Spear-Phishing: der gezielte Angriff auf Einzelne
Kurz erklärt
Spear-Phishing ist eine gezielte Form des Phishings, die sich nicht an die breite Masse, sondern an eine bestimmte Person oder ein bestimmtes Unternehmen richtet. Die Angreifer recherchieren ihr Opfer vorab und schneiden die Betrugsnachricht individuell zu, um besonders glaubwürdig zu wirken.
- Spear-Phishing ist zielgerichtetes Phishing: Statt Massen-E-Mails wird eine einzelne Person mit einer maßgeschneiderten, gut recherchierten Nachricht angegriffen.
- Eine besonders gefährliche Variante ist CEO-Fraud (Business E-Mail Compromise, BEC), bei dem sich Angreifer als Geschäftsführung ausgeben, um Überweisungen zu veranlassen.
- Weil Spear-Phishing keine plumpen Fehler enthält, hilft vor allem Wachsamkeit: ungewöhnliche Bitten über einen zweiten Kanal prüfen.
Was Spear-Phishing ist
Wenn Phishing das Fischen mit dem Netz ist, dann ist Spear-Phishing das Fischen mit dem Speer – gezielt auf ein einzelnes, ausgewähltes Opfer. Statt eine identische Betrugsmail an tausende Adressen zu schicken, nimmt sich der Angreifer eine bestimmte Person vor: einen Buchhalter, eine Assistentin der Geschäftsführung, einen IT-Administrator. Er recherchiert vorab – über die Firmenwebsite, soziale Netzwerke, öffentliche Informationen – und baut daraus eine Nachricht, die täuschend echt und persönlich wirkt.
Genau diese Individualisierung macht Spear-Phishing so gefährlich. Die üblichen Warnzeichen von Massen-Phishing – unpersönliche Anrede, plumpe Fehler – fehlen. Stattdessen kennt der Absender scheinbar interne Details.
CEO-Fraud und BEC: die teure Variante
Die folgenreichste Form des Spear-Phishings zielt auf Geld. Beim CEO-Fraud (Business E-Mail Compromise, BEC) geben sich Angreifer als Geschäftsführer oder Vorgesetzter aus und weisen einen Mitarbeiter an, eine dringende, vertrauliche Überweisung zu tätigen. Die Masche spielt mit Autorität und Zeitdruck: „Ich bin gerade in einer Verhandlung, überweisen Sie diesen Betrag sofort, sprechen Sie mit niemandem darüber.”
Warum es so schwer zu erkennen ist
Spear-Phishing nutzt oft Spoofing, um die Absenderadresse zu fälschen, und Elemente des Social Engineering, um psychologischen Druck aufzubauen. Weil die Nachricht individuell recherchiert ist, greifen die klassischen Erkennungsregeln nicht. Die entscheidende Verteidigungslinie verschiebt sich damit von „Sieht die Mail echt aus?” zu „Ergibt diese Bitte Sinn – und würde diese Person das wirklich so verlangen?”.
Schutz: Prozess, Technik, Training
Wirksamer Schutz ruht auf drei Säulen. Prozesse: Klare Regeln für Zahlungen (Vier-Augen-Prinzip, verpflichtender Rückruf bei ungewöhnlichen Anweisungen) nehmen dem CEO-Fraud die Grundlage. Technik: Die Absender-Authentifizierung der eigenen Domain über SPF, DKIM und DMARC erschwert das Fälschen. Training: Weil am Ende ein Mensch entscheidet, ist die Sensibilisierung der Belegschaft entscheidend. Eine regelmäßige Phishing-Simulation trainiert genau die Wachsamkeit, die gegen gezielte Angriffe zählt – und macht aus dem bevorzugten Ziel der Angreifer die stärkste Verteidigung. Als Teil einer betreuten Sicherheit & Compliance greifen diese Säulen ineinander.
Passend dazu bei kjello
Häufige Fragen zu Spear-Phishing
Was ist der Unterschied zwischen Phishing und Spear-Phishing?
Klassisches Phishing wird massenhaft und ungezielt verschickt – dieselbe Nachricht an tausende Empfänger, in der Hoffnung, dass einige darauf hereinfallen. Spear-Phishing ist das Gegenteil: ein gezielter Angriff auf eine einzelne, ausgewählte Person, mit einer individuell recherchierten und zugeschnittenen Nachricht. Dadurch ist es deutlich schwerer zu erkennen.
Was ist CEO-Fraud?
CEO-Fraud (auch Chef-Masche oder Business E-Mail Compromise, BEC) ist eine Form des Spear-Phishings, bei der sich Angreifer als Geschäftsführer oder eine andere Autoritätsperson ausgeben. Sie fordern einen Mitarbeiter – oft in der Buchhaltung – unter Zeitdruck zu einer eiligen, vertraulichen Überweisung auf. Der Schaden solcher Angriffe geht schnell in fünf- oder sechsstellige Bereiche.
Wie erkennt man Spear-Phishing?
Schwerer als Massen-Phishing, weil die typischen Fehler fehlen. Warnsignale sind ungewöhnliche Bitten (besonders um Geld oder Daten), erzeugter Zeitdruck, die Aufforderung zur Vertraulichkeit und ein Kommunikationsstil, der leicht abweicht. Die wirksamste Prüfung: Bei jeder ungewöhnlichen Anweisung über einen zweiten, bekannten Kanal (Anruf) rückfragen.
Wie schützt man sich vor Spear-Phishing?
Durch eine Kombination: klare Prozesse für Zahlungen (Vier-Augen-Prinzip, Rückruf bei ungewöhnlichen Anweisungen), technische Absicherung der eigenen Domain (SPF, DKIM, DMARC gegen Spoofing) und vor allem geschulte Mitarbeitende. Regelmäßige Phishing-Simulationen trainieren genau die Wachsamkeit, die gegen gezielte Angriffe zählt.
Verwandte Begriffe
Phishing
Phishing ist ein Betrugsversuch, bei dem sich Angreifer per E-Mail, SMS oder Anruf als vertrauenswürdiger Absender ausgeben, um an Passwörter, Zugangsdaten oder Geld zu gelangen. Das Wort spielt auf das englische „fishing" an: Es wird nach Zugangsdaten geangelt, oft mit einem gefälschten Link als Köder.
SicherheitSocial Engineering
Social Engineering ist die gezielte Manipulation von Menschen, damit sie Sicherheitsregeln umgehen – etwa ein Passwort verraten, eine Datei öffnen oder eine Überweisung auslösen. Angegriffen wird nicht die Technik, sondern menschliches Vertrauen, Hilfsbereitschaft, Respekt vor Autorität und der Reflex, unter Zeitdruck zu handeln.
SicherheitSpoofing
Spoofing bezeichnet das Vortäuschen einer falschen Identität in der digitalen Kommunikation. Angreifer fälschen dabei Absenderadressen, IP-Adressen, DNS-Einträge oder Rufnummern, um sich als vertrauenswürdige Quelle auszugeben und ihre Opfer zu täuschen.
SicherheitSpam
Spam bezeichnet unerwünschte, massenhaft und ungezielt versendete Nachrichten – meist E-Mails mit Werbung, dubiosen Angeboten oder Schadsoftware. Im Unterschied zu Phishing zielt klassischer Spam nicht in erster Linie darauf ab, gezielt Zugangsdaten zu stehlen, sondern belästigt breit gestreut und bindet Zeit und Ressourcen.
Diese Themen lieber abgeben?
kjello übernimmt Spear-Phishing und den Rest Ihrer IT als Service – betrieben von einem echten Systemhaus, ab 29 € pro Arbeitsplatz.
