Auf Basis der Forschungsarbeiten von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Stellen Sie sich vor: Ein Mitarbeiter Ihrer Buchhaltung erhält eine E-Mail, die aussieht wie eine Nachricht von Ihnen als Geschäftsführer. Der Betreff lautet „Vertraulich – dringende Überweisung". Im Text wird er gebeten, 85.000 Euro auf ein angebliches Treuhandkonto zu überweisen – wegen einer streng geheimen Akquisition, über die er mit niemandem sprechen solle. Der Mitarbeiter überweist. Das Geld ist weg.

CEO-Fraud ist nur eine von vielen Varianten des Social Engineering – jener Angriffsmethode, die nicht auf technische Schwachstellen zielt, sondern auf den Menschen selbst. Teichmann analysiert in seiner Forschung, warum diese Angriffe so erfolgreich sind, welche rechtlichen Konsequenzen sie haben – und was Unternehmen dagegen tun können (Teichmann, Phishing und Social Engineering im Mediensektor: Prävention und rechtliche Herausforderungen, AfP 2025, S. 490–499).

Was Phishing und Social Engineering wirklich sind

Phishing und Social Engineering sind keine Synonyme, auch wenn sie häufig gemeinsam genannt werden. Social Engineering ist der Oberbegriff: Er beschreibt alle Methoden, bei denen Angreifer gezielt menschliche Eigenschaften ausnutzen – Hilfsbereitschaft, Vertrauen, Respekt vor Autorität, Angst oder schlichte Unachtsamkeit – um Personen zu Handlungen zu verleiten, die sie sonst nicht vornehmen würden (Teichmann, AfP 2025, S. 490–499).

Phishing ist die bekannteste Ausprägung: Angreifer versenden gefälschte E-Mails oder richten täuschend echte Websites ein, um Zugangsdaten, Passwörter oder sensible Informationen zu erschleichen. Die Massenform setzt auf große Streuung – Millionen E-Mails, und ein kleiner Prozentsatz klickt trotzdem. Die gefährlichere Variante ist das Spear-Phishing: gezielt auf einzelne Personen zugeschnitten, auf Basis zuvor recherchierter Informationen über Funktion, Projekte und Kontaktnetzwerk des Opfers. Eine solche E-Mail, die den Empfänger beim Namen nennt und auf ein konkretes laufendes Projekt verweist, ist kaum von echten Nachrichten zu unterscheiden.

Und dann gibt es die jüngste Eskalationsstufe: KI-gestütztes Social Engineering. Generative KI ermöglicht es Angreifern, personalisierte Angriffe in industriellem Maßstab zu produzieren – und Deepfakes einzusetzen, um nicht nur E-Mails, sondern auch Stimmen und Gesichter zu fälschen. Die EU-Cybersicherheitsbehörde ENISA warnt ausdrücklich, dass KI Angreifern ermöglicht, Social-Engineering-Attacken noch gezielter zu gestalten (Teichmann, AfP 2025, S. 490–499).

Die erschreckende Erfolgsquote

Phishing ist nach aktuellen Analysen der ENISA die mit Abstand häufigste Methode, mit der Angreifer initial in Organisationen eindringen. Im FBI-Statistikbericht für 2022 war Phishing mit über 300.000 gemeldeten Fällen das meistrapportierte Internetdelikt in den USA – deutlich vor allen anderen Cybercrime-Kategorien (Teichmann, AfP 2025, S. 490–499).

Der Grund: Phishing umgeht Firewalls, Antivirensoftware und alle anderen technischen Schutzmaßnahmen. Es gibt kein Sicherheitssystem, das eine E-Mail als Phishing erkennt, wenn sie technisch einwandfrei ist und nur durch ihren Inhalt täuscht. Phishing dient dabei oft als Einstiegspunkt für weitaus schwerwiegendere Angriffe: Hat ein Täter erst Zugangsdaten erbeutet, beginnt das eigentliche Schadenspotenzial – Ransomware, systematischer Datendiebstahl, Industriespionage oder Sabotage (Teichmann, AfP 2025, S. 490–499).

Die Täuschungsmethoden: von klassisch bis KI-gestützt

Teichmann unterscheidet in seiner Forschung mehrere Social-Engineering-Techniken, die in der Praxis oft kombiniert werden.

Die wirkungsvollste Methode ist das Vortäuschen einer falschen Identität kombiniert mit künstlichem Zeitdruck. Klassisch beim CEO-Fraud: Der Angreifer gibt sich als Vorgesetzter aus, erzeugt ein Gefühl dringender Handlungsnotwendigkeit und appelliert an die Diskretion. Diese Kombination aus Autorität, Dringlichkeit und Geheimhaltung ist psychologisch hocheffektiv, weil sie genau die Kontrollmechanismen aushebelt, die im normalen Arbeitsalltag greifen würden (Teichmann, CEO Fraud im Kontext generativer künstlicher Intelligenz, ZWH 2024, S. 1–8).

Beim Vishing – Voice Phishing – wird derselbe Mechanismus über das Telefon eingesetzt. Smishing nutzt SMS-Nachrichten. Und Deepfake-basiertes Social Engineering hat durch generative KI eine qualitative Neudimension erreicht: ein Anruf mit der täuschend echten Stimme des Chefs, eine Videokonferenz mit gefälschten Gesichtern – wie im bereits dokumentierten Fall aus Hongkong 2024, bei dem ein Mitarbeiter 25 Millionen US-Dollar überwies, weil er glaubte, mit echten Kollegen zu sprechen (Teichmann, KI-gestützte Betrugsmaschen – Deepfakes als neue Herausforderung für Fraud Detection, Jusletter, 30. Juni 2025).

Die strafrechtliche Dimension

Aus strafrechtlicher Sicht erfüllen erfolgreiche Phishing- und Social-Engineering-Angriffe in Deutschland regelmäßig mehrere Tatbestände (Teichmann, AfP 2025, S. 490–499).

Wer sich durch einen Phishing-Angriff unbefugt Zugang zu passwortgeschützten Daten verschafft, macht sich des Ausspähens von Daten nach § 202a StGB strafbar – mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe. Wenn der Angriff auf einen Vermögensschaden abzielt – etwa beim CEO-Fraud – greift der Betrugstatbestand nach § 263 StGB oder der Computerbetrug nach § 263a StGB. Die Täuschung über die Identität des Absenders stellt eine Täuschung über Tatsachen dar, die beim Opfer einen Irrtum und eine schädigende Vermögensverfügung herbeiführt. Wenn durch den Angriff IT-Systeme gestört werden – etwa durch Einschleusen von Ransomware –, greift § 303b StGB, die Computersabotage, mit einem Strafrahmen bis zu zehn Jahren in schweren Fällen.

Das Problem in der Praxis: Die meisten Social-Engineering-Täter sind international tätig und sitzen in Jurisdiktionen, in denen sie kaum verfolgt werden. Die strafrechtliche Haftung ist klar – ihre Durchsetzung ist das eigentliche Problem.

Die zivilrechtliche Dimension: Wer haftet dem Opfer gegenüber?

Wenn ein Unternehmen durch einen Social-Engineering-Angriff Kundendaten verliert, besteht nach der DSGVO eine Meldepflicht bei der zuständigen Datenschutzbehörde innerhalb von 72 Stunden und gegebenenfalls eine Informationspflicht gegenüber den betroffenen Personen. Entscheidend ist dabei eine ungünstige Beweislastregel: Das Unternehmen muss nachweisen, dass es alle zumutbaren technischen und organisatorischen Schutzmaßnahmen ergriffen hatte. Kann es das nicht, haftet es für immaterielle Schäden der Betroffenen (Teichmann, AfP 2025, S. 490–499).

Das bedeutet: Ein Unternehmen, das keine angemessenen Sicherheitsschulungen durchführt, keine Multi-Faktor-Authentifizierung einsetzt und keine technischen Phishing-Filter betreibt, steht nach einem erfolgreichen Angriff rechtlich schlechter da als eines, das nachweislich alles Zumutbare getan hat. Und unter NIS-2 gilt zusätzlich: Ein erfolgreicher Phishing-Angriff, der zu erheblichem Datenverlust oder Betriebsausfall führt, ist innerhalb von 24 Stunden beim BSI meldepflichtig.

Die Psychologie des Angriffs: Sechs Hebel, die jedes Mal funktionieren

Was Teichmanns Analyse besonders wertvoll macht, ist der Blick auf die psychologischen Mechanismen, die Social Engineering so wirksam machen.

Angreifer nutzen gezielt sechs psychologische Hebel. Autorität: Menschen folgen Autoritätspersonen automatisch. Dringlichkeit: Zeitdruck setzt Heuristiken außer Kraft – wer keine Zeit hat nachzudenken, überprüft nicht. Knappheit: „Nur heute noch möglich" erzeugt Handlungsdruck. Sympathie: Wir helfen Menschen, die wir mögen oder die uns ähnlich erscheinen. Soziale Bewährtheit: „Alle anderen machen das auch" legitimiert die geforderte Handlung. Und Reziprozität: Wer uns einen Gefallen getan hat, dem fühlen wir uns verpflichtet.

Diese Mechanismen sind nicht durch technische Maßnahmen zu überwinden. Die einzige wirksame Gegenstrategie ist Bewusstsein – und genau deshalb sind Schulungen der entscheidende Schutzfaktor (Teichmann, AfP 2025, S. 490–499).

Was Unternehmen konkret tun müssen

Regelmäßige Mitarbeiterschulungen sind die wichtigste Einzelmaßnahme. Mitarbeiter müssen verstehen, wie Phishing-E-Mails aussehen, welche psychologischen Mechanismen Angreifer nutzen und wie sie im Zweifelfall reagieren sollen. Simulierte Phishing-Angriffe – bei denen Test-E-Mails an Mitarbeiter verschickt und ausgewertet werden, wer klickt – sind dabei eines der wirksamsten Trainingstools. Die NIS-2-Richtlinie verlangt solche Schulungen ausdrücklich als Bestandteil der Cybersicherheitsmaßnahmen.

Multi-Faktor-Authentifizierung ist die wichtigste technische Gegenmaßnahme. Selbst wenn ein Angreifer ein Passwort erbeutet, kommt er ohne den zweiten Faktor nicht ins System. MFA reduziert die Erfolgsquote von Phishing-Angriffen dramatisch.

Klare Prozesse für sensible Transaktionen sind bei CEO-Fraud entscheidend. Eine einfache Regel kann Millionen Euro schützen: Überweisungen über bestimmten Beträgen werden immer durch einen zweiten Kanal verifiziert – ein Rückruf auf eine bekannte Nummer, nicht die in der E-Mail angegebene. Diese Regel muss bekannt sein, bevor der Ernstfall eintritt (Teichmann, AfP 2025, S. 490–499).

Und die Unternehmensleitung muss mit gutem Beispiel vorangehen. Wenn Mitarbeiter erleben, dass Führungskräfte Sicherheitsregeln ignorieren oder Ausnahmen fordern, werden diese Regeln nicht ernst genommen. Cybersicherheitskultur entsteht von oben.

Die neue Dimension: Wenn Deepfakes die Erkennungsstrategien aushebeln

Teichmann weist auf eine Entwicklung hin, die das gesamte Kalkül der Social-Engineering-Prävention verschiebt: KI-generierte Deepfakes machen bisherige Erkennungsstrategien obsolet. Die Empfehlung, im Zweifel anzurufen, greift ins Leere, wenn auch Stimmen gefälscht werden können. Die Empfehlung, bei unerwarteten Videoanrufen misstrauisch zu sein, wird schwieriger, wenn Gesichter in Echtzeit gefälscht werden können (Teichmann, Deepfake-Imitation und Betrug durch KI-generierte Medien, Kriminalistik 2026, S. 194–200).

Was folgt daraus? Unternehmen brauchen zusätzliche Authentifizierungsebenen, die unabhängig von visueller und akustischer Identifikation funktionieren: Codewörter für ungewöhnliche Anfragen, institutionalisierte Rückrufprozesse über vorab bekannte Kanäle und vor allem die Unternehmenskultur des Zweifels – das Recht und die Pflicht jedes Mitarbeiters, auch dringende Anfragen von vermeintlichen Vorgesetzten zu hinterfragen, ohne dass dies als Illoyalität gewertet wird.

Fazit: Das menschliche Element ist nicht wegzutechnisieren

Firewall und Antivirensoftware schützen vor Malware. Gegen eine täuschend echte E-Mail, die psychologisch genau die richtigen Knöpfe drückt, helfen sie nicht. Und gegen KI-generierte Deepfakes noch weniger.

Teichmanns Forschung macht deutlich: Social Engineering ist kein technisches Problem mit einer technischen Lösung. Es ist ein menschliches Problem, das menschliche Lösungen erfordert – Aufklärung, Schulung, Prozesse und Unternehmenskultur. Die rechtliche Pflicht dazu ist mit NIS-2 und DSGVO längst normiert. Die Frage ist nicht mehr ob man handeln muss, sondern ob man es tut, bevor der erste Mitarbeiter klickt.

Alle Quellenangaben beziehen sich auf veröffentlichte wissenschaftliche Beiträge von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. Die vollständige Bibliographie ist im Publikationsverzeichnis (Stand Mai 2026) dokumentiert.