Spear-Phishing: gezielte Phishing-Angriffe erkennen und abwehren

Der Name spielt auf das Speerfischen an: Statt ein großes Netz auszuwerfen, zielt der Angreifer auf einen einzelnen Fisch. Deshalb liest man auch die Schreibweise „Spearfishing“. Weil die Nachricht persönlich wirkt, ist sie viel schwerer zu erkennen als eine Massen-Mail.

Spear-Phishing, Phishing, Whaling und CEO-Fraud

Die Begriffe hängen eng zusammen. So grenzen Sie sie ab:

• Phishing: Massen-Mails an viele Empfänger, etwa eine gefälschte Paketbenachrichtigung. Die Angreifer setzen auf die Menge.
• Spear-Phishing: Eine einzelne Person oder ein kleines Team wird gezielt angeschrieben. Die Nachricht nennt Namen, Projekte oder Kollegen.
• Whaling: Spear-Phishing gegen Führungskräfte, etwa Geschäftsführung oder Finanzvorstand. Sie haben weitreichende Rechte und können Zahlungen freigeben.
• Business E-Mail Compromise (BEC): Angreifer nutzen ein echtes, übernommenes Postfach oder geben sich glaubhaft als Geschäftspartner aus. Ziel ist meist Geld, zum Beispiel durch geänderte Kontodaten auf einer Rechnung.
• CEO-Fraud: Eine Form von BEC. Der Angreifer gibt sich als Chef aus und fordert eine dringende, vertrauliche Überweisung.

Spear-Phishing läuft nicht nur per E-Mail. Auch SMS (Smishing), Messenger, Anrufe und Nachrichten in Business-Netzwerken kommen vor.

Ablauf eines Spear-Phishing-Angriffs

1. Ziel auswählen: Die Angreifer suchen Personen mit Zugriff auf Geld, Daten oder Systeme. Das sind oft Buchhaltung, Personalabteilung, IT oder Assistenz der Geschäftsführung.
2. Aufklärung: Mit OSINT sammeln sie öffentliche Informationen. Quellen sind Firmenwebsite, Business-Netzwerke, Pressemitteilungen, Stellenanzeigen und Handelsregister.
3. Nachricht erstellen: Mit diesem Wissen entsteht eine glaubwürdige Mail. Sie bezieht sich etwa auf ein laufendes Projekt, einen echten Lieferanten oder eine anstehende Messe.
4. Auslöser: Die Nachricht enthält einen Link zu einer gefälschten Anmeldeseite, einen Anhang mit Schadcode oder eine Zahlungsaufforderung.
5. Ausnutzen: Mit erbeuteten Zugangsdaten melden sich die Angreifer an. Oder die Schadsoftware öffnet ihnen den Weg ins Netz. Oder das Geld ist überwiesen.

Die psychologischen Hebel dahinter beschreibt unser Beitrag zu Social Engineering.

Woran Sie Spear-Phishing erkennen

Gut gemachte Nachrichten haben keine Rechtschreibfehler mehr. Achten Sie deshalb auf diese Merkmale:

• Druck und Eile: „Bitte heute noch erledigen“, „Ich bin gleich im Meeting“.
• Geheimhaltung: Sie sollen niemanden einbeziehen, auch nicht Ihre Vorgesetzten.
• Ungewöhnlicher Weg: Eine Bitte, die sonst nie per Mail kommt, etwa neue Bankdaten oder Gutscheinkarten.
• Abweichende Absender: Die Domain ist leicht verändert, etwa ein vertauschter Buchstabe. Oder die Antwortadresse unterscheidet sich vom Absender.
• Unerwartete Anmeldeseiten: Ein Link führt zu einem Login, obwohl Sie nichts angefordert haben.
• Stil passt nicht: Die Anrede oder der Ton weicht vom gewohnten Stil der Person ab.

Technische Schutzmaßnahmen

• SPF, DKIM und DMARC: Diese Verfahren erschweren es, Mails im Namen Ihrer eigenen Domain zu fälschen. Gegen ähnlich klingende Fremd-Domains helfen sie nicht.
• Multi-Faktor-Authentifizierung (MFA): Gestohlene Passwörter allein reichen dann nicht für die Anmeldung. Phishing-resistente Verfahren wie FIDO2-Schlüssel schützen besser als SMS-Codes.
• Mail-Filter: Sie prüfen Links und Anhänge und blockieren bekannte Schadsoftware.
• Kennzeichnung externer Mails: Ein Hinweis wie „Externe Nachricht“ macht gefälschte interne Mails auffälliger.

Organisatorische Schutzmaßnahmen

• Freigabeprozesse für Zahlungen: Größere Überweisungen und geänderte Bankdaten brauchen eine zweite Freigabe.
• Rückruf über bekannte Nummer: Prüfen Sie ungewöhnliche Bitten telefonisch. Nutzen Sie dafür die Nummer aus Ihrem Adressbuch, nie die aus der Mail.
• Awareness-Training: Mitarbeitende lernen, die Merkmale zu erkennen. Mehr dazu bei unseren Cyber-Awareness-Trainings.
• Phishing-Simulationen: Realistische Test-Mails zeigen, wo noch Lücken sind. Unser Phishing-Simulator unterstützt dabei.
• Weniger öffentliche Details: Prüfen Sie, welche Namen, Zuständigkeiten und internen Abläufe auf Ihrer Website stehen müssen.

Ziel ist eine Human Firewall: Mitarbeitende, die verdächtige Nachrichten erkennen und melden.

Was tun bei Verdacht?

1. Klicken Sie keine Links an und öffnen Sie keine Anhänge.
2. Antworten Sie nicht auf die Mail.
3. Melden Sie die Nachricht sofort an die IT oder das Sicherheitsteam, zum Beispiel über einen Melde-Button.
4. Haben Sie schon geklickt oder Daten eingegeben? Sagen Sie es sofort. Ändern Sie das Passwort und lassen Sie das Gerät prüfen.
5. Ist Geld überwiesen worden? Informieren Sie sofort Ihre Bank, damit sie einen Rückruf versuchen kann. Erstatten Sie außerdem Anzeige bei der Polizei.

Schnelles Melden zählt mehr als Scham. Je früher die IT Bescheid weiß, desto eher kann sie andere Postfächer warnen und Zugänge sperren.

Häufige Fragen

Ist „Spearfishing“ dasselbe wie Spear-Phishing?

Im IT-Kontext ja. „Spearfishing“ ist eine verbreitete Schreibweise für denselben Angriff. Wörtlich bezeichnet Speerfischen das Fischen mit dem Speer, von dem der Begriff abgeleitet ist.

Wer ist besonders gefährdet?

Gefährdet sind vor allem Personen mit Zugriff auf Geld, Personaldaten oder Systeme. Dazu zählen Buchhaltung, Personalabteilung, IT-Administration und die Geschäftsführung. Aber auch Mitarbeitende mit vielen externen Kontakten, etwa im Einkauf, sind häufige Ziele.

Reicht ein Spamfilter gegen Spear-Phishing?

Nein. Gezielte Mails enthalten oft keinen bekannten Schadcode und kommen manchmal von echten, übernommenen Konten. Filter fangen einen Teil ab. Den Rest müssen klare Prozesse und aufmerksame Mitarbeitende abfangen.