Wie Angreifer Menschen steuern
Die psychologischen Hebel hinter Phishing, Anruf und Besuch an der Tür, und die eine Gewohnheit, die sie alle aushebelt.
Angreifer nutzen Gefühle statt Sicherheitslücken: Neugier, Angst, Zeitdruck, Autorität, Hilfsbereitschaft, Vertrauen. Am gefährlichsten ist der Sparmodus, wenn man nebenbei und automatisch klickt. Die Gegenregel: Ein starkes Gefühl ist das Warnsignal. Erst innehalten, dann handeln.
Kapitel A · Warum es auf Sie ankommt
Angriffe auf Menschen heißen Social Engineering: Jemand bringt Sie dazu, etwas zu tun, das Sie mit klarem Kopf nie tun würden. Das funktioniert per Mail, am Telefon, im Chat und auch an der Bürotür, denn die Hebel sind immer dieselben.
Die Hebel
- Zeitdruck: „bis 12 Uhr“, „sonst wird das Konto gesperrt“. Stress blockiert das kritische Denken.
- Autorität: Die Nachricht scheint von der Geschäftsführung, der Bank, der Polizei oder der IT zu kommen. Wer widerspricht schon dem Chef?
- Angst und Drohung: Mahnung, Strafe, Datenverlust, Abmahnung.
- Neugier: „Gehaltsliste 2026“, „Fotos von der Weihnachtsfeier“, eine unerwartete Paketbenachrichtigung.
- Hilfsbereitschaft: Ein freundlicher „Techniker“ braucht kurz Ihren Zugang, eine Kollegin aus der Filiale „hat ihr Passwort vergessen“.
- Vertrauen: Die Nachricht nennt echte Namen, echte Projekte, bezieht sich auf ein echtes Gespräch.
- Gier und Vorfreude: Gewinn, Rückerstattung, Gutschein.
Der gefährlichste Zustand: der Sparmodus
Es ist ein großer Unterschied, ob Sie in einer Schulung eine verdächtige Mail erwarten oder ob Sie am Montagmorgen zwischen zwei Telefonaten fünfzig Mails abarbeiten. Angreifer setzen genau auf diesen Automatismus: Sie verschicken bevorzugt kurz vor Feierabend, am Freitagnachmittag oder vor Feiertagen, wenn alle schnell fertig werden wollen.
Wenn eine Nachricht, ein Anruf oder eine Person an der Tür bei Ihnen ein starkes Gefühl auslöst, also Eile, Angst, Neugier oder den Wunsch zu helfen, dann ist genau das das Warnsignal. Halten Sie inne, bevor Sie handeln.
Die Vorbereitung sieht man nicht
Gute Angriffe sind vorbereitet. Aus Impressum, Karriereprofilen und Stellenanzeigen wissen Angreifer, wer Rechnungen freigibt, welche Software Sie nutzen und wer gerade im Urlaub ist. Mit KI-Werkzeugen ist aus diesen Bausteinen in Minuten eine glaubwürdige, fehlerfreie Nachricht geschrieben. Darauf kommen wir in Kapitel E zurück.
Eine Frage hilft fast immer: Weicht diese Bitte vom üblichen Weg ab? Eine Überweisung ohne Bestellung, ein Passwort am Telefon, ein Besucher ohne Anmeldung. Abweichung plus Druck ist das Muster fast jedes Angriffs.
Woran erkennen Sie einen Social-Engineering-Versuch am zuverlässigsten?
Mehrere Antworten können richtig sein.
Fehler in der Sprache sind kein verlässliches Merkmal mehr, und echte Namen sind leicht zu recherchieren. Was bleibt, ist das Muster: Druck, Gefühl und eine Abweichung vom gewohnten Weg.