Cyberbedrohungen Social Engineering: Mensch bleibt wichtigster Angriffsvektor

Anbieter zum Thema

SANS Institute, EMEA

CADFEM Germany GmbH

Softeq Development GmbH

Das Sans Institute hat jetzt die 10. Ausgabe des Security Awareness Report veröffentlicht. Dieser dient Cybersecurity-Teams als Referenz zur Messung des Reifegrads und der Stärkung der menschlichen Verteidigung gegen Bedrohungen. Social Engineering wird von 80 Prozent der Befragten als größtes Risiko gesehen. 

Laut dem aktuellen Security Awareness Report von Sans Institute stufen 80 Prozent der Unternehmen Social Engineering als das größte menschenbezogene Risiko ein – eine bereits erhebliche Bedrohung, die durch künstliche Intelligenz noch einmal verstärkt wird. Da Angreifer KI einsetzen, um noch überzeugendere und skalierbare Täuschungstaktiken zu entwickeln, war das Risiko durch menschliches Fehlverhalten noch nie so hoch. Diese Erkenntnis ist ein zentrales Ergebnis der zehnten Jubiläumsausgabe des „Security Awareness Report: Embedding a Strong Security Culture“.

Der Report basiert auf der bisher größten Umfrage des Sans Institute mit Beiträgen von mehr als 2.700 Security-Awareness-Praktikern aus über 70 Ländern. Damit liefert er die umfassendste Analyse seit Bestehen der Studie. Lance Spitzner, Technical Director für Workforce Security & Risk Training bei Sans Institute, erklärt: „Die Veröffentlichung der zehnten Ausgabe unseres Security Awareness Report ist ein Meilenstein und unser bislang ambitioniertester und weitreichendster Bericht. Als dual einsetzbares Playbook konzipiert, befähigt er Security-Awareness-Professionals nicht nur, unternehmensweite Verhaltens- und Kulturveränderungen voranzutreiben, sondern auch die eigene Karriere gezielt zu entwickeln.“

Wichtige Erkenntnisse des Security Awareness Reports

• Führende menschenbezogene Risiken: Social Engineering bleibt mit deutlichem Abstand die Top-Bedrohung (laut 80 Prozent der Befragten). Phishing dominiert weiterhin, während Smishing- und Vishing-Angriffe sowohl in Häufigkeit als auch Raffinesse zunehmen. Neu gegenüber dem Vorjahr: Falscher Umgang mit sensiblen Daten belegt nun Platz zwei, gefolgt von schwachen Passwörtern bzw. mangelhafter Authentifizierung. Diese Entwicklung unterstreicht, dass gezieltes, verhaltensorientiertes Training weiterhin geschäftskritisch ist.
• Herausforderungen bei der Umsetzung: Mangel an Zeit und Personal sind, wie schon in den Vorjahren, die größten Hemmnisse für den Aufbau und Betrieb wirkungsvoller Programme. Der Report empfiehlt explizit den Einsatz von Generativer KI, um Security-Teams zu entlasten und deren Wirkung global zu skalieren.
• Benchmarking & Reifegrad: Zum sechsten Mal in Folge bestätigt sich: Größere Security-Awareness-Teams betreiben reifere Programme. Im Durchschnitt sind mindestens 2,8 FTE (Full-Time Equivalents) nötig, um Verhalten nachhaltig zu beeinflussen – und vier oder mehr FTE, um die Sicherheitskultur spürbar zu verändern. Langfristige Stabilität ist entscheidend: Je länger ein Programm etabliert ist, desto wahrscheinlicher verbessert es Prozesse, stärkt Partnerschaften und bindet Mitarbeiter aktiv ein, um menschliches Risiko zu senken.
• Karriere- und Gehaltsentwicklung: 2025 liegt das globale Durchschnittsgehalt für Fachkräfte im Bereich Security Awareness bei 116 091 US-Dollar. Nordamerika führt mit 129.961 US-Dollar, in Europa beträgt der Schnitt 93.661 US-Dollar.

Verschärfte Bedrohungslage durch Social Engineering und GenAI

Lance Spitzner erläutert: „Die diesjährigen Ergebnisse stehen vor dem Hintergrund einer Bedrohungslage, die durch Generative AI, Deepfakes und andere neue Angriffstechniken weiter verschärft wird. Der Report liefert praxisrelevante, datenbasierte Insights, wie Security-Teams reagieren, wo Lücken bestehen und welche Strategien messbare Wirkung erzielen. In einem Bereich, in dem menschliches Risiko oft unterschätzt wird, setzt dieser Bericht einen klaren Fokus auf die dringendsten Herausforderungen der Cybersecurity.“

Der aktuelle Sans-Report liefert praxisrelevante, datenbasierte Insights, wie Security-Teams reagieren, wo Lücken bestehen und welche Strategien messbare Wirkung erzielen. 

Lance Spitzner, Sans Institute

Das Sans Institute wurde 1989 als kooperative Forschungs- und Bildungseinrichtung gegründet. Heute ist Sans einer der größten Anbieter von Cybersecurity-Trainings und Zertifizierungen. Sie richten sich an Fachkräfte in staatlichen Institutionen und Unternehmen. Die renommierten Dozenten lehren über 85 Kurse auf Präsenz- und virtuellen Cybersecurity-Veranstaltungen sowie OnDemand. Das Sans Technology Institute ist eine regional akkreditierte, unabhängige Tochtergesellschaft und bietet Master- und Bachelorstudiengänge, Graduate Certificates sowie ein Undergraduate Certificate in Cybersecurity an.

Cyberangriffe

Angriffstechniken: Die fünf gefährlichsten Vektoren

.