Am 16. Oktober 1906 besetzte der Schuster Wilhelm Voigt in einer gebrauchten Hauptmannsuniform mit einem Trupp Soldaten das Rathaus von Köpenick. Er ließ den Bürgermeister festnehmen und sich die Stadtkasse aushändigen. Die Einzelheiten wurden später vielfach erzählt, ausgeschmückt und verfilmt. Der historische Kern ist jedoch gut belegt: Voigt verfügte über kein militärisches Amt. Die Uniform und sein bestimmtes Auftreten reichten aus, damit andere seine vermeintliche Autorität akzeptierten.
Die Geschichte ist kein früher Cyberangriff. Sie macht aber ein Prinzip sichtbar, das bei Social Engineering bis heute funktioniert: Menschen orientieren sich an vertrauten Zeichen, Rollen und Abläufen. Wer überzeugend wie ein Vorgesetzter, Dienstleister oder Administrator auftritt, erhält mitunter Vertrauen, bevor seine Identität geprüft wurde.
Warum scheinbare Autorität so überzeugend wirkt
Im Arbeitsalltag müssen Menschen laufend entscheiden, welchen Informationen und Anweisungen sie vertrauen. Dafür nutzen sie Abkürzungen. Eine bekannte Absenderadresse, ein Firmenlogo, eine passende Anrede oder der Hinweis auf die Geschäftsführung wirken plausibel. Ohne solche Vertrauensannahmen würde Zusammenarbeit sehr langsam. Niemand kann bei jeder Nachricht eine kleine Untersuchungskommission einberufen.
Angreifer nutzen genau diese Abkürzungen. Eine Phishing-Nachricht kann wie eine Mitteilung der Bank aussehen. Ein Anrufer gibt sich als technischer Support aus. Eine dringende Zahlungsaufforderung scheint von einer Führungskraft zu stammen. Mit generativer KI lassen sich Sprache, Gestaltung und persönliche Bezüge zusätzlich überzeugend nachbilden. Die digitale Uniform ist schnell angezogen.
Das Problem liegt deshalb nicht einfach beim Menschen vor dem Computer. Menschen müssen unter Zeitdruck mit unvollständigen Informationen handeln. Wenn ein Prozess verlangt, dass Anweisungen schnell ausgeführt werden, Rückfragen aber als Störung gelten, entsteht eine organisatorische Schwachstelle. Der Angriff nutzt dann nicht nur Gutgläubigkeit, sondern die gelebte Unternehmenskultur.
Was der Hauptmann-Effekt mit Social Engineering verbindet
Die Parallele zur Köpenickiade liegt im Zusammenspiel mehrerer Signale. Die Uniform vermittelte Rang, das entschlossene Auftreten erzeugte Zeitdruck und die angesprochenen Soldaten bewegten sich in einer Ordnung, in der Gehorsam erwartet wurde. Kein einzelnes Element erklärt den Erfolg vollständig. Erst ihr Zusammenhang machte die Täuschung wirksam.
Bei einem heutigen Angriff kann eine ähnliche Kette entstehen. Eine Nachricht verwendet das richtige Logo, nennt ein laufendes Projekt und behauptet, die Geschäftsführung benötige dringend eine vertrauliche Überweisung. Der Empfänger erkennt mehrere vertraute Merkmale. Fehlt ein klarer Kontrollweg, wird aus Plausibilität schnell vermeintliche Gewissheit.
Deshalb greift die häufige Aussage vom Menschen als „schwächstem Glied“ zu kurz. Ein aufmerksamer Mitarbeiter kann einen Angriff erkennen, eine ungewöhnliche Anfrage melden und damit eine ganze Angriffskette unterbrechen. Dafür muss er wissen, wie eine Prüfung funktioniert, wen er erreicht und dass eine begründete Rückfrage ausdrücklich erwünscht ist.
Rückfragen müssen sicher und praktisch möglich sein
Awareness-Schulungen sind sinnvoll, lösen das Problem aber nicht allein. Mitarbeitende können nicht jede professionell gestaltete Nachricht zuverlässig als Fälschung erkennen. Organisationen brauchen deshalb einfache und bekannte Verfahren für ungewöhnliche Anfragen. Eine Änderung von Bankdaten, die Herausgabe vertraulicher Informationen oder ein unerwarteter Fernzugriff sollten über einen zweiten, bereits bekannten Kommunikationsweg bestätigt werden.
- Zahlungen und Änderungen sensibler Stammdaten nach einem klaren Vier-Augen-Verfahren freigeben.
- Ungewöhnliche Anweisungen über bekannte Telefonnummern oder interne Kommunikationswege bestätigen.
- Verdächtige Nachrichten schnell und ohne komplizierte Formulare melden können.
- Mitarbeitende ausdrücklich darin bestärken, bei Zeitdruck, Geheimhaltung und unerwarteten Abweichungen nachzufragen.
- Vorfälle auswerten, ohne die erste Reaktion auf die Suche nach einem Schuldigen zu reduzieren.
Ein Verfahren ist nur brauchbar, wenn es auch unter Zeitdruck funktioniert. Steht die Freigaberegel zwar im Handbuch, ist der zuständige Ansprechpartner aber nie erreichbar, entsteht eine kreative Nebenlösung. Kreativität ist in vielen Bereichen hilfreich. Bei der spontanen Umgehung von Zahlungs- oder Sicherheitskontrollen gehört sie eher nicht dazu.
Technische Kontrollen begrenzen den Schaden
Auch eine gute Kultur verhindert nicht jeden Irrtum. Technische und organisatorische Kontrollen müssen daher so gestaltet sein, dass eine einzelne falsche Entscheidung nicht automatisch weitreichende Folgen hat. Mehrfaktor-Authentisierung, angemessen begrenzte Berechtigungen, E-Mail-Schutz, Protokollierung und abgestufte Freigaben können einen Angriff erschweren oder früh sichtbar machen.
Dabei geht es nicht um pauschales Misstrauen gegenüber allen Menschen und Systemen. Ein Zero-Trust-Ansatz bedeutet im Kern, Zugriffe anhand nachvollziehbarer Bedingungen zu prüfen und Rechte auf das Erforderliche zu begrenzen. Vertrauen bleibt möglich, wird aber nicht allein aus Rolle, Standort oder Auftreten abgeleitet. Die Uniform darf gut aussehen. Sie ersetzt nur keine Identitätsprüfung.
Führungskräfte haben dabei eine besondere Verantwortung. Wer selbst Kontrollwege umgeht, weil es gerade eilig ist, zeigt dem Team, dass Regeln nur für normale Tage gelten. Angreifer suchen allerdings bevorzugt die unnormalen Tage: Zeitdruck, Abwesenheiten, Umstellungen und Krisen. Informationssicherheit zeigt sich deshalb nicht in der Richtlinie, sondern im tatsächlichen Verhalten.
Kurz gesagt
Die Köpenickiade zeigt, wie überzeugend sichtbare Autorität sein kann, wenn sie auf vertraute Strukturen und fehlende Rückfragen trifft. Moderne Angreifer nutzen dasselbe menschliche Grundmuster mit digitalen Mitteln. Dagegen helfen keine Schuldzuweisungen, sondern überprüfbare Identitäten, erreichbare Ansprechpartner, klare Freigaben und eine Kultur, in der Nachfragen als Verantwortung gilt. Nicht jede Uniform ist echt – und nicht jede dringende Nachricht stammt von der Person, deren Name darübersteht.