--- id: CP-021 slug: pretexting-glaubwuerdiges-autoritaetsszenario lang: de title: Pretexting oder die Kunst des falschen Vorwands description: "Ein falscher IT-Support ruft an oder schreibt, um an ein Passwort zu kommen: wie Pretexting funktioniert und wie Sie den Versuch entschärfen." canonical_url: https://startbrain.io/cyberpedia/de/articles/pretexting-glaubwuerdiges-autoritaetsszenario/ markdown_url: https://startbrain.io/cyberpedia/de/articles/pretexting-glaubwuerdiges-autoritaetsszenario.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Pretexting oder die Kunst des falschen Vorwands“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/pretexting-glaubwuerdiges-autoritaetsszenario/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-040 schema: G5 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/pretexting-glaubwuerdiges-autoritaetsszenario/ fr: https://startbrain.io/cyberpedia/fr/articles/pretexting-scenario-autorite-credible/ en: https://startbrain.io/cyberpedia/en/articles/pretexting-credible-authority-scenario/ es: https://startbrain.io/cyberpedia/es/articles/pretexting-escenario-autoridad-creible/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 3 title: "Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/004/ accessed: "2026-11-03" - "n": 4 title: "Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/001/ accessed: "2026-11-03" - "n": 5 title: Scattered Spider publisher: CISA url: https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a published: "2023-11-16" accessed: "2026-11-03" - "n": 6 title: Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ published: "2023-10-25" accessed: "2026-11-03" - "n": 7 title: Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/groups/G1015/ accessed: "2026-11-03" - "n": 8 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Pretexting oder die Kunst des falschen Vorwands Ein Unbekannter ruft an, schreibt eine Nachricht oder schickt eine Mail und gibt sich als jemand aus, der Fragen stellen darf: der IT-Support, ein Lieferant, eine Bank, ein neuer Kollege. Er muss nichts hacken, wenn sein Gegenüber ihm von sich aus ein Passwort, einen Code oder eine interne Information nennt. Die CISA beschreibt dieses Muster: Der Angreifer kann sich als neuer Mitarbeiter, Handwerker oder Forscher ausgeben, falsche Identitätsnachweise anbieten und die erhaltenen Antworten anschließend abgleichen [1]. Die Technik beruht auf einem falschen Vorwand, daher der englische Name Pretexting. MITRE ordnet sie den Techniken zur Informationsbeschaffung durch Phishing zu: Das Opfer soll Daten preisgeben, oft Zugangsdaten, statt eine Schadsoftware auszuführen [2]. ## In 30 Sekunden - Wo es vorkommt: am Telefon [3], per SMS [5], per Teams-Nachricht [7] oder per E-Mail [2]. - Was der Angreifer will: Zugangsdaten oder andere verwertbare Informationen [2], manchmal einen Einmalcode [2]. - Der Reflex: Dem, der Kontakt aufgenommen hat, nichts geben und seine Identität direkt bei der Organisation überprüfen, auf die er sich beruft [1]. - Wenn es schon passiert ist: Die zuständigen Stellen im Unternehmen sofort informieren und die preisgegebenen Passwörter ändern [1]. ## Direkte Fragen ### Was ist Pretexting? Pretexting ist eine Form des Social Engineering: Der Angreifer nutzt den menschlichen Kontakt, um Informationen über eine Organisation oder ihre Systeme zu erlangen oder zu kompromittieren [1]. Der Vorwand (eine Störung, die behoben werden muss, ein Konto, das geprüft werden soll, eine Überweisung, die zu begleichen ist) liefert einen plausiblen Grund, etwas zu verlangen. ### Warum wirkt die Nachricht so glaubwürdig? Weil sich der Angreifer vorher informiert hat. MITRE stellt fest, dass solche Annäherungen Informationen aus einer vorherigen Aufklärung nutzen, etwa aus sozialen Netzwerken oder von den Websites des angegriffenen Unternehmens, um glaubwürdige Köder zu bauen [4]. Im Fall von Scattered Spider nennt die CISA Informationen aus sozialen Medien, offenen Quellen, kommerziellen Aufklärungswerkzeugen und Datenbanklecks [5]. ### Wer ist betroffen? Alle, aber der IT-Support besonders. Microsoft beobachtet, dass die Gruppe Octo Tempest häufig technische Administratoren ins Visier nimmt, etwa Support- und Helpdesk-Personal, deren Rechte den Zugang zu Konten öffnen können [6]. ### Was verlangt der Angreifer? Die in den Quellen beschriebenen Forderungen sind konkret: Zugangsdaten, ein Einmalcode, das Zurücksetzen eines Passworts, die Übertragung eines zweiten Authentifizierungsfaktors auf ein Gerät, das der Angreifer kontrolliert, oder die Installation eines Fernzugriffswerkzeugs [3][5][7]. ### Was tun, wenn man schon geantwortet hat? Die CISA rät, den Vorfall den zuständigen Personen in der Organisation zu melden, darunter den Netzwerkadministratoren, die ungewöhnliche Aktivitäten überwachen können, und die preisgegebenen Passwörter unverzüglich zu ändern, und zwar bei jedem Konto, bei dem dasselbe Passwort verwendet wurde [1]. ## In der Haut des Angreifers Der Angreifer beginnt damit, Namen, Funktionen und Abläufe zu sammeln. Ein gefälschtes Profil in einem sozialen Netzwerk kann als Einstieg dienen: MITRE beschreibt erfundene Konten, die Beschäftigten Stellenangebote machen und so einen plausiblen Grund liefern, Fragen zu Abteilungen, Regeln und IT-Umgebung zu stellen [4]. Die Identitäten von Beschäftigten können auch aus früheren Lecks stammen: MITRE berichtet, dass Scattered Spider Informationen aus früheren Datenschutzverletzungen genutzt hat, um Namen von Mitarbeitern für seine Manöver zu finden [7]. Dann folgt die Inszenierung. Ein Angreifer, der von einer Person nicht genug erfährt, wendet sich an eine andere in derselben Organisation und stützt sich auf die erste Antwort, um legitim zu wirken [1]. Die Anrufe von Scattered Spider verlaufen häufig in mehreren Schritten: Die ersten dienen dazu, zu erfahren, wie der Helpdesk ein Zurücksetzen des Passworts abwickelt, die späteren dazu, die Angaben zum angegriffenen Mitarbeiter zusammenzutragen [5]. Schließlich der Druck. MITRE nennt das Auftreten als vertrauenswürdige Quelle und den Versand mehrerer scheinbar dringender Nachrichten [2] sowie das Gefühl von Dringlichkeit oder Alarm, das beim Empfänger im Fall von Voice-Phishing erzeugt wird [3]. ## Was Sie auf dem Bildschirm sehen Die in den Quellen beobachteten Formen sind die folgenden. - Ein Anruf eines angeblichen Technikers, der die Installation eines Fernwartungswerkzeugs verlangt. MITRE nennt Anrufe von Scattered Spider, bei denen sich die Anrufer als IT-Personal ausgaben, um Opfer zum Herunterladen eines solchen Werkzeugs zu drängen [3]. - Eine Nachricht in Microsoft Teams von einem falschen internen Support, die MITRE bei Scattered Spider verzeichnet [7]. - Eine E-Mail, deren Absender die Identität eines Dritten vortäuscht, was sowohl den Empfänger als auch automatische Sicherheitswerkzeuge täuschen kann [2]. - Eine Nachricht, die zum Rückruf unter einer Telefonnummer auffordert, bei der der Angreifer versucht, vertrauliche Informationen zu erfragen [2]. Die CISA führt außerdem klassische Warnzeichen auf: eine Absenderadresse, die der eines echten Unternehmens ähnelt, bei der aber einige Zeichen geändert oder entfernt wurden, eine allgemeine Anrede, Links, deren Adresse nicht zum Text passt, Fehler oder ein uneinheitliches Layout, ein unaufgeforderter Anhang mit falscher Dringlichkeit [1]. Diese Zeichen genügen nicht immer: Eine gut formulierte, gut recherchierte Anfrage kann keines davon enthalten. Hier ist eine neutralisierte Illustration, beschrieben nach den Domainnamen, die die CISA nennt (der Name des angegriffenen Unternehmens, gefolgt von „helpdesk“ oder einem Single-Sign-on-Dienst) [5]: ```text Illustration, neutralisierte Adresse: nom-de-l-entreprise-helpdesk[.]invalid [Message paraphrasé : le « support » demande de se connecter sur ce site pour vérifier le compte.] ``` ## Unter der Haube Drei Mechanismen greifen ineinander. Erstens die Informationsbeschaffung (Organigramm, Namen, Abläufe), die die Kulisse für den Vorwand liefert [4][5]. Zweitens die Vortäuschung einer Identität: ein Beschäftigter, ein Techniker oder ein neu Eingestellter. Microsoft berichtet, dass Octo Tempest am Telefon den Sprachstil der nachgeahmten Personen imitiert, deren persönliche Daten kennt und sich als neue Mitarbeiter ausgegeben hat, um sich in die Abläufe beim Onboarding einzufügen [6]. Schließlich Autorität und Dringlichkeit, die zu schnellen Antworten drängen. Das Telefon erleichtert die Täuschung. Die CISA hebt hervor, dass die Internettelefonie es leicht macht, die Kennung des Anrufers zu fälschen, was das fehl am Platz sitzende Vertrauen der Öffentlichkeit in die Sicherheit des Telefons ausnutzt [1]. Wenn sich der Angreifer gegenüber dem Support als Beschäftigter ausgibt, will er erreichen, dass ein Passwort zurückgesetzt oder die Multifaktor-Authentifizierung auf ein Gerät übertragen wird, das er kontrolliert [5]. Microsoft beschreibt sogar Fälle, in denen er das Verfahren umgeht, indem er das Konto eines bereits kompromittierten Vorgesetzten nutzt, um seine Anfragen zu genehmigen [6]. Interne Bestätigungen taugen also nur, wenn der Kanal selbst sicher ist. ## Fallanalysen ### Anfang 2022: Octo Tempest und SIM-Swaps Laut Microsoft wurde die Gruppe Octo Tempest erstmals Anfang 2022 beobachtet. Sie nahm Mobilfunkanbieter und Business-Process-Outsourcing-Unternehmen ins Visier, um Rufnummernportierungen auszulösen, die SIM-Swaps. 2022 profitierte sie von diesen Einbrüchen, indem sie SIM-Swaps an andere Kriminelle verkaufte und die Konten sehr vermögender Personen übernahm, um deren Kryptowährungen zu stehlen [6]. ### 25. Oktober 2023: Microsoft beschreibt die Methoden von Octo Tempest In seinem Beitrag vom 25. Oktober 2023 erklärt Microsoft, dass diese Gruppe den Helpdesk einer Organisation anruft, um das Zurücksetzen des Passworts eines Benutzers oder das Hinzufügen eines Authentifizierungsfaktors zu erreichen [6]. Hat sie die Telefonnummer eines Beschäftigten erst einmal unter Kontrolle, kann sie außerdem ein Zurücksetzen des Kontos im Self-Service auslösen [6]. ### 16. November 2023 und 29. Juli 2025: die gemeinsame Warnung zu Scattered Spider Die gemeinsame Warnung der CISA, des FBI und von Partnerbehörden wurde am 16. November 2023 veröffentlicht und am 21. November 2023 sowie am 29. Juli 2025 aktualisiert [5]. Sie beschreibt eine Gruppe, die große Unternehmen und deren ausgelagerte IT-Helpdesks angreift [5]. Ihre Mitglieder gaben sich per Anruf oder SMS als IT- oder Support-Personal aus, um Zugangsdaten zu erhalten, und als Beschäftigte, um den Support zu überzeugen, ein Passwort zurückzusetzen und den zweiten Faktor zu übertragen [5]. Die Warnung empfiehlt eine phishingresistente Multifaktor-Authentifizierung, die gegen Benachrichtigungsflut und SIM-Swapping geschützt ist [5]. ## Was Sie tun Der Reflex lässt sich so zusammenfassen: Man antwortet nicht dem, der Kontakt aufgenommen hat, sondern prüft über einen anderen Kanal. - Seien Sie misstrauisch bei einem unaufgeforderten Anruf, Besuch oder einer Nachricht, die Fragen zu Beschäftigten oder zur internen Organisation stellt. Beruft sich der Unbekannte auf eine legitime Organisation, überprüfen Sie seine Identität direkt bei ihr [1]. - Geben Sie keine Informationen über sich oder das Unternehmen weiter, auch nicht zu Struktur und Netzen, solange Sie nicht sicher sind, dass die Person sie kennen darf [1]. - Haben Sie bei einer Anfrage per E-Mail Zweifel, kontaktieren Sie die Stelle direkt, ohne die Kontaktdaten aus der Nachricht oder von der verlinkten Website zu verwenden: Suchen Sie sie in früheren Mitteilungen heraus [1]. - Melden Sie den Versuch, auch wenn Sie nichts preisgegeben haben. Das britische NCSC empfiehlt eine Kultur, in der man ohne Angst vor Vorwürfen meldet, denn Beschäftigte, die Sanktionen fürchten, melden ihre Fehler nicht [8]. Auf Seiten der Organisation weist MITRE darauf hin, dass Nutzer geschult werden können, diese Techniken zu erkennen und zu melden und Anrufern zu misstrauen, indem sie deren Identität überprüfen [3]. ## Quellen 1. CISA, „Avoiding Social Engineering and Phishing Attacks“, 1. Februar 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/ (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/004/ (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/001/ (abgerufen am 3. November 2026) 5. CISA, „Scattered Spider“, 16. November 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (abgerufen am 3. November 2026) 6. Microsoft, „Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction“, 25. Oktober 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (abgerufen am 3. November 2026) 7. MITRE ATT&CK, „Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®“. https://attack.mitre.org/groups/G1015/ (abgerufen am 3. November 2026) 8. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation“, 5. Februar 2018. https://www.ncsc.gov.uk/guidance/phishing (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/pretexting-glaubwuerdiges-autoritaetsszenario/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.