Social Engineering: Social Engineering bezeichnet Angriffsmethoden, bei denen Kriminelle menschliches Vertrauen, Hilfsbereitschaft oder Zeitdruck ausnutzen, um Beschäftigte zur Preisgabe von Daten oder Zugängen zu bewegen.
Anders als rein technische Angriffe zielt Social Engineering auf den „Faktor Mensch“ statt auf Softwarelücken. Bekannte Ausprägungen sind Phishing per E-Mail, CEO-Fraud mit gefälschter Chef-Autorität, Pretexting mit erfundenen Vorwänden, Baiting mit präparierten Datenträgern sowie Tailgating, bei dem sich Unbefugte durch gesicherte Türen einschleusen, indem sie Mitarbeitenden folgen.
Diese Angriffe sind besonders wirksam, weil sie technische Schutzmaßnahmen wie Firewalls oder Verschlüsselung umgehen und direkt auf menschliches Verhalten zielen. Wirksamer Schutz besteht daher nicht primär aus Technik, sondern aus wiederkehrenden Security-Awareness-Schulungen, klaren Meldewegen für verdächtige Vorfälle und einer offenen Fehlerkultur, in der Beschäftigte auch versehentliche Klicks ohne Angst melden.
Besonders gefährlich sind gezielte Angriffe, sogenanntes Spear-Phishing, bei denen Angreifer vorab Informationen über eine Person oder ein Unternehmen recherchieren, um die Täuschung glaubwürdiger zu gestalten. Auch scheinbar harmlose Informationen aus sozialen Netzwerken können dabei als Ausgangspunkt dienen.
Auch am Telefon oder persönlich vor Ort treten Social-Engineering-Versuche auf, etwa wenn sich Angreifer als IT-Support oder externer Dienstleister ausgeben, um Zugangsdaten oder physischen Zutritt zu erschleichen.
- Phishing, CEO-Fraud, Pretexting, Baiting, Tailgating
- Zielt auf Menschen, nicht auf Systeme
- Gegenmaßnahme: Schulung statt reiner Technik
- Auch telefonische und persönliche Angriffsversuche gehören zum Social Engineering
Relevanz für die Zertifizierung
ISO 27001 fordert in Anhang A, Control 6.3, dokumentierte Security-Awareness-Schulungen für alle Beschäftigten. Auditoren prüfen regelmäßig, ob solche Schulungen tatsächlich stattfinden und ob deren Wirksamkeit überprüft wird, etwa durch simulierte Phishing-Kampagnen – ein rein einmaliges Schulungsdokument ohne Wiederholung reicht für einen belastbaren Nachweis meist nicht aus. Eine offene Meldekultur, in der auch ein versehentlicher Klick ohne Repressalien gemeldet werden kann, ist für die Wirksamkeit des ISMS oft wichtiger als jede technische Maßnahme. Regelmäßige, unangekündigte Testszenarien zeigen realistischer als reine Schulungsunterlagen, wie gut Beschäftigte tatsächlich vorbereitet sind. Auch eine kurze, verständliche Meldemöglichkeit über einen internen Kanal senkt die Hemmschwelle deutlich, verdächtige Nachrichten tatsächlich zu melden, statt sie stillschweigend zu ignorieren.
Häufige Fragen zu Social Engineering
Social Engineering ist der übergeordnete Begriff für Angriffe, die menschliches Vertrauen oder Zeitdruck ausnutzen. Phishing per E-Mail ist eine konkrete Ausprägung davon, neben CEO-Fraud, Pretexting, Baiting und Tailgating. Alle Varianten zielen auf den Menschen, nicht auf technische Schwachstellen. Entscheidend ist deshalb weniger technische Abwehr als eine wachsame, geschulte Belegschaft im Arbeitsalltag.
Ja, Anhang A Control 6.3 fordert dokumentierte Security-Awareness-Schulungen für alle Beschäftigten. Auditoren prüfen zudem, ob die Wirksamkeit dieser Schulungen überprüft wird, etwa durch simulierte Phishing-Kampagnen – ein einmaliges Schulungsdokument ohne Wiederholung reicht meist nicht als belastbarer Nachweis. Eine offene Meldekultur ohne Repressalien bei versehentlichen Fehlern gilt dabei als ebenso wichtig wie die Schulung selbst.
Wirksame Maßnahmen sind eine klare Anweisung, fremde Personen nicht ohne Ausweis durch gesicherte Türen zu lassen, sowie Zutrittskontrollsysteme, die ein Nachschleusen technisch erschweren. Wichtiger als reine Technik ist eine offene Sicherheitskultur, in der Mitarbeitende ungewöhnliches Verhalten ohne Scheu ansprechen oder melden.