10/2026 – Fachartikel Swiss Infosec AG
Angreifer brauchen keine Schadsoftware, um in Unternehmen einzudringen. Sie brauchen eine plausible Geschichte, ein selbstsicheres Auftreten und jemanden, der höflich sein möchte. Social Engineering ist nicht neu, doch die Bedrohungslage verschärft sich: KI-generierte Stimmen, überzeugende Deepfakes und automatisierte Recherche über soziale Medien machen es heute einfacher, Angriffe vorzubereiten aber schwerer zu erkennen. Mit physischen Penetrationstests und Vishing-Simulationen prüft die Swiss Infosec AG, wie weit Unbefugte in Organisationen vordringen können, bevor jemand Fragen stellt.
Was Social Engineering konkret bedeutet
Social Engineering nutzt psychologische Mechanismen wie Vertrauen, Hilfsbereitschaft, Zeitdruck und Autoritätsgläubigkeit aus, um an Informationen, Zutritt oder Zugangsdaten zu gelangen. In der Praxis begegnen uns drei häufige Angriffsformen:
- Pretexting: Der Angreifer gibt sich als IT-Support, Prüfungsgesellschaft, Lieferant oder Behörde aus. Eine glaubwürdige Legende und selbstsicheres Auftreten genügen oft, um Türen zu öffnen – im wörtlichen wie im übertragenen Sinn.
- Vishing (Voice Phishing): Gezielte Anrufe, die auf interne Informationen, Zugangsdaten oder Prozessdetails abzielen. Das Telefon als Angriffskanal wird stark unterschätzt, denn eine Stimme schafft sofort Nähe und Vertrauen.
- Tailgating (unbefugtes Mitgehen): Mitarbeitende halten Türen auf – aus Höflichkeit, unter Zeitdruck oder weil die Person hinter ihnen «ja sicher dazugehört». Was menschlich ist, wird zur Sicherheitslücke.
Erkenntnisse aus der Praxis
In einem Penetrationstest für ein Hotel lautete der Auftrag: physischen Zugang zu Systemen und sensiblen Bereichen erlangen – unangekündigt und gegenüber geschultem Personal mit klaren Prozessen. Das Ergebnis war ernüchternd: Ein freundliches Auftreten, der Hinweis auf einen «dringenden Server-Unterhalt» und ein selbst gestalteter Ausweis genügten, um in einen eindeutig nicht öffentlichen Bereich zu gelangen. Niemand fragte nach einem Auftrag oder einer Ansprechperson. Technisch verfügte das Hotel über gute Zugangskontrollen. Social Engineering umgeht Schlösser jedoch, indem es Menschen dazu bringt, sie freiwillig zu öffnen.
Ein weiteres Beispiel bei einer Organisation im Finanzsektor zeigte ein anderes Muster. Nicht Nachlässigkeit war das Problem, sondern ein kulturelles Dilemma: In diskreten Umgebungen gilt Nachfragen als aufdringlich. Wer höflich auftritt und wenig erklärt, wird nicht aufgehalten. Unsere Testperson gelangte mit dem richtigen Ton und einer knappen Begründung an Unterlagen, die nicht für externe Augen bestimmt waren. So wird eine Kultur der Diskretion zum Sicherheitsrisiko – immer dann, wenn die soziale Norm «Wir stellen keine unangenehmen Fragen» stärker ist als die Kontrollregel.
Das Telefon: unterschätzt und hochwirksam
In einem Vishing-Test bei einem Industrieunternehmen gab sich unsere Beraterin als Mitarbeiterin des internen IT-Helpdesks aus. Der Anruf folgte einem klassischen Muster: Dringlichkeit erzeugen, Vertrauen aufbauen, handeln lassen. Sie teilte der angerufenen Mitarbeiterin mit, ihr Konto müsse wegen verdächtiger Aktivitäten vorübergehend gesperrt werden. Um die Sperrung zu verhindern, solle sie umgehend ihr aktuelles Passwort bestätigen, damit der Zugang «auf der Systemseite bereinigt» werden könne.
Die Mitarbeiterin zögerte kurz, teilte die Zugangsdaten dann jedoch mit. Der Anruf dauerte weniger als drei Minuten.
Weder der Jargon noch die Forderung wirkten auf sie verdächtig, weil beides dem entsprach, was sie von echten IT-Anfragen kannte. Genau das ist die Stärke von Vishing: Der Angreifer bewegt sich innerhalb bekannter Muster und nutzt das Vertrauen in Abläufe, die die Zielperson täglich erlebt.
Was aus diesen Tests folgt
Social Engineering-Tests stellen niemanden an den Pranger. Ihr Ziel ist es, Muster zu erkennen und konkrete Massnahmen abzuleiten:
- Prozessebene: Klare Verfahren für Besuche und externe Dienstleistende sowie für telefonische Anfragen, die Zugangsdaten betreffen. Ein seriöser IT-Helpdesk fragt nie nach Ihrem Passwort. Dieses Wissen muss in der Organisation verankert sein.
- Trainingsebene: Die Frage «Darf ich kurz Ihren Auftrag sehen?» oder «Ich rufe Sie über die offizielle Nummer zurück» ist kein Affront, sondern professionelles Verhalten. Das muss geübt, nicht nur erklärt werden.
- Testebene: Regelmässige, unangekündigte Simulationen, physisch wie telefonisch, halten das Bewusstsein lebendig. Einmalige Schulungen verblassen; erlebte Situationen bleiben.
Fazit
Social Engineering ist kein exotisches Angriffsszenario. Es passiert täglich – an der Rezeption, am Telefon, im Treppenhaus. Sicherheit ist deshalb auch eine menschliche Leistung: Sie entsteht durch Wissen, Übung und eine Kultur, in der Kontrolle als Schutz verstanden wird, nicht als Misstrauen.
Wie würde Ihre Organisation in einem solchen Test abschneiden? Finden Sie es mit uns heraus – bevor es echte Angreifer tun.
Kontaktieren Sie uns für ein unverbindliches Gespräch: +41 41 984 12 12, infosec@infosec.ch
Swiss Infosec AG, 16.10.2026
Kompetenzzentrum Consulting