Social Engineering im Stadtwerk: Warum kritische Freigaben einen zweiten Kanal brauchen

Glaubwürdigkeit ist kein ausreichender Sicherheitsnachweis mehr

Social Engineering nutzt keine neue menschliche Schwäche. Angreifer arbeiten seit Langem mit Vertrauen, Autorität, Hilfsbereitschaft und Zeitdruck. Neu ist die Qualität der technischen Unterstützung. Öffentlich verfügbare Informationen können Nachrichten präzise auf Personen, Projekte und Sprachgewohnheiten zuschneiden. Stimmen lassen sich imitieren. Absender, Gesprächsanlass und Dringlichkeit können zusammen ein scheinbar stimmiges Bild ergeben.

Ein aktueller BDEW-Fachbeitrag beschreibt diese Entwicklung für Energieunternehmen und verweist auf klassische Schutzmaßnahmen: sensible Aktionen nicht allein durch eine E-Mail oder einen Anruf autorisieren, Mehr-Augen-Prinzip nutzen, über einen getrennten Kanal zurückrufen und verdächtige Beobachtungen früh melden. Auch das BSI ordnet Phishing, CEO-Fraud und andere Täuschungen als Formen des Social Engineering ein.

Für Stadtwerke folgt daraus eine klare Betriebsfrage: Welche Handlungen dürfen niemals nur aufgrund einer glaubwürdigen Nachricht ausgelöst werden? Die Antwort muss vor dem Angriff im Prozess stehen. Im Ernstfall ist es zu spät, aus dem Bauch heraus zu entscheiden, ob eine Stimme echt klingt.

Kritische Aktionen zuerst inventarisieren

Nicht jede Nachricht braucht denselben Schutz. Eine allgemeine Terminanfrage ist anders zu behandeln als eine Änderung von Zugriffsrechten, ein Fernwartungszugang oder die Freigabe einer sensiblen Datei. Der erste Schritt ist deshalb ein Inventar kritischer Aktionen.

Dazu gehören mindestens Änderungen an Benutzerkonten und Berechtigungen, Zurücksetzen von Authentisierungsmerkmalen, Aktivieren externer Zugänge, Änderungen an Zahlungs- oder Stammdaten, Freigaben außerhalb üblicher Abläufe sowie das Übermitteln vertraulicher Betriebsinformationen. Im Netz- und Anlagenbetrieb kommen Eingriffe hinzu, bei denen Identität, Auftrag und zulässiger Umfang zweifelsfrei geklärt sein müssen.

Für jede Aktion wird festgelegt, welche Nachweise erforderlich sind. Entscheidend ist, dass die Prüfung nicht denselben Kanal und dieselbe Identität erneut verwendet. Wer eine verdächtige E-Mail durch eine Antwort auf genau diese E-Mail verifiziert, hat keinen unabhängigen Rückkanal geschaffen. Dasselbe gilt für einen Rückruf an eine Nummer, die erst in der fraglichen Nachricht genannt wurde.

Der zweite Kanal muss wirklich unabhängig sein

Ein belastbarer Rückkanal stammt aus einer bereits gepflegten Quelle. Das kann ein internes Verzeichnis, ein bekanntes Ticketsystem, eine vorher vereinbarte Rufnummer oder eine Freigabeanwendung mit starker Authentisierung sein. Die anfragende Person bestimmt diesen Kanal nicht spontan.

Der Ablauf kann einfach sein. Eine kritische Anfrage wird zunächst gestoppt. Die bearbeitende Person eröffnet oder referenziert einen Vorgang im vorgesehenen System. Eine zweite berechtigte Person prüft Inhalt und Anlass. Anschließend wird die Identität über den festgelegten Rückkanal bestätigt. Erst danach darf die Aktion im genau bestätigten Umfang erfolgen.

Dieser Prozess schützt nicht nur gegen gefälschte Stimmen oder Nachrichten. Er hilft auch bei kompromittierten echten Konten. Selbst wenn ein Angreifer Zugriff auf ein Postfach hat, fehlt ihm der unabhängige Freigabeschritt. Deshalb ist der zweite Kanal stärker als eine rein technische Prüfung der Nachricht.

Stop-Regeln entlasten Mitarbeitende unter Druck

Angreifer erzeugen bewusst eine Situation, in der Nachdenken als Störung erscheint. Eine angebliche Führungskraft verlangt sofortiges Handeln. Ein vermeintlicher Techniker warnt vor einem Ausfall. Eine Frist scheint in wenigen Minuten zu enden. Gute Sicherheitsprozesse müssen Mitarbeitende in diesem Moment entlasten.

Eine Stop-Regel sagt nicht nur, was verboten ist. Sie gibt eine sozial akzeptierte Handlung vor: „Ich darf diesen Vorgang erst nach unabhängiger Bestätigung fortsetzen.“ Damit wird die Verzögerung nicht als persönliches Misstrauen, sondern als Unternehmensstandard verstanden. Führungskräfte müssen diese Regel sichtbar unterstützen und selbst einhalten. Wer im Alltag Ausnahmen verlangt, schwächt den Schutz genau dort, wo Autorität später missbraucht werden kann.

Nützlich sind kurze Standardsätze für Telefon, Chat und E-Mail. Sie erklären, dass eine kritische Änderung über den definierten Rückkanal bestätigt wird. Der Text enthält keine Diskussion über Verdacht und keine technischen Details. Er macht lediglich den nächsten sicheren Schritt klar.

Melden muss leichter sein als Verschweigen

Der BDEW-Beitrag betont eine Kultur, in der verdächtige Vorfälle und eigene Fehler ohne Angst vor Sanktionen früh gemeldet werden können. Das ist operativ entscheidend. Wer nach einem Klick oder einer Datenweitergabe zunächst persönliche Folgen fürchtet, verliert möglicherweise wertvolle Zeit.

Ein Meldeweg sollte deshalb niedrigschwellig und eindeutig sein. Mitarbeitende brauchen eine bekannte Telefonnummer oder einen festen digitalen Kanal, der auch dann funktioniert, wenn das übliche E-Mail-System verdächtig erscheint. Die Meldung darf zunächst knapp sein: Wer hat über welchen Kanal was verlangt, welche Aktion wurde bereits ausgeführt und welche Systeme oder Daten könnten betroffen sein?

Das Sicherheitsteam übernimmt danach die Strukturierung. Es sichert relevante Informationen, begrenzt mögliche Auswirkungen und entscheidet über weitere Schritte. Die meldende Person muss keine fertige forensische Bewertung liefern. Diese Rollentrennung senkt die Hemmschwelle und verbessert die Reaktionsgeschwindigkeit.

Übungen müssen den echten Arbeitsdruck abbilden

Eine jährliche Schulungsfolie schafft Aufmerksamkeit, aber noch keine Routine. Stadtwerke sollten kritische Freigabewege mit kleinen, kontrollierten Übungen testen. Dabei geht es nicht darum, Beschäftigte bloßzustellen. Der Test soll zeigen, ob Regeln verständlich, Rückkanäle erreichbar und Eskalationswege belastbar sind.

Ein Szenario kann mit einer scheinbar dringenden Berechtigungsänderung beginnen. Ein anderes nutzt einen angeblichen externen Wartungseinsatz. Ein drittes kombiniert Chat und Telefon, um Glaubwürdigkeit zu erhöhen. Die Übung endet, sobald die vorgesehene Stop-Regel und unabhängige Prüfung ausgelöst wurden. Reale Zugangsdaten oder produktive Änderungen sind nicht erforderlich.

Gemessen werden Prozesssignale: Wie schnell wurde die Anfrage gestoppt? War der richtige Rückkanal bekannt? Konnte die zweite prüfende Rolle erreicht werden? Wurde der Vorgang dokumentiert? Wo entstanden Unsicherheit oder informelle Abkürzungen? Die Ergebnisse fließen in Arbeitsanweisungen und Verzeichnisse zurück.

Externe Dienstleister gehören in denselben Prüfpfad

Energieunternehmen arbeiten mit Herstellern, IT-Dienstleistern, Planern und Wartungspartnern zusammen. Diese Beziehungen liefern Angreifern plausible Rollen. Ein vermeintlich bekannter Dienstleister kann Fachbegriffe verwenden und einen realistischen Anlass nennen. Deshalb darf die Lieferantenbeziehung den unabhängigen Identitätsnachweis nicht ersetzen.

Für externe Zugriffe braucht es eine gepflegte Zuordnung von Unternehmen, berechtigten Personen, zulässigen Tätigkeiten, Zeitfenstern und internen Auftraggebern. Änderungen an diesen Angaben folgen demselben kontrollierten Prozess wie interne Berechtigungen. Ein spontaner Anruf kann einen Vorgang anstoßen, aber nicht allein autorisieren.

Auch hier hilft ein klarer Mindestdatensatz: Ticket- oder Auftragsreferenz, Zielsystem, beantragter Umfang, geplantes Zeitfenster, verantwortliche interne Rolle und bestätigter Rückkanal. Fehlt ein Element, bleibt der Zugang geschlossen, bis die Klärung abgeschlossen ist.

Automatisierung darf die Freigabe nicht unsichtbar machen

Digitale Workflows können Rückfragen, Status und Nachweise vereinfachen. Sie dürfen jedoch keine kritische Entscheidung hinter einem schnellen Klick verbergen. Eine gute Anwendung zeigt, welche Aktion freigegeben wird, wer sie beantragt hat, welche Quelle die Identität bestätigt und wie lange die Freigabe gilt.

Bei KI-gestützten Assistenten gilt dieselbe Grenze. Sie können Anfragen klassifizieren, Pflichtfelder prüfen oder auf ungewöhnliche Muster hinweisen. Sie sollten keine sensible Aktion allein aufgrund einer plausibel formulierten Nachricht auslösen. Die menschliche Freigabe bleibt an den unabhängigen Prüfpfad gebunden.

Damit wird Sicherheit zu Prozessarchitektur. Die Organisation verlässt sich nicht darauf, jede Fälschung sicher zu erkennen. Sie baut einen Ablauf, in dem selbst eine überzeugende Fälschung an einer unabhängigen Bestätigung scheitert.

Vertrauen wird durch verlässliche Verfahren geschützt

Social Engineering zielt auf die Beziehungen, die den Arbeitsalltag schnell machen: bekannte Stimmen, etablierte Rollen und Hilfsbereitschaft. Stadtwerke müssen dieses Vertrauen nicht abschaffen. Sie müssen es mit einem Verfahren ergänzen, das für kritische Aktionen einen zweiten Beleg verlangt.

Das wirksamste Ergebnis ist eine kurze, geübte Kette: stoppen, Vorgang erfassen, unabhängig bestätigen, begrenzt freigeben und dokumentieren. Wenn Mitarbeitende diese Kette unter Zeitdruck ohne persönliche Hürde auslösen können, wird aus einer Sicherheitsempfehlung eine belastbare Betriebsroutine.