Human Intelligence statt Hightech-Hacking: Wie Angreifer Mitarbeiter zum Zugangstor ins Unternehmen machen
Aktuelle Angriffswellen gegen Private-Equity-Gesellschaften, Finanzunternehmen und Kanzleien zeigen: Selbst hervorragend geschützte Unternehmen können verwundbar sein, wenn Angreifer nicht die Technik, sondern gezielt den Menschen attackieren.
Firewalls, Endpoint Protection, Multi-Faktor-Authentifizierung und moderne Security Operations Center gehören inzwischen zum Standard vieler Unternehmen. Dennoch gelingt es Angreifern immer wieder, genau diese Schutzmechanismen zu umgehen.
Der Grund ist ebenso einfach wie beunruhigend:
Sie greifen nicht zuerst das System an. Sie greifen den Menschen an, der Zugang zum System besitzt.
Eine im August 2026 bekannt gewordene Angriffswelle gegen internationale Private-Equity-Gesellschaften, Hedgefonds, Finanzdienstleister und Kanzleien zeigt eindrucksvoll, wie professionell diese Vorgehensweise inzwischen geworden ist.
Nach Recherchen von Reuters sollen unter anderem Blackstone, Apollo, KKR, Bridgewater und CME zu den anvisierten Unternehmen gehört haben. Die Angreifer errichteten mindestens 72 speziell präparierte Webseiten und sollen innerhalb von nur fünf Wochen digitale Fallen für mehr als 200 Unternehmen aufgebaut haben.
Doch das Entscheidende an diesem Fall ist nicht die technische Raffinesse.
Es ist die Vorbereitung.
Der Angriff beginnt lange vor dem Telefonanruf
Die Täter riefen ausgewählte Mitarbeiter teilweise auf deren privaten Mobiltelefonen an und gaben sich als interner IT-Support aus.
Der Anruf wirkte glaubwürdig.
Teilweise erschien sogar die vermeintlich korrekte Telefonnummer des unternehmenseigenen Helpdesks. Den Mitarbeitern wurde beispielsweise erklärt, Passkeys oder Multi-Faktor-Authentifizierung müssten dringend aktualisiert werden.
Anschließend führten Links oder Anweisungen auf täuschend echt gestaltete Webseiten.
Für den Betroffenen wirkt die Situation plausibel:
- Der Anrufer kennt das Unternehmen.
- Er verwendet interne Begriffe.
- Er kennt möglicherweise den Namen des Mitarbeiters.
- Die angezeigte Telefonnummer scheint korrekt zu sein.
- Die angebliche IT-Maßnahme klingt technisch nachvollziehbar.
- Zusätzlich wird Zeitdruck erzeugt.
Genau an diesem Punkt wird aus einem technischen Sicherheitsproblem ein Intelligence-Problem.
Denn bevor ein Angreifer einen Mitarbeiter überzeugend kontaktieren kann, muss er zunächst Informationen sammeln.
OSINT → Reconnaissance → Social Engineering → Zugriff
Aus kriminalistischer und Corporate-Intelligence-Sicht lässt sich ein solcher Angriff häufig als Informationskette betrachten:
OSINT → Reconnaissance → Zielauswahl → Informationsverdichtung → glaubwürdige Legende → Social Engineering → Zugriff
Der eigentliche Angriff beginnt damit möglicherweise Tage oder Wochen vor dem ersten Telefonat.
Angreifer analysieren beispielsweise öffentlich verfügbare Informationen aus:
- Unternehmenswebseiten
- Pressemitteilungen
- Karriereportalen
- sozialen Netzwerken
- Konferenzprogrammen
- Mitarbeiterprofilen
- Handelsregisterinformationen
- Firmenverzeichnissen
- Veröffentlichungen über IT-Projekte
- Stellenanzeigen
- öffentlichen Telefonnummern und E-Mail-Strukturen
Eine einzelne Information ist häufig vollkommen harmlos.
Das Risiko entsteht durch ihre Kombination.
Aus einem LinkedIn-Profil lässt sich die Position eines Mitarbeiters erkennen.
Eine Stellenausschreibung verrät möglicherweise, welche IT-Systeme das Unternehmen verwendet.
Eine Pressemitteilung zeigt, dass gerade ein Transformationsprojekt läuft.
Ein Mitarbeiter schreibt öffentlich über eine neue Softwareeinführung.
Auf der Unternehmensseite findet sich die zentrale Supportnummer.
Aus mehreren kleinen Puzzleteilen entsteht plötzlich ein Angriffsszenario.
Was ein Angreifer wirklich wissen muss
Für erfolgreiches Social Engineering sind oftmals keine streng geheimen Informationen notwendig.
Häufig reichen fünf Dinge:
1. Wer besitzt interessante Zugriffsrechte?
Mitarbeiter aus Finance, Legal, IT, M&A, Personalwesen, Treasury oder Geschäftsführung sind besonders interessant.
2. Welche Systeme nutzt das Unternehmen?
Microsoft 365, VPN-Lösungen, CRM-Systeme, virtuelle Datenräume oder bestimmte Authentifizierungsverfahren können bereits aus öffentlichen Informationen hervorgehen.
3. Wie kommuniziert das Unternehmen intern?
Welche Bezeichnungen werden verwendet? Gibt es einen „IT Service Desk“, „Global Support“ oder „Helpdesk“?
4. Welche aktuelle Situation macht einen Anruf glaubwürdig?
Eine Fusion, ein IT-Rollout, eine Passwortumstellung, eine Geschäftsreise oder ein neues Sicherheitsverfahren liefern perfekte Vorwände.
5. Wie lässt sich beim Opfer Zeitdruck erzeugen?
„Ihr Account wird gesperrt.“
„Ihre MFA läuft heute ab.“
„Wir sehen einen unautorisierten Zugriff.“
„Der Vorstand benötigt Ihre Freigabe.“
Das technische Werkzeug ist anschließend oft nur noch der letzte Baustein.
Reales Beispiel: Social Engineering bei Levi Strauss
Wie real diese Gefahr ist, zeigte sich nur einen Tag nach Bekanntwerden der größeren Angriffskampagne.
Am 7. August 2026 bestätigte Levi Strauss, dass drei Mitarbeiter Ziel eines Social-Engineering-Angriffs geworden waren.
Nach Angaben des Unternehmens kam es dadurch zu einem unautorisierten Zugriff und zur Extraktion bestimmter Unternehmensinformationen.
Der Fall verdeutlicht einen entscheidenden Punkt:
Ein Unternehmen kann technologisch hervorragend geschützt sein und dennoch erfolgreich angegriffen werden, wenn es einem Täter gelingt, einen legitimierten Benutzer zur unbeabsichtigten Mitwirkung zu bewegen.
Ein gültiger Benutzer ist für viele Sicherheitssysteme zunächst kein Angreifer.
Genau das macht Social Engineering so gefährlich.
Fallbeispiel 2: Der vermeintliche IT-Support
Ein typisches Angriffsszenario könnte folgendermaßen aussehen:
Ein Senior Associate einer Beteiligungsgesellschaft veröffentlicht regelmäßig Beiträge auf LinkedIn.
Aus seinem Profil gehen hervor:
- Arbeitgeber
- Position
- Verantwortungsbereich
- aktuelle Transaktionen
- Veranstaltungen
- Geschäftsreisen
Eine Unternehmensseite verrät zusätzlich den Aufbau der E-Mail-Adressen.
Über eine Stellenausschreibung erfahren Angreifer, dass Microsoft 365 und bestimmte Security-Lösungen eingesetzt werden.
Am Montagmorgen erhält der Mitarbeiter einen Anruf.
„Hier ist der IT-Service. Wir haben seit dem Wochenende Probleme mit der Authentifizierung mehrerer Accounts. Ihre MFA muss einmal neu registriert werden.“
Der Mitarbeiter erhält einen Link.
Die Webseite sieht nahezu identisch mit dem legitimen Microsoft-Login aus.
Anschließend werden Zugangsdaten oder Authentifizierungsinformationen abgegriffen.
Die entscheidende Schwachstelle war nicht Microsoft 365.
Die entscheidende Schwachstelle war die Informationslage über den Mitarbeiter und das Unternehmen.
Fallbeispiel 3: Die Kanzlei und der angebliche Mandant
Besonders gefährdet sind auch Rechtsanwaltskanzleien.
Ein Angreifer identifiziert öffentlich, welche Partner einer Kanzlei im Bereich M&A tätig sind.
Anschließend werden Mitarbeiterprofile analysiert.
Ein Associate erhält daraufhin eine Nachricht:
„Wir haben neue Unterlagen für Project Falcon hochgeladen. Der Datenraum wurde aktualisiert.“
Der Projektname wurde möglicherweise aus einem öffentlichen Zusammenhang rekonstruiert oder durch vorherige Kommunikation ermittelt.
Der Link führt zu einer gefälschten Datenraum-Anmeldung.
Der Mitarbeiter erkennt keinen offensichtlichen Grund für Misstrauen.
Das Szenario funktioniert gerade deshalb, weil der Angriff nicht zufällig erfolgt.
Er ist zielgerichtet, vorbereitet und personalisiert.
Fallbeispiel 4: Der Angriff auf die Geschäftsführung
Noch kritischer wird es bei Führungskräften.
Vorstandsmitglieder, Geschäftsführer, Family Offices und Investment Professionals hinterlassen regelmäßig digitale Spuren:
- Termine
- Konferenzteilnahmen
- Interviews
- Reisen
- Beteiligungen
- Geschäftsbeziehungen
- private Interessen
- Assistenzen
- Mitgliedschaften
- Unternehmensstrukturen
Ein Angreifer benötigt nicht zwingend Zugriff auf interne Systeme, um daraus eine überzeugende Geschichte zu entwickeln.
Eine öffentlich angekündigte Geschäftsreise kann beispielsweise für einen angeblichen Sicherheitsanruf genutzt werden:
„Aufgrund Ihrer Anmeldung aus dem Ausland müssen wir Ihr Firmenkonto verifizieren.“
In diesem Moment wirken technische Maßnahmen und Human Intelligence zusammen.
Warum Multi-Faktor-Authentifizierung allein nicht genügt
MFA ist ein wichtiger Bestandteil moderner IT-Sicherheit.
Sie ist jedoch kein vollständiger Schutz gegen Social Engineering.
Wenn ein Mitarbeiter davon überzeugt wird, selbst:
- einen Passkey neu zu registrieren,
- einen Authentifizierungsvorgang freizugeben,
- einen QR-Code zu scannen,
- eine Webseite aufzurufen,
- einen Session-Prozess zu bestätigen,
kann ein technischer Sicherheitsmechanismus durch menschliche Interaktion ausgehebelt werden.
Deshalb sollten Unternehmen nicht nur fragen:
„Wie sicher sind unsere Systeme?“
Die zweite Frage muss lauten:
„Welche Informationen benötigt ein Angreifer, um unsere Mitarbeiter dazu zu bringen, ihm selbst Zugang zu verschaffen?“
Die Perspektive eines Ermittlers unterscheidet sich von klassischer IT-Sicherheit
IT-Security betrachtet in erster Linie Systeme, Netzwerke, Berechtigungen und technische Schwachstellen.
Corporate Intelligence und professionelle Ermittlungsarbeit stellen zusätzliche Fragen:
- Wer könnte ein attraktives Ziel sein?
- Welche Informationen sind über diese Person öffentlich verfügbar?
- Welche Beziehungen bestehen innerhalb und außerhalb des Unternehmens?
- Welche Rolle spielt die Person in Entscheidungsprozessen?
- Welche Informationen lassen sich miteinander kombinieren?
- Welche Legende würde für diese Person glaubwürdig erscheinen?
- Welche organisatorischen Routinen sind erkennbar?
- Wo überschneiden sich private und geschäftliche Informationen?
Genau hier liegt eine besondere Stärke von Privat Investigation Service Detegere.
Unsere Arbeit verbindet kriminalistische Analyse, OSINT, Background Checks, Corporate Intelligence und Sicherheitsberatung.
Wir betrachten ein Unternehmen nicht ausschließlich aus technischer Perspektive.
Wir versuchen vielmehr, die Informationslage aus Sicht eines möglichen Angreifers zu verstehen.
Denken wie ein Angreifer – handeln wie ein Ermittler
Eine der wichtigsten Fragen moderner Unternehmenssicherheit lautet:
Was könnte ein professioneller Angreifer bereits heute über unser Unternehmen und unsere Schlüsselpersonen herausfinden, ohne auch nur eine einzige interne Datenbank zu kompromittieren?
Genau hier setzt eine professionelle OSINT- und Exposure-Analyse an.
Dabei kann beispielsweise untersucht werden:
- Welche Informationen über Führungskräfte öffentlich verfügbar sind
- welche privaten Kontaktdaten auffindbar sind
- welche Familien- oder Beziehungsstrukturen sichtbar werden
- welche Reisen und Termine rekonstruiert werden können
- welche Unternehmenssysteme öffentlich identifizierbar sind
- welche Mitarbeiter besonders interessante Zugriffsrechte besitzen könnten
- welche Lieferanten und Dienstleister erkennbar sind
- welche internen Strukturen sich aus öffentlichen Quellen ableiten lassen
- welche Social-Engineering-Legenden besonders glaubwürdig wirken könnten
Ziel einer solchen Analyse ist nicht die Überwachung von Mitarbeitern.
Ziel ist die Beantwortung einer anderen Frage:
Was könnte ein Angreifer mit denselben frei verfügbaren Informationen über uns herausfinden?
Warum Private Equity, Kanzleien und Finanzunternehmen besonders attraktiv sind
Die aktuelle Angriffswelle überrascht aus kriminalistischer Sicht kaum.
Gerade diese Unternehmen vereinen mehrere Eigenschaften, die sie für professionelle Angreifer besonders attraktiv machen.
Private Equity und M&A
Hier befinden sich Informationen über:
- bevorstehende Transaktionen
- Unternehmensbewertungen
- Finanzierungsstrukturen
- Kaufpreise
- Beteiligungen
- Due-Diligence-Ergebnisse
- Investoren
Bereits die Kenntnis einer noch nicht veröffentlichten Transaktion kann erheblichen wirtschaftlichen Wert besitzen.
Kanzleien
Rechtsanwälte verfügen häufig über Informationen, die für Angreifer noch wertvoller sind als Daten beim eigentlichen Mandanten.
Dazu gehören:
- interne Untersuchungen
- Rechtsstreitigkeiten
- M&A-Vorgänge
- Compliance-Verstöße
- Ermittlungsverfahren
- strategische Entscheidungen
Finanzunternehmen und Family Offices
Hier können Angreifer Informationen über:
- Vermögensstrukturen
- Transaktionen
- Konten
- Beteiligungen
- Investmentstrategien
- wirtschaftlich Berechtigte
erlangen.
Der potenzielle Schaden eines erfolgreichen Zugriffs ist entsprechend hoch.
Social Engineering ist längst professionelle Aufklärungsarbeit
Das Bild vom Cyberkriminellen, der wahllos Millionen Phishing-Mails verschickt, greift bei hochwertigen Angriffen zu kurz.
Professionelle Täter betreiben zunehmend etwas, das aus Ermittlersicht stark an klassische Aufklärung erinnert.
Sie:
identifizieren – beobachten – analysieren – verknüpfen – bewerten – kontaktieren.
Erst danach beginnt der eigentliche Zugriff.
Genau deshalb verschwimmen die Grenzen zwischen Cybersecurity, OSINT, Corporate Intelligence und klassischer Ermittlungsarbeit zunehmend.
Was Unternehmen jetzt überprüfen sollten
Unternehmen sollten ihre Sicherheitsstrategie nicht ausschließlich auf technische Verteidigung reduzieren.
Mindestens ebenso wichtig ist eine regelmäßige Bewertung der extern sichtbaren Informationslage.
Dazu gehören insbesondere:
Digital Exposure von Schlüsselpersonen
Welche beruflichen und privaten Informationen über Führungskräfte und sensible Mitarbeiter lassen sich öffentlich finden?
OSINT-basierte Angreiferperspektive
Welche Informationen können externe Personen miteinander verknüpfen?
Prozesse für IT-Support
Dürfen Mitarbeiter überhaupt aufgrund eines Telefonanrufs Passwörter, Passkeys oder MFA-Einstellungen verändern?
Verifizierung von Supportkontakten
Gibt es ein festgelegtes Verfahren, über das Mitarbeiter IT-Anfragen unabhängig verifizieren können?
Social-Engineering-Awareness
Mitarbeiter sollten nicht nur allgemeine Phishing-Schulungen erhalten, sondern realistische Angriffsszenarien kennen.
Schutz privater Kommunikationswege
Gerade private Mobilfunknummern und private E-Mail-Adressen von Schlüsselpersonen können für Angriffe relevant sein.
Incident Response
Unternehmen benötigen klare Abläufe für den Fall, dass ein Mitarbeiter vermutet, auf einen Social-Engineering-Angriff reagiert zu haben.
Unsere Expertise: Corporate Intelligence beginnt vor dem Angriff
Privat Investigation Service Detegere beschäftigt sich mit genau der Schnittstelle zwischen Menschen, Informationen und unternehmerischen Risiken.
Im Rahmen unserer Ermittlungs- und Intelligence-Arbeit unterstützen wir Unternehmen, Kanzleien, Entscheidungsträger und vermögende Privatpersonen unter anderem in den Bereichen:
- Corporate Intelligence
- OSINT
- Background Checks
- Due Diligence
- Wirtschaftskriminalität
- interne Ermittlungen
- digitale Forensik
- Sicherheits- und Risikoanalysen
Unser Ansatz basiert dabei auf einem kriminalistischen Grundprinzip:
Eine Information sollte niemals isoliert bewertet werden. Entscheidend ist, welches Gesamtbild aus vielen einzelnen Informationen entsteht.
Genau dieses Prinzip nutzen auch professionelle Angreifer.
Der Unterschied:
Wir versuchen, dieses Bild vorher zu erkennen.
Fazit: Die gefährlichste Schwachstelle besitzt häufig ein gültiges Passwort
Die aktuelle Angriffswelle gegen Finanzunternehmen, Private-Equity-Gesellschaften und Kanzleien zeigt eindrucksvoll, wie sich Cyberangriffe verändern.
Der Täter muss nicht zwingend eine Firewall überwinden.
Er muss unter Umständen nur wissen:
Wen muss ich anrufen?
Was muss ich dieser Person erzählen?
Welche Informationen machen meine Geschichte glaubwürdig?
Die technische Kompromittierung ist dann nur noch der letzte Schritt einer wesentlich längeren Angriffskette.
Moderne Unternehmenssicherheit muss deshalb Technik und Intelligence gemeinsam betrachten.
Denn bevor ein Angreifer versucht, ein System zu kompromittieren, versucht er häufig zunächst, das Unternehmen zu verstehen.
Und genau dort sollte professionelle Prävention beginnen.
FAQ – Social Engineering, OSINT und Unternehmenssicherheit
Was ist Social Engineering?
Social Engineering bezeichnet Methoden, bei denen Menschen gezielt manipuliert werden, um Informationen preiszugeben oder bestimmte Handlungen vorzunehmen. Täter können sich beispielsweise als IT-Support, Vorgesetzte, Lieferanten, Banken oder Geschäftspartner ausgeben.
Was hat OSINT mit Social Engineering zu tun?
OSINT – Open Source Intelligence – bezeichnet die systematische Auswertung öffentlich verfügbarer Informationen. Diese Informationen können Angreifern helfen, glaubwürdige Angriffsszenarien zu entwickeln und geeignete Zielpersonen zu identifizieren.
Können auch private Telefonnummern von Mitarbeitern ein Sicherheitsrisiko darstellen?
Ja. Gerade private Kontaktdaten können für zielgerichtete Angriffe relevant sein, weil ein Anruf auf einem privaten Smartphone häufig weniger stark mit einem Cyberangriff in Verbindung gebracht wird als eine verdächtige geschäftliche E-Mail.
Schützt Multi-Faktor-Authentifizierung vor Social Engineering?
MFA erhöht die Sicherheit erheblich, bietet jedoch keinen vollständigen Schutz. Wenn ein Mitarbeiter manipuliert wird, selbst eine Authentifizierung zu bestätigen oder Sicherheitseinstellungen zu verändern, kann auch MFA unter bestimmten Umständen umgangen werden.
Was ist Vishing?
Vishing steht für „Voice Phishing“. Dabei versuchen Täter, ihre Opfer telefonisch zu manipulieren. Häufig geben sie sich als IT-Support, Bankmitarbeiter, Behörden oder interne Ansprechpartner aus.
Können Telefonnummern manipuliert werden?
Ja. Durch sogenanntes Caller-ID-Spoofing kann unter bestimmten Umständen eine andere Telefonnummer beim angerufenen Teilnehmer angezeigt werden. Deshalb sollte allein die angezeigte Telefonnummer niemals als sicherer Identitätsnachweis betrachtet werden.
Welche Mitarbeiter sind besonders gefährdet?
Besonders interessant für Angreifer können Personen mit Zugang zu sensiblen Informationen oder kritischen Systemen sein, beispielsweise aus Geschäftsführung, IT, Finance, Treasury, Personalwesen, Legal, M&A oder Assistenzbereichen.
Was ist eine OSINT-Exposure-Analyse?
Dabei wird untersucht, welche Informationen ein externer Akteur mit legal zugänglichen öffentlichen Quellen über ein Unternehmen oder definierte Schlüsselpersonen zusammentragen könnte.
Ziel ist es, mögliche Informationsrisiken aus der Perspektive eines Angreifers frühzeitig sichtbar zu machen.
Warum sind Führungskräfte besonders gefährdet?
Führungskräfte verfügen häufig über weitreichende Entscheidungsbefugnisse und Zugang zu sensiblen Informationen. Gleichzeitig gibt es über sie aufgrund ihrer öffentlichen Rolle häufig wesentlich mehr frei verfügbare Informationen als über andere Mitarbeiter.
Wie kann Detegere Unternehmen unterstützen?
Privat Investigation Service Detegere unterstützt Unternehmen und Entscheidungsträger insbesondere mit OSINT, Corporate Intelligence, Background Checks, Due Diligence, Ermittlungen im Bereich Wirtschaftskriminalität sowie spezialisierten Sicherheits- und Risikoanalysen.
Dabei betrachten wir nicht nur einzelne Informationen, sondern ihre Zusammenhänge und die daraus entstehenden Risiken.
Quellenhinweis:
Grundlage der aktuellen Einordnung sind öffentlich bekannt gewordene Berichte über die im August 2026 beobachtete Angriffswelle gegen internationale Finanz-, Private-Equity- und Beratungsunternehmen sowie die von Levi Strauss bekannt gegebene Social-Engineering-Kompromittierung.
Bild: KI generiert
