Was ist soziale Manipulation?

Der vierte Punkt erklärt, warum solche Anrufe echt wirken. Die Details für die Geschichte stammen aus öffentlichen Quellen: der Website des Unternehmens, den sozialen Medien der Beschäftigten und Stellenausschreibungen. Ein Dossier über eine Organisation lässt sich an einem Abend zusammenstellen.

Ein klassisches Szenario ist ein Anruf beim Support im Namen einer Beschäftigten, die ihren Zugang verloren hat. Beharrlichkeit und die Kenntnis einiger interner Details wirken oft überzeugender als jedes Prüfverfahren.

Jede Sicherheitsmaßnahme setzt voraus, dass eine berechtigte Person sich anmelden kann. Soziale Manipulation nutzt genau diesen Weg aus: Sie knackt nicht das Schloss, sondern bekommt den Schlüssel von der Person, die ihn besitzt.

Darin liegt das Problem: Eine Verstärkung technischer Maßnahmen hilft kaum und schadet manchmal sogar. Je komplizierter die Abläufe sind, desto häufiger suchen Beschäftigte nach Umgehungen - und genau diese Wege werden zum Einstiegspunkt.

Der letzte Punkt ist wichtiger als technische Maßnahmen. Wenn eine Beschäftigte Angst vor einer Bestrafung für einen Fehler hat, schweigt sie - und die Organisation erfährt möglicherweise erst Wochen später vom Angriff. Eine Kultur des Meldens von Vorfällen schützt besser als Anweisungen.

Denk auch daran, dass das Ziel nicht immer ein Passwort ist. Oft wird um eine Kleinigkeit gebeten: die Position einer Kollegin zu bestätigen, eine interne Durchwahl zu nennen oder eine Datei weiterzuleiten. Aus solchen Kleinigkeiten entsteht die nächste, bereits überzeugende Geschichte.