Tailgating-Angriffe in der Cybersicherheit: Herausforderungen & Prävention

Tailgating-Angriffe nutzen menschliche Höflichkeit aus, um physische Zugangskontrollen zu umgehen. Ein Angreifer folgt einer autorisierten Person durch eine gesicherte Tür, um Zutritt zu erhalten.

Was ist ein Tailgating-Angriff?

Eine fremde Person, die zwei Kartons Druckerpapier trägt, folgt Ihrem Mitarbeitenden am Eingang mit Ausweiskontrolle. Ihr Mitarbeitender hält die Tür auf. In diesem dreisekündigen Akt der Höflichkeit werden alle von Ihnen eingerichteten Firewall-Regeln, Netzwerksegmentierungsrichtlinien und Perimeterverteidigungen umgangen. Der Angreifer befindet sich im Gebäude, und nur mehrschichtige physische und Endpoint-Kontrollen können die folgende Angriffskette stoppen.

Ein Tailgating-Angriff ist eine physische Social-Engineering-Technik, bei der eine unbefugte Person Zugang zu einem gesicherten Bereich erhält, indem sie einer autorisierten Person dicht durch einen gesicherten Zugangspunkt folgt. Der Angreifer nutzt menschliches Verhalten aus, nicht technische Schwachstellen, um physische Zugangskontrollen vollständig zu umgehen.

Eine eng verwandte Technik, das Piggybacking, unterscheidet sich in einem entscheidenden Punkt: Die autorisierte Person lässt die unbefugte Person wissentlich eintreten. Beim Tailgating ist das Opfer ahnungslos. Beim Piggybacking wird die Person durch sozialen Druck oder Täuschung dazu gebracht, aktiv mitzumachen, indem sie die Tür aufhält oder Zugang gewährt.

Aspekt	Tailgating	Piggybacking
Bewusstsein	Autorisierte Person ist ahnungslos	Autorisierte Person erlaubt den Zutritt wissentlich
Methode	Angreifer folgt dicht oder mischt sich unter die Menge	Sozialer Druck oder Täuschung überzeugt die ermöglichende Person
Primäre Gegenmaßnahme	Physische Barrieren (Drehkreuze, Schleusen)	Schulungen und Challenge-Kultur

Diese Unterscheidung ist für Ihre Verteidigungsstrategie relevant. Ein vollhohes Drehkreuz stoppt Tailgating, kann aber nicht verhindern, dass zwei Personen gemeinsam einen Bereich betreten. Eine Challenge-Kultur-Policy adressiert Piggybacking, hilft aber nicht gegen einen unauffälligen Tailgater in einer vollen Lobby.

Warum Tailgating-Angriffe für die Cybersicherheit relevant sind 

Ein Tailgating-Angriff umgeht jede digitale Kontrolle, die Sie implementiert haben. Nach dem Passieren des Ausweislesers hat der Angreifer physischen Zugang zu internen Netzwerkanschlüssen, unbeaufsichtigten Arbeitsplätzen, Serverräumen und Technikräumen. Ihre Perimeter-Firewalls, Netzwerksegmentierung und Zugriffsrichtlinien sind irrelevant, wenn jemand direkt neben dem Asset steht.

MITRE ATT&CK erkennt dieses Risiko explizit an. Taktik TA0043 (Reconnaissance) umfasst das Sammeln von physischen Standortdaten des Opfers durch den Angreifer als Teil der Zielauswahl. Von dort aus ordnet die Kill Chain Techniken wie T1200 (Hardware Additions) und T1091 (Replication Through Removable Media) zu und macht aus einem einzigen physischen Zutritt einen vollständigen Cyberangriff.

Einmal im Gebäude, agiert der Angreifer mit denselben Zugriffsrechten wie ein böswilliger Insider. Ihre Endpoint-Sicherheitslösung ist die letzte wirksame Kontrollgrenze. Diese Konvergenz von physischen und Cyber-Risiken ist der Grund, warum Tailgating mit derselben Sorgfalt verteidigt werden muss wie jeder netzwerkbasierte Angriffsweg.

Kernkomponenten eines Tailgating-Angriffs

Jeder Tailgating- oder Piggybacking-Vorfall basiert auf denselben ausnutzbaren Elementen. Wenn Sie diese kennen, erkennen Sie Schwachstellen in Ihren eigenen Schutzmaßnahmen.

• Ein Zugangskontrollpunkt mit Personenverkehr. Gesicherte Türen, Ausweisleser-Eingänge, Drehkreuz-Lobbys und Laderampen bieten Angriffsflächen. Je höher das Personenaufkommen, desto leichter kann sich ein Angreifer unauffällig verhalten.
• Eine autorisierte Person als unwissentlicher Ermöglicher. Der Angreifer benötigt jemanden mit legitimen Zugang, der die Tür öffnet, den Ausweisleser benutzt oder einfach vorausgeht. In Piggybacking-Szenarien wird die ermöglichende Person sozial zur aktiven Teilnahme manipuliert.
• Ein psychologischer Hebel. CISA-Leitlinien dokumentieren mehrere: Hilfsbereitschaft, Respekt vor Autorität, Vermeidung von Konfrontation und Dringlichkeit. Angreifer kombinieren diese Hebel. Eine Person in Technikeruniform mit schwerem Gerät und angeblichem Zeitdruck nutzt drei psychologische Auslöser gleichzeitig aus.
• Ein Vorwand oder eine Legende. Häufige Vorwände sind: neuer Mitarbeitender ohne aktivierten Ausweis, Lieferfahrer, Wartungstechniker oder Besucher, dessen Begleitung sich verspätet. Requisiten wie Klemmbretter, Werkzeugtaschen und geliehene Ausweishalter verstärken die Täuschung.
• Eine Lücke in physischen oder prozeduralen Kontrollen. Dies kann eine Schwingtür sein, die keinen Einzelzutritt erzwingt, ein Wachposten, der sich sozial manipulieren lässt, oder eine Richtlinie, die nur auf dem Papier existiert und nicht durchgesetzt wird.

Diese Komponenten wirken als System zusammen. Das Entfernen eines einzelnen Elements – durch physische Barrieren, Schulungen oder prozedurale Durchsetzung – unterbricht die Angriffskette.

Wie Tailgating-Angriffe funktionieren

Angreifer kombinieren diese Komponenten zu spezifischen Methoden, die vorhersehbaren Mustern folgen. Hier sind die Techniken, die Penetrationstester und reale Angreifer immer wieder einsetzen.

• Die „Hände voll“-Methode. Der Angreifer erscheint mit Kartons, Tabletts oder Ausrüstung. Soziale Normen veranlassen Ihren Mitarbeitenden, die Tür aufzuhalten.
• Imitation. Als Techniker, Kurier oder Reinigungskraft verkleidet, nähert sich der Angreifer selbstbewusst dem Eingang.
• Der „Neue Mitarbeitende“-Vorwand. Der Angreifer behauptet, sein Ausweis sei noch nicht aktiviert, und bittet einen Mitarbeitenden um Hilfe beim Zutritt. Diese Variante nutzt Hilfsbereitschaft und die Plausibilität von Verzögerungen beim Onboarding aus.
• Ausnutzung von Raucherbereichen und Pausenräumen. Angreifer positionieren sich an informellen Sammelpunkten, an denen Mitarbeitende ohne formale Überprüfung wieder ins Gebäude gelangen.
• Soziale Manipulation von Wachpersonal. Manche Angreifer umgehen die Tür komplett und nehmen das besetzte Sicherheitspult ins Visier.

Jede Methode zielt auf eine spezifische Lücke in physischen oder prozeduralen Kontrollen ab, was erklärt, warum diese Angriffe so häufig erfolgreich sind.

Warum Tailgating-Angriffe erfolgreich sind

Tailgating-Angriffe bleiben aus strukturellen, psychologischen und organisatorischen Gründen wirksam.

1. Menschliche Höflichkeit übertrumpft Sicherheitsschulungen. Ihre Mitarbeitenden wissen, dass die Richtlinie das Aufhalten der Tür verbietet. Sie tun es trotzdem. Die soziale Hemmschwelle, jemanden herauszufordern, der ein legitimer Kollege sein könnte, erscheint im Moment höher als das abstrakte Risiko eines Sicherheitsvorfalls. Schulungen allein können diese tief verankerte Verhaltensnorm nicht aufheben.
2. Organisationen investieren oft zu wenig in bekannte Kontrollen. Diese Lücke zwischen Bewusstsein und Umsetzung führt dazu, dass die Maßnahmen, die Tailgating am ehesten verhindern, an den wichtigsten Eingängen oft fehlen.
3. Organisationen erfassen Tailgating-Vorfälle nicht immer. Sie können sich nicht gegen etwas verteidigen, das Sie nicht messen, und Sie können kein Budget für Kontrollen rechtfertigen, wenn Sie keine Vorfalldaten für die Führungsebene haben.
4. Traditionelle Zugangskontrollsysteme haben einen blinden Fleck. Die meisten physischen Zugangskontrollsysteme an Schwingtüren können nicht bestätigen, ob ein Nutzer nach dem Ausweisen tatsächlich das Gebäude betreten hat. Ohne Kontrollen, die Einzelzutritt erzwingen, ist es schwierig, mit Sicherheit zu wissen, wer sich im Gebäude befindet.
5. Piggybacking nutzt Vertrauensbeziehungen aus. Wenn die autorisierte Person aktiv mitmacht, scheitern selbst ausgefeilte Identifikationssysteme. Zwei Personen, die gemeinsam eine Schleuse betreten, umgehen die Einzelbelegungsannahme, auf die viele physische Kontrollen setzen.

Diese Faktoren verstärken sich: Organisationen, die keine Vorfälle erfassen, können keine Barrieren rechtfertigen und lassen Mitarbeitende an unkontrollierten Eingängen ständig sozialem Druck ausgesetzt.

Herausforderungen bei der Verhinderung von Tailgating

Selbst Organisationen, die das Tailgating-Risiko erkennen, stehen bei der Umsetzung von Schutzmaßnahmen vor echten Hürden.

1. Durchsatz versus Sicherheit. Schleusen und Sicherheitstüren mit Vereinzelungsfunktion erzwingen Einzelzutritt, verlangsamen aber den Zugang. Zu Stoßzeiten entsteht betrieblicher Druck, Kontrollen zu lockern – genau dann, wenn das Tailgating-Risiko am höchsten ist.
2. Das Piggybacking-Problem erfordert kulturellen Wandel. Physische Barrieren können einen unauffälligen Tailgater stoppen, aber nicht verhindern, dass ein Mitarbeitender freiwillig die Tür aufhält. Piggybacking zu adressieren erfordert eine Challenge-Kultur, in der Mitarbeitende befähigt und verpflichtet sind, unbekannte Personen zu überprüfen. Das ist eine organisatorische Veränderung, kein Technologieprojekt.
3. Physische und Cyber-Sicherheitsteams arbeiten in Silos. In den meisten Unternehmen berichtet die physische Sicherheit an das Facility Management, während die Cybersicherheit an den CIO oder CISO berichtet. Diese strukturelle Trennung führt dazu, dass physische Vorfalldaten selten in Cyber-Risikoanalysen einfließen und Cyber-Bedrohungsinformationen selten physische Sicherheitsentscheidungen beeinflussen. Das Ergebnis ist eine fragmentierte Reaktion auf ein konvergentes Risiko.
4. Erkennung ist keine Prävention. Optische Drehkreuze und Tailgating-Sensoren lösen nach dem Zutritt Alarm aus. Zu wissen, dass jemand getailgated hat, ist nicht dasselbe wie ihn zu stoppen.

Diese strukturellen Herausforderungen erklären, warum selbst sicherheitsbewusste Organisationen in ihren Tailgating-Programmen vorhersehbare Fehler machen.

Häufige Fehler bei der Tailgating-Abwehr

Diese dokumentierten Fehltritte treten immer wieder in Unternehmenssicherheitsprogrammen auf.

1. Tailgating und Piggybacking als dasselbe Problem behandeln. Sie erfordern unterschiedliche Gegenmaßnahmen. Der Einsatz von Drehkreuzen ohne Schulung adressiert Tailgating, lässt aber Piggybacking offen.
2. Physische Lücken an Sicherheitseingängen lassen. Organisationen können in Zugangskontrollen investieren und dennoch alternative Wege offenlassen, was das gesamte System untergräbt.
3. Annahme, dass Ausweisleser Tailgating verhindern. Traditionelle Systeme prüfen Berechtigungen, können aber nicht bestätigen, dass keine zweite Person durch die Tür folgt. Kartenleser bedeuten nicht Einzelzutritt.
4. Verlassen auf Tür-offen-Alarm als primäre Kontrolle. Alarme melden nach dem Zutritt. Wenn das Personal sie ignoriert oder nicht reagiert, kann sich der Tailgater frei bewegen.
5. Verzicht auf Red-Team-Tests der physischen Kontrollen. Ohne Tests raten Sie nur.
6. Die Cyber-Folgen eines physischen Einbruchs ignorieren. Wer physischen Zugang nicht mit Endpoint-, Netzwerk- und Identitätsrisiken verknüpft, lässt die gesamte Angriffskette unbeachtet.

Das Vermeiden dieser Fehler ebnet den Weg für ein mehrschichtiges Verteidigungsprogramm, das sowohl Tailgating als auch Piggybacking adressiert.

Wie man Tailgating-Angriffe verhindert

Bauen Sie Ihr Verteidigungsprogramm in Schichten auf und passen Sie die Kontrollintensität an die Sensitivität der Zonen an.

• Setzen Sie physische Barrieren ein, die Einzelzutritt erzwingen. Sicherheitsschleusen und Vereinzelungsanlagen sind die stärksten Präventionsmaßnahmen. Priorisieren Sie diese in Serverräumen, Rechenzentren und Vorstandsbereichen.
• Schaffen Sie eine Challenge-Kultur, nicht nur eine Richtlinie. Schriftliche Vorgaben, die das Aufhalten der Tür verbieten, sind notwendig, aber nicht ausreichend. Schulen Sie Mitarbeitende zu Tailgating- und Piggybacking-Szenarien. Führen Sie gezielte Trainings für Führungskräfte und Systemadministratoren durch.
• Implementieren Sie ein Besuchermanagement gemäß ISO 27001 Anhang A 7.2. Führen Sie überprüfbare Aufzeichnungen über jeden Besucher. Beschränken Sie den Zugang von Dienstleistern auf bestimmte autorisierte Bereiche und Zeitfenster. Integrieren Sie Ihr Besuchermanagementsystem mit HR-Datenbanken und Ausweislesern.
• Testen Sie Ihre physischen Kontrollen regelmäßig mit Red-Teams. NIST SP 800-53 fordert unangekündigte Versuche, physische Zugangskontrollen für HIGH-Sicherheitsbaselines zu umgehen. Physische Penetrationstests zeigen die Lücken zwischen Ihren dokumentierten Kontrollen und Ihrer tatsächlichen Sicherheitslage auf.
• Verknüpfen Sie physische Zugangsdaten mit Ihren Security Operations. Leiten Sie Ausweisleser-Logs, Tailgating-Alarme und Besuchermanagementdaten in Ihr SIEM oder Ihre Security Operations Plattform ein. Wenn ein Tailgating-Alarm mit anomalen Endpoint-Aktivitäten auf derselben Etage korreliert, kann Ihr SOC auf die gesamte Angriffskette reagieren, statt jedes Ereignis isoliert zu behandeln.
• Wenden Sie Zero-Trust-Prinzipien auf physische Präsenz an. Physische Anwesenheit im Gebäude darf keinen impliziten Netzwerkzugang gewähren. Kontinuierliche Geräteüberprüfung, Durchsetzung von Least Privilege und Mikrosegmentierung stellen sicher, dass selbst ein Tailgater an einem Netzwerkport keine Ressourcen des Unternehmens nutzen kann, ohne Identitäts- und Geräteanforderungen zu erfüllen.

Diese mehrschichtigen Kontrollen reduzieren das Tailgating-Risiko erheblich, aber kein physischer Schutz ist perfekt. Gelingt einem Angreifer der Zutritt, verlagert sich der Angriff von physisch zu digital, und ein anderer Satz von Kontrollen greift.

Die physisch-digitale Angriffskette

Physischer Zugang eröffnet spezifische Cyber-Angriffswege. Das Wissen um diese Wege hilft Ihnen, Endpoint- und Identitätskontrollen zu priorisieren.

1. USB-Malware-Infektion (MITRE T1091). Ein Tailgater erreicht einen unbeaufsichtigten Arbeitsplatz, steckt ein vorinstalliertes USB-Gerät ein und startet die Ausführung ohne jegliche Interaktion auf Netzwerkebene. Ihre Perimeter-Firewalls sehen diesen Datenverkehr nie.
2. Credential Dumping (MITRE T1003.001). Von einem physisch zugänglichen Endpoint aus führt ein Angreifer Credential-Harvesting-Tools gegen den lokalen Speicher aus. Das Ergebnis ist eine Privilegieneskalationskette von einem einzelnen Arbeitsplatz bis zu Berechtigungen für kritische Infrastruktur.
3. Installation eines Rogue-Geräts (MITRE T1200). Ein Tailgater schließt einen Rogue-WLAN-Access-Point an einen internen Netzwerkport in einem Besprechungsraum oder unverschlossenen Technikraum an. Der Angreifer hat nun persistenten WLAN-Zugang zum internen Netzwerk von außerhalb des Gebäudes.

In jedem Szenario ist der Endpoint die letzte Kontrollschicht. Perimeter-Firewalls und Netzwerkzugangskontrollen prüfen keine Aktivitäten, die von einem legitim verbundenen internen Gerät ausgehen, sodass Endpoint-Sicherheit die letzte Verteidigungslinie nach einem physischen Einbruch ist.

Wichtige Erkenntnisse

Tailgating- und Piggybacking-Angriffe umgehen Ihre gesamte digitale Sicherheitsarchitektur, indem sie menschliches Verhalten an physischen Zugangspunkten ausnutzen. 

Die Verteidigung gegen Tailgating erfordert mehrschichtige physische Barrieren, eine geschulte Challenge-Kultur, Red-Team-Tests und Endpoint-Sicherheit als letzte Verteidigungslinie, wenn physische Kontrollen versagen.

FAQs

Was ist ein Tailgating-Angriff?

Ein Tailgating-Angriff ist eine physische Social-Engineering-Technik, bei der eine unbefugte Person Zugang zu einem eingeschränkten Bereich erhält, indem sie einer autorisierten Person dicht durch einen gesicherten Zugangspunkt folgt. Der Angreifer nutzt menschliches Verhalten aus, wie etwa die Neigung, anderen die Tür aufzuhalten, anstatt technische Schwachstellen auszunutzen. 

Einmal im Inneren kann der Angreifer auf interne Systeme zugreifen, unerlaubte Geräte installieren oder Zugangsdaten stehlen, wodurch Tailgating eine direkte Verbindung von einem physischen Einbruch zu einer Cyberkompromittierung darstellt.

Was ist der Unterschied zwischen Tailgating und Piggybacking in der Sicherheit?

Tailgating tritt auf, wenn eine unautorisierte Person einer autorisierten Person durch einen Zugangspunkt folgt, ohne deren Wissen oder Zustimmung. Piggybacking bedeutet, dass die autorisierte Person den Zutritt wissentlich erlaubt, typischerweise aufgrund von sozialem Druck oder Täuschung. 

Die Unterscheidung ist wichtig für die Auswahl von Kontrollen: Physische Barrieren verhindern Tailgating, während Schulungen und eine Kultur des Nachfragens Piggybacking adressieren. Wird nur eine Art von Gegenmaßnahme eingesetzt, bleibt der andere Angriffsweg offen.

Kann Endpoint Security einen Tailgating-Angriff verhindern?

Endpunktsicherheit kann keinen physischen Zutritt zu einem Gebäude verhindern. Sie dient jedoch als letzte Verteidigungsschicht, wenn physische Kontrollen versagen. Sie kann die Ausführung von USB-Malware, das Auslesen von Anmeldeinformationen und anomale Prozessaktivitäten auf Endpunkten erkennen, die von einem Tailgater genutzt wurden. 

Richtlinien zur Geräte­kontrolle blockieren nicht autorisierte USB- und Bluetooth-Peripheriegeräte. Die Netzwerkerkennung identifiziert nicht autorisierte Geräte, die an interne Ports angeschlossen wurden. Der Endpunkt ist die letzte Kontrollgrenze in einem Szenario eines physischen Sicherheitsvorfalls.

Welche Compliance-Frameworks verlangen Maßnahmen zur Verhinderung von Tailgating?

NIST SP 800-53 (PE-Familie), ISO 27001:2022 (Anhang A 7.2), FBI CJIS Security Policy und HIPAA verlangen alle physische Zugangskontrollen, die Tailgating und Piggybacking adressieren. NIST SP 800-116 Rev. 1 stellt ausdrücklich fest, dass selbst PIV Multi-Faktor-Authentifizierung ohne physische Gegenmaßnahmen zur Durchsetzung des Einzelpersonenzugangs an Zugangspunkten unzureichend ist. 

Organisationen, die mehreren Rahmenwerken unterliegen, sollten ihre physischen Kontrollen auf die Anforderungen der jeweiligen Standards abbilden und Nachweise zur Einhaltung dokumentieren.

Wie testen Sie die Anfälligkeit Ihrer Organisation für Tailgating?

Physische Penetrationstests mit geschulten Red-Team-Operatoren sind die effektivste Methode. ISACA bestätigt die Tailgating-Simulation als formale Audit-Technik. NIST SP 800-53 Rev. 5 verlangt unangekündigte Versuche, Sicherheitskontrollen an physischen Zugangspunkten für HIGH-Sicherheitsbaselines zu umgehen oder zu unterlaufen. 

Testen Sie zu verschiedenen Tageszeiten, an unterschiedlichen Zugangspunkten und mit verschiedenen Vorwänden, um ein genaues Bild der realen Gefährdung Ihrer Organisation zu erhalten.

Welche Risiken bestehen durch Tailgating-Angriffe in Rechenzentren?

Rechenzentren enthalten die Infrastruktur, die Ihr gesamtes Unternehmen betreibt. Eine unbefugte Person, die Zugang zu einem Serverrack erhält, kann Hardware-Implantate installieren, die unterhalb der Betriebssystemebene arbeiten und für Endpunktsicherheitslösungen unsichtbar sind. 

Sie können unerlaubte drahtlose Zugangspunkte für dauerhaften Fernzugriff anschließen, USB-Geräte an air-gapped Systemen einstecken oder Speichermedien physisch entnehmen. Ein einziger erfolgreicher unbefugter Zutritt zu einem Rechenzentrum kann die gesamte Umgebung kompromittieren, da sich dort eine hohe Dichte und Kritikalität der Systeme befindet.