Social Engineering: Warum Betrug bei jedem funktioniert

Warum es bei jedem funktioniert

Das meiste, was ein Mensch am Tag tut, läuft automatisch, und das muss auch so sein. Wenn eine Situation etwas Bekanntem ähnelt, etwa einem Hinweis von der Bank oder einer Bitte aus der Familie, prüft niemand jedes Detail, und der Täter baut die Geschichte genau in diese Form hinein.

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt das auf seiner Seite zu Social Engineering ohne Umschweife: Ausgenutzt werden menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität. Die beiden Kennzeichen, die das BSI nennt, sind die Täuschung über die eigene Identität und die Absicht dahinter. Die Täter geben sich zum Beispiel als Techniker oder als Mitarbeiter bekannter Unternehmen aus.

Wie groß das Feld ist, zeigt die Statistik. Laut der Pressemitteilung des Bundeskriminalamts zum Bundeslagebild Cybercrime 2025 wurden in Deutschland rund 335.000 Fälle von Cybercrime im engeren Sinne registriert, etwa zwei Drittel davon aus dem Ausland oder von unbekannten Tatorten aus. Der Betrug, der über ein Gespräch läuft, wird überwiegend anders erfasst und taucht in dieser Zahl nicht auf. Die Polizeiliche Kriminalprävention listet allein für den Bereich Onlinebetrug sechzehn verschiedene Maschen, vom gefälschten Kundenservice bis zum Anlagebetrug.

Auf eine dieser Geschichten hereinzufallen, ist kein persönliches Versagen. Schuld ist jedes Mal, wer sie durchführt. Der Name klingt technisch, die Situation ist meistens ganz gewöhnlich: ein Anruf, der von der Bank zu kommen scheint, eine Nachricht von einem Verwandten unter neuer Nummer, jemand, der Hilfe bei einem Computerproblem anbietet, oder eine Rechnung, die schnell bezahlt werden soll.

Wie das Vertrauen aufgebaut wird

Das Gespräch beginnt oft mit etwas Richtigem, mit einem beruflichen Ton oder mit einem kleinen Gefallen. Die Bitte kommt später, wenn der Rahmen steht. Autorität, Sympathie, Angst, Eile und Verschwiegenheit dienen alle demselben Zweck: die Zahl der Fragen zu senken, die jemand normalerweise stellen würde.

Die Verschwiegenheit wird am meisten unterschätzt. Die Bitte, niemandem etwas zu sagen, verpackt als laufende Ermittlung oder als etwas Peinliches, existiert nur, damit du die Geschichte nicht laut vor einer zweiten Person erzählst, denn das laute Erzählen beendet sie meistens. Die Polizei beschreibt bei Schockanrufen die härteste Form davon: Die Anrufenden halten die Opfer bis zur Geldübergabe in der Leitung, damit sie keine Möglichkeit haben, mit jemandem außerhalb zu sprechen.

Dieses Beispiel haben wir erfunden. Es zeigt die Art von Gesprächsführung, die benutzt wird, ohne den Namen, das Auftreten oder die Rufnummer eines echten Unternehmens nachzubauen.

Echte Angaben über dich beweisen keine Identität

Ein Name, eine Telefonnummer, eine Adresse, die letzten vier Stellen einer Karte, der Name eines kürzlichen Einkaufs: all das kann aus Werbelisten, aus öffentlichen Verzeichnissen, aus einem Profil in einem sozialen Netzwerk oder aus einem Datenleck stammen. Das BSI empfiehlt in diesem Zusammenhang einen verantwortungsvollen Umgang mit sozialen Netzwerken und mit persönlichen Informationen, gerade weil diese Angaben später in einem Gespräch auftauchen.

Das Gespräch selbst liefert weitere Angaben nach. Wenn jemand fragt, ob du eine Zahlung über 2.400 Euro kennst, hilft ihm jede Antwort dabei, die Geschichte zu justieren, und eine Korrektur von dir füllt eine Lücke, die er vorher hatte. Deshalb ist ein Anrufer, der Dinge über dich weiß, damit noch lange nicht bestätigt.

Prüf also nicht die Person, sondern den Weg. Beende den Kontakt und erreich die Institution über eine Nummer oder eine App, die du schon vorher hattest. Die Polizei sagt dazu beim Enkeltrick einen Satz, der auf jede Version passt: Rate nicht, wer anruft, sondern fordere Anrufer grundsätzlich dazu auf, ihren Namen selbst zu nennen. Und gib niemals Informationen über deine persönlichen und finanziellen Verhältnisse preis.

Die häufigsten Formen

Jede Art von Kontakt kann es transportieren: an der Tür, am Telefon, per E-Mail oder über ein Konto in einem sozialen Netzwerk. Bei den Maschen, die es auf das Geld normaler Leute abgesehen haben, kommen ein paar Formen immer wieder vor.

• Ein erfundener Anlass für den Kontakt: eine verdächtige Zahlung, ein Problem mit deinen Daten, ein Verwandter in Not. Das ist die Grundlage der falschen Sicherheitsabteilung, die dich anruft.
• Ein Köder: ein Gewinn, ein sehr großer Rabatt, ein leichter Job oder Geld, das angeblich auf dich wartet, mit einem Link dahinter oder einer Gebühr, die es freigeben soll. Das taucht ständig in gefälschten E-Mails und Nachrichten auf.
• Angebotene Hilfe: Jemand gibt sich als technischer Support für ein Problem aus, von dem du nichts wusstest, und bittet dich, ein Programm zu installieren oder einen Code vorzulesen. Die Verbraucherzentrale Hamburg beschreibt diese Masche beim Anruf mit dem angeblichen Softwarehersteller, bei dem eine Reparatursoftware installiert werden soll, die den Tätern vollen Zugriff auf den Rechner gibt.
• An der Haustür: ein Bote, der die Karte oder Bargeld abholen soll, oder eine Sammlung für einen Zweck, den es nicht gibt. Die Polizei rät bei Schockanrufen deshalb eindeutig, niemals Geld oder Wertgegenstände an Unbekannte zu übergeben.
• Eine kurze SMS: ein Paket, eine Gebühr, ablaufende Punkte oder ein Konto, das gesperrt werden soll. Das ist Smishing.
• Eine Zahlungsanweisung, die sich ändert: Eine Rechnung, die du erwartet hast, kommt mit einer neuen Bankverbindung, oder ein Verkäufer bittet dich im letzten Moment um eine andere Zahlungsart. Die Verbraucherzentrale Hamburg beschreibt genau diesen Rechnungsbetrug: Kriminelle ändern bei echten Rechnungen gezielt die IBAN, sodass die Zahlung auf ein fremdes Konto geht.

Gegen die letzte Variante hilft seit Kurzem etwas Konkretes. Seit dem 9. Oktober 2025 müssen alle Kreditinstitute bei Überweisungen in Euro eine Empfängerüberprüfung anbieten. Die BaFin beschreibt auf ihrer Seite zur Empfängerüberprüfung, dass der eingegebene Name vor der Freigabe mit der IBAN abgeglichen wird und dass du bei abweichenden Angaben auf das Risiko hingewiesen wirst. Das ist eine echte Hilfe und kein Schutzwall: Wer trotz Warnhinweis freigibt, trägt das Risiko selbst.

Situationen, in denen es auftaucht

• ein Anrufer, der darauf besteht, dass die Leitung offen bleibt, während du etwas erledigst;
• ein Verwandter unter neuer Nummer, der um Geld bittet, also die Form des Enkeltricks;
• Support, der sich meldet, ohne dass du ihn gerufen hast;
• eine überraschende Änderung an dem Konto, auf das du zahlen sollst;
• eine Bitte um Verschwiegenheit, die es nur gibt, damit du keine zweite Person fragst;
• eine Zahlungsart, die unbedingt Bargeld, eine Guthabenkarte, Kryptowährung oder eine Echtzeitüberweisung sein muss, weil sich all das kaum zurückholen lässt.

Der letzte Punkt ist in Deutschland leicht zu prüfen, weil die Regeln klar sind. Die BaFin schreibt auf ihrer Seite zu Überweisungen und Lastschriften, dass ein Überweisungsauftrag nicht mehr widerrufen werden kann, sobald er bei der Bank eingegangen ist. Bei einer Lastschrift ist es anders: Dort nennt die BaFin acht Wochen ab der Belastung, wenn du die Lastschrift erlaubt hast, und 13 Monate, wenn es gar kein Mandat gab. Wer dich also dazu drängt, statt einer Lastschrift zu überweisen, wählt die Variante, die für dich schlechter ausgeht.

Keines dieser Zeichen macht jedes Gespräch zum Betrug. Sie markieren nur den Moment, in dem es sich lohnt, das Drehbuch zu verlassen, das man dir gerade in die Hand gedrückt hat, und die Sache auf einem anderen Weg nachzusehen.

Wie du den Druck herausnimmst

Beende den Kontakt und wähl den nächsten Schritt selbst. Ruf den Verwandten unter der Nummer an, die du schon hattest, öffne die Banking-App, die du selbst installiert hast, oder such die Nummer des Unternehmens auf einer Rechnung oder auf deiner Karte. Du musst nicht diskutieren, nichts erklären und der Person auch nicht beweisen, dass dir etwas aufgefallen ist.

Eine Pause ist die billigste Verteidigung, die es gibt. Fast nichts, was echt ist, wird dadurch schlimmer, dass du zehn Minuten gewartet und zurückgerufen hast, und fast alles, was gefälscht ist, schon.

Es hilft außerdem, ein paar Dinge in der Familie abzusprechen, bevor irgendetwas davon passiert: dass jemand bei einer eiligen Geldbitte am Telefon immer zurückgerufen wird, unter der Nummer, die schon im Telefon steht; dass niemand allein auf eine Nachricht hin zahlt; und dass ein verdächtiger Anruf ohne Peinlichkeit erzählt werden darf. Die Polizei empfiehlt bei Geldforderungen genau das: mit Familienangehörigen oder anderen nahestehenden Personen sprechen und bei Verdacht sofort die 110 wählen.

Wenn du schon Daten oder Geld gegeben hast

1. Ruf sofort deine Bank an, über die App oder die Nummer auf deiner Karte, und sag, was passiert ist. Die BaFin schreibt auf ihrer Seite zum Datendiebstahl, dass du bei Verdacht auf Betrug sofort deine Zahlungskarten oder deinen Online-Banking-Zugang sperren lassen sollst, über die Bank oder über den Sperr-Notruf 116 116. Sag auch, wie du gezahlt hast, denn Lastschrift, Überweisung und Echtzeitüberweisung stehen nicht gleich da.
2. Wenn du ein Passwort oder eine TAN gegeben hast, änder das Passwort in der offiziellen App oder auf der offiziellen Seite und schalt die Zwei-Faktor-Authentisierung ein, die neben dem Passwort einen zweiten Nachweis verlangt. Das BSI rät dazu, sobald ein Dienst sie anbietet, weil deine Daten dann auch dann noch geschützt sind, wenn das Passwort in falsche Hände gerät.
3. Wenn du während des Gesprächs etwas installiert hast, trenn dieses Gerät vom Internet, benutz ein anderes für Bank und Passwörter und melde in jedem wichtigen Konto alle angemeldeten Geräte ab, die du nicht kennst.
4. Sag deiner Familie und deinen Kontakten über einen anderen Weg Bescheid, damit niemand auf eine Geldbitte antwortet, die in deinem Namen gestellt wird, und damit alle wissen, dass das Konto in fremden Händen sein könnte.
5. Erstatte Anzeige und sicher die Beweise. Die Polizeiliche Kriminalprävention erklärt unter wie erstatte ich eine Anzeige, dass die Strafanzeige kostenlos ist und in allen Bundesländern auch online möglich. Die Onlinewachen der Polizeien sind für nicht dringende Fälle wie Betrug gedacht; läuft gerade eine Geldübergabe, wählst du die 110. Die BaFin empfiehlt die Anzeige außerdem für die KUNO-Sperrung, die den Kartenmissbrauch im Lastschriftverfahren verhindert. Heb Nachrichten, Screenshots, Kontoauszüge und jedes Aktenzeichen auf.

Eine Sache noch, ganz ohne Umschweife, weil viele sie lange mit sich herumtragen: Diese Gespräche werden von Menschen gebaut, die davon leben, die sie ständig verbessern und die mit demselben Drehbuch Tausende andere erreichen. Am anderen Ende eines guten Drehbuchs zu sitzen, sagt nichts über dein Urteilsvermögen.

Häufige Fragen zu Social Engineering