Tailgating: Social Engineering an der Bürotür erkennen und verhindern

Ein Mann mit zwei Kaffeebechern und einem Laptop unter dem Arm steht an der gesicherten Bürotür. Wer würde ihm nicht die Tür aufhalten? Genau darauf setzt Tailgating: Angreifer brauchen keine Hacking-Kenntnisse, wenn sie einfach hinter Beschäftigten ins Gebäude gelangen.

Dieser Beitrag erklärt, was hinter dem Begriff steckt, welche Maschen verbreitet sind und mit welchen einfachen Regeln Beschäftigte und Unternehmen Unbefugte draußen halten.

Was ist Tailgating?

Der Begriff stammt aus dem Englischen und bedeutet auf Deutsch so viel wie „dicht auffahren“. In der Informationssicherheit beschreibt Tailgating eine Methode des Social Engineering: Eine unbefugte Person folgt einer berechtigten Person unmittelbar durch eine Tür, ein Drehkreuz oder eine Schranke, bevor diese sich wieder schließt.

Das funktioniert, weil Höflichkeit im Arbeitsalltag fest verankert ist. Kaum jemand möchte einer Person mit vollen Händen die Tür vor der Nase zufallen lassen oder einen vermeintlich neuen Kollegen nach seinem Ausweis fragen.

Was ist der Unterschied zu Piggybacking?

Die Begriffe werden oft gleich verwendet, beschreiben aber unterschiedliche Situationen:

In beiden Fällen ist das Ziel dasselbe: Zugang zu Räumen, in denen Daten, Geräte oder Netzwerkanschlüsse frei zugänglich sind.

Welche Maschen nutzen Täter?

Erfolgreiche Täter wirken unauffällig und geben anderen einen guten Grund, ihnen zu helfen. Typische Rollen sind:

• Lieferdienst: mit Paketen oder Essen auf beiden Armen
• Handwerk oder Reinigung: in Arbeitskleidung, mit Werkzeugkoffer oder Leiter
• Neue Kollegin oder neuer Kollege: „Mein Ausweis ist noch nicht fertig.“
• Raucherpause: Täter warten an der Seitentür und gehen mit der Gruppe zurück ins Gebäude.
• Bewerbung oder Termin: angeblich mit einer Führungskraft verabredet, die gerade nicht erreichbar ist.

Oft wird der Zutritt vorher am Telefon vorbereitet, etwa mit einem Anruf beim Empfang. Wie das abläuft, beschreibt der Beitrag zu Vishing.

Welche Risiken entstehen?

Ist eine unbefugte Person erst einmal im Gebäude, sind die Möglichkeiten groß. Sie kann Laptops und Unterlagen mitnehmen, Bildschirme und Whiteboards fotografieren, präparierte USB-Sticks auslegen oder ein eigenes Gerät an einen freien Netzwerkanschluss stecken. Offen liegende Dokumente machen es besonders leicht, deshalb gehört eine Clean Desk Policy zum Schutz dazu.

Gelangen dabei personenbezogene Daten in fremde Hände, liegt in der Regel eine Datenpanne vor, die das Unternehmen prüfen und gegebenenfalls binnen 72 Stunden melden muss. Zutrittskontrolle ist deshalb Teil der technischen und organisatorischen Maßnahmen, die Art. 32 DSGVO verlangt, und ein Baustein für physische Sicherheit nach Normen wie ISO 27001.

Welche 7 Regeln schützen im Alltag?

Diese Regeln lassen sich ohne großen Aufwand einführen und in jeder Unterweisung vermitteln:

1. Ausweis sichtbar tragen und darauf achten, dass auch andere einen tragen.
2. Freundlich nachfragen: „Zu wem möchten Sie? Ich bringe Sie zum Empfang.“
3. Tür nicht aufhalten für Personen ohne sichtbare Berechtigung, auch nicht aus Höflichkeit.
4. Besuch abholen und während des Aufenthalts begleiten.
5. Seiten- und Notausgänge geschlossen halten und nicht verkeilen.
6. Verdacht melden an Empfang, Sicherheit oder IT, ohne sich selbst in Gefahr zu bringen.
7. Arbeitsplatz sperren bei jedem Verlassen, auch für kurze Zeit.

Entscheidend ist die Rückendeckung der Führung: Wer nachfragt, handelt richtig, auch wenn sich die Person später als echter Kollege herausstellt.

Was können Unternehmen technisch tun?

Technik ergänzt die Regeln, ersetzt sie aber nicht. Bewährt haben sich Drehkreuze oder Personenschleusen an sensiblen Bereichen, ein Besuchermanagement mit Anmeldung und Tagesausweis, Kameras an Eingängen sowie Zutrittsprotokolle für Server- und Archivräume. Netzwerkanschlüsse in Besprechungsräumen sollten nur für freigegebene Geräte funktionieren. Weitere Grundlagen bietet der Beitrag zu Datenschutz und Informationssicherheit, Empfehlungen zur Absicherung von Gebäuden gibt auch das Bundesamt für Sicherheit in der Informationstechnik.

Wie unterstützt reteach dabei?

reteach ist eine deutsche Lernplattform (LMS) für den Mittelstand in der DACH-Region. Unternehmen erstellen, automatisieren und dokumentieren damit Pflichtschulungen, Unterweisungen und Onboarding revisionssicher. Zum Angebot gehören das reteach LMS, über 500 anpassbare E-Learning-Kurse, 150 Kurse als SCORM-Paket für bestehende Lernplattformen, davon 119 interaktiv, sowie reteach Phishing Awareness für automatisierte Phishing-Simulationen. reteach ist DSGVO-konform.

• Fertiger Kurs: Die Social-Engineering-Schulung behandelt Tailgating, Vishing und Phishing an realistischen Szenen aus dem Büroalltag.
• Eigene Regeln: Ihre Besucherregeln und Ansprechpersonen ergänzen Sie direkt im Kurs.
• Nachweis: Teilnahmen werden revisionssicher dokumentiert, etwa für ISO-27001- oder NIS2-Audits.

Fazit: Sicherheit beginnt an der Tür

Tailgating zeigt, dass die beste IT-Sicherheit wenig nützt, wenn Unbefugte einfach ins Gebäude spazieren. Mit sichtbaren Ausweisen, klaren Besuchsregeln und Beschäftigten, die freundlich nachfragen dürfen, schließen Unternehmen diese Lücke mit wenig Aufwand.

Die nächsten Schritte:

1. Zugänge, Seitentüren und Besuchsablauf auf Schwachstellen prüfen.
2. Die 7 Regeln schriftlich festhalten und intern bekannt machen.
3. Beschäftigte regelmäßig zu Social Engineering schulen.

Häufig gestellte Fragen