Die beste Firewall hilft wenig, wenn ein Mitarbeitender einem Anrufer sein Passwort verrät oder eine gefälschte Zahlungsanweisung ausführt. Genau darauf setzt Social Engineering: Angreifer manipulieren Menschen, statt Technik zu knacken. Dieser Beitrag zeigt die gängigen Maschen, die Warnsignale und wie Sie Ihr Team wirksam schützen.

Was ist Social Engineering?

Social Engineering bezeichnet alle Methoden, bei denen Angreifer Menschen dazu bringen, vertrauliche Informationen preiszugeben, Zugänge zu öffnen oder Geld zu überweisen. Sie nutzen dafür ganz normale menschliche Eigenschaften:

• Hilfsbereitschaft: „Können Sie mir kurz helfen? Ich komme nicht ins System.“
• Respekt vor Autorität: Die Anweisung scheint von der Geschäftsführung, der Bank oder einer Behörde zu kommen.
• Zeitdruck: „Das muss heute noch raus, sonst platzt der Auftrag.“
• Angst: „Ihr Konto wird gesperrt“ oder „Gegen Sie liegt eine Anzeige vor“.
• Neugier und Vertrauen: ein interessanter Anhang, ein bekannter Name, ein freundlicher Ton.

Die Angriffe sind oft gut vorbereitet. Firmenwebsite, Handelsregister, LinkedIn und Social Media verraten Namen, Zuständigkeiten, Lieferanten und sogar Urlaubszeiten.

Die häufigsten Maschen

Phishing per E-Mail

Die bekannteste Form: gefälschte Mails von Paketdiensten, Banken, Microsoft oder Geschäftspartnern, die zu einer Login-Seite oder einem Schadanhang führen. Woran Sie solche Nachrichten erkennen, lesen Sie in unserem Beitrag über Phishing-E-Mails.

CEO-Fraud und gefälschte Rechnungen

Eine Mail, scheinbar von der Geschäftsführung, verlangt eine dringende und vertrauliche Überweisung. Oder ein bekannter Lieferant teilt angeblich eine neue Bankverbindung mit. Oft stammen solche Mails sogar aus echten, zuvor gekaperten Postfächern.

Vishing: Betrug am Telefon

Ein Anrufer gibt sich als IT-Support, Microsoft-Mitarbeiter oder Bankberater aus und bittet um ein Passwort, einen Bestätigungscode oder die Installation eines Fernwartungsprogramms. Mit KI-gestützter Stimmenimitation können Angreifer inzwischen auch bekannte Stimmen nachahmen. Mehr dazu in unserem Beitrag über Deepfakes.

Smishing und Messenger-Betrug

Kurznachrichten per SMS oder WhatsApp mit Links zu angeblichen Paketverfolgungen oder Kontosperrungen. Dazu kommen QR-Codes auf Briefen oder Aushängen, die auf gefälschte Seiten führen.

Pretexting

Der Angreifer baut eine glaubwürdige Geschichte auf, etwa als neuer Mitarbeiter der Steuerberatung oder als Prüfer, und sammelt über mehrere Kontakte Stück für Stück Informationen.

Physische Angriffe

Jemand folgt einem Mitarbeitenden ohne Ausweis durch die Tür (Tailgating), gibt sich als Techniker aus oder legt präparierte USB-Sticks auf dem Parkplatz aus (Baiting).

Warnsignale, die Sie kennen sollten

• Ungewöhnlicher Zeitdruck oder die Bitte um absolute Vertraulichkeit.
• Anfragen, die vom üblichen Ablauf abweichen, zum Beispiel eine Überweisung ohne Freigabe.
• Geänderte Bankverbindungen, die nur per E-Mail mitgeteilt werden.
• Bitten um Passwörter, Bestätigungscodes oder Fernzugriff.
• Ein Anrufer, der Druck macht, sobald Sie nachfragen oder zurückrufen wollen.
• Kleine Abweichungen in Absenderadresse, Domain oder Schreibstil.

Rechtschreibfehler sind dagegen kein verlässliches Merkmal mehr. Mit KI-Werkzeugen formulieren Angreifer Nachrichten heute fehlerfrei und im passenden Tonfall. Entscheidend ist deshalb nicht, wie eine Anfrage klingt, sondern ob sie zum gewohnten Ablauf passt.

So schützen Sie Ihr Unternehmen

Klare Regeln und Abläufe

• Vier-Augen-Prinzip für Zahlungen ab einer festgelegten Höhe.
• Rückruf über bekannte Nummer: Änderungen der Bankverbindung oder ungewöhnliche Anweisungen werden immer über eine bereits bekannte Telefonnummer bestätigt, nie über die in der Mail genannte.
• Keine Passwörter am Telefon: Legen Sie fest, dass die IT niemals nach Passwörtern oder Codes fragt – und kommunizieren Sie das.
• Meldeweg ohne Schuldzuweisung: Wer einen Fehler bemerkt, soll ihn sofort melden können, ohne Ärger befürchten zu müssen. Früh gemeldet, lässt sich der Schaden meist begrenzen.

Solche Regeln gehören in schriftliche IT-Sicherheitsrichtlinien, die alle kennen.

Technische Absicherung

• Mehr-Faktor-Authentisierung für alle Konten, damit ein verratenes Passwort allein nicht reicht.
• Gute E-Mail-Filter, Kennzeichnung externer Absender und korrekt eingerichtete SPF-, DKIM- und DMARC-Einträge für Ihre eigene Domain.
• Eingeschränkte Rechte, damit nicht jeder Fernwartungssoftware installieren kann.

Regelmäßige Schulungen

Kurze, wiederkehrende Schulungen mit echten Beispielen wirken besser als eine einmalige Pflichtveranstaltung. Für Unternehmen, die unter das deutsche NIS2-Umsetzungsgesetz fallen, ist das seit Dezember 2025 auch gesetzlich verankert: Die Geschäftsleitung muss regelmäßig an Schulungen zur Cybersicherheit teilnehmen.

Was das für Ihr Unternehmen bedeutet

Mit dieser Checkliste prüfen Sie Ihren Stand:

1. Gibt es ein verbindliches Freigabeverfahren für Zahlungen und Bankdatenänderungen?
2. Wissen alle, dass die IT nie nach Passwörtern fragt?
3. Ist Mehr-Faktor-Authentisierung für E-Mail und Fernzugriffe aktiv?
4. Gibt es einen einfachen Meldeweg für verdächtige Anrufe und Mails?
5. Werden Mitarbeitende mindestens einmal jährlich geschult, neue Kollegen direkt beim Start?
6. Ist geklärt, ob Ihr Unternehmen unter NIS2 fällt?

Bei Schulungen, Richtlinien und der Frage nach NIS2 unterstützt Sie unsere IT-Sicherheitsberatung. Die technische Seite, etwa MFA und E-Mail-Schutz, decken wir mit Managed Microsoft 365 ab.

Häufige Fragen

Was ist der Unterschied zwischen Social Engineering und Phishing?

Social Engineering ist der Oberbegriff für alle Formen der Manipulation von Menschen. Phishing ist eine davon, nämlich der Angriff über gefälschte E-Mails, Nachrichten oder Webseiten.

Sind kleine Unternehmen überhaupt ein Ziel?

Ja. Viele Angriffe laufen automatisiert und treffen Betriebe jeder Größe. Kleine Unternehmen haben oft weniger feste Abläufe, was Betrügern die Arbeit erleichtert.

Was tun, wenn jemand auf einen Angriff hereingefallen ist?

Sofort die IT informieren, betroffene Passwörter ändern und bei Überweisungen umgehend die Bank kontaktieren. Je schneller Sie handeln, desto eher lässt sich eine Zahlung noch stoppen.

Sie möchten Ihr Team gegen Manipulation stärken? Interate-IT aus Gensingen unterstützt Unternehmen in Rheinhessen und an der Nahe mit Beratung, Schulungskonzepten und technischen Schutzmaßnahmen. Nehmen Sie Kontakt auf.