Beispiele für Social Engineering: 15 Angriffe und wie man sie stoppt

Social Engineering ist, in den Worten der US-amerikanischen Cybersicherheitsbehörde CISA, ein Angriff, bei dem „Ein Angreifer nutzt menschliche Interaktion (soziale Fähigkeiten), um Informationen über eine Organisation oder deren Computersysteme zu erlangen oder zu kompromittieren.“Es funktioniert, weil es auf Menschen und nicht auf Software abzielt. Der Verizon-Bericht zu Datenschutzverletzungen aus dem Jahr 2026 stellte fest, dass … Der menschliche Faktor war bei 62 % der Verstöße beteiligt., gegenüber 60 % im Vorjahr.

Hier finden Sie 15 Beispiele für Social Engineering, aufgeteilt in drei Gruppen à fünf Beispiele. Jedes Beispiel enthält ein Warnsignal und eine Handlungsempfehlung. Gruppe 1 behandelt Phishing, Gruppe 2 Pretexting und Identitätsdiebstahl und Gruppe 3 physische Angriffe und Köderangriffe. Jede Gruppe endet mit einem Hinweis auf die Vorgehensweise. Unsere Wahl, das Beispiel, das wir zuerst trainieren würden, mit einer einzeiligen Begründung.

Alle unten aufgeführten Beispiele für Unternehmen, Personen und Botschaften sind frei erfunden.

Set 1: Die Phishing-Familie

1. E-Mail-Phishing. Eine Nachricht, die scheinbar von einer Bank, einem Lieferanten oder Ihrem eigenen IT-Team stammt, fordert Sie auf, auf einen Link zu klicken und sich anzumelden. Laut CISA nutzen Phishing-Angriffe E-Mails oder manipulierte Websites, um… persönliche Informationen durch Vortäuschung der Vertrauenswürdigkeit einer Organisation erbeuten. Rote Flagge: eine Absenderadresse, die ein echtes Unternehmen vortäuscht, eine allgemeine Anrede wie „Sehr geehrter Kunde“ oder ein Link, dessen Adresse nicht mit dem Text übereinstimmt, der beim Überfahren mit der Maus angezeigt wird. Stop: Klicken Sie nicht darauf. Rufen Sie die Website auf, indem Sie die Adresse selbst eingeben, oder melden Sie die Meldung.
2. Spear-Phishing. Derselbe Trick, nur diesmal gegen eine bestimmte Person gerichtet. Der Absender verwendet Ihren Namen, den Namen Ihres Vorgesetzten und ein Projekt, an dem Sie tatsächlich arbeiten – Informationen, die sich aus öffentlichen Quellen zusammensetzen lassen. Rote Flagge: Eine ungewöhnlich spezifische, aber untypische Anfrage, wie zum Beispiel: „Schicken Sie mir noch heute den Atlas-Vertrag.“ Stop: Fragen Sie den Absender über einen anderen Kanal, zum Beispiel durch einen Anruf unter einer Ihnen bereits bekannten Nummer.
3. smishing. Phishing per SMS. CISA beschreibt SMiShing als Social Engineering, bei dem SMS-Nachrichten mit Links, Nummern oder Adressen ausgenutzt werden, die beim Antippen einen Browser öffnen oder einen Anruf tätigen. Rote Flagge: Eine SMS mit dem Hinweis „Paket in Bearbeitung“ oder „Konto gesperrt“ und einem Kurzlink. Stop: Löschen Sie die Datei und öffnen Sie die eigentliche App oder Website selbst.
4. Vishing. Phishing per Telefon. CISA warnt. Vishing Es handelt sich um Sprachanrufe, und die Anrufer-ID kann gefälscht werden, daher beweist ein Anruf, bei dem ein bekannter Name angezeigt wird, gar nichts. Rote Flagge: Ein Anrufer, der Druck ausübt und nach einem Code oder Passwort fragt. Stop: Legen Sie auf und rufen Sie die auf dem Kontoauszug oder der Website des Unternehmens angegebene Nummer erneut an.
5. QR-Code-Phishing. Ein QR-Code verbirgt die Adresse, zu der er führt. Das FBI hat davor gewarnt. Unaufgefordert zugesandte Pakete mit einem QR-Code die den Empfänger nach persönlichen und finanziellen Informationen fragt oder Software zum Datendiebstahl installiert. Rote Flagge: Ein unerwarteter Code ohne Absenderinformationen. Stop: Scannen Sie keine QR-Codes unbekannter Herkunft.

Unsere Wahl: Beispiel 4, Vishing. Verizon stellte fest, dass in Phishing-Simulationen die mittlere Klickrate in Mobile-zentrierte Vektoren wie Sprach- und Textnachrichten waren um 40 % höher als per E-Mail. Die Menschen haben schneller gelernt, E-Mails zu misstrauen als Telefonanrufen.

Set 2: Vortäuschung falscher Tatsachen und Identitätsdiebstahl

Verizon definiert Pretexting als eine Angreifertaktik, bei der Eine vertrauensvolle Beziehung wird durch konstruierte Szenarien aufgebaut. Ziel ist es, den Nutzer zu einer Handlung zu verleiten, die das Unternehmen gefährdet, häufig telefonisch, aber auch per E-Mail oder SMS. Im Bericht von 2026 wird diese Masche mit 6 % aller Sicherheitsvorfälle in Verbindung gebracht, im Vergleich zu 16 % bei Phishing.

6. CEO-Betrug und Kompromittierung von Geschäfts-E-Mails. Das Internet Crime Complaint Center (IC3) des FBI definiert Kompromittierung von geschäftlichen E-Mails (BEC) Es handelt sich dabei um eine Betrugsmasche, die Unternehmen ins Visier nimmt und über kompromittierte E-Mail-Konten und andere Kommunikationswege unautorisierte Geldtransfers verursacht. Im Jahr 2025 verzeichnete das IC3 24,768 Beschwerden zu BEC-Fällen und gemeldete Verluste in Höhe von rund 3.05 Milliarden US-Dollar. Rote Flagge: Eine dringende Bitte eines hochrangigen Managers, Geld zu bezahlen oder Geschenkgutscheine zu kaufen, mit dem Zusatz „Bitte niemandem davon erzählen“. Stop: Bestätigen Sie jede Zahlungsanforderung telefonisch oder persönlich.
7. Gefälschter IT-Support. Jemand gibt sich als Mitarbeiter des Helpdesks aus und benötigt Ihr Passwort oder Fernzugriff, „um ein Problem zu beheben“. IC3-Meldung erhalten 47,794 Beschwerden beim technischen Support im Jahr 2025, mit gemeldeten Verlusten von über 2.1 Milliarden Dollar. Rote Flagge: Die IT-Abteilung kontaktiert Sie zuerst und fragt nach einem Passwort oder einem Einmalcode. Stop: Echte IT-Teams benötigen Ihr Passwort nicht. Legen Sie auf und erstellen Sie ein Ticket über den üblichen Weg.
8. Änderung der Lieferantenrechnung. Eine E-Mail, offenbar von einem regulären Lieferanten, teilt mit, dass sich die Bankverbindung geändert hat. Die BEC-Definition des IC3 umfasst Betrugsmaschen, die auf … abzielen. Unternehmen, die mit Lieferanten zusammenarbeiten und regelmäßig Geldtransfers tätigen. Rote Flagge: neue Bankverbindung mit Zahlungsfrist. Stop: Rufen Sie den Lieferanten unter der bereits gespeicherten Telefonnummer an, bevor Sie irgendetwas ändern.
9. Gefälschter Personalvermittler. Ein „Personalvermittler“ unterbreitet einem Mitarbeiter ein Stellenangebot, das wie eine Beförderung aussieht, und bittet anschließend um persönliche Dokumente oder um eine Testaufgabe, die einen Download erfordert. IC3 erhielt 24,688 Beschwerden wegen Beschäftigungsbetrugs im Jahr 2025. Rote Flagge: Ein Angebot, für das Sie sich nicht beworben haben, mit schnelllebigen Schritten. Stop: Überprüfen Sie den Personalvermittler über die Karriereseite des Unternehmens und installieren Sie niemals Software für ein Vorstellungsgespräch.
10. Deepfake-Stimme. Eine geklonte Stimme, die wie die Ihres Regisseurs klingt, fordert eine dringende Zahlung. IC3 sagt Sprachklonen kann verwendet werden, um Überweisungen anzufordern. und dass Unternehmen im Jahr 2025 Verluste von über 30 Millionen Dollar durch BEC-Betrugsfälle unter Beteiligung von KI melden. Rote Flagge: Eine Sprachnachricht oder ein Anruf, der Sie zum Handeln drängt, bevor Sie nachsehen können. Stop: Um Zahlungen zu vereinbaren, muss ein Codewort oder eine Rückrufregel vereinbart werden; eine überzeugende Stimme allein genügt nicht.

Unsere Wahl: Beispiel 6, CEO-Betrug und BEC. Es handelt sich dabei um das teuerste Beispiel, das laut den IC3-Zahlen für 2025 sogar noch teurer ist als Betrugsfälle im Bereich des technischen Supports. Die Gegenmaßnahme ist günstig: Ein Anruf bei einer bekannten Nummer genügt, bevor Geld fließt.

Set 3: Physische Angriffe und Ködern

Für diese Angriffe ist keine Tastatur erforderlich. Sie sind deshalb relevant, weil ein Fremder im Gebäude auf Daten zugreifen kann, die durch eine Firewall geschützt sind.

11. Drängeln. Jemand folgt Ihnen durch eine gesicherte Tür, „weil er die Hände voll hat“. Rote Flagge: Eine Person ohne Dienstmarke, die entspannt und freundlich ist. Stop: Bitten Sie sie höflich, sich selbst einzutragen, oder begleiten Sie sie zur Rezeption.
12. Köder mit USB-Sticks. Auf dem Parkplatz oder in der Lobby liegt ein USB-Stick mit der Aufschrift „Gehaltsüberprüfung 2027“. Rote Flagge: jegliches externe Laufwerk, das Sie nicht gekauft haben. Stop: Schließen Sie gefundene Geräte niemals an. Geben Sie sie der IT-Abteilung, die sie gefahrlos überprüfen kann.
13. Schultersurfen. Jemand liest Ihren Bildschirm ab oder beobachtet Sie bei der Eingabe Ihrer PIN im Zug oder an einem flexiblen Arbeitsplatz. Rote Flagge: eine Person, die zu nah an Ihrem Bildschirm steht oder ihr Handy darauf richtet. Stop: Verwenden Sie einen Blickschutzfilter, sperren Sie Ihren Bildschirm, wenn Sie sich entfernen, und setzen Sie sich mit dem Rücken zur Wand.
14. Mülltauchen. Ausgedruckte E-Mails, Organigramme und Besprechungsnotizen, die in einen gewöhnlichen Mülleimer geworfen werden, liefern einem Angreifer Namen, Telefonnummern und Projekttitel für den nächsten Anruf. Rote Flagge: Zettel mit Namen oder Nummern in einem offenen Mülleimer. Stop: Verwenden Sie einen Aktenvernichter oder einen abschließbaren Abfalleimer und achten Sie auf einen aufgeräumten Schreibtisch.
15. Gefälschte Lieferung. Ein Kurier in einer Markenjacke bittet darum, an der Rezeption vorbeigelassen zu werden oder ein Paket im Serverraum abzugeben. Rote Flagge: Eine Lieferung, die niemand bestellt hat, oder eine, die nicht an der Rezeption ankommen kann. Stop: Bringen Sie es zur Rezeption und lassen Sie unerwartete Pakete von der auf dem Etikett genannten Person überprüfen.

Unsere Wahl: Beispiel 11, Tailgating. Es erfordert keine besonderen Fähigkeiten und kostet nichts, und gute Manieren sind der Schlüssel zum Erfolg. Geben Sie Ihren Mitarbeitern einen höflichen Gesprächsleitfaden, damit sich das Ansprechen einer Person normal und nicht unhöflich anfühlt.

Wie man alle 15 stoppt

Die 15 Beispiele haben eines gemeinsam: Sie drängen dazu, schnell und allein zu handeln. Drei Gewohnheiten durchbrechen das.

1. Überprüfung über einen zweiten Kanal. Wenn eine Anfrage Geld, ein Passwort, einen Code oder Zugangsdaten betrifft, bestätigen Sie diese über einen anderen Weg mit bereits vorhandenen Kontaktdaten. CISA rät: Wenn Sie sich nicht sicher sind, ob eine Anfrage echt ist, Bitte überprüfen Sie dies, indem Sie das Unternehmen direkt kontaktieren.und nicht mit den in der Nachricht angegebenen Kontaktinformationen.
2. Berichte Es. Die CISA rät bei Verdacht auf Phishing, Melden Sie die Nachricht und löschen Sie es anschließend. Machen Sie das Melden zu einer Gewohnheit, die mit einem Klick erledigt ist und keine Schuldzuweisungen beinhaltet, sodass die erste Person, die etwas entdeckt, alle anderen warnt.
3. Fahren Sie langsamer. CISA-Listen dringliche oder emotional ansprechende Sprache Zu den häufigsten Anzeichen von Phishing gehört die korrekte Grammatik. CISA weist außerdem darauf hin, dass perfekte Grammatik kein Garant für Sicherheit mehr ist, da manche E-Mails dank KI mittlerweile fehlerfrei sind. Wenn eine Nachricht Eile verlangt, ist Vorsicht geboten.

Training ist der Schlüssel zur Etablierung von Gewohnheiten. Da der menschliche Faktor bei 62 % der Verstöße eine Rolle spielt, laut Verizons Bericht für 2026Ein Team, das das Erkennen dieser 15 Beispiele geübt hat, ist ein wichtiger Bestandteil Ihrer Verteidigung. Ein umfassenderes Programm finden Sie in unserem Leitfaden. Sensibilisierung für Cybersicherheit.

Möglichkeiten zur Durchführung einer Social-Engineering-Sitzung mit AhaSlides

Führen Sie die 15 Beispiele live durch, entweder in einem Raum oder per Videoanruf, wobei die Antworten auf dem Bildschirm angezeigt werden, während die Teilnehmer reagieren.

1. Antwort auswählen: „Echt oder Phishing?“ Zeigen Sie zu jedem Beispiel eine fiktive Nachricht und fragen Sie, ob sie echt ist. Weisen Sie auf die Warnsignale hin und diskutieren Sie darüber.
2. Wortwolke: „Der Betrug, dem man am häufigsten zum Opfer fällt“. Das größte Wort zeigt an, was zuerst geübt werden sollte.
3. Bewertungsskala: „Wie sicher sind Sie sich darin, eine Fälschung zu erkennen?“ Bitten Sie vor und nach der Sitzung um eine Bewertung von 1 bis 5 und vergleichen Sie die Durchschnittswerte.
4. Offene Frage: „Ich habe eine verdächtige Nachricht erhalten“. Sammeln Sie reale Beispiele, wobei die Namen entfernt werden, und verwenden Sie das beste Beispiel als Szenario für die nächste Runde.

Die Kursvorlage für Phishing & Social Engineering bietet Ihnen vorgefertigte Folien zur individuellen Anpassung, und die Vorlage zur Sensibilisierung für Insiderbedrohungen eignet sich gut als Folgekurs für das gesamte Team.

Häufig gestellte Fragen

Was sind Beispiele für Social Engineering?

Phishing, Pretexting, Baiting und Tailgating sind die gängigsten Betrugsmethoden. Dieser Beitrag listet 15 auf, von E-Mail-Phishing und Vishing über gefälschten IT-Support bis hin zu USB-Baiting und vorgetäuschten Lieferungen.

Was ist die häufigste Form des Social Engineering?

Phishing. Laut einem Bericht von Verizon aus dem Jahr 2026 machen Phishing-Angriffe 16 % aller Sicherheitsverletzungen aus, im Vergleich zu 6 % bei Pretexting. Das IC3 erhielt im Jahr 2025 191,561 Beschwerden über Phishing und Spoofing.

Wie kann man Social Engineering verhindern?

Überprüfen Sie Anfragen über einen zweiten Kanal und melden Sie verdächtige Anfragen. Ergänzen Sie Ihr Angebot um kurze, regelmäßige Schulungen, da sich die Angriffe schneller ändern als jede einmalige Schulung.

Was ist Pretexting?

Eine erfundene Geschichte, um an Informationen oder Zugang zu gelangen. Der Angreifer schafft Vertrauen durch ein glaubwürdiges Szenario, beispielsweise einen Anruf beim Kundendienst, und bittet dann um ein Passwort, eine Zahlung oder darum, dass eine Tür offengehalten wird.

Wo soll ich anfangen

Wählen Sie ein Beispiel aus und führen Sie es in Ihrem nächsten Teammeeting durch. Falls Sie nur Zeit für ein Beispiel haben, gestalten Sie es als Vishing-Szenario und fragen Sie anschließend alle, wie sie auf den nächsten unerwarteten Anruf reagieren würden.