SC300: Social Engineering Basics UPDATE

Agenda:

• Lagebild 2026 - woher kommen die Gefahren, wer ist betroffen? Erstellung eines individuellen Lagebildes
  
  

• Rechtliche und ethische Aspekte beim Einsatz von Social Engineering – einschließlich NIS2, DORA, der Transparenzpflichten der KI-Verordnung sowie der Zulässigkeitsgrenzen von Phishing- und Vishing-Simulationen
  
  

• Die klassischen Hebel – Grundlagen der Täuschung und Überredung:

  • Robert Cialdini – Prinzipien der Beeinflussung und ihre Anwendung in Angriffsszenarien

  • Daniel Kahneman – System 1 / System 2 als Erklärung, warum schnelle Entscheidungen angreifbar sind

  • Paul Ekman – Micro- und Macroexpressions, Grundzüge nonverbaler Kommunikation

  • Christopher Hadnagy – Pretexting und der strukturierte Aufbau eines Angriffsgesprächs

  • Kevin Mitnick – die Kunst der Täuschung: warum die alten Fälle bis heute funktionieren
    
    

• Recherche: von OSINT zu SocMInt und HumInt

  • OSINT-Grundlagen: Deep Web Search, Werkzeuge, Quellenkritik und Verifikation

  • SocMInt – was Menschen und Organisationen über soziale Netzwerke preisgeben, und wie sich daraus ein Zielprofil verdichtet

  • HumInt und Elicitation – Informationen im Gespräch gewinnen, ohne danach zu fragen

  • Aufbau falscher Identitäten und Legenden
    
    

• Was KI verändert hat

  • Automatisierte Zielrecherche: Verdichtung öffentlicher Spuren zu Profilen in Minuten statt Tagen

  • Erzeugung von Spear-Phishing und Whaling in Serie – individualisiert und in beliebiger Menge

  • Deepfakes (Stimme & Gesicht) einschließlich Echtzeitfälschung in Videobesprechungen – Werkzeuge, Erkennungsmethoden und die Grenzen menschlicher Erkennung

  • Aktuelle Betrugs- und Scam-Szenarien: Chef-Betrug, Rechnungs- und Zahlungsmanipulation, Anlage- und Beziehungsbetrug, gefälschte Bewerbungen

  • Manipulation von KI-Assistenten und -Agenten durch versteckte Anweisungen in Dokumenten, E-Mails und Webseiten
    
    

• Angriffspfade in der Praxis

  • Vishing, Smishing, Call-Spoofing und Rollenspielübungen

  • Angriffe auf den Service Desk: Identitätsprüfung am Telefon, Zurücksetzen von Kennwörtern und zweiten Faktoren, Rufnummernübernahme

  • Umgehung der Mehrfaktor-Anmeldung mit sozialen Mitteln: zwischengeschaltete Anmeldeseiten, Diebstahl gültiger Sitzungen, Ermüdung durch Bestätigungsanfragen, erschlichene Anwendungsfreigaben

  • Selbstausgeführte Angriffe im Browser: gefälschte Fehler- und Sicherheitsabfragen bringen Anwender dazu, Befehle eigenhändig auszuführen

  • Kanalwechsel-Kampagnen: abgestimmte Ketten über E-Mail, Chat, Telefon, SMS und Messenger

  • Physische Wege: Überwinden von Zutrittskontrollen und -barrieren, Hacker-USB- und LAN-Werkzeuge, WLAN-Angriffe (kompakte Demonstration)
    
    

• Sichtbarkeit und Deception – die eigene Seite

  • Analyse des eigenen digitalen Fußabdrucks: Person, Rolle und Organisation aus Angreifersicht

  • Deception als Gegenmaßnahme: gezielte Verschleierung, Köder und Kanarienvögel, kontrollierte Falschinformation

  • Persönliche Risiken verringern: Grooming, Identitätsdiebstahl, Erpressung – Erkennungsmerkmale und Schutzverhalten

  • Verifikation als Kontrollpunkt: Rückruf über hinterlegte Kanäle, Vier-Augen-Prinzip bei Zahlungs- und Berechtigungsänderungen, vereinbarte Kennworte, klare Freigabewege
    
    

• Praxisteil: das Spiel mit Lüge und Aufdeckung – Teilnehmer täuschen und werden getäuscht, analysieren anschließend die eingesetzten Techniken und üben Befragungstechniken zur Wahrheitsfindung: strukturierte Interviewführung, plausibilitätsorientierte Nachfragen, Erkennen von Inkonsistenzen
  
  

• Lessons learned – Analyse der eigenen Angreifbarkeit, Priorisierung von Maßnahmen und Quick-Wins, Entwurf von Awareness- und Vorfall-Playbooks

Ziele:

• Die klassischen Hebel der Täuschung und Überredung verstehen und in realen Gesprächssituationen wiedererkennen

• Nachvollziehen, was KI an Social Engineering verändert hat – und was unverändert geblieben ist

• Social-Engineering-Angriffspfade vom ersten Rechercheschritt bis zum Schaden durchgängig verstehen

• Recherchefähigkeiten praktisch einordnen: OSINT, mit Schwerpunkt auf SocMInt und HumInt

• Aktuelle Betrugs- und Scam-Szenarien einordnen: Chef-Betrug, Rechnungs- und Zahlungsmanipulation, Anlage- und Beziehungsbetrug, gefälschte Bewerbungen

• Bewusstsein für die eigene Sichtbarkeit entwickeln – persönlich wie organisatorisch

• Deception als Gegenmaßnahme kennenlernen: gezielte Verschleierung, Köder und Kanarienvögel zur Risikoverringerung

• Persönliche Risiken einordnen und verringern: Grooming, Identitätsdiebstahl, Erpressung

• Lügen erkennen und Täuschende stellen – mit Befragungstechniken zur Wahrheitsfindung und nonverbalen Indikatoren

• Verifikationsprozesse entwerfen, die auch bei technisch perfekter Täuschung tragen

• Awareness- und Vorfall-Playbooks sowie eine priorisierte Maßnahmenliste für die eigene Organisation erarbeiten

Zielgruppe:

Der Kurs SC300 Social Engineering Basics richtet sich an:

• IT-Sicherheitsmanagement und Informationssicherheitsbeauftragte

• CISOs

• Pentester

• Red- und Blueteamer

• Verantwortliche für Service Desk und Anwenderbetreuung

• Verantwortliche für Awareness-Programme und Sicherheitskultur

Voraussetzungen:

Für die Teilnahme am Training SC300 Social Engineering Basics sind keine spezifischen Vorkenntnisse erforderlich.

Hilfreich ist ein Grundverständnis der eigenen Freigabeprozesse – etwa der Frage, wie im eigenen Haus ein Kennwort zurückgesetzt oder eine Zahlung freigegeben wird.

Beschreibung:

Social Engineering funktioniert heute nach denselben psychologischen Regeln wie vor zwanzig Jahren – nur schneller, billiger und in beliebiger Stückzahl. Der Kurs SC300 Social Engineering Basics verbindet beides: die klassischen Hebel von Täuschung und Überredung nach Cialdini, Kahneman, Ekman, Hadnagy und Mitnick auf der einen Seite – und auf der anderen die Angriffe, die erst durch den heutigen KI-Einsatz möglich geworden sind: automatisierte Zielrecherche, maßgeschneidertes Spear-Phishing und Whaling in Serie, Stimme und Gesicht in Echtzeit. Recherchiert wird dabei nicht nur mit OSINT-Werkzeugen. Schwerpunkt sind SocMInt und HumInt – was Menschen über sich preisgeben und wie man es ihnen im Gespräch entlockt. Geübt wird im Spiel mit Lüge und Aufdeckung. Die Teilnehmer erleben beide Seiten: wie es sich anfühlt zu täuschen – und mit welchen Methoden man einen Täuschenden stellt.

Fachbegriffe werden auf Deutsch eingeführt; alle Teilnehmer erhalten ein Begriffs- und Abkürzungsverzeichnis als Handout.

Erweitern Sie Ihr Wissen um Expertenfähigkeiten in der Praxis im Aufbaukurs SC305 Social Engineering Practitioner.