Die größte Sicherheitslücke sitzt vor dem Bildschirm

Die größte Sicherheitslücke sitzt oft vor dem Bildschirm – nicht weil Menschen grundsätzlich unsicher sind, sondern weil Angreifer Vertrauen, Zeitdruck, Autorität und Hilfsbereitschaft gezielt ausnutzen. Ein häufig genutzter Weg führt über den Menschen: über einen Klick unter Zeitdruck, eine gefälschte Chef-Mail oder einen Anruf, der echt klingt. Dieser Beitrag zeigt, wie Social Engineering funktioniert, warum KI die Täuschung verstärkt, welche typischen Fehler im Alltag Risiken erhöhen – und wie Menschen statt zur Schwachstelle zu einem wichtigen Teil der Verteidigung werden.

Wie stark KI die Angriffsseite verändert, zeigt unsere Übersicht der aktuellen Maschen.

KI-Betrug: die nächste Evolutionsstufe des CybercrimeMaschen, Warnsignale und was im Ernstfall zu tun ist

Warum moderne Sicherheit oft am Menschen scheitert

Unternehmen investieren viel in IT-Sicherheit: Firewalls, Endpoint-Schutz, Cloud-Sicherheit, Überwachung des Netzverkehrs. Trotzdem gelingen Angriffe immer wieder. Angreifer versuchen deshalb nicht nur technische Schwachstellen auszunutzen, sondern gezielt auch menschliche Entscheidungen und betriebliche Abläufe zu beeinflussen. Ein Mitarbeiter öffnet einen präparierten Anhang. Ein Nutzer verwendet dasselbe Passwort mehrfach. Ein Geschäftsführer fällt auf einen gefälschten Anruf herein. In der Buchhaltung wird eine Zahlung ausgelöst, weil die E-Mail scheinbar von der Geschäftsleitung stammt. Technisch war vieles geschützt, der Ablauf drumherum nicht. Das Thema gehört in die Rubrik Sicherheit, weil Schutz heute Technik, Prozesse und Menschen zugleich umfasst.

Social Engineering: die psychologischen Hebel der Angreifer

Beim Social Engineering steht nicht eine technische Schwachstelle im Mittelpunkt, sondern die Beeinflussung menschlicher Entscheidungen. Häufig wird diese Manipulation mit technischen Angriffsmethoden kombiniert. Angreifer setzen gezielt auf:

• Vertrauen – die Nachricht kommt scheinbar von Kollegen, Vorgesetzten oder bekannten Diensten
• Zeitdruck – „heute noch“, „sonst wird gesperrt“, „der Kunde wartet“
• Autorität – Anweisungen von oben werden seltener hinterfragt
• Hilfsbereitschaft – jemand braucht dringend Zugang oder eine Datei
• Neugier – ein angeblicher Lieferschein, ein Bewerbungsfoto, ein Gehaltsvergleich
• Angst – Mahnung, Anzeige, angebliche Kontosperrung
• Aussicht auf Gewinn – Bonus, Rabatt, vermeintliche Rückerstattung

Ziel ist, Betroffene durch einen manipulierten Kontext zu einer Handlung oder Preisgabe von Informationen zu bewegen, die dem Angreifer nützt. Deshalb wirkt gegen Social Engineering kein Misstrauen gegen alles, sondern eine feste Regel für die wenigen kritischen Vorgänge – Geld, Zugangsdaten, Datenfreigaben.

Phishing: verbreitet, psychologisch wirksam, technisch vielfältig

Phishing bleibt eine der verbreiteten Angriffsmethoden – teilweise technisch einfach, aber psychologisch und zunehmend auch technisch ausgefeilt. Typische Aufhänger im Posteingang:

• Ihr Konto wurde gesperrt
• Ungewöhnliche Anmeldung festgestellt
• Paket konnte nicht zugestellt werden
• Bitte bestätigen Sie Ihre Daten
• Dringende Zahlungsanweisung

Der Empfänger reagiert unter Stress, und genau darauf setzen die Täter. Manche Kampagnen sind technisch schlicht, andere arbeiten mit kompromittierten Webseiten, Schadsoftware oder Angriffen auf die Anmeldung selbst. Praktisch hilft eine Reihenfolge: erst die Absenderadresse vollständig ansehen, dann das Linkziel prüfen, ohne zu klicken, und schließlich fragen, ob Zeitdruck erzeugt wird. Schon ein einzelner auffälliger Punkt kann Grund genug sein, den Vorgang abzubrechen und den vermeintlichen Absender über einen unabhängigen Kanal zu prüfen. Umgekehrt beweist das Fehlen dieser Warnzeichen nicht, dass eine Nachricht echt ist. Passende Werkzeuge stellt unser Beitrag zu Phishing-Schutz-Tools vor.

Die wichtigsten Maschen im Überblick

Typische Social-Engineering-Beispiele reichen von Phishing und CEO-Fraud bis zu Vishing, Smishing, Quishing und falschem IT-Support.

← Tabelle seitlich scrollen →

Wie künstliche Intelligenz die Täuschung verstärkt

Früher waren viele Betrugsversuche an schlechten Übersetzungen und merkwürdigen Formulierungen zu erkennen. Dieses Warnsignal ist deutlich unzuverlässiger geworden: KI erzeugt sprachlich überzeugende Texte und personalisierte Nachrichten in vielen Sprachen. Dazu kommen imitierte Stimmen und Videos, die Vertrauen zusätzlich untergraben.

Daraus folgt kein Grund zur Panik, wohl aber eine Verschiebung: Die Erkennung darf nicht mehr allein an der Sprache hängen. Wer Geld überweist, Zugangsdaten eingibt oder Daten herausgibt, sollte deshalb nicht nur die Formulierung bewerten, sondern vor allem Absender, Zieladresse, Kontext und den verwendeten Kommunikationsweg prüfen. Wie weit die Täuschung technisch reicht, beschreibt unser Beitrag Werden wir bald niemandem mehr glauben können?

Warum wir trotz Wissen falsch entscheiden

Viele Menschen kennen die Empfehlung, verdächtige Links vor dem Öffnen zu prüfen. Trotzdem können auch erfahrene Nutzer auf überzeugende Täuschungen hereinfallen. Das liegt weniger an Unwissen als an der Situation, in der die Nachricht ankommt.

• Belastung: Wer zweihundert Mails am Tag bearbeitet, prüft nicht jede einzeln, sondern arbeitet im Muster. Genau dieses Muster imitieren Angreifer.
• Autorität: Anweisungen von oben werden seltener hinterfragt, besonders wenn Vertraulichkeit mitgeliefert wird.
• Erwartung: Wer ein Paket erwartet, kann auf eine passende gefälschte Zustellnachricht leichter reagieren. Angreifer können große Mengen solcher Nachrichten versenden und erhöhen damit die Wahrscheinlichkeit, jemanden in einem passenden Moment zu erreichen.
• Zeitdruck: Unter Druck entscheidet der Mensch schnell statt gründlich – deshalb wird Eile künstlich erzeugt.
• Kontextwechsel: Am Smartphone sind Absenderadresse und Linkziel schlechter sichtbar als am Rechner.
• Scham: Scham oder Angst vor Vorwürfen können dazu führen, dass ein Fehler später gemeldet wird und wertvolle Reaktionszeit verloren geht.

Die Konsequenz ist unbequem: Aufmerksamkeit allein ist keine Sicherheitsmaßnahme, weil sie nicht dauerhaft verfügbar ist. Tragfähig sind Regeln, die auch im Stress funktionieren – zweiter Kanal, Vier-Augen-Prinzip, Passwortmanager, Passkeys. Sie greifen genau dann, wenn die Aufmerksamkeit nicht reicht.

Häufige Sicherheitsfehler im Alltag

• Passwörter mehrfach verwenden
• Passwörter ungeschützt notieren oder in Dateien speichern
• Links ungeprüft anklicken
• Updates für Betriebssystem, Browser und Apps aufschieben
• Unbekannte Anhänge öffnen, besonders Office-Dateien mit Makros
• Zwei-Faktor-Anmeldung nicht aktivieren, obwohl der Dienst sie anbietet
• Sensible Daten ohne angemessene Ende-zu-Ende- oder Dateiverschlüsselung beziehungsweise ohne einen dafür vorgesehenen sicheren Übertragungsweg versenden
• Warn- und Sicherheitsmeldungen wegklicken
• Codes aus SMS oder App an Anrufer weitergeben
• Unbekannte USB-Geräte anschließen oder nicht vertrauenswürdige USB-Datenverbindungen zum Laden verwenden

Ein Passwortmanager gehört zu den wirksamen Maßnahmen mit vergleichsweise geringem Alltagsaufwand: Er kann für jedes passwortgeschützte Konto ein eigenes starkes Passwort erzeugen und speichern. Viele Manager füllen Zugangsdaten zudem nur auf der dazu gespeicherten Website beziehungsweise Domain automatisch aus. Bleibt das Autofill auf einer vermeintlichen Login-Seite aus, ist das ein wichtiges Warnsignal.

Warum Unternehmen attraktive Ziele für Social Engineering sind

Viele Geschäftsführer konzentrieren sich auf Technik. Das ist verständlich, greift aber zu kurz. Ein einziges unachtsames Verhalten kann Schadsoftware ins Netz bringen, Kundendaten offenlegen, Produktion stoppen, hohe Schäden auslösen und den Ruf beschädigen. Besonders sensible Funktionen sind Buchhaltung, Geschäftsführung, Assistenz, Vertrieb, Personalabteilung und IT-Support, weil dort Zahlungen, Zugänge, Bewerbungen, Rechnungen und externe Anfragen verarbeitet werden.

Wirksam sind weniger Appelle als Abläufe:

• Zahlungsfreigaben nie allein per E-Mail, Telefon oder Videocall
• Vier-Augen-Prinzip ab festgelegten Beträgen
• Rückbestätigung über hinterlegte Nummern, nie über die Nummer aus der Nachricht
• Kontoänderungen von Lieferanten separat verifizieren
• Regelmäßige Schulungen; wenn Phishing-Simulationen eingesetzt werden, ohne Bloßstellung oder Sanktionierung einzelner Beschäftigter und mit unmittelbarem Feedback
• Notfallplan mit klaren Zuständigkeiten und erreichbaren Ansprechpartnern
• Getrennt aufbewahrte Backups und ein getesteter Wiederherstellungsweg
• Meldewege kennen: Der Verantwortliche muss Verletzungen des Schutzes personenbezogener Daten grundsätzlich unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Datenschutzaufsicht melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Auftragsverarbeiter müssen eine bekannt gewordene Verletzung unverzüglich dem Verantwortlichen melden

Fehlerkultur: Warum Schuldzuweisung das Risiko erhöht

Wer nach einem Klick mit Vorwürfen rechnet, kann einen Vorfall später oder gar nicht melden. Gerade die ersten Stunden können aber entscheidend dafür sein, ob Zugänge gesperrt, Zahlungen gestoppt und Systeme rechtzeitig isoliert werden. Sinnvoll ist deshalb eine klare Zusage: Wer einen Vorfall meldet, bekommt Unterstützung statt Ärger. Dazu gehören eine erreichbare Meldestelle, eine kurze Anleitung für die ersten Schritte und die Auswertung von Übungs-Phishing ohne Namensnennung. Ein Fehlklick ist kein Charakterfehler. Entscheidend ist, dass er sofort gemeldet wird und anschließend ein klar definierter Reaktionsprozess greift.

Die Sicherheitslücke Mensch? Warum Menschen auch zur Verteidigung gehören

Im Unternehmensumfeld wird dafür häufig von Security Awareness oder einer Human Firewall gesprochen: Gemeint sind Mitarbeitende, die durch klare Prozesse und regelmäßiges Security-Awareness-Training typische Angriffe erkennen, hinterfragen und früh melden.

Die Aussage „Der Mensch ist die größte Sicherheitslücke“ stimmt nur zur Hälfte. Geschulte Mitarbeitende können Angriffe erkennen, früh melden und dadurch Schäden verhindern oder begrenzen. Cybersecurity besteht eben nicht nur aus Technik, sondern aus Technik, Prozessen und Menschen. Warum Urteilsfähigkeit selbst zur Sicherheitsmaßnahme wird, vertieft unser Beitrag Warum digitale Kompetenz zur Überlebensfähigkeit wird.

Familie und Angehörige schützen

Im privaten Umfeld trifft Social Engineering oft die, die am wenigsten damit rechnen. Drei Gruppen lohnen besondere Aufmerksamkeit.

Ältere Angehörige sind Ziel von Schockanrufen, falschen Support-Mitarbeitern und angeblichen Bankmitarbeitern. Hilfreich ist ein festes Familien-Codewort, die Vereinbarung, bei Geldforderungen immer aufzulegen und selbst zurückzurufen, und eine Person, die man im Zweifel jederzeit anrufen darf – ohne Angst vor Vorwürfen.

Kinder und Jugendliche begegnen Betrug in Spielen, auf Marktplätzen und in Chats: kostenlose Skins, angebliche Gewinne, Kontoübernahmen per Fake-Login. Wichtig ist, dass sie Fehler melden dürfen, ohne dass sofort das Gerät weg ist.

Man selbst im Alltag: Besonders riskant ist Passwortwiederverwendung zwischen privaten und beruflichen Konten. Auch eine fehlende Trennung von Konten, Browserprofilen oder besonders sensiblen Arbeitszugängen kann im Kompromittierungsfall den möglichen Schaden vergrößern. Die bloße Nutzung derselben E-Mail-Adresse oder desselben Geräts ist dagegen nicht automatisch eine Sicherheitslücke. Wie gestohlene Zugangsdaten anschließend weitergehandelt werden, zeigt unser Beitrag zum Dark-Web-Monitoring; was aus einem übernommenen Konto entstehen kann, beschreibt Die Zukunft des Identitätsdiebstahls.

So senken Sie Ihr persönliches Risiko

• 1. Für jedes Konto, das weiterhin ein Passwort verwendet, ein eigenes starkes Passwort nutzen und möglichst im Passwortmanager erzeugen und speichern.
• 2. Wo verfügbar, phishingresistent anmelden: per Passkey oder FIDO2/WebAuthn-Sicherheitsschlüssel. Wo weiterhin Passwort plus zweiter Faktor genutzt wird, eine Authenticator-App oder einen geeigneten Hardware-Faktor statt SMS bevorzugen.
• 3. Bei Geld und Zugangsdaten den Kanal wechseln: nie über den Link oder die Nummer aus der Nachricht antworten.
• 4. Keine sicherheitsrelevanten Entscheidungen allein unter Zeitdruck treffen – künstlich erzeugte Eile ist ein wichtiges Warnsignal.
• 5. Absender und Adresszeile vollständig prüfen, statt sich auf Logo und Anrede zu verlassen.
• 6. Updates zeitnah installieren, auch für Router, Smartphone und Browsererweiterungen.
• 7. Sicherheitsmeldungen ernst nehmen und ungewöhnliche Anmeldungen sofort prüfen.
• 8. Backups anlegen, getrennt vom Rechner, und die Wiederherstellung einmal testen.

Was tun, wenn es doch passiert ist?

Schnelles Handeln ist wichtig, die Maßnahmen müssen aber zum jeweiligen Vorfall passen. Welche Maßnahme zuerst kommt, hängt von der akuten Gefahr ab:

• Bei Verdacht auf Gerätekompromittierung zuerst trennen: Das betroffene Gerät vom Netz nehmen und nicht weiter benutzen; keine eigenmächtige Bereinigung, wenn Beweise gesichert werden müssen.
• Zahlung stoppen: Bank sofort informieren; sie kann auch nach der Ausführung einen Rückforderungsversuch einleiten, dessen Erfolg aber nicht garantiert ist.
• Zugang sperren: Zugangsdaten von einem vertrauenswürdigen, nicht kompromittierten Gerät aus ändern, aktive Sitzungen beenden und Zwei-Faktor-Anmeldung beziehungsweise Passkeys prüfen.
• Melden: im Unternehmen an die zuständige Stelle; bei Betrug, Erpressung, Identitätsmissbrauch oder anderem Straftatverdacht Anzeige bei der Polizei – geeignete Fälle über die Onlinewache des Bundeslands, bei akuter Gefahr über die 110.
• Beweise sichern: Screenshots mit Absenderadresse und Zeitstempel, vollständige Nachrichten, Belege.
• Umfeld informieren: Wurde ein Konto übernommen, warnen Sie Kontakte, bevor in Ihrem Namen weitergeschrieben wird.

Fazit: Sicherheit ist mehr als Technik

Die Formulierung von der größten Sicherheitslücke vor dem Bildschirm ist bewusst zugespitzt. Menschen sind ein wichtiger Angriffspunkt, aber technische Schwachstellen und unsichere Prozesse bleiben ebenfalls wichtige Faktoren. Das heißt nicht, dass Menschen das Problem sind – es heißt, dass Technik allein nicht reicht. Wer aufmerksam bleibt, kritisch prüft und für die kritischen Vorgänge feste Abläufe hat, macht es Angreifern erheblich schwerer. Und wer im Ernstfall sofort meldet, statt zu schweigen, begrenzt den Schaden oft entscheidend. Warum Ermittler bei Cybercrime mit strukturellen Zeitnachteilen konfrontiert sein können, erklärt unser Beitrag Warum die Polizei Kriminellen technisch hinterherläuft.

Glossar: Begriffe rund um Social Engineering

Häufige Fragen zum Faktor Mensch in der Sicherheit