Pretexting ist eine Social-Engineering-Methode, bei der der Angreifer eine erfundene, aber plausible Geschichte – den Vorwand – aufbaut, um Informationen oder Handlungen zu erschleichen.
Pretexting ist das Fundament fast jedes erfolgreichen Social-Engineering-Angriffs. Der Angreifer erfindet einen Vorwand („pretext“) – eine Rolle, eine Situation und einen Grund für seine Bitte – und baut daraus eine Geschichte, die für die Zielperson in sich stimmig wirkt. Der neue Mitarbeiter des IT-Dienstleisters, der für die Serverwartung Zugang zum Technikraum braucht; die Wirtschaftsprüferin, die vor dem Jahresabschluss kurzfristig Kontoauszüge benötigt; der Kollege aus der Niederlassung, der sich wegen des Firmenjubiläums nach den Anwesenheitslisten erkundigt.
Gutes Pretexting unterscheidet sich von plumpem Betrug durch Vorbereitung. Der Angreifer kennt Namen, Abläufe, Fachbegriffe und interne Bezeichnungen, weil er sie vorher über OSINT recherchiert hat. MITRE ATT&CK beschreibt die Informationsbeschaffung durch Täuschung als „Phishing for Information“ (T1598) in der Taktik Reconnaissance; die Vortäuschung einer Identität ist unter „Impersonation“ (T1656) erfasst.
So funktioniert es
Ein belastbarer Vorwand besteht aus vier Bausteinen:
- Rolle: Wer bin ich? Die Rolle muss zur Bitte passen und für die Zielperson glaubhaft sein – ein Techniker fragt nach Systemen, kein Techniker fragt nach Gehaltslisten.
- Anlass: Warum jetzt? Ein Software-Rollout, eine Prüfung, ein Notfall oder eine Veranstaltung liefern den Grund für die Kontaktaufnahme.
- Belege: Was macht mich glaubwürdig? Ein Firmenschild, eine passende E-Mail-Signatur, der Name eines echten Vorgesetzten, eine vorher angekündigte Mail.
- Bitte: Was soll die Zielperson tun? Die Bitte wird klein gehalten und erst gestellt, wenn der Kontakt etabliert ist.
Pretexting ist kanalunabhängig. Es trägt Vishing-Anrufe, Spear-Phishing-Mails und den physischen Zutrittsversuch gleichermaßen. In mehrstufigen Angriffen dient ein erster, harmloser Kontakt nur dazu, Informationen für den eigentlichen Vorwand zu sammeln: Wer ist heute im Haus, wie heißt der Dienstleister für die Klimaanlage, wann kommt die Post?
Bedeutung für Unternehmen
Pretexting zielt auf Informationen, die einzeln harmlos wirken, zusammen aber einen Angriff ermöglichen: Namen von Dienstleistern, eingesetzte Software, Urlaubszeiten, interne Durchwahlen. Viele Unternehmen schützen Passwörter sorgfältig, geben aber genau diese Kontextinformationen bereitwillig heraus – am Telefon, am Empfang, in Stellenanzeigen und Pressemitteilungen. Der typische Fehler ist, nur die „geheimen“ Daten zu schützen und den Rest als unkritisch zu betrachten.
In unseren Einsätzen entwickeln wir Vorwände mit demselben Aufwand wie ein echter Angreifer – und dokumentieren, welche Informationsquelle sie überhaupt möglich gemacht hat. Beim Physical Red Teaming entscheidet die Qualität des Vorwands oft darüber, ob der Zutritt gelingt.
Schutz und Prüfung
- Informationsklassifizierung erweitern: Auch Organisationsdaten, Dienstleisterbeziehungen und Systemnamen sind schützenswert. Was öffentlich sein muss, wird bewusst entschieden.
- Verifikation als Normalfall: Rückruf über bekannte Nummern, Abgleich angekündigter Besuche mit dem Gastgeber, kein Zutritt und keine Auskunft nur auf Grundlage einer Geschichte.
- Dienstleister einbinden: Externe Techniker melden sich über feste Ansprechpartner an; der Empfang kennt die Vorgehensweise und darf ablehnen.
- Rollenspezifisch schulen: Empfang, Helpdesk und Assistenz werden mit realen Vorwänden konfrontiert, nicht mit abstrakten Regeln. Eine Awareness-Schulung wirkt, wenn sie den Arbeitsalltag abbildet.
- Testen lassen: Ein Social-Engineering-Assessment zeigt, welche Vorwände bei Ihnen funktionieren – und welche Informationen Sie unbemerkt preisgeben.