Alte Maschen, neue Opfer: Warum klassisches Social Engineering weiter funktioniert

Warum funktionieren klassische Social-Engineering-Maschen bis heute?

In der Cybersicherheit sind viele der erfolgreichsten Betrugsmaschen keineswegs neu – sie sind Jahrzehnte alt.

Social Engineering setzt auf menschliches Verhalten, nicht auf Technik, und menschliche Gewohnheiten ändern sich kaum. Ob per E-Mail, Telefon oder SMS: Angreifende nutzen Vertrauen, Angst und Zeitdruck, um Menschen zu schnellen Handlungen zu verleiten.

Trotz moderner Schutzmaßnahmen wie Spamfiltern, Multi-Faktor-Authentifizierung und Awareness-Trainings entwickeln sich alte Techniken weiter und haben weiterhin Erfolg.

Im Folgenden finden Sie fünf klassische Social-Engineering-Maschen, die sich seit Jahren halten und bis heute Geld, Daten und Zugänge erbeuten.

1. Der Gutschein-Betrug im Namen des Chefs

Diese Masche stammt aus den Anfangstagen der geschäftlichen E-Mail und zählt bis heute zu den häufigsten Betrugsformen in Unternehmen.

Mitarbeitende erhalten eine dringende Nachricht, die scheinbar von einer Führungskraft stammt:

Hallo, ich brauche ein paar Apple-Gutscheine über je 100 $ für einen Kunden. Ich sitze in einem Meeting, schicken Sie mir bitte die Codes, sobald Sie sie gekauft haben.

Die Angreifenden fälschen oder imitieren die E-Mail-Adresse oder Telefonnummer der Führungskraft und setzen auf die Hilfsbereitschaft der Mitarbeitenden.

Sobald das Opfer die Codes verschickt, lösen die Betrügenden sie sofort ein, sodass keine nachverfolgbare Transaktion entsteht.

Warum es funktioniert: Die Masche nutzt Autorität und Zeitdruck: zwei starke psychologische Hebel, die Skepsis außer Kraft setzen.

2. Gefälschte Paket-SMS

SMS-Betrug ist so alt wie die SMS selbst. Eine typische Nachricht lautet:

Ihr Paket konnte nicht zugestellt werden. Bitte bestätigen Sie hier Ihre Adresse: [schädlicher Link].

Ein Klick auf den Link führt zu einer gefälschten Sendungsverfolgung, die Zugangsdaten abgreift oder Schadsoftware installiert. Der Boom des Onlinehandels hat diese Masche nur noch glaubwürdiger gemacht.

Warum es funktioniert: Menschen erhalten täglich echte Versandbenachrichtigungen und sind darauf konditioniert, schnell zu reagieren, wenn sie ein Paket erwarten. Drei bis fünf verschiedene Zustelldienste mit jeweils eigenen Kommunikationswegen und Abläufen machen die Sache noch unübersichtlicher: Das Opfer verliert den Überblick und übersieht mögliche Gefahren.

3. Der Anruf vom vermeintlichen technischen Support

Der Support-Betrug existiert seit über einem Jahrzehnt und zählt weiterhin zu den hartnäckigsten telefonischen Bedrohungen.

Angreifende geben sich als Mitarbeitende von Microsoft, Apple oder einem Internetanbieter aus und behaupten, Ihr Rechner sei infiziert. Der Kontakt beginnt entweder mit einem eingehenden Anruf, oder das Opfer ruft selbst an, nachdem es eine E-Mail mit der Telefonnummer erhalten hat.

Wir haben ein schwerwiegendes Problem mit Ihrem Gerät festgestellt. Bitte gewähren Sie uns Fernzugriff, damit wir es beheben können.

Sobald die Verbindung steht, können sie Schadsoftware installieren, Geld für nicht erbrachte Leistungen verlangen oder sensible Daten abgreifen.

Warum es funktioniert: Ein professioneller Ton und Fachjargon lassen den Betrug glaubwürdig wirken, während die Angst vor einem Hackerangriff zu schnellem Handeln drängt.

4. Gefälschte Zahlungsaufforderungen und Rechnungen

Betrug mit vorgetäuschter Identität, der auf Finanzabteilungen zielt, ist ein Dauerbrenner unter Cyberkriminellen.

Angreifende versenden eine überzeugende Rechnung oder Zahlungsaufforderung, die scheinbar von einem bekannten Lieferanten oder Partner stammt.

Bitte bestätigen Sie die Zahlung für diesen Monat, um eine Sperrung Ihres Kontos zu vermeiden.

Überweist das Opfer den Betrag oder öffnet einen schädlichen Anhang, profitieren die Angreifenden sofort.

Warum es funktioniert: Die Masche fügt sich nahtlos in den Geschäftsalltag ein und nutzt Routineprozesse aus, in denen das Vertrauen hoch und die Zeit knapp ist.

5. Phishing mit Passwort-Zurücksetzung

Dieser wohl älteste Trick der Digitalgeschichte spielt mit der verbreiteten Angst, den Zugang zum eigenen Konto zu verlieren.

Opfer erhalten eine E-Mail, die angeblich von Google, Microsoft oder einem anderen vertrauenswürdigen Dienst stammt:

Wir haben ungewöhnliche Aktivitäten festgestellt. Bitte setzen Sie Ihr Passwort umgehend zurück.

Der Link führt zu einer gefälschten Anmeldeseite, die Zugangsdaten abgreift, nämlich Ihr „altes“ und Ihr „neues“ Passwort.

Warum es funktioniert: Die Nachricht imitiert echte Sicherheitswarnungen und erzeugt Panik, sodass Opfer handeln, bevor sie die Echtheit prüfen.

Alte Maschen sterben nie

Auch wenn sich die Technik weiterentwickelt, bleibt die menschliche Psychologie dieselbe.

Betrügende brauchen keine hochmodernen Exploits, solange der schwächste Punkt jedes Systems der Mensch davor ist. Eine Nachricht, die dringend, autoritär oder hilfsbereit wirkt, setzt Logik und Training in Sekunden außer Kraft.

Klassische Techniken wie Phishing, Vishing und Smishing haben nicht deshalb Erfolg, weil sie besonders ausgefeilt wären, sondern weil sie vertraut sind: Sie gehen im Rauschen der täglichen Kommunikation unter.

Klassische Awareness-Trainings scheitern oft daran, dass die Teilnehmenden denken: Mir würde das nie passieren

Wir lernen am besten durch Erfahrung. Genau deshalb sind realistische Simulationen im Sicherheitstraining so wirksam: Sie lösen echte Reaktionen aus, helfen Menschen, reale Bedrohungen schneller zu erkennen, und senken die Wahrscheinlichkeit deutlich, dass sich derselbe Fehler wiederholt.

FAQ

Warum funktionieren jahrzehntealte Social-Engineering-Maschen immer noch?

Weil sie auf menschliches Verhalten zielen, nicht auf Technik – und Gewohnheiten ändern sich kaum. Nachrichten, die Vertrauen, Angst, Autorität oder Zeitdruck auslösen, setzen Logik und Training in Sekunden außer Kraft, egal wie modern die technischen Schutzmaßnahmen rund um das Postfach sind.

Was ist der Gutschein-Betrug im Namen des Chefs?

Mitarbeitende erhalten eine dringende Nachricht, die scheinbar von einer Führungskraft stammt und zum Kauf von Gutscheinen samt Weitergabe der Codes auffordert. Die Angreifenden fälschen die E-Mail-Adresse oder Telefonnummer des Chefs und setzen auf Autorität plus Zeitdruck; sobald die Codes verschickt sind, werden sie sofort eingelöst – ohne nachverfolgbare Transaktion.

Wie erkenne ich eine gefälschte Paket-SMS?

Seien Sie misstrauisch bei jeder SMS, die Sie auffordert, über einen Link „Ihre Adresse zu bestätigen“ oder eine Gebühr zu zahlen. Menschen sind darauf konditioniert, bei Paketmeldungen schnell zu reagieren, und mehrere parallele Zustelldienste machen Fälschungen leicht übersehbar – öffnen Sie daher immer die offizielle App oder Website des Zustellers statt den Link anzutippen.

Was tun, wenn der „technische Support“ wegen eines Problems mit meinem Rechner anruft?

Auflegen. Seriöse Anbieter wie Microsoft oder Apple rufen nicht unaufgefordert wegen Infektionen an, und kein echter Support-Prozess beginnt mit der Bitte um Fernzugriff. Wenn Sie unsicher sind, kontaktieren Sie den Anbieter selbst über die offiziellen Kanäle.

Warum scheitert klassisches Awareness-Training an diesen Maschen – und was wirkt besser?

Die meisten Trainings scheitern, weil Menschen glauben: „Mir würde das nie passieren.“ Erfahrung schlägt Theorie: Realistische Simulationen lösen echte Reaktionen aus, schärfen das Gespür für die Druckmuster und senken die Wahrscheinlichkeit deutlich, dass sich der Fehler im Ernstfall wiederholt.