Pretexting bezeichnet eine Social-Engineering-Technik, bei der Angreifer eine erfundene, glaubwürdige Geschichte oder Rolle nutzen, um das Vertrauen einer Person zu gewinnen und sie zur Preisgabe sensibler Informationen oder zu bestimmten Handlungen zu bewegen.
Beim Pretexting entwickeln Angreifer im Vorfeld ein detailliertes, glaubwürdiges Szenario, etwa die Rolle eines IT-Support-Mitarbeiters, eines Behördenvertreters oder eines externen Prüfers, um im Gespräch gezielt Vertrauen aufzubauen und Informationen zu erfragen, die normalerweise nicht preisgegeben würden.
Für Unternehmen ist Pretexting relevant, weil es häufig über Telefonanrufe oder persönliche Kontakte erfolgt und dadurch technische Schutzmaßnahmen wie Firewalls oder Antivirus-Software vollständig umgeht, indem es direkt auf menschliches Vertrauen und Hilfsbereitschaft abzielt.
Für Architektur- und Ingenieurbüros ist Pretexting relevant, wenn sich Angreifer telefonisch als IT-Dienstleister, Behördenvertreter oder Auftraggeber ausgeben, um Mitarbeitende zur Preisgabe von Zugangsdaten oder vertraulichen Projektinformationen zu bewegen, was besonders bei unklaren internen Verifikationsprozessen erfolgreich sein kann.
Abzugrenzen ist Pretexting vom breiteren Social Engineering, zu dessen spezifischen Methoden es zählt, sowie vom klassischen Phishing, das primär schriftlich statt im direkten, oft telefonischen Gespräch erfolgt. Ein klarer Verifikationsprozess für ungewöhnliche Anfragen erschwert erfolgreiches Pretexting erheblich. Dies zeigt, wie eng die einzelnen Konzepte der Cybersicherheit miteinander verzahnt sind.
Für Sie als Geschäftsführerin oder Geschäftsführer eines Planungsbüros ist Pretexting relevant, weil sich Angreifer telefonisch als IT-Dienstleister, Behördenvertreter oder sogar als bekannter Auftraggeber ausgeben könnten, um Mitarbeitende zur Preisgabe vertraulicher Informationen zu bewegen. Ein klarer, verbindlicher Verifikationsprozess für ungewöhnliche telefonische Anfragen, etwa durch Rückruf über bekannte, unabhängig verifizierte Nummern, schützt Ihr Unternehmen wirksam. Für die Cyberversicherung ist relevant, dass Folgen eines erfolgreichen Pretexting-Angriffs, etwa Datenabfluss durch getäuschte Mitarbeitende, je nach Bedingungswerk Gegenstand einer Cyberversicherung sein können. Regelmäßige Schulungen sensibilisieren Ihre Mitarbeitenden für diese besonders persönliche Angriffsform. Ein realistisches Verständnis dieses Zusammenhangs hilft Ihnen zudem, Prioritäten bei der eigenen IT-Sicherheit sinnvoll zu setzen und im Beratungsgespräch zur Cyberversicherung fundierte Fragen zu stellen.
Ein Anrufer gibt sich gegenüber einem Mitarbeiter eines Ingenieurbüros als externer IT-Sicherheitsprüfer aus, der angeblich im Auftrag der Geschäftsführung eine dringende Systemprüfung durchführen müsse, und bittet um die vorübergehende Preisgabe von Zugangsdaten. Da der Mitarbeiter zuvor in einer Schulung gelernt hat, solche Anfragen stets über eine unabhängige, bekannte Kontaktperson zu verifizieren, kontaktiert er die tatsächliche Geschäftsführung, die von einem solchen Auftrag nichts weiß. Der Betrugsversuch wird dadurch rechtzeitig erkannt und die Preisgabe sensibler Zugangsdaten erfolgreich verhindert. Der Vorfall wird intern dokumentiert und dient als Grundlage für weitere, gezielte Verbesserungen der eigenen IT-Sicherheit.
Pretexting ist eine Social-Engineering-Technik, bei der Angreifer eine erfundene, glaubwürdige Geschichte nutzen, um Vertrauen zu gewinnen und Informationen zu erfragen.
Pretexting erfolgt häufig im direkten, oft telefonischen Gespräch, während Phishing primär schriftlich über E-Mails oder Nachrichten erfolgt.
Angreifer könnten sich als IT-Dienstleister oder Auftraggeber ausgeben, um Mitarbeitende zur Preisgabe vertraulicher Informationen zu bewegen.
Ein klarer Verifikationsprozess für ungewöhnliche Anfragen, etwa durch Rückruf über bekannte Nummern, schützt wirksam.
Je nach Bedingungswerk können Datenabflüsse durch erfolgreiches Pretexting Gegenstand einer Cyberversicherung sein.
• Social Engineering – bildet den übergeordneten Rahmen, zu dem Pretexting als spezifische Methode zählt.
• Business Email Compromise (BEC) – kann Pretexting-Techniken nutzen, um zusätzliche Glaubwürdigkeit zu erzeugen.
• CEO-Fraud – basiert häufig auf einer Form von Pretexting, bei der die Autorität einer Führungsperson vorgetäuscht wird.
• Account freezing – kann als Reaktion nach einem erkannten Pretexting-Versuch relevant werden.