Social Engineering bezeichnet die gezielte Manipulation von Menschen, um an Informationen, Zugänge oder Handlungen zu gelangen, statt technische Schutzmaßnahmen zu überwinden. Gearbeitet wird mit verlässlichen psychologischen Hebeln: Autorität, Zeitdruck, Hilfsbereitschaft, Angst vor Konsequenzen und dem Wunsch, nicht als unkooperativ zu gelten.
Die Bandbreite reicht von Phishing über den Anruf des angeblichen IT-Supports bis zum unangekündigten Besuch eines vermeintlichen Technikers, der freundlich in den Serverraum gebeten wird. Ein Angriff beginnt fast immer mit Recherche, wofür Website, Social-Media-Profile, Stellenanzeigen und Abwesenheitsnotizen ausreichend Material liefern, um glaubwürdig aufzutreten. Als Synonym ist der Ausdruck Human Hacking gebräuchlich, der dieselbe Sache aus Angreifersicht beschreibt.
Wirksame Abwehr ist organisatorisch: feste Rückrufregeln bei Zahlungs- und Zugangsanfragen über einen bereits bekannten Kanal, klare Zuständigkeiten für Auskünfte und eine Kultur, in der Nachfragen und Ablehnen ausdrücklich gedeckt sind. Technik hilft flankierend, etwa durch phishing-resistente Anmeldeverfahren, kann aber niemanden davon abhalten, ein Passwort am Telefon zu nennen.