IT: Social Engineering. Social Engineering? Auch das noch

Montag, 26. Oktober 2026

Heute habe ich mir wieder ein Cyber-Security-Video angeschaut, und da war er wieder da, der Aha-Effekt. Durch die Nutzung der KI werden die Dinge immer schlimmer. Der Fall war der, dass eine Videokonferenz mit dem Firmen-CEO und drei Mitarbeitern stattfand. Der CEO wies die drei Videokonferenzteilnehmer an, umgehend und ohne jede Verzögerung eine Rechnung an einen Lieferanten zu bezahlen.

Das klingt nach einer nachvollziehbaren Forderung. Nur Gott weiß, was den CEO antreibt, ausgerechnet diese Rechnung bezahlen zu lassen. Dann tut der Mitarbeiter aus der Buchhaltung das halt.

Zwei Dinge ahnten die Mitarbeiter während der Videokonferenz und des Bezahlvorgangs nicht: Der, mit dem sie sprachen, war nicht wirklich ihr CEO, sondern wurde mithilfe per KI nachgestellt. Alles wirkte für die Mitarbeiter wie gewohnt: Sein Gesicht, seine Stimme, seine Mimik, seine Körpersprache. Nichts im Video schien verdächtig. Dazu kam noch, dass der CEO nicht als vorprogrammierter Bot funktionierte. Tatsächlich war der Angreifer in der Videokonferenz dabei, in Gestalt des CEO.

Allerdings sah ich als Beobachter dieses Videos sofort, das da etwas nicht stimmt. Zwischendurch ruckelte es für ein paar Millisekunden. Ein paar „Frames“ waren nicht so wie gewohnt. Und diese Art des Bild-Ruckelns kenne ich von den Videoplattformen, die ich benutze, nicht. Es war klar, dass dieses Ruckeln auch die Ermittler im Film weiterbrachte.

Jedenfalls wurde die Rechnung bezahlt, natürlich auf das Bankkonto der Angreifer, die wiederum das Geld sofort auf Off-Shore-Konten weitertransferierten. Das Geld war unwiederbringlich weg.

Wenn man wegen der Fähigkeiten der KI nicht mehr in der Lage ist, zu erkennen, dass das Gegenüber nicht der echte Gegenüber ist, dann muss eben der Überweisungsprozess geschärft werden. Denn hier lag das zweite Problem. Die Angreifer hatten über einen gehackten E-Mail-Account eine gefälschte Rechnung an die Firma geschickt.

Was hilft gegen diese Masche? Einiges. Vieraugenprinzip. Rechnung mit älteren Rechnungen bezüglich der Bankverbindung vergleichen. Den Lieferanten zurückrufen. Klar, das wirkt alles verzögernd und nervig. Es hilft aber alles nichts. Mittlerweile kann man nicht mehr vorsichtig genug sein.

Definition von Social Engineering: Social Engineering bezeichnet die psychologische Manipulation von Menschen, um sie dazu zu bringen, sensible Daten preiszugeben, Schadsoftware zu installieren oder Sicherheitsvorkehrungen zu umgehen. Anstatt technische Schwachstellen direkt anzugreifen, nutzen Angreifer menschliche Eigenschaften wie Vertrauen, Hilfsbereitschaft, Angst, Neugier oder Respekt vor Autorität aus.

Ich freue mich schon auf den nächsten Teil der Cyber-Police-Serie. Es ist wie ein spannender Krimi, nur mit jeder Menge Lerneffekten.