Zwei Angebote, ein Begriff
Auf dem Tisch des IT-Leiters liegen zwei Angebote mit derselben Überschrift. Beide Social-Engineering-Test-Anbieter nennen ihre Leistung „Social Engineering Pentest“. Nur einer davon prüft tatsächlich, ob das Unternehmen angreifbar ist.
Angebot A ist schlank. Drei Werktage Lieferzeit, 400 Empfänger, eine Phishing-Vorlage aus der Bibliothek, Landingpage mit Formular, am Ende ein PDF mit Klick- und Eingaberate pro Abteilung. Preis klar kalkulierbar, Aufwand auf Kundenseite nahezu null. Der Einkauf liebt dieses Angebot.
Angebot B wirkt daneben sperrig. Drei Wochen Vorlauf allein für Aufklärung, danach individuell entwickelte Pretexte, ein Anruf beim internen Helpdesk mit dem Ziel, ein Passwort zurücksetzen zu lassen, und optional ein Versuch, mit Besucherausweis in das Gebäude zu kommen. Dazu ein Freigabedokument, das Zielpersonen, Kanäle und Abbruchkriterien einzeln auflistet. Beide Angebote sind hier konstruiert, aber die Konstellation kennt jeder, der schon einmal drei Offerten nebeneinandergelegt hat.
Der Unterschied ist keine Geschmacksfrage. Angebot A misst, wie gut euer Mailfilter und eure Belegschaft eine generische Mail erkennen. Angebot B misst, ob ein motivierter Angreifer über Telefon, Pretext und Prozesslücken an privilegierte Zugänge kommt. Das sind zwei völlig verschiedene Fragen, aber nur eine davon beantwortet, wie real euer Risiko ist.
Wer nur Klickraten einkauft, testet seine Mailfilter. Die Kombination aus Pretexting und Phishing hingegen findet nicht nur im Posteingang statt, sondern auch am Telefon.
Warum „Social Engineering Pentest“ kein geschützter Leistungsumfang ist
Der Begriff ist am Markt doppelt belegt. Spezialisierte Dienstleister fokussieren sich ausschließlich auf Phishing, Vishing und physisches Pretexting, während vollumfängliche Offensive-Security-Firmen die menschliche Angriffsfläche mit technischen Angriffspfaden verbinden. Dazwischen liegen Plattformanbieter, deren eigentliches Produkt eine Awareness-Software ist, die sie trotzdem „Pentest“ nennen.
Ein vollständiger Social-Engineering-Test kombiniert mehrere Vektoren in einer koordinierten Kampagne: E-Mail, Telefon, Pretexting und physische Intrusion. Der Prozess dahinter ist wiederholbar und besteht laut Cyphere aus Scope und Autorisierung, OSINT-Recherche, Pretext-Entwicklung, kontrollierter Ausführung, Beweissicherung und Auswertung. Fehlt einer dieser Schritte im Angebot, fehlt er auch im Projekt.
Woran ihr Qualität überhaupt festmachen könnt
Es gibt drei Referenzrahmen, die euch bei der Auswahl helfen. Das BSI zertifiziert IT-Sicherheitsdienstleister im Geltungsbereich IS-Penetrationstest ausdrücklich mit dem Ziel, Institutionen bei der Anbieterauswahl zu unterstützen. International erfüllt CREST eine ähnliche Funktion und verlangt von akkreditierten Organisationen den Nachweis individuell geprüfter Tester. Und für regulierte Branchen liefert TIBER-EU eine eigene Guidance zur Beschaffung von Threat-Intelligence- und Red-Team-Dienstleistern.
| Rahmenwerk | Was geprüft wird | Prüfbarkeit für euch |
|---|---|---|
| BSI IS-Penetrationstest | Zuverlässigkeit, Unabhängigkeit, Fachkompetenz und Qualität des Dienstleisters | Geltungsbereich erfragen |
| CREST Member Company | Prozesse, Datenumgang und Standards der Organisation | Öffentliches Register |
| CREST Accredited Company | zusätzlich die technische Lieferqualität | Öffentliches Register |
| TIBER-EU | Auswahl und Beauftragung von Red-Team-Testern | Nur regulierte Sektoren |
Standardisierbar ist nur die Methode, nicht der Test
Das BSI stellt klar, dass Penetrationstests auf die individuelle Situation der getesteten Institution abzustimmen und nur in begrenztem Umfang standardisierbar sind. Genau das ist der Lackmustest für ein Angebot. Wenn der Leistungsschein für eine Stadtwerke-IT identisch aussieht wie für eine Privatklinik, ist er kein Test, sondern ein Produkt.
Die Klickrate misst das Falsche, und reale Vorfälle zeigen warum
Awareness-Kampagnen wirken, das ist unbestritten. Der Benchmarking-Report von KnowBe4 zeigt eine Reduktion der globalen Klickrate um 86 % nach zwölf Monaten Training. Diese Zahl sagt allerdings nichts darüber aus, was passiert, wenn um 22:40 Uhr jemand beim Service Desk anruft, die Namen von zwei Teamleitern kennt und ein neues Passwort braucht, weil er angeblich auf Dienstreise ist.
Dasselbe Muster, andere Branche. Am 15. Juli 2020 griffen Angreifer Mitarbeitende von Twitter über gezieltes Phone-Spear-Phishing an, übernahmen 130 Accounts und luden bei sieben Konten die kompletten Daten herunter. Bei Uber kombinierte ein Angreifer 2022 über eine Stunde MFA-Push-Spam mit einem direkten Kontakt als vermeintliche IT-Abteilung, bis der Vertragspartner bestätigte. Keiner dieser drei Vorfälle wäre von einer Massen-Phishing-Simulation vorhergesagt worden.
Eine niedrige Klickrate beweist nicht, dass eure Organisation resistent ist. Sie beweist, dass eine bestimmte Mail an einem bestimmten Tag wenige erreicht hat.
Fünf Fragen, die jedes Angebot vor der Unterschrift beantworten muss
Um Spreu und Weizen zu trennen, reichen fünf Fragen und die Bereitschaft, eine ausweichende Antwort als Antwort zu werten. Methodenkenntnis braucht es dafür nicht.
Beschaffungs-Checkliste für den nächsten Social-Engineering-Auftrag
Die folgenden Punkte gehören in die Anfrage, nicht erst in die Vertragsverhandlung. Sie kosten euch eine halbe Stunde und ersparen euch ein Projekt, dessen Ergebnis niemand braucht.
- Scope-Dokument einfordern: Zielgruppen, OSINT-Quellen, geplante Pretexte und Anzahl der Vishing-Calls schriftlich, vor Angebotsannahme.
- Akkreditierung verifizieren: Geltungsbereich abfragen und gegenprüfen.
- Gesonderte Freigabe unterschreiben: Social Engineering ist von einer allgemeinen Pentest-Beauftragung nicht automatisch gedeckt und benötigt eine ausdrückliche Freigabe mit klaren Grenzen.
- Helpdesk in den Scope nehmen: Der Support darf Passwörter zurücksetzen und MFA bestätigen, genau das machte den Angriff auf MGM Resorts möglich. Ein Social-Engineering-Assessment ohne Telefonkanal lässt die wichtigste Tür zu.
- Berichtstiefe vertraglich fixieren: Prozessanalyse, Beweiskette und Nachtest statt reiner Quote. Fragt vorab nach einem anonymisierten Musterbericht.
- Regulatorik mitdenken: Für besonders wichtige Einrichtungen sollen Maßnahmen nach NIS2 auch physische Sicherheit und menschliches Fehlverhalten berücksichtigen, der Testbericht muss das belegen können.
Beide Formate haben ihre Berechtigung. Nutzt die Simulation zur Trendmessung über Monate und das Assessment zur Beantwortung der Frage, ob ein echter Angreifer heute hereinkommt. Verwechselt nur die Ergebnisse nicht miteinander.
Fragen, die Auftraggeber vor der Beauftragung stellen
Was kostet ein Social-Engineering-Test und warum sind die Angebote so unterschiedlich?
Die Preisspanne entsteht fast vollständig durch die Recherchephase und die Anzahl der Kanäle. Eine automatisierte E-Mail-Simulation ist Softwarebetrieb, ein OSINT-gestützter Test mit individuellen Pretexten, Vishing und Beweissicherung ist Projektarbeit über mehrere Wochen.
Reicht eine Phishing-Simulation als Nachweis für NIS2?
Nach § 30 BSIG müssen Einrichtungen geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen ergreifen, die laut BSI auch physische Sicherheit und den Schutz vor menschlichem Fehlverhalten einschließen sollten. Eine reine Klickraten-Statistik belegt die Wirksamkeit organisatorischer Schutzmaßnahmen wie Identitätsprüfung am Helpdesk nicht. Für den Nachweis braucht es eine dokumentierte Prüfung der betroffenen Prozesse.
Braucht ein Social-Engineering-Test eine eigene rechtliche Freigabe?
Ja. Methoden wie Social Engineering oder Phishing-Simulationen benötigen eine ausdrückliche, gesonderte Freigabe durch den Auftraggeber und sind von einer allgemeinen Pentest-Beauftragung nicht automatisch gedeckt. Die Einwilligung darf nur der Verfügungsberechtigte über die betroffenen Daten erteilen und gilt ausschließlich im konkret vereinbarten Umfang. Betriebsrat und Datenschutzbeauftragte sollten früh eingebunden werden.
Woran erkenne ich, ob ein Anbieter wirklich zertifiziert ist?
Akkreditierungen gelten immer für definierte Geltungsbereiche, nicht pauschal für ein Unternehmen. Das BSI zertifiziert Dienstleister unter anderem im Bereich IS-Penetrationstest, und CREST unterscheidet zwischen Member Company und der höheren Stufe Accredited Company. Prüft die Angabe im jeweiligen öffentlichen Register statt auf der Anbieterwebsite.
Kauft nicht die Kampagne, kauft die Antwort auf eure Risikofrage
Was zählt, ist die Frage, was ihr am Ende wissen wollt. Der Preis ist zweitrangig. Wollt ihr wissen, ob eure Belegschaft über zwölf Monate hinweg besser wird, ist eine Simulationsplattform das richtige Werkzeug laut KnowBe4. Wollt ihr wissen, ob jemand heute Abend über euren Service Desk ein Administratorkonto übernimmt, braucht ihr Aufklärung, Pretexte und einen Menschen am Telefon!
Social Engineering lag in den DBIR-Ausgaben 2024 bis 2026 bei 17 bis 22 % aller Breaches. Das gehört in dieselbe Berichtslinie wie ein Infrastruktur-Pentest, nicht als Randnotiz in den Awareness-Jahresbericht. Entsprechend sollte auch die Beschaffung aussehen: mit Scope-Dokument, verifizierter Akkreditierung und einem Bericht, den eure Prüfer lesen können. Fehlt einer dieser Schritte im Angebot, fehlt er auch im Projekt.
- Erst die Frage, dann das Format: Trendmessung und Angriffssimulation sind zwei Produkte, kein Preisvergleich.
- Telefon und Helpdesk gehören in den Scope: Die Fälle von MGM liefen über Stimme, nicht über den Posteingang.
- Freigabe vor Kickoff: Schriftlich, abgegrenzt, vom Verfügungsberechtigten unterschrieben.
- 10 Minuten für 100 Millionen: Die Psychologie hinter dem Helpdesk-Anruf bei MGM im Detail
- Red Team, Pentest, Purple Team: Was der Unterschied ist und wann du was brauchst
- Deepfake-Vishing: Wie KI-Stimmklone Vishing-Angriffe auf ein neues Level heben
Welches der beiden Angebote liegt gerade auf eurem Tisch?
Wir prüfen mit euch Scope, Vektoren und Berichtstiefe und zeigen im Gespräch, was ein auf eure Organisation zugeschnittener Social-Engineering-Test tatsächlich beantwortet.
Erstgespräch anfordern →
