Social Engineering

Social Engineering bezeichnet eine zwischenmenschliche Manipulation, mit deren Hilfe Cyberkriminelle sich Zugriff auf fremde Rechnersysteme und sensible Daten verschaffen. Der Begriff stammt aus dem Englischen und setzt sich zusammen aus „social“, übersetzt „zwischenmenschlich“, und „engineering“,wörtlich übersetzt „Konstruktion“. Es handelt sich also um eine gezielte Konstruktion einer zwischenmenschlichen Beziehung.

Was bedeutet das im Detail?

Das Prinzip von Social Engineering ist nicht neu. Im Alltag ist es unter Begriffen wie „Betrügerei“ und „Hochstaplerei“ bekannt. Die digitalen Medien eröffnet Kriminellen hierfür neue Möglichkeiten:

Über digitale Medien wie z. B. Unternehmenswebseiten, -blogs, -Facebookseiten usw. können Cyberkriminelle detaillierte Informationen über ein Unternehmen sammeln. Mit ihnen können sie sich glaubhaft als
Mitarbeitende, Administratoren oder sogar Führungskräfte (vgl. CEO-Fraud) dieses Unternehmens ausgeben.
Über soziale Medien können Cyberkriminelle unter falscher Identität gezielt Kontakte z. B. zu Führungskräften aufbauen. Im Rahmen einer vermeintlichen Freundschaft oder Romanze versuchen sie die angegriffene Person dazu zu bewegen, sensible Unternehmensinformationen preisgeben.

Häufig nutzt Social Engineering menschliche Stärken für kriminelle Zwecke aus. Unverzichtbare Eigenschaften wie Hilfsbereitschaft, Vertrauen und Respekt vor Autoritäten werden gezielt missbraucht.

So behaupten Cyberkriminelle z. B., Freunde von Freunden zu sein, denen die Zielperson als Ansprechpartner empfohlen wurde. Zum Beispiel: Um eine Bewerbung Korrektur zu lesen. Das digitale Dokument mit der angeblichen Bewerbung enthält jedoch Schadprogramme wie Trojaner, Ransomware oder Keylogger.
Oder Cyberkriminelle geben sich als Vorgesetzte unter Zeitdruck aus, welche z. B. die Überweisung einer hohen Geldsumme auf ein bestimmtes Konto anordnen.

Angst wird für Social Engineering genutzt. Aufgrund ihrer starken emotionalen Wirkung setzt Angst die Fähigkeit zum kritischen Denken herab. Dies erleichtert die von den Cyberkriminellen angestrebte Manipulation.

Beim CEO-Fraud werden z. B. negative berufliche Konsequenzen angedroht, wenn die vermeintlichen Anweisungen nicht umgesetzt werden.
Bei Erpressungsversuchen behaupten Cyberkriminelle, im Besitz sensibler Daten der angegriffenen Person zu sein z. B. von Fotos oder Videos sexueller Handlungen. Nach Erfüllung der Bedingungen der Erpresser würden diese Daten vernichtet, andernfalls veröffentlicht.
Nach einem ähnlichen Muster geben Cyberkriminelle sich als Polizisten aus und fordern eine Strafzahlung für behauptete Vergehen wie z. B. illegale Downloads.

Für Unternehmen besonders relevant sind langfristig angelegte Social Engineering Angriffe auf strategisch wichtige Mitarbeiter. Dabei kann es sich z. B. über einen vermeintlichen Privatkontakt handeln, in dessen Rahmen zunehmend sensible Unternehmensinformationen zur Sprache kommen. Wird die angegriffene Person misstrauisch oder verliert das Interesse, kann eine Erpressung anhand bereits preisgegebener Informationen oder vertraulicher Daten folgen.

Wo begegnet mir das Thema im Arbeitsalltag?

Theoretisch begegnet es Ihnen immer, wenn Sie die Identität eines Gesprächspartners nicht zweifelsfrei bestätigen können – ob am Telefon, per E-Mail oder in privaten Nachrichten.

Was kann ich tun, um meine Sicherheit zu verbessern?

Prinzipiell: Nutzen Sie Ihre bewährten Alltagsstrategien auch in den digitalen Medien. Ungewöhnliche Fragen, unangemessene Bitten, fragwürdige Geschichten oder auch einfach ein „seltsamer Gesamteindruck“ sind wichtige Warnzeichen, gleichgültig in welchem Kanal.
Geben Sie niemals Passwörter, vertrauliche Informationen usw. am Telefon weiter.
Stellen Sie Rückfragen z. B. nach dem vollen Namen und der Rückrufnummer. Oder fragen Sie nach fiktiven Personen, z. B. einem erfundenen Kollegen in der Abteilung oder einem nicht existenten Ehepartner des angeblich gemeinsamen Freundes.
Lassen Sie sich nicht unter Druck setzen. Nicht durch angebliche Zeitnot oder vermeintlich notwendige Geheimhaltung. Nicht durch Behauptungen, Drohungen oder Schmeicheleien. All diese Mittel können gezielt eingesetzt werden, um Ihr Urteilsvermögen zu trüben. Schaffen Sie eine Situation, in der Sie Anfragen usw. mit klarem Kopf überdenken und ggf. überprüfen können.
Wenn möglich, überprüfen Sie die Identität Ihres Gesprächspartners über einen zuverlässigen, neutralen Kanal. Rufen Sie z. B. in Ihrer Unternehmenszentrale an und lassen sich zum genannten Namen weiterverbinden. Dieser Anruf bei einem Ihnen bisher persönlich nicht bekannten Vorgesetzten kann für großes Erstaunen auf dessen Seite sorgen – oder zeigen, dass es keine Person dieses Namens in Ihrem Unternehmen gibt.
Sensibilisieren Sie alle Mitarbeitenden Ihres Unternehmens für die Vorgehensweisen des Social Engineering und schützende Maßnahmen. Fordern Sie Ihre Mitarbeiter dazu auf, bei ungewöhnlichen Anweisen an den entsprechenden Stellen nachzufragen. Sensibilisieren Sie Ihre Führungskräfte für die Wichtigkeit dieser Nachfragen – sie können Ihr Unternehmen vor großen Schäden bewahren.
Planen Sie für den Ernstfall, also für den Fall eines erfolgreichen Social Engineering Angriffs. Entwickeln Sie Szenarien und zu treffende Maßnahmen, damit Sie sofort handeln können, wenn es darauf ankommt. Dazu gehören technische Vorkehrungen, aber auch soziale z. B. sichere, vertrauliche Anlaufstellen für Mitarbeiter, die erpresst oder anderweitig genötigt werden.
Waren Sie das Ziel eines Social Engineering Angriffs, informieren Sie umgehend die entsprechenden Abteilungen Ihres Unternehmens. Es besteht die Möglichkeit, dass Sie das Anzeichen eines Advanced Persistent Threats entdeckt haben. Das heißt: eines gezielten, mehrstufigen Angriffs auf Ihr Unternehmen, der weitere Angriffsvektoren umfassen kann, z. B. Spam, Keylogger und Ransomware. Ihre Information kann für eine erfolgreiche Abwehr entscheidend sein.

Social Engineering refers to interpersonal manipulation used by cybercriminals to gain access to computer systems and sensitive data. The term originates from English and combines “social” (interpersonal) and “engineering” (construction), meaning the deliberate construction of an interpersonal relationship.

What Does Social Engineering Mean in Detail?

The principle behind social engineering isn’t new. In everyday life, it’s often referred to as fraud or scamming. However, digital media have opened up new possibilities for criminals:

Through digital platforms like company websites, blogs, or social media pages, cybercriminals can gather detailed information about an organization. They may then convincingly impersonate:
- Employees
- IT administrators
- Even executives (e.g., in so-called CEO fraud)
On social media, attackers may create fake identities to build relationships with targets such as executives. Under the guise of friendship or romantic interest, they aim to manipulate the victim into revealing confidential business information.

Social engineering often exploits human strengths for malicious purposes. Traits like helpfulness, trust, and respect for authority are deliberately abused.

Examples:

An attacker claims to be a friend of a colleague and sends a document (e.g., a job application) for review. That document contains malware such as trojans, ransomware, or keyloggers.
An attacker poses as a superior under time pressure and demands the urgent transfer of a large amount of money to a specific account.

Fear is another powerful tool in social engineering. Because it impairs critical thinking, it helps attackers manipulate their victims.

Examples:

In CEO fraud, negative professional consequences are threatened if “instructions” are not followed.
In extortion attempts, cybercriminals claim to possess compromising photos or videos. Victims are told to comply with demands to avoid public exposure.
Criminals may impersonate police officers and demand fines for alleged offenses, such as illegal downloads.

For businesses, long-term social engineering attacks targeting strategically important employees are particularly dangerous. This could involve a fake personal connection that gradually draws out sensitive business information. If the victim becomes suspicious or disengaged, attackers may use the already disclosed data for blackmail.

Where Does Social Engineering Appear in Daily Work?

In theory: any time you cannot confidently verify someone’s identity—whether by phone, email, or private message—you may be exposed to social engineering.

How Can I Improve My Security?

Use your everyday instincts—even online. Unusual questions, strange requests, suspicious stories, or a general “off” feeling are red flags regardless of the communication channel.
Never share passwords or confidential information by phone.
Ask follow-up questions: e.g., full name, callback number, or even mention fictitious people to test them (like a made-up colleague or spouse).
Don’t let yourself be pressured. Whether by urgency, secrecy, flattery, or threats—these are all tactics designed to cloud your judgment. Create space to think clearly before reacting.
Verify the person’s identity using a trusted and neutral channel. For example, call your company’s main switchboard and ask to be transferred to the person by name. If the person doesn’t exist, you’ll know.
Raise awareness across your organization about how social engineering works and how to respond. Encourage employees to question unusual requests. Make sure management supports these verifications—they can prevent major damage.
Prepare for incidents. Develop response plans for successful social engineering attacks, including both technical measures and social protocols—like secure, confidential reporting options for staff who are being blackmailed or coerced.
If you suspect you were the target of a social engineering attack, notify your company’s relevant departments immediately. It may be the sign of an Advanced Persistent Threat—a multi-stage, targeted attack involving other methods like spam, keyloggers, or ransomware. Your report could be crucial to preventing further damage.