist Social Engineering relevant, weil Mitarbeitende regelmäßig mit Auftraggebern, Subplanern und anderen externen Personen kommunizieren, wodurch Angreifer glaubwürdige Szenarien entwickeln können, um Zugangsdaten, vertrauliche Projektinformationen oder Zahlungen zu erschleichen.
Abzugrenzen ist Social Engineering von rein technischen Angriffsmethoden wie Exploits, die Softwareschwachstellen ausnutzen, während Social Engineering gezielt auf menschliches Verhalten abzielt. Phishing, Pretexting und CEO-Fraud sind allesamt konkrete Ausprägungen von Social Engineering. Dies zeigt, wie eng die einzelnen Konzepte der Cybersicherheit miteinander verzahnt sind.
Für Sie als Geschäftsführerin oder Geschäftsführer eines Planungsbüros ist Social Engineering relevant, weil Mitarbeitende regelmäßig mit Auftraggebern und Subplanern kommunizieren, wodurch Angreifer glaubwürdige Szenarien entwickeln können, um Zugangsdaten oder Zahlungen zu erschleichen, unabhängig davon, wie gut Ihre technischen Schutzmaßnahmen sind. Regelmäßige, praxisnahe Schulungen zur Erkennung solcher Manipulationsversuche gehören zu den wirksamsten Gegenmaßnahmen. Für die Cyberversicherung ist Social Engineering von zentraler Bedeutung, da viele Bedingungswerke speziell auf diese Angriffsform zugeschnittene Deckungsbausteine enthalten, etwa für Folgen von CEO-Fraud. Eine klare Verifikationskultur bei ungewöhnlichen Anfragen schützt Ihr Unternehmen wirksam. Ein realistisches Verständnis dieses Zusammenhangs hilft Ihnen zudem, Prioritäten bei der eigenen IT-Sicherheit sinnvoll zu setzen und im Beratungsgespräch zur Cyberversicherung fundierte Fragen zu stellen.
Ein Ingenieurbüro erlebt innerhalb weniger Monate mehrere unterschiedliche Social-Engineering-Versuche: zunächst eine Phishing-E-Mail, die sich als IT-Dienstleister ausgibt, anschließend einen Anruf, bei dem sich jemand als externer Prüfer ausgibt und um vertrauliche Informationen bittet. Dank regelmäßiger Schulungen zum Thema Social Engineering erkennen die betroffenen Mitarbeitenden beide Versuche als verdächtig und melden diese der IT-Abteilung, statt den Aufforderungen nachzukommen. Die konsequente Sensibilisierung der Belegschaft verhindert dadurch erfolgreich mehrere potenziell folgenreiche Täuschungsversuche. Der Vorfall wird intern dokumentiert und dient als Grundlage für weitere, gezielte Verbesserungen der eigenen IT-Sicherheit.
Social Engineering bezeichnet die gezielte psychologische Manipulation von Personen, um diese zur Preisgabe vertraulicher Informationen zu bewegen.
Es zielt gezielt auf menschliches Verhalten statt auf technische Schwachstellen ab, wodurch selbst gut abgesicherte Unternehmen anfällig bleiben.
Regelmäßige Kommunikation mit Auftraggebern und Subplanern bietet Angreifern Gelegenheit für glaubwürdige Täuschungsversuche.
Zu den verbreitetsten Methoden zählen Phishing-Mails, Pretexting mit erfundenen Vorwänden und der sogenannte CEO-Fraud, bei dem sich Täter als Geschäftsleitung ausgeben.
Regelmäßige Schulungen und eine klare Verifikationskultur bei ungewöhnlichen Anfragen bieten wirksamen Schutz.
• Business Email Compromise (BEC) – stellt eine spezifische, E-Mail-basierte Ausprägung von Social Engineering dar.
• CEO-Fraud – nutzt Social-Engineering-Techniken, um die Autorität einer Führungsperson vorzutäuschen.
• Captcha – kann automatisierte, technisch unterstützte Social-Engineering-Versuche zusätzlich erschweren.
• Account freezing – kann als Reaktion nach einem erkannten Social-Engineering-Versuch relevant werden.