Pretexting ist eine Social-Engineering-Technik, bei der ein Angreifer ein glaubwürdiges Szenario – einen Vorwand – und eine falsche Identität erfindet, um das Opfer zur Herausgabe von Informationen, Zugängen oder Geld zu bewegen.
Wie Pretexting funktioniert
Anders als Massen-Phishing beruht Pretexting auf einer Geschichte, die auf das Ziel zugeschnitten ist. Der Angreifer recherchiert die Organisation und ihre Mitarbeitenden und spielt dann eine Rolle, die eine ungewöhnliche Bitte rechtfertigt:
- ein ausgesperrter Mitarbeiter, der beim IT-Helpdesk anruft, um ein Passwort oder MFA-Gerät zurücksetzen zu lassen;
- ein Prüfer, Anwalt oder Polizist, der vertrauliche Unterlagen anfordert;
- ein Lieferant, der eine Änderung der Bankverbindung verlangt – ein typischer Schritt beim Business Email Compromise;
- ein Mitarbeiter einer Bank oder eines Telekommunikationsanbieters, der die Identität eines Kunden „verifiziert“.
Pretexting wird oft mit Telefonanrufen (Vishing), E-Mails und Messengern kombiniert, zunehmend auch mit geklonten Stimmen. Der Begriff ist ein Kernbestandteil des Social Engineering, denn fast jeder Betrug braucht einen Vorwand.
Warum Pretexting gefährlich ist
Ein gut vorbereiteter Vorwand umgeht technische Schutzmaßnahmen vollständig. 2006 stand Hewlett-Packard im Zentrum eines Skandals, nachdem beauftragte Ermittler per Pretexting die Telefonverbindungsdaten von Aufsichtsratsmitgliedern und Journalisten beschafft hatten; der Fall führte in den USA zum Telephone Records and Privacy Protection Act. 2023 verschafften sich Angreifer Zugang zu MGM Resorts, indem sie sich beim IT-Helpdesk als Mitarbeiter ausgaben – mit der Folge eines schweren Ransomware-Vorfalls. Pretexting befeuert zudem Identitätsdiebstahl, weil so erlangte persönliche Daten den Zugang zu weiteren Konten öffnen.
Wie man sich vor Pretexting schützt
- Anfragen über einen unabhängigen, bekannten Kanal prüfen – unter einer Nummer aus den eigenen Unterlagen zurückrufen.
- Am Helpdesk strenge Identitätsprüfungen vor dem Zurücksetzen von Passwörtern oder MFA durchsetzen.
- Für Zahlungen und Änderungen von Bankdaten das Vier-Augen-Prinzip vorschreiben.
- Mitarbeitende schulen, Zeitdruck, Autorität und Geheimhaltung als Warnsignale zu erkennen.
