Cyberpediavon Brain
DEENFR

Pretexting oder die Kunst des falschen Vorwands

Ein falscher IT-Support ruft an oder schreibt, um an ein Passwort zu kommen: wie Pretexting funktioniert und wie Sie den Versuch entschärfen.

In 30 Sekunden

Wo es vorkommt
Am Telefon3, per SMS5, per Teams-Nachricht7 oder per E-Mail2.
Was der Angreifer will
Zugangsdaten oder andere verwertbare Informationen2, manchmal einen Einmalcode2.
Der Reflex
Dem, der Kontakt aufgenommen hat, nichts geben und seine Identität direkt bei der Organisation überprüfen, auf die er sich beruft1.
Wenn es schon passiert ist
Die zuständigen Stellen im Unternehmen sofort informieren und die preisgegebenen Passwörter ändern1.

Worum es geht

Ein Unbekannter ruft an, schreibt eine Nachricht oder schickt eine Mail und gibt sich als jemand aus, der Fragen stellen darf: der IT-Support, ein Lieferant, eine Bank, ein neuer Kollege. Er muss nichts hacken, wenn sein Gegenüber ihm von sich aus ein Passwort, einen Code oder eine interne Information nennt. Die CISA beschreibt dieses Muster: Der Angreifer kann sich als neuer Mitarbeiter, Handwerker oder Forscher ausgeben, falsche Identitätsnachweise anbieten und die erhaltenen Antworten anschließend abgleichen1.

Die Technik beruht auf einem falschen Vorwand, daher der englische Name Pretexting. MITRE ordnet sie den Techniken zur Informationsbeschaffung durch Phishing zu: Das Opfer soll Daten preisgeben, oft Zugangsdaten, statt eine Schadsoftware auszuführen2.

Direkte Fragen

Was ist Pretexting?

Pretexting ist eine Form des Social Engineering: Der Angreifer nutzt den menschlichen Kontakt, um Informationen über eine Organisation oder ihre Systeme zu erlangen oder zu kompromittieren1. Der Vorwand (eine Störung, die behoben werden muss, ein Konto, das geprüft werden soll, eine Überweisung, die zu begleichen ist) liefert einen plausiblen Grund, etwas zu verlangen.

Warum wirkt die Nachricht so glaubwürdig?

Weil sich der Angreifer vorher informiert hat. MITRE stellt fest, dass solche Annäherungen Informationen aus einer vorherigen Aufklärung nutzen, etwa aus sozialen Netzwerken oder von den Websites des angegriffenen Unternehmens, um glaubwürdige Köder zu bauen4. Im Fall von Scattered Spider nennt die CISA Informationen aus sozialen Medien, offenen Quellen, kommerziellen Aufklärungswerkzeugen und Datenbanklecks5.

Wer ist betroffen?

Alle, aber der IT-Support besonders. Microsoft beobachtet, dass die Gruppe Octo Tempest häufig technische Administratoren ins Visier nimmt, etwa Support- und Helpdesk-Personal, deren Rechte den Zugang zu Konten öffnen können6.

Was verlangt der Angreifer?

Die in den Quellen beschriebenen Forderungen sind konkret: Zugangsdaten, ein Einmalcode, das Zurücksetzen eines Passworts, die Übertragung eines zweiten Authentifizierungsfaktors auf ein Gerät, das der Angreifer kontrolliert, oder die Installation eines Fernzugriffswerkzeugs357.

Was tun, wenn man schon geantwortet hat?

Die CISA rät, den Vorfall den zuständigen Personen in der Organisation zu melden, darunter den Netzwerkadministratoren, die ungewöhnliche Aktivitäten überwachen können, und die preisgegebenen Passwörter unverzüglich zu ändern, und zwar bei jedem Konto, bei dem dasselbe Passwort verwendet wurde1.

1In der Haut des Angreifers1 min

Der Angreifer beginnt damit, Namen, Funktionen und Abläufe zu sammeln. Ein gefälschtes Profil in einem sozialen Netzwerk kann als Einstieg dienen: MITRE beschreibt erfundene Konten, die Beschäftigten Stellenangebote machen und so einen plausiblen Grund liefern, Fragen zu Abteilungen, Regeln und IT-Umgebung zu stellen4. Die Identitäten von Beschäftigten können auch aus früheren Lecks stammen: MITRE berichtet, dass Scattered Spider Informationen aus früheren Datenschutzverletzungen genutzt hat, um Namen von Mitarbeitern für seine Manöver zu finden7.

Dann folgt die Inszenierung. Ein Angreifer, der von einer Person nicht genug erfährt, wendet sich an eine andere in derselben Organisation und stützt sich auf die erste Antwort, um legitim zu wirken1. Die Anrufe von Scattered Spider verlaufen häufig in mehreren Schritten: Die ersten dienen dazu, zu erfahren, wie der Helpdesk ein Zurücksetzen des Passworts abwickelt, die späteren dazu, die Angaben zum angegriffenen Mitarbeiter zusammenzutragen5.

Schließlich der Druck. MITRE nennt das Auftreten als vertrauenswürdige Quelle und den Versand mehrerer scheinbar dringender Nachrichten2 sowie das Gefühl von Dringlichkeit oder Alarm, das beim Empfänger im Fall von Voice-Phishing erzeugt wird3.

2Was Sie auf dem Bildschirm sehen1 min

Die in den Quellen beobachteten Formen sind die folgenden.

  • Ein Anruf eines angeblichen Technikers, der die Installation eines Fernwartungswerkzeugs verlangt. MITRE nennt Anrufe von Scattered Spider, bei denen sich die Anrufer als IT-Personal ausgaben, um Opfer zum Herunterladen eines solchen Werkzeugs zu drängen3.
  • Eine Nachricht in Microsoft Teams von einem falschen internen Support, die MITRE bei Scattered Spider verzeichnet7.
  • Eine E-Mail, deren Absender die Identität eines Dritten vortäuscht, was sowohl den Empfänger als auch automatische Sicherheitswerkzeuge täuschen kann2.
  • Eine Nachricht, die zum Rückruf unter einer Telefonnummer auffordert, bei der der Angreifer versucht, vertrauliche Informationen zu erfragen2.

Die CISA führt außerdem klassische Warnzeichen auf: eine Absenderadresse, die der eines echten Unternehmens ähnelt, bei der aber einige Zeichen geändert oder entfernt wurden, eine allgemeine Anrede, Links, deren Adresse nicht zum Text passt, Fehler oder ein uneinheitliches Layout, ein unaufgeforderter Anhang mit falscher Dringlichkeit1. Diese Zeichen genügen nicht immer: Eine gut formulierte, gut recherchierte Anfrage kann keines davon enthalten.

Hier ist eine neutralisierte Illustration, beschrieben nach den Domainnamen, die die CISA nennt (der Name des angegriffenen Unternehmens, gefolgt von „helpdesk“ oder einem Single-Sign-on-Dienst)5:

Auszug
Illustration, neutralisierte Adresse:
nom-de-l-entreprise-helpdesk[.]invalid
[Message paraphrasé : le « support » demande de se connecter sur ce site pour vérifier le compte.]
3Unter der HaubeIT-Teams1 min

Drei Mechanismen greifen ineinander. Erstens die Informationsbeschaffung (Organigramm, Namen, Abläufe), die die Kulisse für den Vorwand liefert45. Zweitens die Vortäuschung einer Identität: ein Beschäftigter, ein Techniker oder ein neu Eingestellter. Microsoft berichtet, dass Octo Tempest am Telefon den Sprachstil der nachgeahmten Personen imitiert, deren persönliche Daten kennt und sich als neue Mitarbeiter ausgegeben hat, um sich in die Abläufe beim Onboarding einzufügen6. Schließlich Autorität und Dringlichkeit, die zu schnellen Antworten drängen.

Das Telefon erleichtert die Täuschung. Die CISA hebt hervor, dass die Internettelefonie es leicht macht, die Kennung des Anrufers zu fälschen, was das fehl am Platz sitzende Vertrauen der Öffentlichkeit in die Sicherheit des Telefons ausnutzt1.

Wenn sich der Angreifer gegenüber dem Support als Beschäftigter ausgibt, will er erreichen, dass ein Passwort zurückgesetzt oder die Multifaktor-Authentifizierung auf ein Gerät übertragen wird, das er kontrolliert5. Microsoft beschreibt sogar Fälle, in denen er das Verfahren umgeht, indem er das Konto eines bereits kompromittierten Vorgesetzten nutzt, um seine Anfragen zu genehmigen6. Interne Bestätigungen taugen also nur, wenn der Kanal selbst sicher ist.

4FallanalysenReale Fälle1 min

Anfang 2022: Octo Tempest und SIM-Swaps

Laut Microsoft wurde die Gruppe Octo Tempest erstmals Anfang 2022 beobachtet. Sie nahm Mobilfunkanbieter und Business-Process-Outsourcing-Unternehmen ins Visier, um Rufnummernportierungen auszulösen, die SIM-Swaps. 2022 profitierte sie von diesen Einbrüchen, indem sie SIM-Swaps an andere Kriminelle verkaufte und die Konten sehr vermögender Personen übernahm, um deren Kryptowährungen zu stehlen6.

25. Oktober 2023: Microsoft beschreibt die Methoden von Octo Tempest

In seinem Beitrag vom 25. Oktober 2023 erklärt Microsoft, dass diese Gruppe den Helpdesk einer Organisation anruft, um das Zurücksetzen des Passworts eines Benutzers oder das Hinzufügen eines Authentifizierungsfaktors zu erreichen6. Hat sie die Telefonnummer eines Beschäftigten erst einmal unter Kontrolle, kann sie außerdem ein Zurücksetzen des Kontos im Self-Service auslösen6.

16. November 2023 und 29. Juli 2025: die gemeinsame Warnung zu Scattered Spider

Die gemeinsame Warnung der CISA, des FBI und von Partnerbehörden wurde am 16. November 2023 veröffentlicht und am 21. November 2023 sowie am 29. Juli 2025 aktualisiert5. Sie beschreibt eine Gruppe, die große Unternehmen und deren ausgelagerte IT-Helpdesks angreift5. Ihre Mitglieder gaben sich per Anruf oder SMS als IT- oder Support-Personal aus, um Zugangsdaten zu erhalten, und als Beschäftigte, um den Support zu überzeugen, ein Passwort zurückzusetzen und den zweiten Faktor zu übertragen5. Die Warnung empfiehlt eine phishingresistente Multifaktor-Authentifizierung, die gegen Benachrichtigungsflut und SIM-Swapping geschützt ist5.

5Was Sie tun1 min

Der Reflex lässt sich so zusammenfassen: Man antwortet nicht dem, der Kontakt aufgenommen hat, sondern prüft über einen anderen Kanal.

  • Seien Sie misstrauisch bei einem unaufgeforderten Anruf, Besuch oder einer Nachricht, die Fragen zu Beschäftigten oder zur internen Organisation stellt. Beruft sich der Unbekannte auf eine legitime Organisation, überprüfen Sie seine Identität direkt bei ihr1.
  • Geben Sie keine Informationen über sich oder das Unternehmen weiter, auch nicht zu Struktur und Netzen, solange Sie nicht sicher sind, dass die Person sie kennen darf1.
  • Haben Sie bei einer Anfrage per E-Mail Zweifel, kontaktieren Sie die Stelle direkt, ohne die Kontaktdaten aus der Nachricht oder von der verlinkten Website zu verwenden: Suchen Sie sie in früheren Mitteilungen heraus1.
  • Melden Sie den Versuch, auch wenn Sie nichts preisgegeben haben. Das britische NCSC empfiehlt eine Kultur, in der man ohne Angst vor Vorwürfen meldet, denn Beschäftigte, die Sanktionen fürchten, melden ihre Fehler nicht8.

Auf Seiten der Organisation weist MITRE darauf hin, dass Nutzer geschult werden können, diese Techniken zu erkennen und zu melden und Anrufern zu misstrauen, indem sie deren Identität überprüfen3.

Merkblatt

Kennung
CP-021
Flügel
1. Angriffe und Techniken
Brain-Kompetenz
Social Engineering durchschauen (outsmart_social_engineering)
Brain-Reflex
cr-040
Schema
G5 · Entscheidungsbaum Reflex
Sprachen
de, en, fr
Quellen
8 Quellen geprüft am 3. November 2026
Quellen8 Quellen
  1. CISA, „Avoiding Social Engineering and Phishing Attacks“, 1. Februar 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (abgerufen am 3. November 2026)
  2. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/ (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Phishing: Spearphishing Voice, Sub-technique T1566.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1566/004/ (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „Phishing for Information: Spearphishing Service, Sub-technique T1598.001 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/001/ (abgerufen am 3. November 2026)
  5. CISA, „Scattered Spider“, 16. November 2023. https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (abgerufen am 3. November 2026)
  6. Microsoft, „Octo Tempest crosses boundaries to facilitate extortion, encryption, and destruction“, 25. Oktober 2023. https://www.microsoft.com/en-us/security/blog/2023/10/25/octo-tempest-crosses-boundaries-to-facilitate-extortion-encryption-and-destruction/ (abgerufen am 3. November 2026)
  7. MITRE ATT&CK, „Scattered Spider, Roasted 0ktapus, Octo Tempest, Storm-0875, UNC3944, Group G1015 | MITRE ATT&CK®“. https://attack.mitre.org/groups/G1015/ (abgerufen am 3. November 2026)
  8. NCSC (Royaume-Uni), „Phishing attacks: defending your organisation“, 5. Februar 2018. https://www.ncsc.gov.uk/guidance/phishing (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Pretexting oder die Kunst des falschen Vorwands“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/pretexting-glaubwuerdiges-autoritaetsszenario/

BibTeX 
@misc{brain_cp021_de_2026,
  author = {Brain},
  title = {Pretexting oder die Kunst des falschen Vorwands},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/pretexting-glaubwuerdiges-autoritaetsszenario/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0