Social Engineering
Es war einmal, dass nur leichtgläubige Menschen auf Betrügereien und Phishing-Angriffe hereinfielen. Inzwischen kann wirklich jeder zum Opfer werden. Cyberkriminelle wollen Erfolg haben, deshalb verbringen sie Jahre damit, ihre Taktiken zu verfeinern, und verlassen sich auf ausgeklügelte psychologische Manipulationsmethoden, die oft schwer zu erkennen sind. In Cybersicherheitskreisen haben diese psychologischen Tricks sogar einen eigenen Namen: Social Engineering.
In diesem Artikel erklären wir, mit welchen psychologischen Tricks Betrüger ihre Opfer täuschen, welche Warnsignale es gibt und was zu tun ist, wenn die Falle schon zugeschnappt ist.
Emotionen als Waffen der Betrüger
Social Engineering funktioniert nur, weil es unsere tiefsten Emotionen auslöst. Ein Opfer, das nervös, verängstigt oder vom Eifer gepackt ist, trifft Entscheidungen innerhalb von Sekundenbruchteilen, ohne über die Folgen nachzudenken. Und genau darauf verlassen sich die Hacker.
Stressige Momente, in denen man mit jemandem telefoniert oder chattet und mit Forderungen konfrontiert wird. Wer kennt das nicht? In solchen Augenblicken solltest du für einige Sekunden innehalten und dich fragen: „Wie fühle ich mich gerade? Was habe ich gerade gefühlt? Versucht jemand, meinen emotionalen Zustand auszunutzen?“
Diese Gefühle manipulieren Betrüger am häufigsten:
- Angst und Sorge
- Aufregung
- Scham und Schuldgefühle
- Überraschung und Schock
Mit wem hast du es tatsächlich zu tun?
Bevor du nach Warnsignalen suchst, überprüfe erst einmal, mit wem du eigentlich sprichst. Beispiel: Ein Anrufer stellt sich als „Bankmitarbeiter“ vor. Dann solltest du die offizielle Telefonnummer und E-Mail-Adresse der Bank im Internet suchen. Rufe zurück oder schreibe an eine verifizierte Adresse. Geh auf Nummer sicher!
Besondere Vorsicht gilt, wenn dich jemand über eine Messaging-App oder über Social Media kontaktiert. Große Unternehmen tun dies gewöhnlich nicht.
Eindeutige Hinweise, dass du es mit Betrügern zu tun hast
Emotionale Achterbahnfahrt
Angenommen, du erhältst eine E-Mail vom „Support-Team“ eines Streamingdienstes, bei dem du ein Abo hast. In der Nachricht wird behauptet, dass eben jemand versucht hat, sich aus einem anderen Land bei deinem Konto anzumelden – leichte Panik ergreift dich. Die Beruhigungstablette ist aber schon da: „Keine Sorge, wir haben den verdächtigen Anmeldeversuch gerade noch rechtzeitig blockiert. Ihr Konto ist sicher.“
Die Betrüger sind aber noch nicht fertig mit dir. Der nächste Absatz versetzt dich erneut in Schrecken: „Bei einer Sicherheitsprüfung haben wir leider festgestellt, dass Ihre Zahlungsdaten möglicherweise kompromittiert wurden.“ Und schon kommt ein Rettungsring geflogen: „Gerne helfen wir Ihnen, das Problem sofort zu beheben. Klicken Sie einfach auf diesen Link, um Ihre Identität zu bestätigen.“
Während du diese „dringende Nachricht“ liest, wirst du mehrmals zwischen Panik und Erleichterung hin- und hergerissen. Diese emotionale Achterbahnfahrt soll dich aus dem Gleichgewicht bringen, damit du nicht mehr kritisch denken kannst und einfach nur reagierst. Wenn der Betrüger schließlich eine vermeintliche Lösung vorschlägt, ist es längst um dein Urteilsvermögen geschehen.
Dein Gegenüber weiß zu viel über dich
Betrüger überhäufen dich oft absichtlich mit persönlichen Daten über dich. Dies soll den Anschein erwecken, dass sie genau wissen, wovon sie sprechen und legitimen Zugriff auf deine sensiblen Daten haben.
Aber nur weil ein Gesprächspartner Details über deine Identität, Finanzen oder Verträge kennt, heißt das noch lange nicht, dass er kein Betrüger ist. Aufgrund endloser Datenschutzverletzungen gibt es inzwischen über fast jeden von uns umfangreiche digitale Dossiers. Für einen Hacker ist es kein Problem, herauszufinden, wie viel du im letzten Jahr für Lebensmittellieferungen ausgegeben hast, wie dein Mobilfunkanbieter heißt oder welche E-Mail-Adresse mit deinem Bankkonto verknüpft ist.
Man will dir Angst machen – auch mit Drohungen und Erpressung
Der einfachste Weg, jemanden aus der Fassung zu bringen, besteht darin, ihm Angst zu einzujagen oder seine Furcht zu verstärken. Angebote, die zu schön sind, um wahr zu sein, verlieren irgendwann ihre Wirkung. Dann greifen Cyberkriminelle zur Panikmache: „Ihr Konto wurde kompromittiert“, „Sie werden der Steuerhinterziehung angeklagt, es sei denn, Sie nennen uns die Seed-Phrase Ihres Krypto-Wallets“, „Wenn Sie uns nicht sofort anrufen, verlieren Sie den Zugriff auf unsere Dienste“ oder „Ihr Name taucht in einem Register für Sexualstraftäter auf. Kontaktieren Sie uns, um das Problem zu lösen, andernfalls erstatten wir Anzeige und geben Ihre Identität an die Medien weiter.“ Die Liste ist endlos.
Manchmal klingen diese Nachrichten ganz sachlich und ahmen eine Support-E-Mail nach. Wenn der Ton jedoch zu dramatisch ist und du dich in die Enge getrieben fühlst, liegt die Wahrscheinlichkeit, dass Betrüger am Werk sind, bei 99,9 %. Und wenn du unter Drohungen dazu aufgefordert wirst, etwas zu tun (beispielsweise Geld auf ein Konto zu überweisen oder vertrauliche Daten preiszugeben), kannst du bedenkenlos auf 100 % aufrunden.
Mehr über erpresserische Methoden erfährst du in unserem Beitrag E-Mail-Betrug mit Drohungen und Erpressung.
Eine „extrem wichtige Person“ schreibt dir
Um die Unruhe zu steigern, unterzeichnen Betrüger ihre Nachrichten oft mit den Namen hochrangiger Beamter. Sollte dies der Fall sein, atme erstmal tief durch und frage dich: Würde der Leiter des Finanzamts oder der Dienststellenleiter der örtlichen Polizei dich wirklich persönlich anrufen oder dir schreiben? Hochrangige Beamte und Ermittler haben normalerweise Wichtigeres zu tun. Wenn du eine Nachricht vom Generalstaatsanwalt erhältst und eines ungeheuerlichen Verbrechens beschuldigt wirst, ist der Bluff leicht zu durchschauen.
Angebote, die zu schön sind, um wahr zu sein
Sei misstrauisch bei zufälliger Großzügigkeit oder Geschenken, die wie aus dem Nichts auftauchen. Hier sind nur einige Beispiele dafür, was passieren kann:
- Du erhältst völlig unerwartet ein Paket, auf dem ein QR-Code aufgedruckt ist. Diesen Code sollst du scannen, um herauszufinden, von wem das Paket stammt, um einen kostenlosen Gutschein zu erhalten oder um den Empfang zu bestätigen, damit du keine Versandkosten bezahlen musst. Dreimal darfst Du raten: Der QR-Code führt zu einer Phishing-Website. Dort haben die Betrüger leichtes Spiel: Sie können dich zur Herausgabe deiner Kartendaten verleiten, dich auffordern, eine App (die Malware enthält) herunterzuladen, oder dich dazu bringen, einen Bestätigungscode aus deiner Banking-App zu nennen.
- „Hallo! Hier ist das Versandzentrum. Für Sie ist ein Paket (oder ein Blumenstrauß) unterwegs. Würden Sie mir bitte den Bestätigungscode aus der SMS sagen, die wir gerade geschickt haben? Dann bekommen Sie eine Prämie.“ Ein Überraschungsgeschenk ist immer willkommen. Aber in der Aufregung wird man schnell unvorsichtig und macht versehentlich den Betrügern ein Geschenk – beispielsweise den Zugriffscode für das Konto bei einer Behörde.
- Das ist die Chance! Alle möglichen Prominenten kündigen ein kostenloses NFT-Gewinnspiel an, mit dem man ein Vermögen verdienen kann. Um das neue Krypto-Asset zu erhalten, musst du nur eine Mini-App starten, deine Daten eingeben und … hoppla, schon ist dein Telegram-Konto weg. Zugegeben, im Nachhinein wirken die Promi-Profile, die für das Gewinnspiel werben, ein wenig sonderbar …
Du wirst unter Zeitdruck gesetzt und von der Außenwelt isoliert
„Legen Sie nicht auf! Das ist die letzte Chance, Ihr Konto wiederherzustellen“, „Wenn Sie diese E-Mail nicht innerhalb von acht Stunden beantworten, leiten wir ein Strafverfahren gegen Sie ein“, „Sie müssen sofort zu Ihrer Bank gehen, um Ihre restlichen Ersparnisse zu retten und auf ein sicheres Konto einzuzahlen.“ Wenn solche oder ähnliche Sätze fallen und dich unter Druck setzen wollen, musst du auf die Bremse treten. Die Betrüger versuchen, dir Angst einzujagen und ein falsches Gefühl der Dringlichkeit zu erzeugen.
Die Taktik ist uralt. Stell dir vor, ein Betrüger, der sich als Bankangestellter oder Beamter des Finanzministeriums ausgibt, behauptet am Telefon, deine Bankkonten seien gehackt worden. Du wirst aufgefordert, eine Geheimhaltungsvereinbarung zu unterzeichnen (angeblich, um dein Geld zurückzubekommen). Außerdem wird mit rechtlichen Schritten gedroht, falls du jemandem davon erzählst. Kein Wort, auch nicht zu deinen engsten Familienmitgliedern. Der Anrufer betont: Die Angelegenheit ist „sehr ernst“, erfordert sofortiges Handeln und muss aufgrund der Zusammenarbeit mit staatlichen Behörden „streng geheim bleiben“.
Moment mal: Legitime Unternehmensvertreter oder Beamte würden dich nicht dazu auffordern, etwas zu verheimlichen – es sei denn, du hast tatsächlich eine Geheimhaltungsvereinbarung des Unternehmens unterzeichnet oder arbeitest mit sensiblen Behördendaten. Betrüger isolieren ihre Opfer bewusst von jeglicher Unterstützung, Stimmen der Vernunft oder externen Meinungen. Und sie errichten nicht nur eine Sperre vor anderen Menschen, sondern sperren dich vollständig von Informationen ab. Sie halten dich absichtlich am Telefon oder überhäufen dich mit emotional aufgeladenen Texten, damit du keine Sekunde zum Durchatmen hast, geschweige denn etwas im Internet nachschauen kannst.
In einem Zustand großer Angst fällt man unglaublich leicht auf solche Manipulationen herein und trifft leichtsinnige Entscheidungen. Dabei ist das Opfer überzeugt, dass es nur versucht, ein Problem zu lösen. Deshalb: Keine Angst, hol dir Hilfe! Es kann nie schaden, eine zweite Meinung einzuholen.
Du wirst beschuldigt
Stell dir vor, du wirst benachrichtigt, dass dein Konto kompromittiert wurde, und sollst dich an den Support wenden. Doch während der „Supportmitarbeiter“ sich mit dem Problem beschäftigt, versucht er nebenher, dir ein schlechtes Gewissen zu machen: „Wann haben Sie Ihr Passwort das letzte Mal geändert? Ist das schon länger her? Haben Sie unsere Warnungen zur Aktualisierung der Anmeldedaten nicht gelesen?“ oder „In der SMS steht doch wortwörtlich: Geben Sie diesen Code an niemanden weiter! Warum in aller Welt haben Sie ihn preisgegeben?“ Dies ist eine spezielle Taktik, um Schuldgefühle auszulösen und den Eindruck zu erwecken, du hättest die Kontrolle verloren und würdest das Fachwissen und die Hilfe des Betrügers benötigen.
Aber auch wenn du tatsächlich einen Fehler gemacht hast: Mach dir keine Vorwürfe. Du landest viel schneller in der Falle eines Betrügers, als du denkst. Schon ein stressiger Arbeitstag und ein Anruf im falschen Moment reichen dafür.
Du wirst plötzlich gewarnt, dass du … mit Betrügern gesprochen hast
Betrüger lieben verwirrende Schemata mit möglichst vielen Stufen. Beispiel: Ein Angreifer behauptet zunächst, deine Kontoinformationen müssten aktualisiert werden, und bringt dich dazu, einen Zugriffscode für deine Banking-App preiszugeben. Dann wird der Anruf plötzlich unterbrochen oder du erhältst eine SMS mit der Warnung, dass du gerade mit einem Betrüger gesprochen hast, dein Konto gehackt wurde und du dich zu deiner eigenen Sicherheit sofort beim Support melden sollst. Manchmal schalten sich sogar selbsternannte „Kriminalpolizisten“ oder „Ermittlungsbeamte“ in das Gespräch ein.
Leider gehört dieses „Sicherheitsteam“ zu ein- und derselben Bande und dient nur dazu, die Lügengeschichte zu untermauern. Es wird gedroht, dein gesamtes Guthaben würde Kriminellen in die Hände fallen, es sei denn, du überweist es auf ein „sicheres Konto“. Oder jemand hätte in deinem Namen einen Kredit aufgenommen.
Wende dich nie an unbekannte Nummern oder E-Mail-Adressen, die dir in Nachrichten genannt werden – auch nicht, wenn sie Hilfe versprechen. Suche nach der legitimen Website des Unternehmens oder der Behörde und verwende nur offizielle Kontaktdaten.
Nur zur Klarstellung: Es gibt keine Behörden (oder privaten Unternehmen), die dein Telefon abhören, um zu überprüfen, ob du mit Betrügern sprichst.
Was tun, wenn du auf einen Betrug hereingefallen bist
Ganz wichtig: Mach dir keine Vorwürfe. Jeder kann überrumpelt und hereingelegt werden, wenn er sich unsicher fühlt. Versuche, keine Panik zu bekommen und dich daran zu erinnern, welche Informationen du weitergegeben hast. Denn davon hängen deine nächsten Schritte ab:
- Du hast einen SMS-Bestätigungscode oder dein Kontopasswort genannt → Ändere sofort das Passwort für diesen Dienst sowie für alle anderen Benutzerkonten, für die du es ebenfalls verwendet hast. Aktiviere die Zwei-Faktor-Authentifizierung (falls noch nicht geschehen).
- Du hast deine Kartendaten weitergegeben → Ruf sofort deine Bank an und lass deine Karte sperren. Wenn bereits Geld von deinem Konto abgebucht oder überwiesen wurde, frag nach, wie du die Transaktion anfechten kannst.
- Du hast auf einen verdächtigen Link geklickt oder eine Datei von einem unbekannten Absender heruntergeladen → Untersuche dein Gerät mit einem zuverlässigen Antivirenprogramm. Es ist praktisch unmöglich, selbst herauszufinden, ob du Malware erwischt hast, da sie sich oft unbemerkt auf dem Gerät versteckt.
Höre nicht auf die Betrüger
So schützt du deine Konten, deine Daten und dein Geld:
- Lass dir Zeit. Wenn dich jemand zu sofortigem Handeln drängt (du sollst beispielsweise deine Daten eingeben, einen Code nennen oder Geld überweisen), sprichst du höchstwahrscheinlich mit einem Cyberkriminellen. Drück die Pause-Taste, ruf das Unternehmen unter der offiziellen Nummer von der Website zurück und prüfe, ob tatsächlich irgendwelche Angaben von dir benötigt werden.
- Übergib deine Ängste an Kaspersky Premium. Im Gegensatz zu einem Menschen ist unsere KI- und ML-gestützte Anti-Betrugs-Sicherheitssuite völlig objektiv und erkennt Phishing-E-Mails und bösartige Dateien auch dort, wo andere die Nerven verlieren könnten. Unsere Suite hindert dich daran, verdächtige Websites zu öffnen, schützt dein Gerät vor Infektionen, neutralisiert gefundene Malware und passt bestens auf deine Daten und dein Geld auf.
- Aktiviere die Zwei-Faktor-Authentifizierung für alle wichtigen Konten. Mit Kaspersky Password Manager kannst du einmalige Anmeldecodes generieren, die sich alle 30 Sekunden ändern. Für Betrüger ist es viel schwieriger, solche Codes abzufangen, als wenn Codes per E-Mail oder SMS versendet werden.
- Und noch eine goldene Regel: Verwende ein Passwort nie für mehrere Accounts. Wenn du dasselbe Passwort für mehrere Dienste verwendest, muss ein Hacker nur ein Konto knacken, um automatisch Zugriff auf alle anderen zu erhalten. Auch Varianten wie „Password123“ und „Password1234!“ sind ungeeignet – solche Kombinationen sind kinderleicht zu erraten. Natürlich wäre es eine übermenschliche Leistung, sich Dutzende oder sogar Hunderte Passwörter zu merken. Unser Tipp: ein praktischer Passwort-Manager. Er speichert deine Daten auf sichere Weise in einem verschlüsselten Datentresor und generiert starke, eindeutige Passwörter für dich.
Wie wär’s mit weiteren Sicherheitstipps? Hier wirst du fündig:
Tipps