Social Engineering und KI: Die menschliche Psyche als Angriffsziel

Der Cyberangriff auf MGM Resorts begann beispielsweise damit, dass sich Angreifer als IT-Support ausgaben und gezielt Helpdesk-Prozesse imitierten. In Hongkong überwies ein Finanzangestellter 25 Millionen US-Dollar, nachdem ein per Deepfake erzeugter CFO ihn in einer Videokonferenz dazu aufgefordert hatte.

Solche Fälle sind längst keine Einzelfälle mehr: Mit dem Einsatz von Künstlicher Intelligenz nehmen Häufigkeit, Qualität und Glaubwürdigkeit dieser Angriffe rasant zu und zeigen, dass Angreifer längst nicht mehr nur Systeme ins Visier nehmen, sondern gezielt die menschliche Psyche «hacken».

Warum Social Engineering als Angriffsvektor so effektiv ist

Social Engineering nutzt gezielt psychologische Mechanismen, um Verhalten zu beeinflussen. Der Psychologe Robert Cialdini hat sechs zentrale Einflussprinzipien identifiziert, die auch Cyberkriminelle systematisch einsetzen:

• Reziprozität: Menschen möchten Gefallen erwidern und fühlen sich verpflichtet, etwas zurückzugeben 

• Commitment und Konsistenz: Nach einer Zusage handeln Menschen gern im Einklang mit ihren Entscheidungen und Werten 

• Social Proof: In unsicheren Situationen orientieren sich Menschen am Verhalten anderer 

• Autorität: Menschen folgen eher als kompetent wahrgenommenen Personen oder Institutionen

• Sympathie: Je vertrauter oder sympathischer eine Person wirkt, desto eher überzeugt sie andere

• Knappheit: Was begrenzt oder exklusiv erscheint, wird als besonders wertvoll wahrgenommen

Mithilfe dieser sechs psychologischen Trigger gewinnen Angreifer gezielt Vertrauen, mit dem Ziel, an Passwörter, Geld oder sensible Daten zu gelangen. Die Social-Engineering-Taktiken von heute sind dabei deutlich ausgefeilter als die einfache Spam-E-Mail von früher: Gefälschte Websites, täuschend echte E-Mails oder KI-generierte Videoanrufe wirken inzwischen so authentisch, dass selbst geschulte Fachkräfte getäuscht werden können.

Next Level Social Hacking: Mit KI vom Fake-Bewerber zum Insider-Angreifer

Mit dem Einsatz von Künstlicher Intelligenz erreichen Social-Engineering-Angriffe eine neue Qualität. Mithilfe von Deepfake-Technologien und Voice Cloning lassen sich heute täuschend echte Identitäten, Stimmen und Videos erzeugen. Betrugsversuche können dadurch mit scheinbaren „Beweisen“ untermauert werden und wirken deutlich glaubwürdiger als klassische Phishing-Angriffe.

Besonders deutlich zeigt sich diese Entwicklung bei gezielten Insider-Angriffen: Nordkoreanische Akteure nutzen Deepfake-Technologie, um sich in Echtzeit-Video-Bewerbungsgesprächen als reale Kandidaten auszugeben und sich so Zugang zu Unternehmen zu verschaffen. So dokumentierte das Cybersecurity-Unternehmen KnowBe4 einen Fall, in dem ein vermeintlicher IT-Mitarbeiter eingestellt wurde, dessen Identität vollständig gefälscht und aus realen sowie synthetischen Daten zusammengesetzt war.

Auch im Unternehmenskontext werden Deepfakes zunehmend für CEO-Fraud eingesetzt: Manipulierte Video- oder Audioanrufe imitieren Führungskräfte, um Mitarbeitende zur Preisgabe sensibler Informationen oder zur Auslösung von Zahlungen zu bewegen. Die Kombination aus psychologischen Social-Engineering-Techniken und KI-generierten Inhalten macht diese Angriffe besonders wirkungsvoll.

Umso wichtiger wird es, dass Unternehmen ihre Human Centered Security & Security Awareness erweitern und Mitarbeitende gezielt auf KI-gestützte Angriffsmuster vorbereiten. 

Security Awareness im Zeitalter von KI: Warum Social Engineering und Deepfakes neue Trainingsansätze erfordern

Die Bedrohungslage hat sich spürbar verändert. Deepfakes und KI-gestütztes Social Engineering sind keine theoretischen Szenarien mehr, sondern Teil der realen Angriffslandschaft und werden aktiv gegen Unternehmen eingesetzt. Damit stellt sich weniger die Frage, ob Organisationen ins Visier geraten, sondern wann.

Vor diesem Hintergrund gewinnt Security Awareness erneut an Bedeutung, insbesondere im Umgang mit KI-gestützten Angriffsmethoden. Klassische Schulungsformate reichen dabei oft nicht mehr aus, um die neuen Dynamiken realistisch abzubilden.

Aus diesem Grund werden klassische Security Awareness Trainings zunehmend durch neue, praxisnahe Ansätze ergänzt, um die aktuellen Bedrohungsdynamiken realistisch abzubilden. Dazu zählen unter anderem:

• Simulationen von Social-Engineering-Angriffen auf Basis von Deepfake-Szenarien 

• Web-Based-Trainings mit Fokus auf KI-gestützte Bedrohungen 

• Awareness-Formate, die die Auswirkungen von KI im Angriffsprozess verdeutlichen 

• Interaktive Trainingsansätze mit praxisnahen Übungsszenarien

Ziel solcher Maßnahmen ist es, Mitarbeitende für neue Formen digitaler Manipulation zu sensibilisieren und eine Sicherheitskultur zu stärken, die technische und menschliche Schutzmechanismen verbindet. Denn sowohl die individuelle Aufmerksamkeit als auch technische Schutzmassnahmen spielen eine zentrale Rolle in der Abwehr von KI-gestützten Social-Engineering-Angriffen.

Fazit: Social Engineering, KI und die neue Realität der Bedrohungslandschaft

Social Engineering hat sich durch den Einsatz von Künstlicher Intelligenz grundlegend verändert. Aus einfachen Täuschungsversuchen sind hochgradig personalisierte, schwer erkennbare Angriffe geworden, die gezielt auf Vertrauen, Wahrnehmung und Entscheidungsverhalten abzielen.

Auf organisatorischer Ebene gewinnen mehrschichtige Sicherheitsarchitekturen sowie KI-gestützte Abwehrmechanismen zunehmend an Bedeutung. Sie ermöglichen es, manipulierte Inhalte, verdächtige Kommunikation und Verhaltensanomalien frühzeitig zu identifizieren und Angriffe bereits vor ihrer Ausführung zu unterbinden.

In Kombination mit Zero-Trust-Ansätzen und kontinuierlicher Security Awareness entsteht so ein ganzheitlicher Schutzansatz gegen moderne Deepfake- und Social-Engineering-Angriffe. 
Klar ist: KI-gestützte Manipulation ist bereits ein fester Bestandteil der heutigen Cyberkriminalität und erfordert entsprechende Gegenmassnahmen auf allen Ebenen.

Bildlegende: mit KI generiertes Bild