Social Engineering: Der Angriff beginnt vor dem Klick

Die sinnvollen Varianten

Die Masche ist immer ähnlich

Der Vorwand wechselt, die Mechanik bleibt: Jemand erzeugt Dringlichkeit, Autorität, Angst, Hilfsbereitschaft oder Neugier und verlangt eine ungewöhnliche Handlung.

Das kann eine Überweisung sein, ein Login über einen Link, die Installation einer Fernwartungssoftware oder die Weitergabe eines Bestätigungscodes.

Fünf Warnsignale, die noch funktionieren

• Du sollst sofort handeln und niemanden fragen.
• Zahlung soll per Gutschein, Krypto, Echtzeitüberweisung oder an ein neues Konto erfolgen.
• Jemand verlangt PIN, Passwort, Wiederherstellungscode oder Freigabecode.
• Der Kontaktweg passt nicht: Chef per privatem Messenger, Bank per QR-Brief, Kind mit neuer Nummer.
• Du sollst Sicherheitsregeln ausnahmsweise umgehen.

Phishing, Smishing, Vishing, Quishing

Phishing kommt häufig per E-Mail, Smishing per SMS und Vishing per Telefon. Beim Quishing führt ein QR-Code auf die gefälschte Seite. Die Verbraucherzentrale warnt inzwischen auch vor manipulierten QR-Codes auf Briefen, Parkautomaten und Ladesäulen.

Ein korrektes Logo, persönliche Daten und fehlerfreies Deutsch beweisen nichts. Absenderadressen und angezeigte Telefonnummern können täuschen.

Betrugsmails erkennen – ganz ohne Technikkenntnisse

Du musst keine gefälschte Mail zweifelsfrei entlarven. Es reicht, wenn du erkennst: Diese Nachricht will eine wichtige Handlung von mir. Dann wechselst du den Weg und prüfst die Behauptung direkt beim angeblichen Absender.

Ich verlasse mich dabei nicht auf Rechtschreibfehler. Moderne Betrugsmails können persönlich, höflich und sprachlich sauber aussehen. Entscheidend ist, was die Nachricht von dir verlangt.

Der einfache E-Mail-Check

• Unerwartet: Habe ich diese Nachricht oder Rechnung überhaupt erwartet?
• Druck: Soll ich sofort zahlen, mein Konto retten oder eine Frist verhindern?
• Geheimnis: Soll ich Passwort, PIN, TAN oder Bestätigungscode eingeben?
• Ungewöhnlich: Kommt eine bekannte Firma plötzlich mit einer neuen Kontonummer, Datei oder QR-Code?
• Link: Führt mich die Mail zu einer Anmeldung oder Zahlung?
• Anhang: Soll ich eine Datei öffnen, obwohl ich den Vorgang nicht kenne?
• Gefühl: Macht mich die Nachricht ungewöhnlich ängstlich, neugierig oder euphorisch?

So prüfst du eine verdächtige Mail sicher

• Nicht auf den Link, Button oder QR-Code in der Mail klicken.
• Nicht auf die Mail antworten und keine dort genannte Telefonnummer anrufen.
• Öffne die bekannte App selbst oder tippe die bekannte Webadresse von Hand ein.
• Prüfe dort, ob Rechnung, Nachricht oder Sicherheitswarnung wirklich existiert.
• Rufe im Zweifel die bereits gespeicherte Nummer oder die Nummer von einer echten Rechnung an.
• Frage eine zweite Person, bevor du Geld überweist oder Zugangsdaten eingibst.

Spam oder Scam?

Spam ist vor allem unerwünschte Massenwerbung. Scam ist Betrug: Jemand will Geld, Zugangsdaten oder eine Handlung erschleichen. Phishing ist eine Form davon und zielt häufig auf Logins und Zahlungsdaten.

Auch harmlose Werbung kann auf unseriöse Seiten führen. Wenn du den Absender nicht kennst, nutze nicht den Abmeldelink in einer offensichtlich betrügerischen Nachricht. Markiere sie im Mailprogramm als Spam und lösche sie. Bei einem echten Newsletter eines bekannten Anbieters kannst du den Abmeldelink verwenden.

Typische Beispiele aus dem Alltag

• „Ihr Paket konnte nicht zugestellt werden“ – kleine Gebühr über einen Link.
• „Ihr Konto wird heute gesperrt“ – sofort anmelden und Daten bestätigen.
• „Offene Rechnung“ – unbekannte PDF-, ZIP- oder Office-Datei im Anhang.
• „Chef braucht dringend Gutscheinkarten“ – ungewöhnliche Bitte per neuer Adresse.
• „Sie haben gewonnen“ – Auszahlung erst nach Gebühr oder Dateneingabe.
• „Sicherheitswarnung“ – angeblicher Support verlangt Fernzugriff oder einen Code.

Wenn du schon geklickt hast

• Nur geklickt, aber nichts eingegeben oder installiert: Seite schließen und Browser sowie Gerät aktualisieren.
• Passwort eingegeben: echte Website selbst öffnen, Passwort sofort ändern und alle Sitzungen abmelden.
• Dasselbe Passwort anderswo benutzt: dort ebenfalls ändern.
• TAN oder Kartendaten eingegeben: Bank sofort über die offizielle Nummer kontaktieren.
• Datei geöffnet oder Programm installiert: Internetverbindung trennen und fachkundige Hilfe holen.
• Mail, Adresse, Zeitpunkt und Screenshots als Beweise sichern.

Die 30-Sekunden-Regel

• Stopp: nichts klicken, installieren, freigeben oder bezahlen.
• Kanal wechseln: App selbst öffnen oder bekannte Nummer wählen.
• Behauptung prüfen: Gibt es die Nachricht auch im echten Konto?
• Zweite Person fragen, bevor Geld oder Zugangsdaten betroffen sind.
• Verdächtigen Kontakt blockieren und Beweise sichern.

„Hallo Mama, neue Nummer“

Die Polizei empfiehlt, die bekannte Person über die alte Nummer zu kontaktieren. Eine Geldforderung über einen neuen Messenger-Kontakt ist kein Familiennotfall, sondern zunächst eine unbestätigte Behauptung.

Vereinbart in der Familie ein einfaches Rückrufverfahren oder ein persönliches Kennwort für echte Notfälle. Verlasst euch nicht auf eine vertraut klingende Stimme; KI kann Stimmen imitieren.

Falscher Support am Telefon

• Kein seriöser spontaner Anrufer braucht Fernzugriff auf deinen Computer.
• Installiere keine Fernwartungssoftware auf Zuruf.
• Lies keine TAN oder Bestätigungscodes vor.
• Lege auf und suche die offizielle Supportnummer selbst.
• Wenn bereits Zugriff bestand: Gerät vom Netz trennen und von einem sauberen Gerät Passwörter ändern.

Für Unternehmen: Menschen dürfen nicht die letzte Firewall sein

Im Betrieb reicht der Rat „besser aufpassen“ nicht. Auch eine gut geschulte Person kann unter Zeitdruck auf eine glaubwürdige Nachricht reagieren. Ich halte deshalb nur ein Konzept für fair und belastbar, das Technik, klare Freigaben und eine Kultur ohne Schuldzuweisung verbindet.

Das wichtigste Ziel ist nicht eine perfekte Klickquote im Phishing-Test. Entscheidend ist, dass verdächtige Vorgänge früh gemeldet werden, Zahlungen nicht von einer einzelnen Nachricht abhängen und ein kompromittiertes Konto schnell begrenzt werden kann.

Enterprise-Basis: Das muss zuerst sitzen

• Für E-Mail, Cloud, Fernzugriff und Administrationskonten phishing-resistente Mehrfaktor-Anmeldung mit Passkeys oder FIDO2-Sicherheitsschlüsseln verlangen.
• SPF, DKIM und DMARC für alle eigenen Domains sauber einrichten; DMARC-Berichte zunächst auswerten und die Richtlinie kontrolliert bis zur Ablehnung nicht autorisierter Absender verschärfen.
• Schutz gegen gefälschte Führungskräfte, ähnliche Domains und ungewöhnliche Absender im Maildienst aktivieren.
• Makros, ausführbare Anhänge und riskante Dateitypen aus dem Internet blockieren oder isoliert prüfen.
• Admin-Konten vom normalen Arbeitskonto trennen und dauerhafte Administratorrechte vermeiden.
• Weiterleitungsregeln, neue Anmeldeorte, ungewöhnliche OAuth-Freigaben und Massenversand überwachen.
• Einen sichtbaren Meldeknopf oder eine leicht merkbare interne Adresse für verdächtige Nachrichten anbieten.

Der wichtigste Prozess gegen CEO Fraud

• Neue Bankverbindungen, eilige Zahlungen und Änderungen von Zahlungsdaten nie allein per E-Mail freigeben.
• Vier-Augen-Prinzip und feste Betragsgrenzen technisch im Zahlungsprozess verankern.
• Änderungen über eine bereits bekannte Telefonnummer oder einen zweiten unabhängigen Kanal bestätigen.
• Vertretungen, Urlaubszeiten und echte Notfallwege vorher festlegen – nicht erst unter Druck.
• Auch Geschäftsführung, Assistenz, Buchhaltung, Personalabteilung und IT müssen dieselben Regeln einhalten. Hier darf Hierarchie keine Sicherheitskontrolle aushebeln.

Microsoft 365 und Google Workspace: sinnvoll konfigurieren

Beide Plattformen bringen Schutzfunktionen mit, ihre Verfügbarkeit hängt jedoch von Lizenz und Administrationsrolle ab. In Microsoft 365 führt der Weg im Defender-Portal über „E-Mail und Zusammenarbeit“ zu „Richtlinien und Regeln“ und „Bedrohungsrichtlinien“; dort lassen sich Anti-Phishing-Regeln und Schutz vor imitierten Personen oder Domains prüfen. In der Google Admin-Konsole liegen die entsprechenden Gmail-Einstellungen unter „Apps“, „Google Workspace“, „Gmail“ sowie „Sicherheit“; Warnmeldungen werden im Warncenter geprüft.

Dokumentiere Ausgangszustand, Änderung, Verantwortliche und Rückweg. Prüfe Regeln zuerst mit einer begrenzten Pilotgruppe und ungefährlichen Testnachrichten. Wenn Menünamen oder Lizenzumfang abweichen, nutze die aktuelle Herstellerdokumentation statt Einstellungen ungeprüft auf den gesamten Mandanten auszurollen. Eine aktivierte Checkbox ist noch kein Wirksamkeitsnachweis.

Meldung statt Beschämung

Wer einen verdächtigen Anhang meldet oder nach einem Fehlklick sofort anruft, schützt das Unternehmen. Diese Person verdient Unterstützung, keinen öffentlichen Pranger. Angst vor Ärger kostet im Ernstfall wertvolle Minuten.

Kurze, regelmäßige Übungen mit realistischen Alltagssituationen sind sinnvoller als eine jährliche Pflichtfolie. Ergebnisse sollten Prozesse verbessern und nicht zur individuellen Leistungsbewertung missbraucht werden.

Wenn eine Unternehmensmail kompromittiert wurde

• Security- oder IT-Team sofort über den festgelegten Notfallweg informieren und den Vorfall protokollieren.
• Aktive Sitzungen und Tokens widerrufen, Konto sichern und phishing-resistente MFA neu binden.
• Postfachregeln, Weiterleitungen, delegierte Zugriffe, OAuth-Apps und gesendete Nachrichten prüfen.
• Betroffene Zahlungen über Bank und Zahlungsdienst stoppen; bekannte Geschäftspartner über einen vertrauenswürdigen Kanal warnen.
• Logs und Beweise sichern, Reichweite bestimmen und weitere betroffene Konten untersuchen.
• Datenschutzbeauftragte und Incident-Response-Verantwortliche einbinden; mögliche Meldepflichten nach DSGVO und gegebenenfalls NIS2 fachkundig und fristgerecht prüfen.
• Nach dem Vorfall nicht nur das Passwort ändern: Ursache, Kontrolllücke und Reaktionszeit ehrlich aufarbeiten.

Was Hardware wirklich bringt

Ein Security Key kann eine gestohlene Passworteingabe auf einer falschen Domain wertlos machen, weil die Anmeldung an die echte Website gebunden ist. Er verhindert aber nicht, dass du eine Überweisung selbst freigibst.

Hardware bleibt hier eine Ergänzung. Die wichtigste Maßnahme kostet nichts: Behauptungen über einen unabhängigen Kontaktweg prüfen.

Wenn du schon reagiert hast

• Bank oder Zahlungsdienst sofort über die offizielle Nummer kontaktieren.
• Betroffene Passwörter von einem sauberen Gerät ändern.
• Aktive Sitzungen abmelden und Zwei-Faktor-Verfahren prüfen.
• Bei Karten- oder Kontodaten den Sperr-Notruf 116 116 nutzen.
• Nachrichten, Nummern, Kontodaten und Screenshots sichern.
• Anzeige bei der Polizei erstatten; bei Gefahr den Notruf wählen.

Eine Regel für Teams und Familien

Geld, Zugangsdaten und Ausnahmen werden nie über denselben Kanal bestätigt, über den die Anfrage kam. Ein kurzer Rückruf über eine bekannte Nummer stoppt mehr Angriffe als die nächste Hochglanz-Sicherheitssoftware.