Was ist Spear Phishing?

Spear Phishing ist ein gezielter Phishing-Angriff auf ausgewählte Personen oder Teams. Die Nachricht greift ihre Rolle, Kontakte oder aktuellen Aufgaben auf und wirkt dadurch glaubwürdiger als eine breit versendete Standardmail. Der Kanal kann E-Mail, Messenger, berufliches Netzwerk oder eine Kombination mit Telefonanrufen sein.

Wie unterscheidet sich Spear Phishing von Phishing?

Richtet sich der Angriff gegen hochrangige Führungskräfte oder besonders einflussreiche Personen, wird häufig von Whaling gesprochen. Business Email Compromise beschreibt stärker das Ziel beziehungsweise den Missbrauch eines geschäftlichen Mailprozesses; Spear Phishing kann der Weg dorthin sein.

Wie wird ein Angriff vorbereitet?

Angreifer sammeln Informationen aus Unternehmensseiten, sozialen Netzwerken, Stellenanzeigen, Leaks und öffentlichen Dokumenten. Sie registrieren ähnlich geschriebene Domains oder kompromittieren ein echtes Postfach. Anschließend wählen sie einen glaubwürdigen Zeitpunkt – etwa eine Reise, laufende Transaktion, neue Führungskraft oder bekannte IT-Umstellung. Antworten aus dem übernommenen Mailverlauf sind besonders überzeugend, weil Absender, Signatur und bisheriger Kontext stimmen.

Welche Ziele verfolgen Angreifer?

• Zugangsdaten oder MFA-Freigaben für Cloud, VPN und Unternehmensanwendungen.
• Öffnen eines präparierten Dokuments, Archivs oder Links zur Malware-Installation.
• Überweisung, Änderung einer Bankverbindung oder Kauf von Gutscheinkarten.
• Weitergabe vertraulicher Dokumente, Personen- oder Projektdaten.
• Aufbau einer längeren Beziehung, um später eine wertvollere Handlung zu verlangen.

Woran lässt sich Spear Phishing erkennen?

Personalisierung ist kein Echtheitsbeweis. Auffällig sind neue Absenderdomains, abweichende Antwortadressen, unerwartete Dateifreigaben und eine plötzlich geänderte Zahlungs- oder Recovery-Anweisung. Besonders kritisch ist die Kombination aus Zeitdruck, Geheimhaltung und dem Wunsch, einen etablierten Kontrollweg zu überspringen. Die Anfrage sollte über eine bekannte Telefonnummer, ein bestehendes Ticketsystem oder persönlich bestätigt werden – nicht über Kontaktdaten aus derselben Nachricht.

Welche Kontrollen schützen?

• Phishing-resistente MFA wie FIDO2/WebAuthn begrenzt den Wert gestohlener Passwörter.
• SPF, DKIM und DMARC reduzieren bestimmte Fälschungen der eigenen Domain; Lookalike-Domains brauchen zusätzlich Monitoring.
• Vier-Augen-Freigabe und unabhängiger Rückruf schützen Zahlungen und Stammdatenänderungen.
• Least Privilege, sichere Endpunkte und getrennte Administrationskonten begrenzen den Schaden.
• Rollenbezogene Übungen trainieren besonders gefährdete Teams wie Buchhaltung, Assistenz, HR und IT-Support.

Was ist nach einer Reaktion zu tun?

Die Nachricht inklusive Header und Zeitpunkt sofort melden. Nach einer Passworteingabe müssen Sitzungen und Tokens widerrufen, Passwort und MFA erneuert und Mailregeln sowie Kontoaktivität geprüft werden. Bei geöffneten Dateien ist das Gerät zu isolieren und forensisch zu untersuchen. Wurde Geld angewiesen, zählt jede Minute: Bank und interne Verantwortliche sind unmittelbar einzuschalten. Das Sicherheitsteam sollte außerdem nach weiteren Empfängern und Nachrichten derselben Kampagne suchen.