Warum Angreifer auf Menschen zugehen

Weil Technik teuer zu brechen ist und es einen billigeren Weg gibt — er sitzt an einem Schreibtisch. Und weil nichts kaputtgehen muss: Sie schließen selbst auf, weil Sie glauben, es sei richtig.

Warum das wichtig ist

Ein Rechenzentrum zu knacken kostet Wissen, Zeit und Glück. Ein Beschäftigter hat Zugänge, die ein Angreifer gern hätte: Postfach, Anmeldung, Telefon, Schlüssel. Nicht weil er unachtsam ist, sondern weil er arbeitet.

Social Engineering klingt technisch und bedeutet nur: Menschen so ansprechen, dass sie freiwillig tun, was der Angreifer will. Phishing ist davon der häufigste Fall — dasselbe, nur schriftlich und an viele.

Und ein Irrtum gleich zu Anfang: Angesprochen wird nicht nur die Chefetage. Wer Rechnungen bearbeitet, Termine macht, Besucher empfängt oder Geräte bedient, ist genauso interessant.

Dazu gibt es eine Stelle im Gesetz. Art. 32 verlangt geeignete technische und organisatorische Maßnahmen — beide stehen dort gleichrangig. Organisatorisch heißt: Abläufe, Regeln, Aufmerksamkeit von Menschen. Die Aufmerksamkeit Ihrer Beschäftigten ist eine Schutzmaßnahme im Sinne des Gesetzes. Was dort nicht steht: dass eine Schulung zu Phishing vorgeschrieben wäre — der Artikel nennt das Ziel, nicht das Mittel. Das behaupten wir deshalb auch nicht.

Eine zweite Stelle gehört dazu: Art. 32 Abs. 4 verlangt, dass unterstellte Personen Daten nur auf Anweisung des Verantwortlichen verarbeiten. Eine Anweisung kommt vom Unternehmen — nicht von einer Nachricht, die behauptet, vom Unternehmen zu kommen. Das ist nicht dasselbe.

Was das Gesetz sagt

Art. 32 Abs. 1 DSGVO

„Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten"

Art. 32 Abs. 4 DSGVO

„Der Verantwortliche und der Auftragsverarbeiter unternehmen Schritte, um sicherzustellen, dass ihnen unterstellte natürliche Personen, die Zugang zu personenbezogenen Daten haben, diese nur auf Anweisung des Verantwortlichen verarbeiten"

Art. 5 Abs. 1 lit. f DSGVO

„in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung („Integrität und Vertraulichkeit")"

So macht man es richtig

1. Nicht nur die Führungsebene schulen — angesprochen wird jeder mit Zugängen.
2. Die Aufmerksamkeit der Beschäftigten als organisatorische Maßnahme nach Art. 32 dokumentieren.
3. Den Unterschied klarmachen: Eine Anweisung kommt vom Betrieb, nicht aus einer Nachricht.
4. Keine Angst aufbauen — Angst ist das Werkzeug der Angreifer, nicht das Gegenmittel.

Stand: 26.10.2026