Social Engineering: wie Täter Menschen manipulieren und wie du dich schützt

Wo Kriminelle wegen aktueller Software, Firewalls und Virenscannern nicht weiterkommen, versuchen sie laut BSI, die Menschen am Gerät dazu zu bringen, Schadsoftware zu installieren oder sensible Daten herauszugeben ^[1]. Diese Vorgehensweise heißt Social Engineering. Sie steckt hinter Phishing-Mails ebenso wie hinter falschen Polizisten oder Support-Anrufen. Alle Maschen kennen musst du laut Polizei nicht, denn mit einfachen Regeln lassen sich viele Betrugsversuche enttarnen ^[2].

Was Social Engineering ist

Das BSI beschreibt Social Engineering so: Menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität werden ausgenutzt, um Personen geschickt zu manipulieren ^[1]. Die Opfer sollen vertrauliche Informationen preisgeben, Sicherheitsfunktionen aushebeln, Überweisungen tätigen oder Schadsoftware auf dem privaten Gerät oder einem Firmenrechner installieren ^[1]. Neu ist das nicht. Social Engineering dient laut BSI seit jeher als Grundlage für die unterschiedlichsten Betrugsmaschen, digitale Kommunikation erlaubt es Kriminellen aber, Millionen möglicher Opfer zu erreichen ^[1].

Das zentrale Merkmal ist die Täuschung über Identität und Absicht des Täters ^[1]. Er gibt sich etwa als Techniker oder als Mitarbeiter eines bekannten Unternehmens oder eines Telekommunikationsanbieters aus. Typisch ist laut BSI auch, dass er vorgibt, die Sicherheit eines Systems oder einer Dienstleistung erhöhen zu wollen. Wer darauf hereinfällt, handelt laut BSI im guten Glauben, das Richtige zu tun ^[1].

Die Hebel der Täter

Die Beispiele von BSI und Polizei lassen sich nach den Gefühlen ordnen, die Täter ansprechen. Oft kommen mehrere davon in einer Masche zusammen.

Zeitdruck

Die Polizei schreibt, dass Betrüger ihre Opfer unter Druck setzen, schnell zu handeln, weil ihr Vorgehen sonst aufzufliegen droht. Shops und Marktplätze setzen Systeme zur Betrugserkennung ein, den Tätern bleibt deshalb wenig Zeit ^[2]. Typische Sätze sind "Sofort handeln!" oder "Ihr Konto wird gesperrt!" ^[3]. Laut BSI gehören dringender Handlungsbedarf und Drohungen wie eine Kontosperrung zu den Merkmalen, bei denen es sich mit hoher Wahrscheinlichkeit um Phishing handelt ^[9].

Autorität

Täter treten als Bank, Behörde, Polizei oder Vorgesetzte auf. Falsche Polizisten behaupten am Telefon zum Beispiel, Geld und Wertsachen seien zu Hause oder auf der Bank nicht mehr sicher, und lassen sie von einem angeblichen Kollegen abholen ^[5]. Dabei nutzen sie eine Technik namens Call ID Spoofing, mit der auf dem Telefon eine vorgetäuschte Nummer erscheint, etwa aus deinem Vorwahlbereich ^[5]. Beim CEO-Fraud bringen Täter Beschäftigte mit Zahlungsbefugnis dazu, vermeintlich im Auftrag der Geschäftsführung hohe Beträge zu überweisen ^[1].

Vertrauen und Hilfsbereitschaft

Bei der Masche "Hallo Mama, hallo Papa, das ist meine neue Handynummer" geben sich Betrüger per SMS oder Messenger als Kinder oder andere Angehörige aus und bitten um eine schnelle Überweisung ^[4]. Mit KI lassen sich inzwischen täuschend echte Stimmen und Videos erzeugen, mit denen Täter Verwandte, Kolleginnen oder Vorgesetzte nachahmen ^[7]. Das klassische Beispiel des BSI ist der angebliche Systemadministrator, der anruft und für die Behebung eines Fehlers das Passwort braucht ^[1].

Die Polizei geht beim Messenger-Betrug von einer deutlich höheren Dunkelziffer aus. Die Täter fordern meist Summen zwischen 1.000 und 3.000 Euro, die offenbar vielfach schnell digital überwiesen werden ^[4].

Angst und Gewinnaussicht

Angst erzeugen Warnungen vor Viren, gehackten Konten oder verdächtigen Abbuchungen. Falsche Support-Mitarbeiter behaupten am Telefon, der Rechner sei von Viren befallen, und wollen eine Fernwartungssoftware installieren lassen ^[6]. Das Gegenstück ist die Gewinnaussicht: Laut BSI arbeiten Kriminelle im Internet wie Trickbetrüger an der Haustür mit vorgetäuschten persönlichen Beziehungen oder Gewinnversprechen ^[1].

Woher Täter ihr Wissen haben

Je mehr ein Täter über dich weiß, desto glaubwürdiger wirkt er. Soziale Netzwerke bieten laut BSI eine einfache Möglichkeit, vor einem Angriff Hintergrundinformationen über Personen zu sammeln und zu verknüpfen ^[1]. Mit Verweisen auf Hobbys, Freunde oder Kollegen fällt es dem Täter leichter, eine vertrauliche Beziehung aufzubauen ^[1]. Beim Spear Phishing werden Mails nach einer Recherche gezielt auf kleine Gruppen oder einzelne Personen zugeschnitten, was die Trefferquote laut BSI deutlich erhöht ^[1]. Manchmal läuft der Kontakt auch indirekt über Freunde des eigentlichen Opfers ^[1].

Die Polizei rät, das Profilbild im Messenger nur für gespeicherte Kontakte sichtbar zu machen. Sonst können Betrüger, die deine Nummer haben, am Bild etwa dein Alter abschätzen und prüfen, ob du ein geeignetes Opfer bist ^[4].

Typische Maschen im Überblick

Beim falschen Bankmitarbeiter zeigt sich besonders deutlich, wie Social Engineering technische Sicherungen umgeht. Der Anrufer warnt vor einer verdächtigen Abbuchung und bittet um den gerade per SMS eingetroffenen Code, angeblich zum Stoppen der Zahlung. Mit genau diesem Code schaltet er deine Karte auf seinem Handy für das mobile Bezahlen frei ^[8]. Mehr zu den einzelnen Maschen findest du unter Phishing-Mails erkennen, Falsche Polizisten am Telefon und Betrug mit KI-Stimmen und Deepfakes.

Wie Täter ihre Opfer Schritt für Schritt binden

Social Engineering endet selten mit einer einzigen Bitte. Beim falschen Support verlangen die Täter laut Polizei zuerst eine Gebühr für die angebliche Hilfe, dann Geld für eine abgelaufene Lizenz oder einen Wartungsvertrag. Weigert sich das Opfer, drohen sie mit der Sperre des Rechners und dem Verlust der Daten ^[6]. Manchmal behaupten sie, eine Zahlung sei fehlgeschlagen, und verlangen eine zweite. Andere Opfer sollen im Supermarkt oder an der Tankstelle Gutscheincodes kaufen oder "Testüberweisungen" machen, um angeblich Hacker zu fangen ^[6].

Auch ein Brief kann der erste Schritt sein. Die Polizei beschreibt Schreiben, die mit QR-Codes auf gefälschte Websites locken oder dich auffordern, deine Identität bei der Post zu bestätigen. Damit bereiten Täter einen Identitätsdiebstahl vor, etwa ein Konto oder einen Kredit auf deinen Namen. Damit du nicht stutzig wirst, behaupten sie manchmal, du sollst den Vorgang im Auftrag der Bank nur "testen" ^[3].

So schützt du dich

Das BSI hält es für schwer, sich zuverlässig zu schützen, weil Täter tief sitzende menschliche Bedürfnisse ausnutzen, etwa den Wunsch, schnell und unbürokratisch zu helfen ^[1]. Um das Risiko zu mindern, empfiehlt es Grundregeln ^[1].

• Teile Passwörter, Zugangsdaten oder Kontoinformationen nie per Telefon oder E-Mail. Banken und seriöse Firmen fordern das laut BSI nie auf diesem Weg an ^[1].
• Prüf eine Nachricht, die eine Reaktion verlangt, durch einen Anruf beim Absender ^[1]. Nutze dafür eine Nummer, die du schon kennst oder selbst heraussuchst ^{[4, 5]}.
• Klick nicht auf Links in Nachrichten, die du nicht angefordert hast, und ruf die Website lieber direkt im Browser auf ^[3].
• Überleg, was du in sozialen Netzwerken über dich und deinen Arbeitgeber preisgibst ^[1].
• Gewähre einem unbekannten Anrufer niemals Fernzugriff auf deinen Rechner ^[6].
• Vereinbare in der Familie ein Codewort für echte Notfälle und stell im Zweifel eine persönliche Frage, die nur die echte Person beantworten kann ^[7].

Die Polizei fasst ihren Rat in der SHS-Regel zusammen: Stoppen, Hinterfragen, Schützen. Nimm dir Zeit, bevor du Informationen oder Geld sendest. Versetz dich in die Rolle des Gegenübers und frag dich, warum es so handelt. Sprich mit Freunden oder Familie, wenn du ein ungutes Gefühl hast ^[2]. Viele Betroffene berichten laut Polizei hinterher, dass sie von Anfang an ein ungutes Gefühl hatten ^[2]. Eine Übersicht weiterer Warnzeichen steht unter Betrug erkennen: die typischen Warnzeichen.

Social Engineering im Unternehmen

In Firmen zielen Täter auf Beschäftigte mit Zugriff auf Konten, Daten oder Systeme. Zugangsdaten oder eingeschleuste Schadsoftware können laut BSI im schlimmsten Fall als Einfallstor in ein sonst gut geschütztes Firmennetz dienen ^[1]. Die Polizei empfiehlt gegen Deepfake-Anrufe interne Sicherheitscodes oder Rückrufregeln und die Sensibilisierung der Mitarbeitenden ^[7]. Wie CEO-Fraud abläuft, beschreibt CEO-Fraud und Business E-Mail Compromise, Hinweise zur Schulung gibt Beschäftigte für Betrug sensibilisieren. Wie Firmen ihre Absenderadressen technisch gegen Fälschung absichern, erklärt SPF, DKIM und DMARC im Zusammenspiel.

Wenn du hereingefallen bist

Hast du auf einer gefälschten Seite Daten eingegeben, ändere sofort dein Passwort und nimm Kontakt mit der Bank oder dem Betreiber der echten Website auf ^[3]. Hat ein falscher Support-Mitarbeiter Zugriff auf deinen Rechner bekommen, trenn ihn vom Internet, fahr ihn herunter und ändere betroffene Passwörter über ein anderes, nicht infiziertes Gerät ^[6]. Hast du Geld überwiesen, sichere den Chatverlauf, zum Beispiel per Screenshot, und erstatte Anzeige ^[4]. Die Polizei rät, sich keine Mitschuld zu geben: Wer betrogen wurde, ist Opfer eines Betrugs ^[4]. Die Schritte der Reihe nach zeigt der Notfallplan nach Betrug.

1. Behörde Social Engineering: der Mensch als Schwachstelle. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
2. Behörde Stoppen, Hinterfragen, Schützen: die SHS-Regel. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
3. Behörde Online-Betrug: Phishing. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
4. Behörde Messenger-Betrug. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
5. Behörde Betrug durch falsche Polizisten. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
6. Behörde Falsche Microsoft-Mitarbeiter am Telefon. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
7. Behörde Online-Betrug: Deepfake-Betrug. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
8. Behörde Online-Betrug: Betrug beim mobilen Bezahlen. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
9. Behörde Wie erkenne ich Phishing-E-Mails und -Webseiten?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.