Cybersicherheit wird meist mit Technologie, Malware und Hackern assoziiert. Doch einige der umstrittensten Fälle der letzten Jahre hatten nichts mit technischen Schwachstellen zu tun, sondern mit etwas viel Menschlicherem: Emotionen.
2021 schickte das britische Bahnunternehmen rund 2.500 Mitarbeitenden eine E-Mail, in der es sich für ihren Einsatz während der Pandemie bedankte und eine außerordentliche Zahlung ankündigte.
Als die Mitarbeitenden auf weitere Details klickten, stellten sie fest, dass es keinen Bonus gab. Es war eine Phishing-Simulation.
Was diese Nachricht besonders schwer erkennbar machte, war der Kontext: Die Belegschaft kam gerade aus schwierigen Jahren mit direkten Pandemiefolgen und persönlichen Verlusten unter den Mitarbeitenden. Das Szenario war emotional plausibel — und das machte es zu einem sehr aussagekräftigen Fallbeispiel für Social Engineering.
Tribune Publishing schickte Mitarbeitenden eine E-Mail mit der Ankündigung von Boni zwischen 5.000 und 10.000 Dollar.
In Wirklichkeit durchlief das Unternehmen gerade Kürzungen, Schließungen und wirtschaftliche Schwierigkeiten. Die Simulation löste interne und externe Reaktionen aus, sodass die Organisation eine Erklärung zu ihrem Zweck veröffentlichen musste.
Dieser Fall zeigt etwas Wichtiges: Die Wirksamkeit einer Sensibilisierungskampagne hängt direkt vom Kontext ab, in dem sie durchgeführt wird.
Tausende australische Polizeibeamte erhielten eine E-Mail über eine Gehaltserhöhung von 5 %. Es war jedoch keine echte Verhandlung, sondern eine interne Phishing-Kampagne.
Erschwert wurde die Erkennung durch das zeitliche Zusammentreffen mit echten Gehaltsverhandlungen: Die Nachricht war von einer offiziellen Mitteilung nicht zu unterscheiden. Die Organisation beschloss, den Prozess zu überprüfen und die Planungskriterien für künftige Kampagnen anzupassen.
Die University of California Santa Cruz startete eine Phishing-Übung, die einen Gesundheitsalarm wegen eines angeblichen Ebola-Falls auf dem Campus simulierte. Viele Studierende und Mitarbeitende hielten es für einen echten Notfall.
Dass so viele Menschen es für real hielten, sagt viel über die Wirksamkeit emotional stark aufgeladener Szenarien aus. Der Vorfall löste in der Cybersicherheits-Community eine Debatte darüber aus, welche Situationen sich für solche Tests eignen und wie die Kommunikation im Nachgang mit den Empfängern gehandhabt werden sollte.
2018 war eine Phishing-Übung im Zusammenhang mit der technischen Infrastruktur der Demokratischen Partei in Michigan so realistisch, dass sie als echter Angriff gemeldet wurde.
Das Democratic National Committee alarmierte sogar das FBI, weil es einen echten Einbruch vermutete. Nach dem Vorfall wurden die Verfahren geändert, um bei künftigen Sicherheitstests eine bessere Abstimmung zu verlangen.
Die folgenden Fälle zeigen, wie Cyberkriminelle genau dieselben Mechanismen wie Sensibilisierungsübungen nutzen: Nachrichten, die Erwartung, Dringlichkeit oder einen wahrgenommenen Vorteil erzeugen. Der Unterschied ist, dass hier das Ziel unbefugter Zugriff, Geldentwendung oder das Abgreifen von Zugangsdaten ist.
Microsoft identifizierte eine Kampagne, bei der Angreifer auf Unternehmenssysteme zugriffen, um die Bankdaten von Mitarbeitenden zu ändern. Ziel war es, Gehaltszahlungen auf Konten umzuleiten, die von den Kriminellen selbst kontrolliert wurden.
Die Angreifer nutzten Nachrichten rund um Personalwesen, Leistungen und Gehaltsabrechnungen, um bei den Opfern Glaubwürdigkeit zu erzeugen.
Zahlreiche Phishing-Kampagnen nutzten über Jahre hinweg angebliche Gehaltsüberprüfungen, aktualisierte Leistungen oder Änderungen interner Richtlinien.
Mitarbeitende erhalten scheinbar legitime Nachrichten, die sie auf gefälschte Portale weiterleiten, wo sie ihre Unternehmenszugangsdaten eingeben. Die Wirksamkeit dieser Taktik beruht darauf, dass kaum ein Thema so viel unmittelbare Aufmerksamkeit erzeugt wie eine finanzielle Verbesserung.
2025 wurde eine Kampagne entdeckt, die Mitarbeitenden einen außerordentlichen Bonus versprach. Das Opfer erhielt ein Dokument mit einem QR-Code, und nach dem Scannen wurde es auf eine gefälschte Microsoft-Seite geleitet, die auf das Abgreifen von Zugangsdaten ausgelegt war.
Die Kampagne kombinierte zwei bewährte Elemente: das Versprechen eines finanziellen Vorteils und den Einsatz von QR-Codes als Umleitungsvektor.
Manche kriminellen Gruppen müssen nicht einmal E-Mails versenden. Sie geben sich per Telefonanruf beim Support als Mitarbeitende aus und erreichen, dass Passwörter zurückgesetzt oder neue Authentifizierungsgeräte registriert werden.
Einmal drin, ändern sie Gehaltsdaten oder greifen auf kritische Unternehmenssysteme zu — ganz ohne eine einzige technische Schwachstelle auszunutzen.
2016 nutzten Gruppen mit Verbindungen zum russischen Geheimdienst Phishing-E-Mails gegen Mitglieder aus dem Umfeld der US-amerikanischen Demokratischen Partei. Die Nachrichten imitierten legitime Login-Seiten und erbeuteten echte Zugangsdaten.
Der Vorfall wurde zu einem der bekanntesten Phishing-Fälle der jüngeren Geschichte und zeigte, dass eine einzige E-Mail geopolitische Folgen haben kann.
Das Auffälligste an diesen zehn Fällen ist, dass das Muster in fast allen praktisch identisch ist: eine Nachricht, die etwas für den Empfänger Relevantes anspricht — eine finanzielle Verbesserung, einen dringenden Alarm, eine interne Mitteilung — und die schwer zu ignorieren ist.
Die Frage, die es sich zu stellen lohnt, ist nicht, ob diese Übungen angemessen sind, sondern etwas Direkteres: Hätten Sie erkannt, dass es sich um einen Angriff handelt?
Sensibilisierungsübungen gibt es genau deshalb, weil die Antwort in vielen Fällen Nein lautet — nicht aus mangelnder Fähigkeit, sondern weil diese Nachrichten darauf ausgelegt sind, überzeugend zu wirken. Sie zu kennen ist die beste Vorbereitung.
Erzählen Sie uns von Ihrem Fall. Gemeinsam prüfen wir, ob und wie sich eine Investition in Technologie lohnt und wo Sie am besten anfangen.
