VITTNESS Audit anfragen

Social Engineering — Physische Infiltration

Wir waren schon drin.
Bevor irgendjemand es bemerkt hat.

On-Site Breach Simulation ist die Disziplin, die fast jede Sicherheitsstrategie auslässt. Kein Netzwerk, keine Firewall — nur ein Mensch, der eine Tür aufhält.

VITTNESS Audit anfragen Ablauf ansehen →

60–90 %

Tailgating-Erfolgsrate beim ersten Versuch

< 8 min

Ø bis unkontrollierter Zutritt

0 von 0

Versuche, die beim ersten Auftrag bemerkt wurden

01 — Reconnaissance

Wir fangen an, bevor wir das Haus betreten.

Jeder Auftrag startet im VITT OSINT-Tool — einem proprietären System zur strukturierten Aufklärungsarbeit. Clear Web, Dark Web, soziale Netzwerke, Leaks, Unternehmensregister. Alles in einem Graphen. Dann übernimmt KI.

Was in 23 Minuten passiert ist.

Das Profiling ist abgeschlossen. Jetzt kommt der zweite Teil.

00:00

🔍 Aufklärung

Parkplatz. Kein erster Schritt ins Gebäude.

Das OSINT-Tool liefert ein vollständiges Angriffsprofil: drei Namen aus der Produktion, den Standortleiter, das Zeiterfassungssystem, eine Stellenausschreibung die den Empfangsbereich beschreibt — und einen Datensatz aus einem alten Leak mit internen E-Mail-Adressen. Kein einziges Datum stammt aus illegalem Zugang. Alles war öffentlich.

00:18

📞 Vishing

Ein Anruf. Eine Frage. Eine Antwort zu viel.

Der Empfang bestätigt auf Nachfrage einen Namen, eine Abteilung und — indirekt — dass externe Dienstleister zum fraglichen Zeitpunkt erwartet werden. Niemand hat gelogen. Der Kontext wurde nicht hinterfragt.

00:41

🎭 Impersonation

Warnweste. Werkzeugkoffer. Klemmbrett.

Drei Requisiten ersetzen jeden Ausweis. Am Empfang wird ein Name genannt, der nicht verifiziert wird. Die Warnweste übernimmt die Arbeit, die ein Badge eigentlich leisten sollte.

00:58

🚪 Zutritt

Tür auf. Kein Badge verlangt.

Ein Mitarbeiter hält die Sicherheitstür auf — reflexartig, aus Höflichkeit. Es ist keine Schwachstelle im System. Es ist eine Stärke in der menschlichen Natur, die ausgenutzt wird. Keine Eskorte. Volle Bewegungsfreiheit.

01:23

📋 Dokumentiert

Nachweis erbracht. Abbruch vereinbarungsgemäß.

Der Operator verlässt das Gebäude mit vollständiger Dokumentation. 23 Minuten. Kein Alarm. Kein Vorfall. Das Unternehmen erfuhr davon beim Debriefing. Das externe IT-Audit zwei Wochen zuvor hatte physische Vektoren nicht im Scope.

Zutritt nach

23 min

Produktionsbereich. Serverraum in Sichtweite. Kein einziger Alarm.
Das Unternehmen hatte zwei Wochen zuvor ein IT-Sicherheitsaudit bestanden. Physische Vektoren: nicht im Scope. Branche, Unternehmen und beteiligte Personen sind anonymisiert.

02 — Fallberichte

Was wir gefunden haben.

Autorisierte Engagements, anonymisiert. Namen, Branche und Detailangaben verändert. Die Schwachstellen nicht.

Engagement 07 · 2026

Produzierendes Gewerbe, Niederösterreich

Produktion180 MA

Zutritt zum Kernbereich in 23 Minuten. Vier kombinierte Vektoren. Keine Eskorte, keine Meldung.

Akte öffnen →

Engagement 11 · 2026

Handelsunternehmen, Wien

Handel95 MA

47 Minuten unbegleitet im Bürobereich. Zugangsdaten physisch einsehbar. Zugang über Bewerbungsvorwand.

Akte öffnen →

Engagement 03 · 2026

IT-Dienstleister, Graz

IT & Telekommunikation60 MA

Entwicklungsbereich in 11 Minuten. Kombinierter Vishing-Einstieg und Tailgating. Unbewachtes Testgerät.

Akte öffnen →

23 min

Bis Zutritt Kernbereich

0

Alarme oder Meldungen

4

Kombinierte Vektoren

2 Tage

Bis internes Debriefing

Kritische Findings

Besucherverifikation am Empfang existiert als Prozess — wird in Phasen hoher Frequenz systematisch nicht durchgeführt. Das Protokoll ist vorhanden. Die Durchführung nicht.

Sicherheitstüren werden von eigenen Mitarbeitern reflexartig aufgehalten. Dieses Verhalten ist kulturell verankert — als Schwachstelle zu adressieren erfordert mehr als eine Schulung.

Zwischen Besucherzone und Produktionsfläche existiert keine bauliche Schwelle. Ein Flur, ein Schild, kein Kontrollpunkt.

Handwerkliche Optik erzeugt institutionelles Vertrauen schneller als jede verbale Legitimation. Das Gehirn entscheidet vor dem Bewusstsein.

47 min

Unbegleitete Zeit im Büro

3

Ungesperrte Workstations

1

Zugangsdaten physisch zugänglich

0

Mitarbeiter haben nachgefragt

Kritische Findings

Ein fingiertes Bewerbungsgespräch ist das trivialste Szenario im Katalog. Dass es funktioniert, liegt nicht an fehlendem Protokoll — sondern an dessen Umsetzung im Alltag.

Im Wartebereich direkter Sichtkontakt auf drei aktive Arbeitsplätze. Keiner gesperrt. Einer zeigte ein geöffnetes ERP-System mit Kundendaten.

Ein handgeschriebenes Passwort am Monitor ist in einem Unternehmen ohne gelebte Clean-Desk-Policy nicht die Ausnahme — es ist die Regel.

Kein Mitarbeiter fragte nach Identität oder Zweck. Nicht aus Nachlässigkeit — aus sozialem Druck, nicht unhöflich zu wirken.

11 min

Bis Entwicklungsbereich

2

Vorbereitende Vishing-Calls

1

Ungesichertes Testgerät

0

Gemeldete Zwischenfälle

Kritische Findings

Zwei Vishing-Calls lieferten nicht nur Namen und Jargon — sie erzeugten eine Erwartung. Als der Operator erschien, passte er in ein Bild, das bereits existierte.

„Du bist doch der vom Cloud-Projekt?" — Bestätigungsverzerrung ist kein Trainingsdefizit. Sie ist neurologisch.

Ein unbewachter Raspberry Pi an einem offenen USB-Port wäre unentdeckt geblieben. Das ist keine Hypothese — es ist eine Frage des Zeitpunkts.

IT-Unternehmen mit ausgeprägtem technischem Sicherheitsbewusstsein unterschätzen physische Vektoren systematisch. Die Angriffsfläche entsteht genau dort, wo niemand sucht.

Die dargestellten Szenarien basieren auf realen Engagements, wurden jedoch aus Datenschutzgründen stark modifiziert. Unternehmen, Personen und Details sind verfremdet. Eine Identifikation der Betroffenen ist nicht möglich und nicht beabsichtigt.

03 — Methoden

Was wir einsetzen.

Kein Standardszenario. Jede Simulation wird auf Basis der OSINT-Recherche über Ihr Unternehmen individuell designt.

🚪

Tailgating

Physischer Zutritt durch direktes Nachfolgen autorisierter Personen. Keine Technik nötig. Funktioniert in 60–90 % beim ersten Versuch.

🎭

Impersonation

IT-Dienstleister, Lieferant, Wartungstechniker, externer Prüfer. Vorbereitet mit gezielter OSINT-Recherche aus dem VITT-Tool.

📞

Vishing-Vorbereitung

Telefonische Vorarbeit, um Namen, Prozesse und internen Kontext zu sammeln — bevor ein Fuß ins Haus gesetzt wird.

📋

Pretext-Design

Maßgeschneiderte Szenarien auf Basis echter interner Informationen. Wartungsauftrag, Compliance-Prüfung, Lieferung — immer passend zur Realität.

🏷️

Badge-Simulation

Fingierte Ausweise und Besucherbadges. Getestet: Wie genau schaut tatsächlich jemand hin?

💾

Device Dropping

Platzieren von Testgeräten in zugänglichen Bereichen. Wird das entdeckt — und wenn ja: von wem, wann, wie?

04 — Ablauf

Wie wir vorgehen.

Explizite schriftliche Beauftragung. Kein Graubereich.

01

VITTNESS Check

Kostenloser 15-minütiger Ersttermin. Wir besprechen Ihr Unternehmen, den realistischen Scope und erste Angriffshypothesen. Kein Pitch.

02

Beauftragung & Scope

Schriftliche Beauftragung mit klar definiertem Scope. Partneranwalt (digital-recht.at) sichert den juristischen Rahmen.

03

Reconnaissance

OSINT-Profiling im VITT-Tool: Clear Web, Dark Web, Leaks, soziale Netzwerke. KI zieht Schlussfolgerungen. Das Angriffsszenario entsteht aus echten Daten.

04

Simulation & Befund

Die Simulation. Danach vollständiger Befundbericht: alle Findings, Risikobewertung, Maßnahmen — NISG-2026-konform, vorlegbar.

Nächster Schritt

Wissen Sie, wer gerade in Ihr Gebäude könnte?

Der VITTNESS Check ist kostenlos — 15 Minuten, kein Pitch, ehrliche Einschätzung.

VITTNESS Audit anfragen

✓ Explizite schriftliche Beauftragung ✓ NIS2 / NISG-2026 konform ✓ Partnerkanzlei digital-recht.at