Wem kannst du vertrauen? Der IT-Techniker, der dich gerade angerufen und um Zugang zu einem Firmenkonto gebeten hat? Der Kurier, dem du die Tür aufgehalten hast, als du das Büro betratst? Man vertraut leicht Menschen, die selbstbewusst und überzeugend wirken – und genau darauf bauen Betrüger, die Pretexting anwenden. Was ist also Pretexting, wie funktioniert es, und könntest du das nächste Opfer sein?
Pretexting und Social Engineering
Während Scams ähnlich wie phishing darauf angewiesen sind, ein falsches Gefühl von Dringlichkeit zu erzeugen und das Opfer zum Handeln zu verleiten, verläuft Pretexting ein wenig subtiler. Diese Methode beinhaltet das Vorgeben eines überzeugenden Vorwands.
Es geht dabei um Vertrauen und den Aufbau einer Beziehung zu einer Person, damit diese sich dazu überreden lässt, Informationen offenzulegen, welche die Täter benötigen. Bei einer Pretexting-Aktion versuchen Angreifer, ein Opfer in Sicherheit zu wiegen, indem sie sich als jemand anderes ausgeben.
Pretexting ist eine klassische Form von Social Engineering, was ein besonderes Risiko für Unternehmen und Geschäftsnetzwerke darstellt.
Wie funktioniert Pretexting?
Ein Pretexting-Angriff kann verschiedene Taktiken und Ansätze umfassen. Diese lassen sich in erster Linie in zwei Kategorien unterteilen:
Aus der Ferne
Persönlich
Pretexting aus der Ferne ist die einfachste Methode. In diesem Szenario erreichen Angreifer ihr Ziel in der Regel per Telefon oder E-Mail. Sobald sie Kontakt aufgenommen haben, können sie vorgeben, jemand zu sein, dem das Opfer bedenkenlos vertraut. Wenn der Vorwand überzeugend genug ist, können Angreifer nützliche Informationen über das Ziel oder das Unternehmen, für das ihr Opfer arbeitet, erbeuten.
Persönliches Pretexting bedeutet ein hohes Risiko für Angreifer, wird aber dennoch eingesetzt. Im Gegensatz zur Methode des Pretextings aus der Ferne wird ein persönlicher Vorwand mithilfe einer überzeugenden Verkleidung und einem Alibi aufgebaut. Böswillige Akteure können in ein Büro oder einen Haushalt gelangen, indem sie eine falsche Uniform tragen und Menschen persönlich von ihrer Authentizität überzeugen. Angreifer, die sich als Handwerker oder Kuriere ausgeben, können Sicherheitseinschränkungen umgehen, ohne zu viel Aufsehen zu erregen.
Unternehmen sind besonders anfällig für solche Angriffe. Wenn der Vorwand erfolgreich ist, können Täter die Anmeldedaten für Unternehmenskonten oder E-Mails von Mitarbeitenden erbeuten. Anschließend können sie mit diesen kompromittierten Konten weitere Operationen starten.
Cyber-Bedrohungen im Zusammenhang mit Pretexting
Alle Social-Engineering-Angriffe verlaufen relativ ähnlich: Sie nutzen Vertrauen aus, um potenzielle Opfer dazu zu bringen, wertvolle Informationen an Betrüger weiterzugeben. Es gibt jedoch auch Unterschiede zwischen diesen Angriffen: Hier sind einige Beispiele für Social-Engineering-Angriffe, die Pretexting ähneln.
Tailgating
Tailgating ist eine Art von Social-Engineering-Angriff, bei dem Betrüger sich als jemand anderes ausgeben, um physischen Zugang zu gesperrten Bereichen zu erhalten, in denen sie wertvolle Informationen erhalten können. Solche Angriffe können für Unternehmen extrem verheerend sein. Zum Beispiel könnten sich böswillige Akteure als Lebensmittellieferanten ausgeben, um die reguläre Sicherheitskontrolle zu umgehen.
Phishing
Phishing ist eine der häufigsten Arten von Social-Engineering-Angriffen. Das Konzept hinter Phishing besteht darin, den Namen einer bekannten Entität zu nutzen, um andere Menschen dazu zu bringen, ihre vertraulichen Informationen wie Passwörter und Benutzernamen preiszugeben. Normalerweise werden Phishing-Angriffe per E-Mail durchgeführt, indem Hacker gefälschte E-Mail-Nachrichten erstellen, die vorgeblich von einem bekannten Unternehmen stammen, um ahnungslose Benutzer zu täuschen.
Vishing and smishing
Vishing, was Phishing per Sprache bedeutet, ist ein Social-Engineering-Angriff, bei dem Menschen mithilfe des Telefons dazu gebracht werden, wertvolle Informationen weiterzugeben. Ein klassisches Beispiel sind Betrüger, die ihr Opfer anrufen und vorspielen, Bankmitarbeitende zu sein, um Zugang zu ihrem Konto zu erhalten.
Smishing ist eine Form des Phishings über SMS-Nachrichten. Im Wesentlichen folgt Smishing dem gleichen Ansatz und den gleichen Techniken wie Phishing. Der einzige große Unterschied besteht darin, dass die Angriffe über verschiedene Medien durchgeführt werden.
Scareware
Scareware ist eine Art von Software, die — wie der Name schon sagt — dazu dient, das Opfer einzuschüchtern und zu erschrecken. Scareware wurde entwickelt, um Benutzer mit einer Vielzahl von falschen Warn- und Fehlermeldungen zu überfluten. In den meisten Fällen enthalten Scareware-Nachrichten Download-Links und behaupten fälschlicherweise, dass Benutzer eine bestimmte Software benötigen, um ihr Gerät zu bereinigen. Leider führen diese Download-Links in der Regel zu Malware, deren Zweck häufig darin besteht, private Daten zu stehlen.
Whaling
Ein Whaling-Angriff, der auch als CEO-Betrug bezeichnet wird, ähnelt dem Grundprinzip des Phishings. Whaling basiert auf den gleichen Konzepten, aber es zielt auf größere Fische ab – meistens im großen Meer der Geschäftswelt. Die Ziele sind in der Regel hochrangige Mitarbeitende innerhalb eines Unternehmens, die E-Mails erhalten, die angeblich von einem CEO oder einer gleichrangigen Person stammen. Hierbei geht es darum, den Empfängern vertrauliche Informationen zu entlocken.
All diese Cyberangriffe, die auf Pretexting basieren, haben eines gemeinsam: die Ausnutzung des Vertrauens der Benutzer. In den meisten Fällen geschieht dies durch Schauspielerei, die für das ungeübte Auge ziemlich schwer zu erkennen ist.
So entgehst du Pretexting
Prüfe Vorwände
Die größte Schwäche des Pretexting ist die Tatsache, dass Angreifer in der Regel auf einen bekannten Firmennamen zurückgreifen müssen. Das bedeutet, dass Mitarbeitende sich an das Unternehmen wenden können, für das Täter angeblich tätig sind, und ihre Legitimität überprüfen können. Als bewährte Vorgehensweise sollten Mitarbeitende deshalb stets versuchen, die Vorwände zu prüfen.
Frage bei einem persönlichen Pretexting-Angriff immer nach einem Ausweis
Wenn jemand versucht, ein Büro zu betreten oder Informationen im persönlichen Gespräch zu erhalten, frage immer nach einem Ausweis. Eine Uniform oder das Outfit eines Kuriers kann gefälscht sein, aber ein Ausweis ist oft schwieriger nachzuahmen. In Kombination mit dem Überprüfen sollte dies dazu beitragen, böswillige Akteure auszumerzen und dein Büro zu schützen.
Bewusstseinsbildung bei Mitarbeitenden
Die Mitarbeitenden eines Unternehmens bilden stets die erste Verteidigungslinie bei der Bekämpfung von Sicherheitsbedrohungen. Unterrichte deine Mitarbeitenden über Sicherheitsprotokolle und Best Practices – so kannst du die Wahrscheinlichkeit erhöhen, dass dein Unternehmen insgesamt geschützt bleibt. Fördere eine Kultur der individuellen Verantwortung. Sorge dafür, dass deine Mitarbeitenden nicht zögern, bei Zweifeln noch einmal nachzuhaken. All diese Maßnahmen werden einen großen Beitrag zur Abwehr von Pretexting leisten.