Was ist Pretexting?

Pretexting ist bei gezielten Phishing-Angriffen wie Spear-Phishing, das auf eine bestimmte Person abzielt, und Whaling, das auf eine Führungskraft oder einen Mitarbeiter mit privilegiertem Zugang zu sensiblen Informationen oder Systemen abzielt, weit verbreitet.  

Pretexting spielt aber auch eine Rolle bei nicht zielgerichteten E-Mail-Phishing-Betrügereien, Voice-Phishing (Vishing) oder SMS-Text-Phishing (Smishing).

Ein Betrüger könnte zum Beispiel eine Textnachricht wie „[Name der weltweit tätigen Bank hier]: Ihr Konto ist überzogen” an Millionen von Menschen senden und erwarten, dass ein gewisser Prozentsatz der Empfänger Kunden der Bank sind und dass ein gewisser Prozentsatz dieser Kunden auf die Nachricht reagieren wird. Selbst ein kleiner Prozentsatz an Opfern kann für die Betrüger eine große Beute bedeuten.

Bei dieser Art von Angriffen verleitet ein Krimineller sein Opfer mit einem attraktiven, aber kompromittierten Köder (eng. „bait“) zum Herunterladen von Malware. Der Köder kann physisch sein, z. B. ein USB-Stick, der mit bösartigem Code geladen und auffällig an einem öffentlichen Ort platziert wird. Oder der Köder ist digital, wie z. B. Werbung für kostenlose Filmdownloads, die sich als Malware entpuppen.

Betrüger benutzen oft Vorwände, um den Köder attraktiver zu machen. Ein Betrüger könnte beispielsweise Etiketten an einem infizierten USB-Stick anbringen, um den Eindruck zu erwecken, dass dieser einem bestimmten Unternehmen gehört und wichtige Dateien enthält.

Pretexting kann auch für persönliche Betrügereien wie Tailgating verwendet werden. Man spricht vom Tailgating, das auch als „Huckepack“ bezeichnet wird, wenn eine unbefugte Person einer befugten Person an einen Ort folgt, der eine Freigabe erfordert, wie z. B. ein sicheres Bürogebäude. Betrüger nutzen Vorwände, um ihre Tailgating-Versuche erfolgreicher zu machen – indem sie sich beispielsweise als Zusteller ausgeben und einen ahnungslosen Mitarbeiter bitten, ihnen eine verschlossene Tür zu öffnen.

Bei diesem Cyberangriff gibt sich der Betrüger als Vertreter eines Unternehmens aus, um das Opfer auf ein Problem mit seinem Konto aufmerksam zu machen, wie beispielsweise verfallene Rechnungsdaten oder einen verdächtigen Kauf. Der Betrüger fügt einen Link ein, über den das Opfer auf eine gefälschte Website gelangt, auf der seine Authentifizierungsdaten, Kreditkarteninformationen, Bankkontonummer oder Sozialversicherungsnummer gestohlen werden.

Die Kompromittierung von Geschäfts-E-Mails (Business Email Compromise, BEC) ist eine Art gezielter Social-Engineering-Angriff, der sich stark auf Pretexting stützt. 25 % aller BEC-Angriffe (Link befindet sich außerhalb von ibm.com) beginnen jetzt mit Pretexting. 

Bei BEC ist die Figur eine reale Führungskraft oder ein hochrangiger Geschäftspartner mit Autorität oder Einfluss auf das Ziel. Da der Scammer vorgibt, jemand in einer Machtposition zu sein, werden viele Opfer einfach kooperieren.

Die Situation besteht darin, dass die Figur Hilfe bei einer (meistens) dringenden Aufgabe benötigt. Zum Beispiel: „Ich stecke an einem Flughafen fest und habe mein Passwort vergessen. Können Sie mich bitte daran erinnern?“ Oder: Können Sie XXX.XXX,XX Dollar auf das Bankkonto #YYYYYYY überweisen, um die beigefügte Rechnung zu bezahlen? Schnell, bevor sie unseren Service einstellen.“

Indem sie sich per Textnachricht, E-Mail, Telefonanruf und sogar KI-generierten Videos als Vorgesetzte ausgeben, können Betrüger Mitarbeiter oft dazu verleiten, sensible Informationen preiszugeben oder sogar Straftaten zu begehen.

In einem berühmten Fall endete eine vorab aufgezeichnete (und KI-generierte) Webkonferenz mit Anweisungen der angeblichen Geschäftsleitung, die einen Mitarbeiter davon überzeugten, 200 Millionen HKD an die Angreifer zu überweisen.⁴

Jahr für Jahr zählt BEC zu den kostspieligsten Cyberkriminalitäts- und Social-Engineering-Techniken. Laut dem IBM Data Breach Kostenreport kosten Datenschutzverletzungen, die durch BEC verursacht werden, die betroffenen Unternehmen durchschnittlich 4,88 Millionen US-Dollar. 

Nach Angaben des Internet Crime Complaint Center des FBI beliefen sich die Gesamtverluste der Opfer durch BEC im Jahr 2023 auf fast 2,9 Milliarden US-Dollar.³

Der Betrüger gibt sich als erfolgreicher Investor mit einer „todsicheren” Kryptowährungsmöglichkeit aus und leitet das Opfer zu einer gefälschten Kryptowährungsbörse weiter, wo die Finanzinformationen oder das Geld des Opfers gestohlen werden. 

Bei einer langfristigen Variante dieses Betrugs, die als „Schweineschlachten“ bezeichnet wird, baut der Betrüger eine Beziehung zum Opfer auf und gewinnt dessen Vertrauen über soziale Medien. Danach stellt der Betrüger dem Opfer eine „Geschäftschance“ vor, das auf eine Kryptowährungsseite weitergeleitet wird, um Einzahlungen zu tätigen. Die Website könnte sogar fälschlicherweise einen Wertzuwachs der Investition melden, aber das Geld kann nie abgehoben werden.⁵ 

Wie viele Social-Engineering-Scams zielt auch diese auf ältere Menschen ab. Ein Cyberkrimineller gibt sich als Enkel des Opfers aus und gibt vor, in Schwierigkeiten zu sein – beispielsweise einen Autounfall gehabt zu haben oder verhaftet worden zu sein – und von seinen Großeltern Geld zu brauchen, um Krankenhausrechnungen bezahlen oder die Kaution stellen zu können. 

Das beabsichtigte Opfer erhält eine Rechnung für eine Dienstleistung oder ein Produkt, das es nicht bestellt oder genutzt hat. Der Betrüger fordert das Opfer oft auf, auf einen Link in einer E-Mail zu klicken, um weitere Informationen anzufordern oder sich über die Belastung zu beschweren. Das Opfer wird dann gebeten, personenbezogene Daten (PII) anzugeben, um sein Konto zu verifizieren. Diese privaten Informationen sind es, auf die der Betrüger von Anfang an aus war.

Der Betrüger gibt sich als Beamter der US-Steuerbehörde (IRS), als Polizeibeamter oder als Vertreter einer anderen Regierungsbehörde aus und behauptet, dass die Zielperson in Schwierigkeiten steckt. Dieses Problem könnte darin bestehen, dass sie keine Steuern zahlen oder dass ein Haftbefehl gegen sie vorliegt. In der Regel fordert der Betrüger das potenzielle Opfer auf, eine Zahlung zu leisten, um einer Verhaftung, einer Hypothek oder einer Lohnpfändung zu entgehen. Natürlich geht die Zahlung auf das Konto des Betrügers. 

Ein Arbeitssuchender ist möglicherweise bereit, einem potenziellen Arbeitgeber normalerweise sensible Informationen preiszugeben. Wenn die Stellenbeschreibung jedoch gefälscht ist und von einem Betrüger veröffentlicht wurde, könnte der Bewerber Opfer eines Identitätsdiebstahls werden.

Der Betrüger behauptet, eine romantische Beziehung mit dem Opfer eingehen zu wollen. Nachdem er das Herz des Opfers gewonnen hat, verlangt der Betrüger typischerweise Geld, um ein letztes Hindernis für die gemeinsame Beziehung zu beseitigen. Dieses Hindernis können eine erdrückende Schuldenlast, eine rechtliche Verpflichtung oder sogar die Kosten für ein Flugticket sein, um das Opfer zu besuchen.

Scareware ist ein Social-Engineering-Betrug, der Menschen durch angsteinflößende Maßnahmen dazu bringt, Malware herunterzuladen, Geld zu verlieren oder persönliche Daten preiszugeben.

Der erschreckende Vorwand könnte eine gefälschte Virenwarnung, ein gefälschtes Angebot für technischen Support oder ein Betrug durch die Strafverfolgungsbehörden sein. Ein Pop-up-Fenster könnte das Opfer warnen, dass „illegale Inhalte“ auf seinem digitalen Gerät gefunden wurde, oder ein Online-„Diagnosetest“ könnte dem Opfer mitteilen, dass sein Gerät kompromittiert ist und es eine (gefälschte) Antiviren-Software herunterladen muss, um das Problem zu beheben. 

DMARC ist ein E-Mail-Authentifizierungsprotokoll, das dabei helfen kann, Spoofing zu verhindern. Durch die Analyse des Textes und der Metadaten von Nachrichten auf häufige Anzeichen für eine Gefährdung überprüft DMARC, ob eine E-Mail von der Domain gesendet wurde, von der sie angeblich stammt. Wenn eine E-Mail gefälscht ist, kann sie automatisch in einen Spam-Ordner umgeleitet oder gelöscht werden.

Da Menschen durch Vorwände dazu gebracht werden, ihre eigene Sicherheit zu gefährden, kann die Schulung von Mitarbeitern zur Erkennung von Vorwandbetrügereien und zur richtigen Reaktion darauf zum Schutz eines Unternehmens beitragen. Experten empfehlen, Simulationen durchzuführen, die auf realen Vortäuschungsbeispielen basieren, um Mitarbeitern zu helfen, zwischen vorgetäuschten und legitimen Anfragen von Kollegen zu unterscheiden.  

Die Schulung kann auch klare Protokolle für strenge Authentifizierungsmaßnahmen wie die Multi-Faktor-Authentifizierung (MFA), den Umgang mit wertvollen Informationen, die Autorisierung von Zahlungen und die Überprüfung von Anfragen mit ihren vermeintlichen Quellen vor der Ausführung umfassen.

Die Verifizierung kann so einfach sein wie das Senden einer SMS an den vermeintlichen Absender: „Haben Sie mir das geschickt?“ Oder eine Nachricht an den Kundendienst: „Sieht das nach einem Hacker aus?“ Verfahren für Finanztransaktionen könnten die Anforderung umfassen, eingehende Anfragen persönlich oder durch direkten persönlichen Kontakt zu validieren.