Social Engineering erkennen

Social Engineering bedeutet, Menschen so zu manipulieren, dass sie Daten preisgeben, Sicherheitsmaßnahmen umgehen oder selbst Schadsoftware installieren. Die Täter greifen nicht die Technik an, sondern menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst und Respekt vor Autorität. Das BSI bezeichnet den Menschen deshalb als schwächstes Glied der Sicherheitskette.

Die psychologischen Hebel#

Fast jede Masche kombiniert mehrere Hebel – und fast immer gehört Zeitdruck dazu. Er soll verhindern, dass du in Ruhe prüfst.

Verbreitete Maschen#

Phishing#

Gefälschte E-Mails, SMS oder Websites sollen an Zugangsdaten, Zwei-Faktor-Codes oder Zahlungsdaten gelangen. Im Darknet sind es vor allem gefälschte Kopien bekannter Onion-Seiten. → Phishing im Darknet erkennen

CEO-Fraud#

Täter geben sich als Geschäftsführung aus und fordern eine dringende, vertrauliche Überweisung. Das BSI nennt CEO-Fraud neben Phishing als Schwerpunkt für Schulungen in Unternehmen.

Vorgetäuschte Rollen (Pretexting)#

Ein Anrufer gibt sich als IT-Support, Paketdienst oder Behörde aus und erfragt Schritt für Schritt Informationen. Oft recherchieren die Täter vorher über soziale Netzwerke (OSINT), um glaubwürdig zu wirken.

Falsche Polizei und Erpressung#

Nachrichten im Namen von Polizei, Staatsanwaltschaft oder anderen Behörden behaupten, man habe illegale Aktivitäten festgestellt – etwa im Darknet –, und bieten die Einstellung des Verfahrens gegen Zahlung an. Echte Behörden arbeiten nicht so.

Code-Abfrage#

„Ich habe Ihnen versehentlich einen Code geschickt, können Sie ihn mir nennen?“ Wer den Code weitergibt, übergibt oft die Kontrolle über ein Konto. Kein seriöser Anbieter fragt nach Zwei-Faktor-Codes.

Social Engineering im Darknet#

Im Darknet richtet sich Täuschung oft gezielt gegen andere Nutzer:

• angebliche Händler, die Vorkasse verlangen und nie liefern,
• „Support“ eines Marktplatzes, der nach Passwort oder Wallet-Daten fragt,
• Kontakte, die Vertrauen aufbauen, um später Informationen über die echte Identität zu entlocken,
• Erpressung mit Informationen, die Nutzer leichtfertig preisgegeben haben.

Nicht zuletzt können Gesprächspartner verdeckte Ermittler sein. Gute OPSEC bedeutet deshalb auch, niemandem persönliche Details anzuvertrauen.

So wehrst du dich#

1. Innehalten: Zeitdruck ist ein Warnsignal. Kein echter Notfall verschwindet, wenn du zehn Minuten prüfst.
2. Unabhängig zurückfragen: Kontaktiere die angebliche Bank, Behörde oder Person über eine selbst recherchierte Nummer – nie über die Kontaktdaten aus der Nachricht.
3. Nichts preisgeben: Passwörter, Codes und PINs gibt man niemandem.
4. Feste Regeln einhalten: In Unternehmen Überweisungen nur nach Rückruf und Vier-Augen-Prinzip.
5. Phishing-resistente Anmeldung nutzen: Passkeys und Sicherheitsschlüssel funktionieren auf gefälschten Seiten nicht. → Zwei-Faktor-Authentifizierung einrichten
6. Weniger öffentlich teilen: Je weniger Täter über dich finden, desto schwerer wird eine glaubwürdige Täuschung.

Das BSI fasst es knapp zusammen: Der wirksamste Schutz gegen Social Engineering ist gesunder Menschenverstand.

Wenn du getäuscht wurdest#

• Betroffene Passwörter sofort ändern und Sitzungen beenden,
• Bank informieren, wenn Zahlungsdaten betroffen sind,
• Anzeige bei der Polizei erstatten – in allen Bundesländern auch online,
• in Unternehmen sofort die IT-Sicherheit informieren.

Wie du Betrug im Netz allgemein erkennst, erklärt Fake-Shops und Online-Betrug erkennen.