Wie Angreifer Passwörter durch Social Engineering stehlen

Kurz gefasst

Die meisten gestohlenen Zugangsdaten werden nicht geknackt, sondern freiwillig herausgegeben. Helpdesk-Vishing, MFA-Müdigkeit und KI-personalisiertes Phishing sind die dominierenden Vektoren in den Jahren 2025 und 2026. Allein in Spanien verzeichnete das INCIBE im Jahr 2025 122.223 Cybersicherheitsvorfälle, ein Anstieg von 26 % gegenüber dem Vorjahr, wobei Phishing mit 25.133 Fällen an der Spitze steht. Die Lösung ist keine strengere Passwortrichtlinie, sondern der Aufbau einer organisatorischen Kompetenz, Manipulationen zu erkennen und ihnen zu widerstehen, bevor sie erfolgreich sind.

Einleitung

Ein Mitarbeiter erhält einen Anruf vom IT-Support. Es habe verdächtige Aktivitäten auf seinem Konto gegeben. Er müsse sein Passwort sofort über einen Link zurücksetzen, der ihm gerade per E-Mail zugeschickt werde. Der Vorgang dauert zwei Minuten. Alles wirkt absolut legitim.

Der Anruf kam nicht von der IT.

Heute ist der Welttag des Passworts – eine jährliche Erinnerung daran, stärkere Zugangsdaten zu verwenden, die Multi-Faktor-Authentifizierung zu aktivieren und Passwörter nicht mehrfach zu nutzen. Das ist alles wichtig. Doch es adressiert nur die technische Oberfläche des Problems, nicht die menschliche Komponente. Angriffe durch KI-gestützte Akteure nahmen 2025 um 89 % gegenüber dem Vorjahr zu, wobei Voice-Phishing und Helpdesk-Impersonation zu den bevorzugten Einstiegspunkten gehören (CrowdStrike 2026 Global Threat Report, crowdstrike.com).

In Spanien verzeichnete das INCIBE im Jahr 2025 122.223 Cybersicherheitsvorfälle, ein Anstieg von 26 % gegenüber dem Vorjahr, wobei Phishing mit 25.133 Vorfällen die häufigste Betrugsart war (INCIBE, Balance de ciberseguridad 2025, incibe.es). Hinter den meisten dieser Zahlen steht ein Mensch, der in einer Situation, die darauf ausgelegt war, ihn zu täuschen, eine vermeintlich vernünftige Entscheidung getroffen hat.

Angreifer erraten das Passwort nicht. Sie fragen danach.

Die am häufigsten bei Vorfällen verwendeten Passwörter – „123456“, „admin“, „password“ – erhalten jedes Jahr zum Welttag des Passworts Aufmerksamkeit. Das INCIBE identifiziert Standard-Zugangsdaten als die größte Schwachstelle für KMU in Spanien. Das sind reale Probleme. Sie erklären jedoch nicht die Mehrheit der Unternehmensvorfälle.

In Unternehmensumgebungen werden kompromittierte Zugangsdaten selten durch Brute-Force-Angriffe erlangt. Sie werden erbeutet, weil jemand eine Situation geschaffen hat, in der das Ziel die Informationen freiwillig herausgibt, in dem Glauben, das Richtige zu tun.

Helpdesk-Vishing ist eine der effektivsten und am wenigsten sichtbaren Methoden. Der Angreifer ruft den Mitarbeiter an, gibt sich als IT-Support aus und erzeugt Dringlichkeit: Es gebe ein Problem mit dem Konto, das sofort gelöst werden müsse, man solle einem bestimmten Prozess folgen. Der Mitarbeiter befolgt die Anweisungen, weil alles so wirkt, wie ein legitimer Anruf wirken sollte. Das Passwort kann einzigartig, lang und komplex sein. Der Angriff funktioniert trotzdem.

MFA-Müdigkeit: Wenn die Sicherheitskontrolle zum Angriffsvektor wird

Die Multi-Faktor-Authentifizierung ist eine notwendige Schutzschicht. MFA-Müdigkeit zeigt jedoch, dass technische Kontrollen nicht isoliert funktionieren – sie funktionieren durch Menschen.

Bei dieser Art von Angriff sendet der Angreifer wiederholt Verifizierungsanfragen an das Gerät des Mitarbeiters. Durch Erschöpfung, Ablenkung oder Verwirrung genehmigt die Person schließlich eine Anfrage. In raffinierteren Varianten ruft der Angreifer gleichzeitig an, gibt sich als IT-Support aus und überzeugt den Nutzer davon, dass die Genehmigung der Anfrage ein notwendiger Schritt zur Lösung eines technischen Problems sei.

Die Kontrolle, die versagte, war nicht die MFA. Es war das Urteilsvermögen des Mitarbeiters in einem Moment des Drucks, der gezielt darauf ausgelegt war, dieses außer Kraft zu setzen. Adversary-in-the-Middle-Angriffe, die MFA durch das Abfangen von Sitzungstokens in Echtzeit umgehen, nahmen 2024 um 146 % zu (Microsoft, via Zensec, zensec.co.uk).

KI im Dienst der Manipulation

Angreifer nutzen KI-Tools, um Phishing-Nachrichten in großem Maßstab zu personalisieren. Das Ergebnis sind zielgerichtete E-Mails – ohne Rechtschreibfehler, mit Bezugnahme auf den Namen, die Rolle, das Unternehmen und teilweise sogar aktuelle Projekte des Mitarbeiters –, die automatisch aus öffentlich zugänglichen Informationen von LinkedIn und anderen Quellen generiert werden.

KI-generierte Phishing-E-Mails erzielten in einer aktuellen akademischen Studie eine Klickrate von 54 %, verglichen mit 12 % bei von Menschen verfassten Nachrichten (zitiert via Secureframe, secureframe.com). Der Unterschied ist signifikant: Angreifer, die KI einsetzen, haben eine mehr als viermal höhere Wahrscheinlichkeit, einen Klick zu erhalten.

Das Problem ist nicht, dass Mitarbeiter nicht wissen, dass es Phishing gibt. Das Problem ist, dass die Nachricht, die sie 2026 erhalten, nicht mehr wie das Beispiel aussieht, das sie 2023 in einer Schulung gesehen haben. Standard-Awareness-Schulungen bringen Menschen bei, eine bestimmte Art von Angriff zu erkennen. Die Angreifer jedoch entwickeln ihre Methoden ständig weiter.

Die Sicherheitslücke, die eine passwortlose Strategie schließt

Standard-Zugangsdaten in KMUs sind kein Wissensproblem. Dahinter stecken Onboarding-Prozesse, die keine obligatorische Passwortänderung erzwingen, Richtlinien, die nur auf dem Papier existieren, und fehlende Transparenz darüber, welche Zugangsdaten noch auf Werkseinstellungen stehen.

Das ist ein Problem des organisatorischen Verhaltens. Es lässt sich nicht durch eine Erinnerung lösen. Es wird durch Prozesse gelöst, die das richtige Verhalten zur einfachsten Option machen, sowie durch Kennzahlen, die aufzeigen, wenn dies nicht geschieht.

Was herkömmliche Schulungen nicht leisten können

Die meisten Programme zur Sensibilisierung für Sicherheit messen nur, ob der Mitarbeiter das Modul abgeschlossen hat. Sie messen nicht, ob der Mitarbeiter das Verhalten geändert hat, das durch das Modul beeinflusst werden sollte.

Wenn ein Angreifer an einem Freitagnachmittag einen Mitarbeiter anruft und sich als IT-Support ausgibt, entscheidet nicht die Abschlussquote des letzten Trainingskurses über den Ausgang. Entscheidend ist, ob die Person die Gewohnheit und das Urteilsvermögen hat, bei einer unerwarteten Anfrage innezuhalten, diese zu melden und auf eine Bestätigung über einen verifizierten Kanal zu warten.

Dieses Urteilsvermögen entsteht nicht durch ein jährliches Modul. Es entsteht durch Simulationen, die reale Angriffsmuster nachbilden, durch Verhaltenskennzahlen, die individuelle Schwachstellen identifizieren, und durch ein Lernsystem, das für jeden Einzelnen im richtigen Moment interveniert.

Fazit

Der Welttag des Passworts ist eine nützliche Erinnerung. Das Ändern schwacher Passwörter, der Verzicht auf Mehrfachnutzung und die Aktivierung der Multi-Faktor-Authentifizierung: Diese Maßnahmen verringern die technische Angriffsfläche.

Doch die Angriffsfläche, die 2024 und 2025 am schnellsten gewachsen ist, ist nicht technischer Natur. Es ist der Anstieg von Vishing, KI-personalisierte E-Mails, die die Muster umgehen, auf die Mitarbeiter geschult wurden, sowie MFA-Fatigue-Angriffe, die darauf ausgelegt sind, den Moment auszunutzen, in dem eine Person unaufmerksam wird.

Die Frage, die man sich heute stellen sollte, ist nicht, ob die Mitarbeiter Ihres Unternehmens starke Passwörter haben. Sondern ob sie wissen, was zu tun ist, wenn jemand eine Situation herbeiführt, um sie dazu zu bringen, diese Passwörter preiszugeben.

‍