--- title: "Social Engineering & Phishing · VORNAC Research" description: "Pretext-Design, Kanalwahl und die Muster speziell für Phishing privilegierter Nutzer — inklusive der Fehlermodi, die eine Kampagne in einen internen Vorfall auf eigener Seite verwandeln." url: https://www.vornac.com/research/offensive-tradecraft/social-engineering-phishing lang: de published: 2026-06-02 updated: 2026-06-02 alternate_en: https://www.vornac.com/en/research/offensive-tradecraft/social-engineering-phishing --- [Research-Index](https://www.vornac.com/research) / [1 · Offensive Tradecraft](https://www.vornac.com/research/offensive-tradecraft) / Social Engineering & Phishing Background · [1 Offensive Tradecraft](https://www.vornac.com/research/offensive-tradecraft) # Social Engineering & Phishing. Pretext-Design, Kanalwahl und die Muster speziell für Phishing privilegierter Nutzer — inklusive der Fehlermodi, die eine Kampagne in einen internen Vorfall auf eigener Seite verwandeln. ## Pretext-Design — was funktioniert - **An echte Arbeit angepasst.** Referenz auf ein echtes Ticketing-System, einen echten Vendor, einen echten Quartals-Prozess. OSINT zuerst, schreiben zweitens. - **Plausibler CTA.** "Bestätige deine Timesheet bis Freitag" schlägt "Verifiziere dein Passwort jetzt." Die angefragte Aktion ist etwas, das das Ziel sowieso erwarten würde zu tun. - **Kein Eskalationsdruck.** "Dringend — Account in 1 Stunde gesperrt" triggert den Trainings-Reflex. Legitime IT nutzt selten Countdown-Drohungen. - **Wie das System aussehen, nicht wie ein Angreifer.** Office-365-legitime Notification → HTML-Struktur, Header, Footer, Unsubscribe-Link kopieren. Vs. eine echte diffen bis ununterscheidbar. - **Richtiger Sender.** Spoofed Display Name + benachbarter Domain-Typosquat. Ziele lesen den Display Name; nur ~5% prüfen den tatsächlichen From:-Header. ## Kanal-Trade-offs - **E-Mail.** Höchstes Volumen, niedrigste Conversion. Verteidigt durch Mail-Gateways, Sandbox-Detonation, URL-Rewriting. Mit 5–15% Click-Rate bei Erstsend rechnen. - **SMS (Smishing).** Niedrigere Volumen-Kapazität, höhere Conversion. Sandbox existiert für SMS nicht so wie für E-Mail. Mit 20–35% Click-Rate rechnen, wenn der Pretext scharf ist. - **Voice (Vishing).** Höchste Conversion gegen Helpdesk-Personal. Am schwersten zu skripten. Am effektivsten Montagmorgens bei höchstem Ticket-Volumen. - **In-Person / physisch.** Tailgating, Dropped-USB. Höchstes juristisches-/Scope-Risiko. Immer schriftlich autorisiert mit On-Call-White-Cell-Kontakt. - **Supplier-Impersonation.** E-Mail von bekanntem Vendor mit bekanntem Payment-Detail-Change-Request. Sehr hohe Conversion gegen Finance-Teams; hohe juristische Prüfung. ## Speziell Admins anvisieren - **Tooling-Trust.** Admins klicken Links aus Tools, die sie täglich nutzen — Jira, Confluence, PagerDuty, GitHub. Pretext, der wie eine Notification aus einem davon aussieht. - **Helpdesk-Pretext.** Richtung umkehren. Du rufst als User mit authentisch wirkender Ticket-Referenz an; bittest Helpdesk, eine MFA zu pushen, behauptest "Handy kaputt", bekommst einen temporären Code. - **Console-Link-Redirect.** URL, die zuerst auf echter Admin-Console landet, dann zu deinem Harvester redirected. Browser-Security-Indikatoren zeigen "sicher", weil der erste Hop echt war. - **OAuth-Consent-Phishing.** Kein Passwort phishen; einen OAuth-Scope-Grant phishen. Das Ziel sieht eine echte Microsoft-Consent-Seite und klickt Allow. ## Operative Leitplanken (Engagement nicht verbrennen) - **Schriftlicher Scope, nur benannte Targets.** Kein Improvisieren neuer Empfänger mitten in der Kampagne. - **Credentials von einem Operator gehandled.** Erbeutete Creds liegen nie in einer geteilten Inbox oder einem Chat. Hashen bei Capture, Hash speichern, nur bei Nutzung entschlüsseln. - **Sender-Infra auf Anfrage sauber attributierbar.** Domains nicht über Kunden hinweg wiederverwenden. NICHT die gleiche Domain, mit der du letztes Quartal echte Blue-Team-Arbeit gemacht hast. - **Kill-Switch.** Ein Kommando, das alle Landing-Pages runterfährt, erbeutete Tokens revoked und White Cell benachrichtigt. Vor Kampagnenstart testen. **Faustregel**Die sauberste Phishing-Kampagne ist die, aus der das Blue Team am meisten lernt. Das maximieren, nicht die rohe Click-Rate. 40% Click-Rate ohne Detection-Loop-Feedback lehrt nichts; 12% Click-Rate, die der SOC in 11 Minuten fängt, ist eine erfolgreiche Übung. Domain [1 · Offensive Tradecraft](https://www.vornac.com/research/offensive-tradecraft) Stufe Background Engagement-Phasen Authentifizierung Veröffentlicht 2\. Juni 2026 Akronym nachschlagen? [Glossar öffnen](https://www.vornac.com/glossary) ## Verwandte Notizen in dieser Domain - [Featured Umfassende Pentest-Referenz](https://www.vornac.com/research/offensive-tradecraft/comprehensive-pentest-reference) - [Featured Pentest-Methodik — kanonische Referenz](https://www.vornac.com/research/offensive-tradecraft/pentest-methodology-canon) - [Featured Advanced Pentest & Red Team](https://www.vornac.com/research/offensive-tradecraft/advanced-pentest-and-redteam) - [Featured Recon & Discovery](https://www.vornac.com/research/offensive-tradecraft/recon-and-discovery) - [Featured Web Server — Angriff & Verteidigung](https://www.vornac.com/research/offensive-tradecraft/web-server-attack-defense) - [Featured Active Directory Pentest](https://www.vornac.com/research/offensive-tradecraft/active-directory-pentest) - [Featured Internal Pivoting & Lateral Movement](https://www.vornac.com/research/offensive-tradecraft/internal-pivoting) - [Referenz Recon-Tooling — Operator-Referenz](https://www.vornac.com/research/offensive-tradecraft/recon-tooling) - [Referenz Operator-Toolkits — Katalog & Referenz](https://www.vornac.com/research/offensive-tradecraft/operator-toolkits) - [Referenz Automatisierung vs. manuelles Testing](https://www.vornac.com/research/offensive-tradecraft/automation-vs-manual) - [Background Pentester-Grundlagen & CTF-Praxis](https://www.vornac.com/research/offensive-tradecraft/pentester-foundations) [Vorherige Notiz Automatisierung vs. manuelles Testing](https://www.vornac.com/research/offensive-tradecraft/automation-vs-manual) [Zurück zur Domain](https://www.vornac.com/research/offensive-tradecraft) [Nächste Notiz Pentester-Grundlagen & CTF-Praxis](https://www.vornac.com/research/offensive-tradecraft/pentester-foundations) Von der Referenz zum Befund ## Validieren Sie das in Ihrer eigenen Umgebung.