Social Engineering erklärt: Phishing, Pretexting und Schutzmaßnahmen 2026
7. September 2026 · von Pentevo
Technische Abwehrmaßnahmen wie Firewalls und Antivirus-Software schützen gut gegen automatisierte Angriffe. Menschen hingegen sind das schwächste Glied in der Sicherheitskette — und Social Engineering ist die Kunst, diesen Faktor gezielt auszunutzen.
Über 80% aller Datenschutzverletzungen beginnen mit einem Social-Engineering-Angriff, häufig in Form einer Phishing-E-Mail. Für Pentester, Security-Analysten und alle, die Organisationen schützen wollen, ist das Verständnis dieser Techniken unerlässlich.
Die psychologischen Prinzipien
Social Engineering basiert auf sechs psychologischen Grundprinzipien (nach Robert Cialdini):
- Autorität: „Ich bin von der IT-Abteilung — ich brauche Ihr Passwort sofort."
- Dringlichkeit/Angst: „Ihr Konto wird in 24 Stunden gesperrt."
- Soziale Bestätigung: „Alle Kollegen haben das Formular bereits ausgefüllt."
- Sympathie: Ein freundlicher Ton und Gemeinsamkeiten erzeugen Vertrauen.
- Reziprozität: Kleine Gefälligkeiten erzeugen das Gefühl, etwas zurückgeben zu müssen.
- Knappheit: „Nur noch heute können Sie Ihr Konto retten."
Phishing
Die häufigste Social-Engineering-Methode: massenhaft versendete E-Mails, die legitime Absender imitieren.
Typische Phishing-Merkmale
- Absender-Domain ähnelt der echten (
support@paypa1.comstattpaypal.com) - Grammatikfehler oder unnatürlich formeller/informeller Ton
- Links zu Look-alike-Domains
- Dringlichkeit: „Handeln Sie sofort"
- Anhänge mit Makros oder ausführbaren Dateien
Spear-Phishing
Gezielte Version mit recherchierten Details. Beispiel: Ein Angreifer findet auf LinkedIn, dass „Max Müller, Finanzvorstand bei TechCorp GmbH" an einem Projekt mit Lieferant X arbeitet. Er sendet eine E-Mail scheinbar von diesem Lieferanten mit einer gefälschten Rechnung.
Deutsche Beispiele: BSI-Berichte dokumentieren Spear-Phishing gegen Bundesbehörden, bei dem E-Mails von bekannten Ministerien imitiert wurden.
Vishing (Voice Phishing)
Telefon-basierte Manipulation, oft von Callcentern aus:
- Anrufer gibt sich als Microsoft-Support, Bankmitarbeiter oder IT-Abteilung aus
- Behauptet, ein Problem auf dem Computer des Opfers zu sehen
- Ziel: Fernzugriff-Software installieren oder Passwörter abfragen
Schutz: Rückruf über offizielle Nummern anbieten — legitime Unternehmen fordern nie unaufgefordert Passwörter am Telefon.
Pretexting
Der Angreifer erstellt eine glaubwürdige Hintergrundgeschichte (Pretext), um Informationen zu extrahieren:
- „Ich bin der neue IT-Administrator, ich brauche Zugang zum Server-Raum."
- „Ich führe eine Mitarbeiterumfrage durch — können Sie mir Ihre Login-E-Mail bestätigen?"
- Auftreten als Lieferant, Wartungstechniker oder externer Prüfer
Pretexting erfordert oft OSINT-Recherche vorab: LinkedIn-Profil der Zielperson, Unternehmensstruktur, aktuelle Projekte.
Baiting
Köder in Form von physischen oder digitalen Medien:
- USB-Sticks auf dem Parkplatz oder in der Kantine eines Unternehmens hinterlegen
- Infizierte Dateien als attraktiven Download tarnen („Gehaltsübersicht_2026.xlsx")
- Kostenlose Software-Downloads mit eingebetteter Malware
Bekannter Vorfall: Industriespionage durch manipulierte USB-Sticks — auch in deutschen Unternehmen dokumentiert.
Social Engineering im Penetrationstest
Als Pentester dürfen Social-Engineering-Tests nur mit explizitem schriftlichem Auftrag durchgeführt werden. Typische Aktivitäten:
Phishing-Simulation
# GoPhish (Open-Source-Framework für Phishing-Kampagnen)
# Erstellen einer Landing Page, Tracking von Klick-Raten
# Dokumentation: welche Abteilung, welche Rolle
Tools: GoPhish, Gophish-Templates, SET (Social Engineering Toolkit aus Kali Linux)
Physisches Social Engineering
Tailgating (Mitlaufen durch gesicherte Türen), als Reinigungskraft oder Techniker auftreten. Immer mit Genehmigung und in Begleitung eines internen Zeugen.
Gegenmaßnahmen für Unternehmen
Technische Maßnahmen
- DMARC/DKIM/SPF konfigurieren — verhindert E-Mail-Spoofing von der eigenen Domain
- MFA für alle kritischen Systeme
- Phishing-resistant MFA (FIDO2/Hardware-Keys statt SMS)
- E-Mail-Filter mit URL-Rewriting und Attachment-Scanning
Organisatorische Maßnahmen
- Security-Awareness-Trainings mindestens jährlich (BSI-Empfehlung)
- Simulierte Phishing-Kampagnen als Lernmaßnahme, nicht als Bestrafung
- Klare Richtlinien: Passwörter werden niemals telefonisch oder per E-Mail abgefragt
- Meldeprozess für verdächtige Kontakte — einfach und anonym
Die Pentevo Academy deckt Social Engineering als Teil des CEH-Lehrplans ab — mit praxisnahen Szenarien und Übungen zum Erkennen von Manipulationsversuchen.
Häufig gestellte Fragen
Was ist Social Engineering in der Cybersecurity?
Social Engineering bezeichnet Angriffstechniken, die menschliche Psychologie ausnutzen statt technische Schwachstellen. Der Angreifer manipuliert Menschen dazu, Passwörter preiszugeben, Malware zu installieren oder unbefugte Zugänge zu gewähren — oft wirksamer als technische Angriffe.
Was ist der Unterschied zwischen Phishing und Spear-Phishing?
Phishing ist massenhaft und ungezielt — Millionen identischer E-Mails. Spear-Phishing ist präzise auf eine Person oder Organisation zugeschnitten, mit echtem Namen, Unternehmen oder aktuellen Ereignissen, um Vertrauen zu erzeugen. Spear-Phishing ist deutlich gefährlicher und erfolgreicher.
Darf ich Social Engineering im Penetrationstest einsetzen?
Nur mit ausdrücklicher schriftlicher Genehmigung des Auftraggebers (Scope of Work). In Deutschland sind ungenehmigte Social-Engineering-Versuche strafrechtlich relevant (§263 StGB Betrug, §202a Ausspähen von Daten). Immer Scope und Regeln schriftlich festlegen.
Wie schützen sich Unternehmen vor Social Engineering?
Regelmäßige Security-Awareness-Schulungen, simulierte Phishing-Kampagnen, klare Verfahren für Passwortrücksetzungen (nie per Telefon), Multi-Faktor-Authentifizierung und eine Unternehmenskultur, in der das Melden verdächtiger Kontakte belohnt statt bestraft wird.
Weiterführende Artikel
Netzwerk Penetrationstest Guide 2026: Methodik, Tools und Vorgehen
Vollständige Anleitung für Netzwerk-Penetrationstests: Reconnaissance, Port-Scanning, Vulnerability Scanning, Exploitation und Reporting — mit Nmap, Metasploit, Nessus.
FundamentalsWas ist ein Penetrationstest? Ein Leitfaden für Einsteiger (2026)
Ein verständlicher Leitfaden zum Penetrationstest: was er ist, die fünf Phasen, die wichtigsten Arten und wie er sich vom Schwachstellenscan unterscheidet.
FundamentalsDie OWASP Top 10, einfach erklärt (2026)
Ein verständlicher Durchgang durch die OWASP Top 10 der Sicherheitsrisiken für Webanwendungen — was jede Kategorie bedeutet und wie Verteidiger sie entschärfen.
FundamentalsZero-Day-Schwachstellen erklärt (2026)
Was eine Zero-Day-Schwachstelle ist, warum sie so gefährlich ist, wie Zero-Day-Exploits eingesetzt werden und was Verteidiger gegen das Unbekannte tun können.
Praktisch anwenden
Die Pentevo Academy macht aus diesen Konzepten geführte Lektionen, Videos und Quizze — kostenlos.
Kostenlos lernen