Spoofing bedeutet, technische Identitäts- oder Herkunftsmerkmale zu fälschen. Ein Angreifer gibt Datenverkehr, Nachrichten oder Geräte so aus, als stammten sie von einer vertrauenswürdigen Quelle. Der Begriff beschreibt eine Technik, keinen einzelnen Angriff: Wirkung und Schutz unterscheiden sich stark danach, ob E-Mail, IP, DNS, ARP, Telefonnummer oder eine Website imitiert wird.
Welche Arten von Spoofing gibt es?
| Art | Prinzip und Grenze |
|---|---|
| E-Mail-Spoofing | Absenderangaben werden gefälscht; SPF, DKIM und DMARC können bestimmte Fälschungen bewerten. |
| IP-Spoofing | Quell-IP eines Pakets wird ersetzt. Antworten gehen meist zur gefälschten Adresse, weshalb dies besonders für UDP-Reflexion und vertrauensbasierte Filter relevant ist. |
| ARP-Spoofing | Falsche ARP-Zuordnungen im lokalen Netz lenken Verkehr über das Angreifergerät. |
| DNS-Spoofing | Manipulierte Namensauflösung liefert eine falsche Zieladresse und kann Pharming ermöglichen. |
| Caller-ID-/SMS-Spoofing | Eine bekannte Nummer oder ein Absendername erscheint auf dem Endgerät, ohne den Anrufer zuverlässig zu authentisieren. |
| Website-/Domain-Spoofing | Lookalike-Domain, kopiertes Design oder ähnliche Unicode-Zeichen imitieren einen legitimen Dienst. |
| GPS-/Funksignal-Spoofing | Gefälschte Signale beeinflussen Ortung, Zeit oder drahtlose Identitäten. |
Was kann ein Angreifer damit erreichen?
Spoofing schafft Vertrauen oder lenkt Kommunikation um. Es unterstützt Phishing und Betrug, umgeht einfache IP-Positivlisten, ermöglicht Reflection-DDoS oder bildet die Voraussetzung für einen Man-in-the-Middle-Angriff. Ein gefälschtes Merkmal beweist aber nicht automatisch, dass Antworten gelesen werden können. Bei IP-Spoofing ohne Position im Rückweg sieht der Angreifer die Antwort typischerweise nicht.
Was unterscheidet Spoofing, Phishing und MitM?
Spoofing ist die technische Fälschung eines Merkmals. Phishing ist die Täuschung einer Person, häufig mit gespooftem Absender oder einer ähnlichen Domain. Bei einem Man-in-the-Middle befindet sich der Angreifer aktiv im Kommunikationsweg und kann Daten beobachten oder verändern. Spoofing kann MitM vorbereiten, muss aber nicht dazu führen.
Wie wird Spoofing verhindert?
- Identität kryptografisch prüfen: TLS-Zertifikate validieren, signierte Protokolle und starke gegenseitige Authentifizierung einsetzen.
- E-Mail-Domains mit SPF, DKIM und einer überwachten DMARC-Policy schützen; ähnlich geschriebene Domains separat beobachten.
- Provider und Netzbetreiber sollten Pakete mit unplausiblen Quelladressen an Netzgrenzen filtern.
- Lokale Netze mit Segmentierung, DHCP Snooping, Dynamic ARP Inspection und sicheren Switch-Ports härten, wo unterstützt.
- DNSSEC validieren und Resolver sowie Endpunkte gegen Manipulation schützen; DNSSEC verschlüsselt DNS jedoch nicht.
- Zahlungen, Kontowiederherstellung und sensible Änderungen über unabhängige bekannte Kanäle bestätigen.
Wie wird es erkannt und untersucht?
Hinweise sind wechselnde MAC-IP-Zuordnungen, unerwartete DNS-Antworten, Zertifikatswarnungen, unplausible Paketquellen, DMARC-Fehler oder Anrufe von bekannten Nummern mit ungewöhnlicher Anfrage. Analyse muss mehrere Ebenen korrelieren: E-Mail-Header, DNS- und DHCP-Logs, Switch-Tabellen, Paketmitschnitt, Zertifikat und tatsächliche Domain. Anzeigename, Telefonnummer oder Quell-IP allein sind kein belastbarer Identitätsnachweis.
Vielen Dank für dein Feedback! Wir werden es prüfen und unseren Artikel anpassen.