Ein Produktionsunternehmen, mittelständisch, Maschinenbau. Das Sicherheitskonzept: Zutrittskontrolle per RFID-Badge, Kamera an allen Eingängen, Empfang mit Besucherregistrierung. Im Serverraum läuft die Produktionssteuerung. Kein direkter Internetzugang, kein Fernwartungszugang von außen. Das Team war stolz darauf: „Bei uns kommt man nicht einfach rein."
Im Rahmen eines beauftragten Physical-Pentest-Engagements haben wir das anders gesehen. Drei Tage vor dem eigentlichen Einsatz: OSINT. Die Unternehmenswebsite nennt den Facility-Manager namentlich. LinkedIn zeigt, welches externe Klimatechnik-Unternehmen die Anlage wartet – ein Kommentar unter einem Beitrag, öffentlich einsehbar. Die Stellenausschreibung für einen Haustechniker listet das exakte Ticketsystem, das intern verwendet wird. Der Jahresbericht erwähnt einen laufenden Umbau in Halle 3.
Am Einsatztag: gelbe Warnweste, Klemmbrett mit einem ausgedruckten „Wartungsauftrag", Arbeitsschuhe. Der Pretext: Klimaanlage in der Produktionshalle zeigt Fehlercodes, Vor-Ort-Diagnose nötig, Termin sei mit Herrn [Name des Facility-Managers] abgestimmt. Empfang ruft intern an – Facility-Manager ist in einer Besprechung, nicht erreichbar. Der Mitarbeiter am Empfang entscheidet sich, uns durchzulassen. „Er hat ja einen Auftrag dabei."
Wir waren 23 Minuten unbegleitet auf dem Gelände. Hätten wir ein Rogue Device platzieren wollen: kein Problem. Hätten wir Fotos der Produktionsanlage anfertigen wollen: erledigt. Den Serverraum hätten wir mit einem weiteren Pretext – „kurze Überprüfung der Klimatisierung" – ebenfalls betreten können. Wir haben es nicht getan, weil wir keinen Auftrag dafür hatten. Ein Angreifer hätte keinen Grund gehabt, es nicht zu tun.
Pretexting exploitet keine technische Schwachstelle. Es exploitet einen Menschen, der seinen Job macht – und in diesem Moment das Falsche entscheidet. Der Mitarbeiter am Empfang war nicht unaufmerksam. Er war höflich, hilfsbereit und unter sozialem Druck. Genau das ist das Ziel.
Was Pretexting wirklich ist – und warum die meisten es unterschätzen
Social Engineering ist der Oberbegriff für alle Angriffe, die menschliches Verhalten ausnutzen statt technische Schwachstellen. Pretexting ist die Methodik darunter: die Konstruktion einer falschen Identität, einer Rolle, einer Geschichte – kurz: einer Legende. Was verwirrend klingt, lässt sich klar trennen:
Der entscheidende Punkt: Pretexting ist kein Trick, sondern Vorbereitung. Der eigentliche Angriff – der Moment am Empfang, das Telefonat mit dem Helpdesk, die E-Mail an die Buchhaltung – dauert Minuten. Was ihn trägt, sind Stunden oder Tage der Recherche davor. Ein unvorbereiteter Angreifer wird herausgefordert und fällt auf. Ein gut vorbereiteter Angreifer wird durchgelassen, weil seine Geschichte keine Lücken hat, auf die jemand natürlich anspringen würde.
Die gefährlichste Eigenschaft einer guten Legende: Sie muss nicht wahr sein. Sie muss nur unwahrscheinlich falsch wirken. Menschen prüfen keine Aussagen auf Wahrheit – sie prüfen sie auf Plausibilität. Und Plausibilität ist konstruierbar.
Fünf Schichten: Wie eine Legende aufgebaut wird
Eine überzeugende Legende ist kein Monolog, den der Angreifer auswendig lernt. Sie ist ein kohärentes System aus fünf Schichten, die zusammen ein Bild ergeben, das niemand spontan in Frage stellt. Fällt eine Schicht weg oder widerspricht sie einer anderen, entstehen Reibungspunkte – und Reibungspunkte kosten den Angreifer die Initiative.
Warum Menschen durchlassen, was sie aufhalten sollten
Pretexting-Angriffe funktionieren nicht, weil Menschen dumm sind. Sie funktionieren, weil Menschen in sozialen Systemen operieren, in denen bestimmte Heuristiken im Alltag sinnvoll und funktional sind. Ein Angreifer nutzt diese Heuristiken gezielt aus – und sie zu überwinden kostet soziales Kapital, das die meisten Menschen im beruflichen Kontext nicht aufwenden wollen.
Autorität
Menschen folgen Autoritätssignalen automatisch – nicht kritisch. Uniform, Titel, Auftreten, ein offiziell aussehendes Dokument: das sind Autoritätssignale, keine Autoritätsnachweise. Ein Brandschutzinspektor im entsprechenden Outfit mit Klemmbrett erzeugt Autorität, ohne sie jemals belegen zu müssen. Wer einen Ausweis kontrolliert, prüft in der Regel Foto und Namen – nicht die Ausstellerbehörde oder die Seriennummer.
Dringlichkeit
Zeitdruck schaltet Prüfreflexe aus. „Die Klimaanlage im Serverraum zeigt kritische Temperaturwerte, ich muss sofort rein" erzeugt einen Zustand, in dem das Abwägen teurer erscheint als das Durchlassen. Dringlichkeit funktioniert besonders gut in Kombination mit Autorität: eine dringende Anfrage einer Autoritätsperson zu blockieren fühlt sich falsch an.
Hilfsbereitschaft
Das unterschätzteste Element. Wer höflich fragt, ob jemand kurz die Tür aufhalten kann, aktiviert einen sozialen Reflex, der kaum zu überwinden ist. Der Bittsteller macht sich dabei zum Opfer einer kleinen Unannehmlichkeit – und das potenzielle Opfer zum Helfer. Das Unangenehme: Hilfsbereitschaft ist eine Tugend. Wer sie ausnutzt, exploitet nichts Schlechtes im Menschen – sondern etwas Gutes.
Soziale Bewährtheit
„Ihr Kollege Herr Müller hat mich schon erwartet." Namen, die das Opfer kennt oder kennen könnte, erzeugen sofortige Plausibilität. Die implizite Botschaft: jemand im Unternehmen hat diesen Besuch bereits autorisiert. Die Nachprüfung würde bedeuten, diesem Kollegen zu misstrauen – und das ist eine viel stärkere soziale Barriere als das Misstrauen gegenüber einem Fremden.
Fear of Conflict
Das stärkste Mittel am Ende. Die meisten Menschen wollen keine Konfrontation. Eine Person aufzuhalten, die überzeugend auftritt und einen Auftrag dabei hat, bedeutet: Nein sagen, Erklärungen verlangen, möglicherweise einen Fehler machen wenn sich herausstellt, dass der Besuch doch berechtigt war. Die Alternative – durchlassen – kostet nichts, solange nichts passiert. Diese Asymmetrie ist das, was Pretexting im letzten Schritt trägt.
Dieselben fünf psychologischen Hebel. Zwei völlig verschiedene Kanäle. Das ist der Grund, warum Awareness-Training, das nur Phishing zeigt, Physical Pretexting nicht verhindert – und umgekehrt. Die Mechanik ist dieselbe, aber die kontextuelle Ausprägung ist so verschieden, dass Menschen sie nicht als dasselbe Muster erkennen.
Fünf Legenden, die funktionieren – und warum
Was macht eine Legende im physischen Kontext besonders überzeugend? Sie passt zu einem Kontext, der bereits existiert. Ein Wartungstechniker in einer Fabrik ist erwartet – nicht konkret, aber kategorial. Die Frage „Wer bist du?" entfällt, wenn die Antwort bereits in der Umgebung steht.
| Legende | OSINT-Quellen | Psychologischer Haupthebel | Typisches Ziel |
|---|---|---|---|
| Externer Wartungstechniker Klimatechnik, Aufzug, Brandmeldeanlage, IT-Infrastruktur |
LinkedIn (Dienstleister), Impressum-Ketten, Stellenausschreibungen, Bauanzeigen | Autorität | Serverräume, Technikräume, eingeschränkte Bereiche |
| Brandschutz- / Sicherheitsprüfer Mit behördlichem Anstrich, „gesetzlich vorgeschrieben" |
Behördenwebsites für Prüfzyklen, lokale Gewerbeämter, Pressemitteilungen | Autorität Dringlichkeit | Vollständiger Gebäudezugang, Notausgänge, Keller |
| Lieferant mit großem Paket Hände voll, braucht jemanden der die Tür aufhält |
Kaum nötig – opportunistische Legende ohne Tiefenvorbereitung | Hilfsbereitschaft | Eingang überwinden, Tailgating in gesicherte Bereiche |
| Neuer Mitarbeiter, erster Tag „Mein Badge funktioniert noch nicht, HR hat gesagt..." |
LinkedIn (aktuelle Stellenausschreibungen), Glassdoor-Bewertungen | Hilfsbereitschaft | Umgehung der Zugangskontrolle, Insider-Perspektive |
| IT-Support / Helpdesk-Techniker „Ich muss kurz den PC von Herrn [Name] anschauen" |
LinkedIn, Organigramme, Jahresberichte, internes Ticketsystem aus Stellenausschreibung | Autorität Dringlichkeit | Physischer Zugang zu Workstations, USB-Drop, Netzwerkzugang |
Ein Vishing-Pretext im Detail: Der Helpdesk-Anruf
Damit das Muster greifbar wird – wie ein Pretexting-Angriff per Telefon klingt, wenn er gut vorbereitet ist. Das folgende Beispiel ist fiktiv, aber nah an realen Techniken, die in Vishing-Engagements eingesetzt werden.
Was dieses Gespräch trägt: nicht Lügen, die niemand prüft – sondern eine Geschichte, die niemand prüfen will. Der Helpdesk-Mitarbeiter wollte helfen. Die Dringlichkeit machte Prüfung teuer. Die soziale Verankerung machte Misstrauen unangemessen. Das ist Pretexting.
Wie man Pretexting erkennt – und warum Checklisten nicht reichen
Hier die ehrliche Aussage zuerst: Einen gut vorbereiteten Pretext erkennt man nicht am Inhalt. Die Geschichte ist plausibel. Die Artefakte sind überzeugend. Die psychologischen Hebel sind gezielt eingesetzt. Was Pretexting stoppt, ist kein besserer Instinkt beim Einzelnen – sondern Prozesse, die die Entscheidung vom Einzelnen nehmen.
- Verification-Protokolle die tatsächlich gelebt werden: Jeder externe Dienstleister wird angekündigt – schriftlich, im System, nicht per Telefonanruf am Tag davor. Empfang hat eine Liste. Wer nicht draufsteht, wartet. Kein Auftragszettel ersetzt den Eintrag im System.
- Rückruf-Pflicht bei unangekündigten Besuchern: „Ich rufe kurz bei [Unternehmen X] zurück und bestätige den Termin" – nicht beim Anrufer, nicht bei der Nummer auf dem Auftrag. Eigenständig gegoogelt, eigenständig angerufen.
- Escort-Policy ohne Ausnahmen: Externe Dienstleister werden begleitet – immer. Nicht bis zur Tür. Durch die gesamte Zeit auf dem Gelände. „Kurz allein lassen" ist kein definierter Ausnahmetatbestand.
- Namen als Vertrauenssignal entwerten: „Herr Müller hat mich erwartet" ist keine Zutrittsberechtigung. Herr Müller wird direkt – nicht über den Besucher – kontaktiert und bestätigt den Termin persönlich.
- Security Awareness die Pretexting trainiert: Nicht: „Klick nicht auf komische Links." Sondern: Szenarien die physisches Pretexting und Vishing zeigen, mit Rollenspielen, mit konkreten Handlungsoptionen. Menschen brauchen ein Skript für den Moment der Konfrontation – nicht nur ein Bewusstsein dafür, dass Angriffe existieren.
- Klare Eskalationswege ohne sozialen Druck: Mitarbeiter müssen wissen: Einen Besucher aufzuhalten, der nicht im System steht, ist richtig – auch wenn er einen überzeugenden Auftrag hat. Auch wenn er ungeduldig wird. Auch wenn er Namen fallen lässt. Die Eskalation ist der Prozess, nicht die persönliche Entscheidung.
Was ein Physical Pentest mit Pretexting-Komponente aufdeckt, was keine Checkliste aufdeckt: ob eure Prozesse im realen Moment der sozialen Drucksituation halten – oder nur auf dem Papier. Ein Audit prüft, ob die Escort-Policy existiert. Ein Pentest prüft, ob sie eingehalten wird, wenn jemand dringend rein muss und den Facility-Manager beim Vornamen kennt.
Fazit: Die Legende schlägt den Zaun. Immer.
Technische Sicherheitsmaßnahmen haben eine Eigenschaft, die Pretexting fehlt: Sie sind konsistent. Ein Kartenleser prüft jeden Badge gleich. Eine Firewall wendet ihre Regeln ohne Ermüdung an. Menschen tun das nicht. Sie sind freundlich, unter Zeitdruck, sozial eingebettet, hilfsbereit – und das sind im Alltag keine Schwächen, sondern Stärken.
Pretexting exploitet genau diese Stärken. Nicht durch Täuschung, die ein aufmerksamer Mensch erkennen würde – sondern durch soziale Rahmenbedingungen, in denen das Richtige falsch aussieht und das Falsche richtig. Den Wartungstechniker aufhalten, der dringend in den Serverraum muss und den Chef beim Namen kennt: das fühlt sich falsch an. Ihn durchlassen: das fühlt sich richtig an. Genau hier liegt das Risiko.
Wer wissen will, ob die eigenen Prozesse halten, braucht keinen Fragebogen – sondern jemanden, der es versucht. Weiterführend: Wie Angreifer physische Zutrittssysteme überwinden zeigt der Post zu RFID-Schwachstellen. Wie Rogue Devices nach erfolgreichem Zugang eingesetzt werden, erklärt der Post zu Rogue Devices. Und was Vishing im digitalen Kanal anrichten kann, zeigt der Post zum MGM-Hack.
Würde eure Empfang die Legende durchschauen?
Wir testen, ob eure Prozesse im realen Druckmoment halten – mit physischen Pretexting-Szenarien, Vishing-Komponenten und einem Bericht, der zeigt, wo genau die Lücke ist.
Physical Pentest anfragen →