Glossar / Privatsphäre und Sicherheit
Social Engineering
- Was ist Social Engineering?
- Beim Social Engineering wird eine Person dazu gebracht, die Arbeit des Angreifers zu erledigen: eine Überweisung freigeben, einen Code vorlesen oder eine Regel umgehen, deren Einhaltung ihr beigebracht wurde.
Bei dieser Art von Angriff ist nichts kaputt außer dem Urteilsvermögen eines Menschen. Angreifer nehmen Mitarbeiter genauso ins Visier wie Kunden: Eine Telefonkampagne gegen Twitter-Mitarbeiter am 15. Juli 2020 erreichte 130 Konten und sammelte an einem einzigen Nachmittag rund 12,86 Bitcoin ein. Da eine bestätigte Bitcoin-Zahlung nicht rückgängig gemacht werden kann, muss der ganze Betrug nur ein einziges Mal funktionieren.
Wie es funktioniert
Jeder Social-Engineering-Angriff setzt dieselben vier Teile in derselben Reihenfolge zusammen.
Ein Vorwand gibt dem Angreifer einen Grund, mit Ihnen zu sprechen: Betrugsabteilung, Support der Börse, ein Lieferproblem, ein Jobangebot, ein neues Match in einer Dating-App. Autorität oder Vertrautheit lässt den Vorwand glaubwürdig erscheinen, geliefert durch eine gefälschte Rufnummernanzeige, ein echtes Detail aus einer geleakten Datenbank oder einfach die Kenntnis Ihres Namens und der Börse, die Sie nutzen. Dringlichkeit nimmt Ihnen die Möglichkeit zu prüfen, denn ein kompromittiertes Konto oder eine auslaufende Gelegenheit bedeutet, dass die Entscheidung jetzt fallen muss. Schließlich die unumkehrbare Handlung: die Coins senden, den Code vorlesen, das Fernzugriffswerkzeug installieren, die Wörter eintippen.
Bitcoin verschärft den letzten Schritt. Beim Kartenbetrug gibt es einen Kartenherausgeber, der eine Belastung zurückbuchen kann, und eine Bank, die einen Teil des Verlusts trägt. Eine bestätigte On-Chain-Zahlung hat beides nicht, die Ausbeute des Angreifers ist also im Moment der ersten Bestätigung endgültig, in der Regel etwa zehn Minuten, nachdem Sie auf Senden gedrückt haben.
Die schädlichsten Kampagnen überspringen den Kunden ganz und zielen auf die Mitarbeiter des Unternehmens, wo ein einziger Erfolg Tausende Konten erreicht. Coinbase gab am 15. Mai 2025 bekannt, dass Auftragnehmer im Kundensupport im Ausland bestochen worden waren, Kundendaten herauszugeben, die dann genutzt wurden, um überzeugende Anrufe nach dem Muster „Ihr Konto ist kompromittiert“ zu führen. Das Unternehmen lehnte eine Lösegeldforderung von 20 Millionen Dollar ab und schätzte die Kosten für Behebung und Erstattung auf 180 bis 400 Millionen Dollar.
Wo es auftritt
Sechs Social-Engineering-Muster decken die überwiegende Mehrheit der Verluste ab, und jedes hat eine mechanische Regel, die es abwehrt.
Der Anruf zur sicheren Wallet. Jemand, der behauptet, von Ihrer Börse oder vom Hersteller Ihrer Wallet zu sein, sagt, Ihr Konto sei kompromittiert, und leitet Sie dabei an, Guthaben auf eine „sichere Adresse“ zu verschieben, die er Ihnen nennt. Kein seriöses Unternehmen wird Sie jemals bitten, Coins zu verschieben. Jeder Anrufer, der das tut, ist der Angriff, also legen Sie auf.
Nachgeahmter Support in Suche und Chat. Bezahlte Suchanzeigen und Telegram- oder Discord-Konten mit dem richtigen Logo erscheinen genau in dem Moment, in dem Sie eine öffentliche Beschwerde posten. Echter Support meldet sich nicht zuerst. Wenden Sie sich nur über eine Seite an den Support, zu der Sie selbst navigiert sind.
Wiederbeschaffungsbetrug. Nach einem Verlust bietet ein zweiter Angreifer an, Ihre Coins gegen eine Vorabgebühr nachzuverfolgen und wiederzubeschaffen. Opferlisten werden genau dafür weiterverkauft. Kein privater Dienst kann eine Bitcoin-Transaktion rückgängig machen.
Zugang von innen. Bestochene Support-Auftragnehmer und Mitarbeiter von Telekommunikationsanbietern machen die normalen Werkzeuge eines Unternehmens zur Angriffsfläche, wie die Offenlegung von Coinbase zeigte. Gehen Sie davon aus, dass die Börse Ihren Bestand und Ihre Adresse kennt, und bewahren Sie Ihren langfristigen Bestand an einem Ort auf, den die Börse nicht erreicht.
Gefälschte Bewerbungsgespräche und Code. Entwicklern wird eine „Aufgabe für zu Hause“ oder ein Videocall-Plugin geschickt, das einen Informationsdieb installiert, der dann auf der Festplatte nach Wallet-Dateien und Seed-Sicherungen sucht.
Physischer Zwang. Geleakte Kundenadresslisten haben zu Hausüberfällen auf bekannte Halter geführt, behandeln Sie Ihren Bestand also als etwas, worüber Sie nicht sprechen und das Sie nicht zeigen.
Zwei Regeln decken alle sechs ab. Nehmen Sie niemals eine Handlung an Ihren Coins vor, die durch einen eingehenden Kontakt ausgelöst wurde, und rufen Sie immer unter einer Nummer zurück, die Sie selbst herausgesucht haben. Fügen Sie für jede ungeplante Überweisung eine persönliche Bedenkzeit von 24 Stunden ein, denn Dringlichkeit ist die Zutat, auf die kein Angreifer verzichten kann.