Social Engineering bezeichnet Angriffe, die nicht über eine technische Lücke laufen, sondern über den Menschen davor. Das Bundesamt für Sicherheit in der Informationstechnik führt den Angriffsweg in seinem IT-Grundschutz-Kompendium als elementare Gefährdung G 0.42 und beschreibt ihn als Methode, unberechtigten Zugang zu Informationen oder IT-Systemen durch soziale Handlungen zu erlangen. Auf seiner Themenseite für Unternehmen wird das BSI konkreter: Kriminelle verleiten ihre Opfer dazu, eigenständig Daten preiszugeben, Schutzmaßnahmen zu umgehen oder selbst Schadprogramme zu installieren.
Der Unterschied zu einem klassischen Hack liegt genau darin. Es wird nichts überwunden, es wird etwas erlaubt. Ein korrekt konfiguriertes Berechtigungssystem hilft nicht, wenn die berechtigte Person das Passwort freiwillig weitergibt.
Fast alle Varianten folgen demselben Bauplan: eine glaubwürdige Rolle, ein plausibler Anlass, ein enger Zeitrahmen. Unterschiedlich ist nur der Kanal.
Neu ist der Kanal, nicht das Prinzip. Das BSI beschreibt bereits in seiner Handreichung zu Deepfakes den Fall, dass eine Person mit der geklonten Stimme ihrer Führungskraft angerufen wird, um eine Geldtransaktion auszulösen. Seit dem 2. August 2026 gelten die Transparenzpflichten des Artikels 50 der KI-Verordnung; für Anbieter, die ihre generativen Systeme bereits vor diesem Tag in Verkehr gebracht haben, greift die Kennzeichnung nach Absatz 2 durch die Digital-Omnibus-Verordnung (EU) 2026/1744 erst ab dem 2. Dezember 2026. Für Angreifer ändert das wenig, denn wer betrügt, kennzeichnet nicht. Was die Kennzeichnungspflicht rechtlich genau verlangt, ist an anderer Stelle ausführlich dargestellt: Kennzeichnungspflicht für Chatbots nach Artikel 50.
Social Engineering zielt auf Eigenschaften, die im Arbeitsalltag erwünscht sind. Das BSI nennt für den Verbraucherbereich ausdrücklich Hilfsbereitschaft, Vertrauen, Angst und Respekt vor Autorität. Im Unternehmen wirken dieselben Mechanismen, wobei an die Stelle des Vertrauens regelmäßig der Zeitdruck tritt:
Deshalb ist die Frage Wer ist darauf hereingefallen? die falsche. Aufmerksamkeit ist eine Tagesform, keine Charaktereigenschaft.
Die belastbaren Warnsignale sind unspektakulär und wiederholen sich: ein Anliegen, das eilig ist und gleichzeitig geheim bleiben soll; eine Bitte, den üblichen Weg zu umgehen; ein Absender, dessen Domain sich um ein Zeichen unterscheidet; ein Anhang oder Link, den niemand angekündigt hat; eine Rückfrage, die unerwünscht ist. Für den E-Mail-Kanal sind die Merkmale im Detail zusammengestellt unter acht Warnsignale einer Phishing-Mail.
Wie groß dieser Angriffskanal ist, zeigt eine Zahl aus dem Bundeslagebild Cybercrime 2025 des Bundeskriminalamts: Beim Phishing-Radar der Verbraucherzentrale Nordrhein-Westfalen gingen für das Berichtsjahr 2025 rund 382.470 gemeldete Phishing-Mails ein (veröffentlicht am 12. Mai 2026). Das BSI beschreibt die Lage in seinem Lagebericht für den Zeitraum Juli 2024 bis Juni 2025 weiterhin als angespannt (veröffentlicht am 11. November 2025).
Wichtiger als jede Checkliste ist der zweite Kanal. Eine Zahlungsanweisung, die per Mail kommt, wird per Telefon bestätigt — und zwar unter der bekannten Nummer, nicht unter der in der Mail.
Für einen erheblich erweiterten Kreis von Einrichtungen ist Awareness seit dem 6. Dezember 2025 keine freiwillige Maßnahme mehr. Mit dem NIS-2-Umsetzungsgesetz gilt eine neue Fassung des BSI-Gesetzes; das BSI beziffert den Kreis der regulierten Einrichtungen auf rund 29.500 statt zuvor rund 4.500. Der Katalog der Mindestmaßnahmen in § 30 BSIG nennt grundlegende Schulungen und Sensibilisierungsmaßnahmen ausdrücklich als eigenen Punkt, und § 38 BSIG verpflichtet die Geschäftsleitung, die Maßnahmen umzusetzen, ihre Umsetzung zu überwachen und selbst regelmäßig an Schulungen teilzunehmen. Welche Einrichtungen betroffen sind und was sich gegenüber den Vorgängerregelungen geändert hat, ist im Vergleich NIS-2 gegenüber NIS-1 und IT-SiG 2.0 aufgeschlüsselt.
Unabhängig davon greift der Datenschutz. Artikel 32 der Datenschutz-Grundverordnung verlangt technische und organisatorische Maßnahmen auf einem dem Risiko angemessenen Niveau — Sensibilisierung ist eine solche organisatorische Maßnahme, auch wenn die Norm sie nicht namentlich nennt. Artikel 39 Absatz 1 Buchstabe b benennt sie dagegen ausdrücklich: Die Überwachung der Einhaltung durch den Datenschutzbeauftragten umfasst danach auch die Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter. Dass eine Schulung stattgefunden hat, muss belegbar sein; welche Angaben ein solcher Nachweis tragen muss, steht in Pflichtschulungen nachweisen.
Die drei Begriffe werden oft synonym benutzt, bezeichnen aber verschiedene Ebenen. Social Engineering ist die Angriffsklasse, also das Prinzip. Phishing ist eine Teilmenge davon, nämlich ein konkreter, meist massenhaft ausgerollter Kanal — jedes Phishing ist Social Engineering, aber nicht jedes Social Engineering ist Phishing. Security Awareness steht auf der anderen Seite der Gleichung: Sie ist nicht die Gefahr, sondern die organisatorische Antwort darauf. Wie ein solches Programm aufgebaut und über die Zeit am Leben gehalten wird, beschreibt der Beitrag zum Aufbau eines Awareness-Programms; kurze, wiederkehrende Formate dafür ordnet Microlearning ein.
Nein. Social Engineering ist der Oberbegriff für Angriffe, die Menschen manipulieren. Phishing ist eine seiner Ausprägungen, nämlich der Weg über gefälschte Nachrichten und Anmeldeseiten. Ein Anruf des angeblichen IT-Supports oder das Mitgehen durch eine Zutrittstür sind ebenfalls Social Engineering, aber kein Phishing.
Sie senken die Kosten für Glaubwürdigkeit. Das BSI beschreibt den Fall, dass Beschäftigte mit der geklonten Stimme ihrer Führungskraft angerufen werden, um eine Zahlung auszulösen. Das Prinzip bleibt CEO-Fraud, nur wirkt der Vorwand überzeugender. Die Gegenmaßnahme bleibt dieselbe: Rückruf über einen bekannten zweiten Kanal.
Für Einrichtungen im Anwendungsbereich des neuen BSI-Gesetzes ja: § 30 BSIG führt grundlegende Schulungen und Sensibilisierungsmaßnahmen im Katalog der Mindestmaßnahmen. Unabhängig davon ergibt sich aus Artikel 32 DSGVO die Pflicht zu angemessenen organisatorischen Maßnahmen, und Artikel 39 DSGVO nennt Sensibilisierung ausdrücklich als überwachte Aufgabe.
Ein bezifferter Turnus ist für Awareness nicht vorgeschrieben; weder das BSI-Gesetz noch die Datenschutz-Grundverordnung nennen ein Intervall in Monaten oder Jahren — § 38 BSIG verlangt für die Geschäftsleitung allerdings ausdrücklich eine regelmäßige Teilnahme. Fachlich spricht für kurze, wiederkehrende Einheiten, dass sich Angriffsmuster und Kanäle laufend ändern — eine einmalige Jahresschulung bildet den Stand nach wenigen Monaten nicht mehr ab. Sinnvoll ist deshalb, den Rhythmus an erkennbaren Anlässen auszurichten: neue Angriffswellen, veränderte Prozesse, neue Beschäftigte.
Sofort melden, nicht verbergen. Je früher die IT-Sicherheit informiert ist, desto eher lassen sich Zugänge sperren und Sitzungen beenden. Eine Fehlerkultur, in der ein Klick keine Schuldfrage auslöst, ist an dieser Stelle wirksamer als jede zusätzliche technische Maßnahme.
Alle Quellen abgerufen am 06.08.2026, soweit im Eintrag nicht anders angegeben. Für Vorschriften auf gesetze-im-internet.de gilt der Rechtsstand 06.08.2026; ein Abruf war dort technisch nicht möglich.
Einblicke in das digitale Lernen der Zukunft mit Fokus auf KI, Compliance und moderne Schulungslösungen. Entdecken Sie die neuesten Beiträge und aktuelle Artikel, um praxisnahe Insights zu rechtssicherer, effizienter und automatisierter Weiterbildung im Unternehmen zu erhalten.
Unterweisungen und Weiterbildungen auditsicher, einfach und passgenau.
Wir unterstützen die IHK-Initiative Pack ma's digital, um der Wirtschaft in Oberbayern bei der Digitalisierung weiter zu helfen und die Zukunft des Standorts zu sichern.Hinweis: Texte, Bilder und Videos auf dieser Website wurden teilweise mit Künstlicher Intelligenz generiert.
Alle Inhalte dienen der Information und wurden sorgfältig journalistisch geprüft, erheben jedoch keinen Anspruch auf Vollständigkeit oder rechtliche Verbindlichkeit.
