25 Warnsignale für Social Engineering

Sie werden ohne erkennbaren Anlass kontaktiert - per E-Mail, Telefon, SMS oder Messenger. Sie haben nichts angefordert, nichts bestellt und keinen Kontakt initiiert. Im Unterschied zu Warnsignal 23 geht es hier um den Kontakt selbst, nicht um den Inhalt.

Beispiel: Eine angebliche Bank ruft an und behauptet, es gebe ein Problem mit Ihrem Konto - obwohl Sie dort gar kein Konto haben.

Was tun: Fragen Sie sich: Erwarte ich diese Nachricht? Wenn nein, prüfen Sie den Absender über einen unabhängigen Kanal.

Die Nachricht drängt auf sofortiges Handeln: „Innerhalb von 24 Stunden", „letzte Warnung", „jetzt sofort reagieren". Der Zeitdruck soll verhindern, dass Sie in Ruhe nachdenken. Während hier die Eile im Vordergrund steht, setzt Warnsignal 3 zusätzlich auf konkrete Drohungen.

Beispiel: „Ihr Konto wird in 2 Stunden gesperrt, wenn Sie nicht sofort Ihre Daten bestätigen."

Was tun: Lassen Sie sich nicht unter Druck setzen. Seriöse Anbieter geben immer genug Zeit für eine ruhige Prüfung.

Ihnen werden negative Konsequenzen angedroht, wenn Sie nicht sofort handeln - Kontosperrung, Strafanzeige, Gebühren oder Datenverlust. Im Unterschied zu reinem Zeitdruck (Warnsignal 2) wird hier gezielt mit konkreten Strafen oder Verlusten gedroht.

Beispiel: „Wenn Sie nicht innerhalb von 48 Stunden reagieren, wird Ihr Konto unwiderruflich gelöscht."

Was tun: Seriöse Unternehmen und Behörden drohen nicht per E-Mail oder SMS mit sofortigen Konsequenzen. Prüfen Sie die Nachricht unabhängig.

Sie werden gebeten, mit niemandem über die Nachricht, die Transaktion oder den Vorgang zu sprechen. Diese Bitte soll verhindern, dass Sie sich Rat holen.

Beispiel: „Bitte behandeln Sie diesen Vorgang streng vertraulich und informieren Sie keine Kollegen."

Was tun: Kein seriöser Absender verlangt Geheimhaltung gegenüber Vertrauenspersonen oder der IT-Abteilung. Sprechen Sie mit jemandem darüber.

Sie werden aufgefordert, Zugangsdaten einzugeben, weiterzugeben oder eine Sicherheitsbestätigung durchzuführen. Kein seriöser Dienst fragt aktiv nach diesen Daten.

Beispiel: Eine angebliche IT-Abteilung bittet Sie per E-Mail, Ihr Passwort „zur Überprüfung" auf einer verlinkten Seite einzugeben.

Was tun: Geben Sie niemals Passwörter, PINs oder TANs auf Anfrage weiter - weder per E-Mail, Telefon noch über einen Link in einer Nachricht.

Sie sollen kurzfristig eine Zahlung ausführen, eine Rechnung freigeben oder eine Überweisung bestätigen - oft mit dem Hinweis auf besondere Dringlichkeit.

Beispiel: „Der Geschäftsführer braucht diese Überweisung noch heute - bitte sofort ausführen, ohne Rückfrage."

Was tun: Prüfen Sie Zahlungsaufforderungen immer über den regulären Freigabeprozess. Rufen Sie die Person über eine bekannte Nummer zurück.

Der angezeigte Name wirkt vertraut, aber die tatsächliche E-Mail-Adresse enthält Tippfehler, ungewöhnliche Domains oder Zahlen. Auch SMS-Absenderkennungen können gefälscht werden.

Beispiel: Der Absendername zeigt „Deutsche Post", aber die Adresse lautet info@deutsche-post-service24.com.

Was tun: Prüfen Sie immer die vollständige Absenderadresse - nicht nur den angezeigten Namen.

Der Link in der Nachricht führt zu einer anderen Domain als der angebliche Absender. Das tatsächliche Ziel erkennen Sie, indem Sie mit der Maus darüberfahren, ohne zu klicken.

Beispiel: Eine angebliche Nachricht von PayPal enthält einen Link zu paypal-sicherheit-update.com statt zu paypal.com.

Was tun: Fahren Sie mit der Maus über Links, ohne zu klicken. Wenn das Ziel nicht zur offiziellen Domain passt, klicken Sie nicht.

Ein QR-Code wird Ihnen per E-Mail, SMS, auf einem Aushang oder in einer unerwarteten Nachricht präsentiert. QR-Codes können auf beliebige Webseiten führen - auch auf gefälschte Login-Seiten.

Beispiel: Ein Aufkleber an einem Parkautomaten leitet auf eine gefälschte Bezahlseite weiter.

Was tun: Scannen Sie QR-Codes nur aus vertrauenswürdigen Quellen. Prüfen Sie nach dem Scannen die angezeigte URL, bevor Sie Daten eingeben. Mehr zu Quishing.

Die Nachricht enthält einen Anhang, den Sie nicht erwartet haben - besonders kritisch bei Dateitypen wie .exe, .zip, .js, .iso oder Office-Dateien mit Makros.

Beispiel: Eine angebliche Bewerbung enthält eine .exe-Datei statt eines PDF-Dokuments.

Was tun: Öffnen Sie keine Anhänge aus unerwarteten Nachrichten. Im Zweifelsfall: Fragen Sie beim Absender über einen separaten Kanal nach.

Sie werden aufgefordert, ein Programm, eine App oder ein Update zu installieren, das nicht aus dem offiziellen App Store oder von der Herstellerseite stammt.

Beispiel: Ein angeblicher IT-Support bittet Sie, ein „Sicherheitstool" von einer unbekannten Webseite herunterzuladen.

Was tun: Installieren Sie Software nur aus offiziellen Quellen. Fragen Sie im Unternehmen Ihre IT-Abteilung.

Jemand möchte per Fernwartungssoftware auf Ihren Computer zugreifen - etwa TeamViewer, AnyDesk oder eine ähnliche Lösung. Häufig geschieht das im Rahmen angeblicher Support-Anrufe.

Beispiel: Ein Anrufer gibt sich als Microsoft-Mitarbeiter aus und bittet Sie, AnyDesk zu installieren, damit er ein angebliches Problem beheben kann.

Was tun: Erlauben Sie niemals Fernzugriff auf Anfrage von Unbekannten. Seriöse Unternehmen fordern das nicht unaufgefordert. Mehr zu Fake Tech Support.

Die Nachricht appelliert gezielt an Angst, Mitleid, Hilfsbereitschaft, Neugier oder Scham. Emotionale Reaktionen sollen Ihr rationales Denken umgehen.

Beispiel: „Ein Kollege braucht dringend Ihre Hilfe - bitte überweisen Sie sofort diesen Betrag."

Was tun: Wenn eine Nachricht starke Emotionen auslöst, ist das ein Grund, besonders vorsichtig zu sein. Nehmen Sie sich bewusst einen Moment Zeit.

Die Nachricht klingt anders als gewohnt - unpassende Formulierungen, ein unüblicher Ton oder stilistische Brüche. Auch KI-generierte Texte können subtile Unstimmigkeiten enthalten.

Beispiel: Eine E-Mail vom angeblichen Vorgesetzten verwendet plötzlich eine formelle Anrede, obwohl Sie sich normalerweise duzen.

Was tun: Achten Sie auf Abweichungen vom gewohnten Kommunikationsstil. Bei Unsicherheit: Fragen Sie über einen anderen Kanal nach.

Die Nachricht verwendet eine generische Anrede wie „Sehr geehrter Kunde" statt Ihres Namens. Bei gezielten Angriffen kann allerdings auch Ihr richtiger Name verwendet werden.

Beispiel: Eine angebliche Nachricht Ihrer Bank beginnt mit „Lieber Nutzer" statt mit Ihrem vollständigen Namen.

Was tun: Generische Anreden sind ein Hinweis auf Massenversand. Aber auch eine korrekte Anrede ist keine Garantie für Echtheit.

Eine bekannte Person kontaktiert Sie plötzlich über einen unüblichen Kanal - etwa der Chef per privater WhatsApp statt per Firmen-E-Mail. Hier geht es um den ersten Kontaktweg, während Warnsignal 17 den Wechsel mitten in einer laufenden Kommunikation beschreibt.

Beispiel: Sie erhalten eine SMS von einer unbekannten Nummer mit der Nachricht „Hallo Mama, ich habe eine neue Nummer."

Was tun: Kontaktieren Sie die Person über den gewohnten Kanal, um die Nachricht zu verifizieren.

Der Kontakt begann per E-Mail, aber Sie sollen plötzlich auf WhatsApp, Telegram oder eine andere Plattform wechseln. Der Kanalwechsel dient oft dazu, Sicherheitsfilter zu umgehen. Im Unterschied zu Warnsignal 16 geht es hier nicht um den ersten Kontaktweg, sondern um einen gezielten Wechsel während der Kommunikation.

Beispiel: Ein angeblicher Geschäftspartner schreibt per E-Mail und bittet dann, Details „schneller" über Telegram zu klären.

Was tun: Seriöse Geschäftskontakte bleiben in der Regel auf etablierten Kanälen. Ein unerwarteter Wechsel sollte Sie vorsichtig machen.

Sie sollen eine Ausnahme machen, den üblichen Freigabeprozess überspringen oder „diesmal schnell und direkt" handeln, ohne die regulären Schritte einzuhalten.

Beispiel: „Bitte überweisen Sie direkt - wir können das Vier-Augen-Prinzip diesmal ausnahmsweise weglassen."

Was tun: Halten Sie sich an etablierte Prozesse. Ausnahmen auf Druck sind ein typisches Muster bei Social Engineering.

Der Absender gibt sich als Vorgesetzter, Polizist, Richter, Bankmitarbeiter oder IT-Administrator aus und erwartet sofortige Kooperation ohne Rückfragen. Der Name, das Logo oder die Rolle wirken vertraut - aber die verlangte Handlung passt nicht zum normalen Ablauf. Genau diese Kombination ist besonders typisch für Social Engineering.

Beispiel: Ein angeblicher Geschäftsführer fordert per E-Mail eine dringende Überweisung und verweist auf seine Autorität.

Was tun: Autorität allein ist kein Grund, normale Prüfschritte zu überspringen. Verifizieren Sie die Identität über einen separaten Kanal. Mehr zu CEO-Fraud.

Sie erhalten Sicherheitsmeldungen über verdächtige Aktivitäten, neue Anmeldungen oder Kontoänderungen - mit der Aufforderung, sofort über einen Link zu reagieren.

Beispiel: „Ungewöhnliche Anmeldung erkannt - klicken Sie hier, um Ihr Konto zu sichern."

Was tun: Öffnen Sie Ihr Konto immer direkt über die offizielle Website oder App - nicht über Links in E-Mails oder SMS.

Sie erhalten eine Bestätigungsanfrage für eine Anmeldung, die Sie nicht selbst ausgelöst haben. Das kann bedeuten, dass jemand Ihre Zugangsdaten bereits kennt und versucht, sich anzumelden.

Beispiel: Ihr Authenticator zeigt eine Anmeldeanfrage, obwohl Sie sich gerade nirgendwo einloggen.

Was tun: Bestätigen Sie niemals eine MFA-Anfrage, die Sie nicht selbst ausgelöst haben. Ändern Sie sofort Ihr Passwort.

Sie werden aufgefordert, einer App oder einem Dienst Zugriff auf Ihr Konto zu gewähren - etwa auf E-Mails, Kontakte, Dateien oder Kalenderdaten.

Beispiel: Eine angebliche Unternehmens-App bittet um vollen Zugriff auf Ihr Microsoft-365-Postfach.

Was tun: Gewähren Sie Berechtigungen nur für Apps, die Sie kennen und die Ihre IT-Abteilung freigegeben hat.

Die Nachricht bezieht sich auf einen Vorgang, den Sie nicht kennen, ein Konto, das Sie nicht haben, oder eine Bestellung, die Sie nicht aufgegeben haben. Während Warnsignal 1 den unerwarteten Kontakt an sich betrifft, geht es hier um den inhaltlichen Bezug der Nachricht.

Beispiel: Sie erhalten eine Paketbenachrichtigung, obwohl Sie nichts bestellt haben.

Was tun: Wenn der Kontext nicht zu Ihrer Situation passt, ist die Wahrscheinlichkeit hoch, dass es sich um einen Angriffsversuch handelt.

Unerwartete Gewinne, außergewöhnliche Angebote, überraschende Erbschaften oder exklusive Einladungen - wenn es zu gut klingt, um wahr zu sein, ist es fast immer ein Betrugsversuch.

Beispiel: „Herzlichen Glückwunsch! Sie haben einen Gutschein über 500 Euro gewonnen - klicken Sie hier."

Was tun: Seriöse Gewinne und Angebote kommen nicht per Zufalls-E-Mail. Ignorieren Sie solche Nachrichten.

Die Nachricht wirkt auf den ersten Blick normal - aber irgendetwas stimmt nicht ganz. Ein Detail passt nicht, der Ton ist leicht daneben, oder die Situation ergibt bei genauerem Hinsehen keinen Sinn.

Beispiel: Ein Kollege bittet Sie per E-Mail um eine Information, aber verwendet einen ungewöhnlichen Schreibstil und eine andere E-Mail-Adresse.

Was tun: Vertrauen Sie Ihrem Bauchgefühl. Wenn sich etwas nicht richtig anfühlt, nehmen Sie sich Zeit und prüfen Sie unabhängig.