Social Engineering

Social Engineering: wenn der Angriff beim Menschen ansetzt

Social Engineering ist die gezielte Manipulation von Menschen, um an Geld, Daten oder Zugänge zu kommen. Kriminelle täuschen eine falsche Identität und eine falsche Absicht vor und bringen ihr Gegenüber dazu, ihnen selbst die Tür zu öffnen.

Neu ist die Methode nicht: Das BSI vergleicht sie mit dem Trickbetrug an der Haustür. Neu ist die Reichweite. Per Telefon, SMS, Messenger und E-Mail erreichen Kriminelle in kurzer Zeit sehr viele Menschen, und sie brauchen dafür keine einzige Sicherheitslücke.

Warnweste und Klemmbrett

Wer mit Warnweste und Klemmbrett durch ein Bürogebäude läuft, wird selten aufgehalten. Die Weste sagt: Ich gehöre hierher. Das Klemmbrett sagt: Ich habe einen Auftrag. Und wer dabei auf die Uhr schaut und seufzt, wird erst recht durchgewunken. Kaum jemand ruft bei der Firma an, deren Logo auf der Weste steht.

Social Engineering arbeitet mit denselben drei Requisiten, nur am Telefon, im Chat oder im Postfach. Die Warnweste ist die angezeigte Nummer der Bank, das Logo in der E-Mail oder der vertraute Name im Messenger. Das Klemmbrett ist die Geschichte: ein Unfall, ein gehacktes Konto, eine vertrauliche Firmenübernahme. Die Eile ist der eigentliche Trick, denn wer unter Zeitdruck steht, prüft nicht.

Das Bild erklärt auch, warum Technik allein wenig ausrichtet. Ein Virenscanner sieht keine Warnweste. Er erkennt Schadcode, aber keinen freundlichen Anruf, in dem jemand um deinen Bestätigungscode bittet.

So läuft ein Angriff ab

Die Maschen sind verschieden, der Ablauf ist erstaunlich gleich. Das Schweizer Bundesamt für Cybersicherheit (BACS) beschreibt die Bausteine in seinem Bericht „Telefonbetrug im Cyberbereich“ vom 7. November 2024, die Polizei in Deutschland und Österreich ergänzt sie:

1. Recherche. Vorab sammeln die Kriminellen, was öffentlich ist: Firmenwebsite, Handelsregister, Profile in sozialen Netzwerken, Daten aus früheren Lecks. Damit klingen sie später glaubwürdig.
2. Rolle und Kanal. Sie treten als Enkelkind, Polizei, Bank, IT-Support oder Geschäftsleitung auf, per Anruf, SMS, Messenger oder E-Mail. Die angezeigte Nummer lässt sich fälschen (Spoofing): Das BACS hat Anrufe beobachtet, bei denen Nummern von Banken und sogar von Polizeibehörden erschienen.
3. Druck. Eine Notlage, eine Frist, eine drohende Kontosperrung. Dazu kommen Gefühle wie Angst, Hilfsbereitschaft, Neugier, Schuld oder Respekt vor Autorität. Wer gestresst ist, hat keine Zeit, die Geschichte nüchtern zu prüfen.
4. Abschottung. Das Opfer soll mit niemandem sprechen. Bei Schockanrufen bleiben die Anrufenden laut Polizeilicher Kriminalprävention mitunter bis zur Geldübergabe in der Leitung. Das österreichische Bundeskriminalamt beschreibt dasselbe bei der Masche „falscher Polizist“, oft mit dem Zusatz, auch der Bank sei nicht zu trauen.
5. Die eine Handlung. Am Ende tut das Opfer selbst etwas: Geld überweisen, Bargeld oder Schmuck übergeben, einen Code vorlesen, eine Fernwartungssoftware wie AnyDesk installieren.
6. Verwertung. Erbeutete Daten dienen weiteren Betrugsversuchen oder werden weiterverkauft. Wer einmal am Telefon betrogen wurde, dessen Nummer haben die Kriminellen laut Polizei sehr wahrscheinlich für den nächsten Versuch gespeichert.

Die häufigsten Maschen

Die bekannteste Form, das Phishing per E-Mail, hat einen eigenen Eintrag. Daneben beschreiben Polizei und Behörden in Deutschland, Österreich und der Schweiz vor allem diese Maschen:

Neu hinzugekommen ist künstliche Intelligenz. Laut BACS imitieren Kriminelle beim CEO-Betrug mit KI den Schreibstil echter Vorgesetzter und setzen zunehmend Sprachnachrichten oder Anrufe mit nachgeahmter Stimme ein. Ein im Januar 2026 bekannt gewordener Fall im Kanton Schwyz, bei dem eine Firma mehrere Millionen Franken verlor, zeigt, dass solche Deepfake-Anrufe keine Theorie mehr sind.

Ein Beispiel aus einem Treuhandbüro in Luzern

Das folgende Szenario ist erfunden. Es folgt aber Schritt für Schritt den Fällen, die das BACS in seinem Wochenrückblick vom 27. Januar 2026 schildert.

Ein Treuhandbüro mit sechs Mitarbeitenden. Der Inhaber ist laut Firmenwebsite und LinkedIn diese Woche an einer Messe. Am Donnerstagnachmittag erhält die Buchhaltung eine E-Mail mit seinem Namen: Ob man ihm kurz den aktuellen Kontostand nennen könne. Eine Stunde später folgt die eigentliche Bitte, eine dringende Zahlung an einen ausländischen Lieferanten, streng vertraulich, weil eine Übernahme vorbereitet werde. Eine Anwaltskanzlei werde sich melden. Kurz darauf ruft tatsächlich jemand an, der sich als Anwalt einer bekannten Kanzlei vorstellt.

Alles wirkt stimmig, nur die Absenderadresse nicht. Statt der Firmendomain steht dort eine fast identische Domain mit vertauschten Buchstaben, das sogenannte Typosquatting. Die Mitarbeiterin ruft den Inhaber auf seiner bekannten Handynummer an. Er weiß von nichts.

Dass es so ausgeht, ist keine Glückssache, sondern eine Regel, die das Büro vorher festgelegt hat: keine Zahlung und keine neue Kontoverbindung ohne zweite Person und ohne Rückruf. Nötig ist sie: Laut BACS stieg die Zahl der gemeldeten Fälle von CEO-Betrug in der Schweiz von 719 im Jahr 2024 auf 971 im Jahr 2025.

Irrtümer und Grenzen

• „Darauf falle ich nicht herein.“ Die Masche richtet sich nicht nach Intelligenz, sondern nach der Situation: Stress, Müdigkeit, eine Notlage in der Familie. Wer hereinfällt, handelt laut BSI meist im guten Glauben, das Richtige zu tun.
• „Die Nummer auf dem Display stimmt doch.“ Angezeigte Nummern lassen sich fälschen. Eine bekannte Nummer beweist nichts, ein Rückruf unter der selbst gewählten Nummer schon.
• „Betrug erkennt man an schlechtem Deutsch.“ Das BACS dokumentiert CEO-Betrug auf Deutsch und auf Schweizerdeutsch, und mit KI ahmen Kriminelle sogar den Schreibstil echter Vorgesetzter nach.
• „Das trifft nur ältere Menschen.“ Enkeltrick und Schockanruf zielen oft auf Ältere. Der CEO-Betrug zielt auf Buchhaltungen, und beim Messenger-Betrug trifft es laut Polizei immer häufiger auch Jüngere.
• Technik hilft, aber nur begrenzt. Das BACS empfiehlt Firmen, externe E-Mails im Betreff deutlich zu markieren, etwa mit „EXTERNAL“. Gegen einen überzeugenden Anruf hilft trotzdem nur eine Gewohnheit: auflegen und selbst zurückrufen.

Woran du Social Engineering erkennst

Die folgenden Signale kommen in fast jeder Masche vor. Eines allein ist noch kein Beweis, zwei zusammen sind ein Grund, das Gespräch zu beenden.

Anlaufstellen in Deutschland, Österreich und der Schweiz

Stand: November 2026.

Was du jetzt tun kannst

1. Vereinbare in der Familie ein Kennwort für Notfälle am Telefon. Die deutsche Polizei empfiehlt es gegen Schockanrufe, und es funktioniert in jedem Land.
2. Mach den Rückruf zur Regel: Wer Geld, Codes oder Fernzugriff verlangt, bekommt ein „Ich rufe zurück“, und zwar unter der Nummer, die du selbst kennst, nicht unter der aus dem Anruf oder der Nachricht.
3. Stell in WhatsApp dein Profilbild unter „Einstellungen“ › „Datenschutz“ › „Profilbild“ auf „Meine Kontakte“. So können Fremde mit deiner Nummer nicht abschätzen, ob du ein lohnendes Ziel bist. Gib außerdem den SMS-Code zur Anmeldung nie weiter und richte eine PIN ein, die „Verifizierung in zwei Schritten“.
4. In deinem Team oder Betrieb: Lege schriftlich fest, dass Zahlungen und geänderte Kontoverbindungen immer eine zweite Person freigibt, auch und gerade auf Anweisung der Geschäftsleitung.
5. Geh die Tabelle mit den Signalen mit deinen Eltern oder Großeltern durch. In Deutschland rät die Polizei zusätzlich, den Vornamen im Telefonbuch abzukürzen; ein Formular für den Telefonanbieter gibt es auf polizei-beratung.de.

Verwandte Begriffe

Social Engineering steckt hinter vielen anderen Maschen. Lies weiter, wie Phishing mit gefälschten E-Mails funktioniert, was hinter Smishing per SMS und Messenger steckt und wie generative KI Stimmen und Texte täuschend echt nachahmt.